Residential Proxy Güvenli mi? Trafiğinizi Kim Görür

Residential proxy güvenli mi sorusunun cevabı tek kelime olamaz, çünkü trafiğiniz dört ayrı duraktan geçer ve her durakta farklı bir taraf farklı bir şey görür. Birinci durak kendi cihazınız ve internet bağlantınızdır; ikincisi sağlayıcının ağ geçidi (gateway); üçüncüsü isteğin dünyaya çıktığı konut bağlantısı, yani başka birinin modemi ya da ISP’nin size tahsis ettiği hat; dördüncüsü hedef sitedir. HTTPS kullanan bir hedefe giderken bu dört durağın hiçbiri şifrenizi ya da sayfa içeriğini okuyamaz, ama ikinci ve üçüncü durak hangi alan adına, ne zaman ve ne kadar veriyle gittiğinizi görür.

Bu ayrım önemlidir, çünkü piyasadaki Türkçe içeriklerin çoğu konuyu iki uçtan birine çeker: ya proxy açıkken her şeyin görünür olduğu söylenir ya da proxy ile görünmez olunduğu. İkisi de yanlıştır. Doğru resim şudur: proxy, hedef siteye gösterilen adresi değiştirir; şifreleme ise tarayıcı ile hedef arasında, proxy’den bağımsız olarak kurulur. Aşağıda her durakta neyin açık kaldığı, hangi durumda bu dengenin bozulduğu ve bozulduğunu nasıl anlayacağınız sırayla anlatılıyor.

ResidentialProxy kataloğundaki iki ürün ailesi için yol aynıdır. Static ürünlerde (adet bazlı static IPv4 ve static IPv6) size ayrılan konut adresi sabittir, üçüncü durak her istekte aynı hattır. Rotating ürünlerde (GB bazlı rotating IPv4 ve port bazlı rotating IPv6) üçüncü durak gateway tarafından her istekte ya da oturum süresince seçilir; yani çıkış hattı değişir, ama her bir hattın görebildiği şey aşağıdaki kurallara göre aynıdır. Rotating ürünün ülke kapsamı ve static ürünün ülke listesi ürün sayfalarında yazar.

Tarayıcınız ya da scraper’ınız HTTPS bir adrese proxy üzerinden giderken proxy’ye önce bir CONNECT isteği gönderir: “şu sunucunun 443 portuna bağlan”. Proxy bağlantıyı kurar ve o andan sonra yalnız bayt taşır; TLS el sıkışması tarayıcı ile hedef sunucu arasında, tünelin içinde yapılır. Şifreleme anahtarları iki uçta üretilir, proxy’nin elinde yoktur. Sonuç olarak gateway de, çıkış hattının sahibi de, aradaki hiçbir ağ cihazı da istek yolunu, formdaki şifreyi, çerezleri ya da dönen sayfayı okuyamaz. Bu güvence protokolün tasarımından gelir, sağlayıcının niyetinden bağımsızdır.

Açık kalan üç şey vardır. Birincisi hedef alan adı: CONNECT isteğinin kendisi düz metindir ve proxy hangi sunucuya bağlanacağını bilmek zorundadır; TLS el sıkışmasındaki SNI alanı da alan adını taşır. İkincisi zamanlama ve hacim: hangi saatte, hangi sıklıkla ve toplam kaç bayt. Üçüncüsü kaynak: hangi hesabın hangi IP’den bağlandığı. Bir sağlayıcının kayıt tutması hâlinde tutabileceği şey bu üçüdür; içeriği kaydetmesi teknik olarak mümkün değildir. Alan adının görünmesi çoğu iş için sorun değildir, ama rakip analizi ya da yayınlanmamış bir ürün hazırlığı gibi işlerde hedef listesinin kendisi hassas bilgi olabilir.

Düz HTTP farklıdır. Şifrelenmemiş bir adrese gidiyorsanız proxy isteğin tamamını okur, çünkü isteği hedefe kendisi iletmek zorundadır: URL, başlıklar, form verisi ve dönen sayfa açıktır. Bu durum proxy’ye özgü değildir; aynı istek kendi bağlantınızdan çıksa ISP ve aradaki her ağ aynı şeyi görür. Yine de proxy üzerinden düz HTTP ile giriş yapmak, şifrenizi bir yabancının hattından açık metinle geçirmek demektir. Hedefin HTTPS sunduğu her yerde adresi https ile yazın; sunmadığı yerde o sayfaya kimlik bilgisi girmeyin.

SOCKS protokolü için de mantık aynıdır: SOCKS proxy TLS katmanının altında çalışır ve tünelden geçen veriye bakmaz; hedef adresi ve hacmi görür. Protokol tercihi şifreleme kararını değiştirmez; şifreleme kararını hedefin HTTPS sunup sunmadığı ve sizin adresi nasıl yazdığınız belirler.

Yukarıdaki güvence tek bir koşula bağlıdır: proxy’nin tünelin içine girememesi. Bunu aşmanın bilinen tek yolu, proxy’nin hedef sunucu gibi davranıp kendi sertifikasını sunması ve istemcinin bu sertifikaya güvenmesidir. İstemci güvenmezse tarayıcı sertifika hatası verir ve bağlantı kurulmaz. İstemci güvenirse proxy trafiği çözer, okur, yeniden şifreler ve hedefe iletir; buna ortadaki adam (MITM) düzeni denir. Kurumsal ağlarda güvenlik ürünleri bunu açıkça ve bilgi vererek yapar; bir proxy satıcısının aynı şeyi yapması için sizin cihazınıza onun kök sertifikasını kurmanız gerekir.

Dolayısıyla sorulacak ilk soru şudur: kurulum adımlarında bir sertifika indirip güvenilir kök depoya eklemeniz isteniyor mu? Residential proxy hizmetinin çalışması için buna gerek yoktur; kullanıcı adı, şifre, adres ve port yeter. Sertifika kurdurmak isteyen bir hizmet, trafiğinizi okuyabilecek konuma geçmek istiyor demektir. Aynı şey “proxy aracı” diye dağıtılan kurulum dosyaları için de geçerlidir: sistem ayarını değiştiren bir program, kök sertifika da ekleyebilir.

Zaten kurulu bir düzende kontrol etmek kolaydır. Proxy açıkken sık kullandığınız bir siteye girin, adres çubuğundaki kilit simgesine tıklayıp sertifikayı düzenleyen kurumu okuyun. Sertifika, sitenin bilinen sertifika otoritesi yerine proxy satıcısının ya da tanımadığınız bir kurumun adını taşıyorsa trafiğiniz çözülüyor demektir. İkinci kontrol işletim sisteminin güvenilir kök sertifika deposudur: Windows’ta certmgr.msc, macOS’ta Anahtar Zinciri; son aylarda eklenmiş, tanımadığınız bir kök varsa kaldırın ve kimin eklediğini araştırın. Üçüncü kontrol, aynı sitenin sertifika parmak izini proxy açıkken ve kapalıyken karşılaştırmaktır; ikisi farklıysa aradaki biri sertifikayı değiştiriyordur.

Bu kontroller HTTPS’i korur; düz HTTP ve DNS trafiği başka bir konudur. Proxy üzerinden alan adının nerede çözümlendiği ve tarayıcının WebRTC gibi kanallardan gerçek adresi sızdırıp sızdırmadığı ayrı test gerektirir ve bu rehberin dışındadır; burada yalnız şunu bilin: kilit simgesi geçerli ve sertifika otoritesi beklediğiniz kurumsa, sayfa içeriği ve girdiğiniz şifre proxy tarafından okunamaz.

Hedef site sizi konut IP’siyle görür; sağlayıcı ise sizi hesabınızla tanır. Kayıt e-postası, ödeme kaydı ve panelde görünen kullanım geçmişi, proxy üzerinden yapılan her işi hesabınıza bağlar. Bu ücretli hizmetin doğasıdır; önemli olan sağlayıcının bu bağı ne kadar süre ve hangi ayrıntıda tuttuğunu bilmektir. Hizmet şartlarında ve gizlilik politikasında dört maddeyi arayın: hangi bağlantı verisinin (hedef alan adı, zaman, hacim, kaynak IP) tutulduğu, ne kadar süre saklandığı, hangi durumda üçüncü tarafla paylaşıldığı ve kötüye kullanım şikâyetinde hangi bilginin şikâyetçiye verildiği.

Bu maddelerin cevabı sağlayıcıdan sağlayıcıya değişir ve yazılı olmayan hiçbir şey vaat sayılmaz. ResidentialProxy ürün sayfaları paket, adet, GB ve ülke bilgisini verir; kayıt uygulaması konusunda bu rehber kendi adına bir iddia yazmaz, sipariş anındaki hizmet şartları esastır. Güvenilir sağlayıcı seçimi rehberi, bu belgeleri okurken nelere bakılacağını daha geniş bir listeyle anlatır.

Rotating residential ürünlerde üçüncü durak başka birinin hattıdır ve o hattın sahibi de sizi göremez: hat sahibi, modeminden geçen şifreli trafiğin hangi alan adına gittiğini teknik olarak görebilecek konumdadır, ama sizin hesabınızı, adınızı ya da ödeme bilginizi bilmez; bu bilgiler yalnız sağlayıcıda durur. Hat sahibinin bu düzene nasıl ve hangi rızayla dahil olduğu tedarik etiği sorusudur ve etik residential IP kaynağı rehberinde ayrı ele alınır. Hukuki tarafı, yani proxy üzerinden yapılan işin hangi kurallara tabi olduğu, yasal mı rehberinin konusudur.

Kullanıcı adı ve şifre, hesabınızın GB ya da port kotasını harcama yetkisidir. Bu bilgiyi kod deposuna, paylaşılan bir belgeye ya da ekran görüntüsüne yazmak, kotanızı başkasının kullanmasına ve kötüye kullanım şikâyetlerinin sizin hesabınıza gelmesine yol açar. Bilgiyi ortam değişkeninde ya da gizli anahtar deposunda tutun, paylaştığınız dosyaları göndermeden önce arayın, ekipten biri ayrıldığında şifreyi panelden yenileyin. Kimlik doğrulama yöntemlerinin karşılaştırması bu rehberin dışındadır; burada yalnız şu kural geçerlidir: şifreyi gören herkes kotayı harcayabilir.

Panelde IP izni gibi bir seçenek varsa, proxy’yi yalnız kendi sunucunuzun adresinden kullanılabilir hâle getirmek sızan şifrenin etkisini sınırlar; şifre çalınsa bile başka bir adresten çalışmaz. Bu seçenek paketinizde ve panelinizde varsa kullanın; yoksa şifre yenileme sıklığını artırın.

Teknik güvence ne olursa olsun, bazı oturumların proxy’den geçmesi için bir neden yoktur ve geçmemesi işinizi kolaylaştırır. Bankacılık ve ödeme sayfaları: içerik şifrelidir, ama bankalar alışılmadık konumdan gelen girişi sahtekârlık sinyali sayar ve hesabı kilitleyebilir; proxy’nin burada size kattığı hiçbir şey yoktur. Kurumsal yönetici panelleri ve bulut konsolları: çoğu, giriş IP’sini kaydeder ve bazıları IP izin listesiyle çalışır; proxy’den giriş hem kayıtları kirletir hem izin listesine takılır. Kişisel e-posta ve sosyal hesaplar: hesap güvenlik sistemleri konum değişimini şüpheli bulur, doğrulama döngüsüne girersiniz.

Proxy, hedefin sizi hangi adresten görmesi gerektiği konusunda bir iş gerekçesi olan oturumlar içindir; veri toplama, fiyat ve reklam doğrulama, yerel sonuç kontrolü, çok bölgeli test. Kişisel oturumlar kendi bağlantınızdan çıkar. İki trafiği ayırmanın en temiz yolu tarayıcı profili ya da ayrı bir uygulama kullanmaktır: proxy ayarı yalnız iş için kullanılan profilde ya da scraper’ın kendi ayarında tanımlı olur. Sistem genelinde proxy ayarı, fark etmeden bankaya proxy’den girmenin en kısa yoludur.

Kontrol listesi: hedef adresleri https ile yazıyor musunuz; kurulumda sertifika kurmanız istendi mi, güvenilir kök deposunda tanımadığınız kök var mı; kilit simgesindeki sertifika otoritesi beklediğiniz kurum mu; sağlayıcının gizlilik politikasında kayıt türü, saklama süresi ve paylaşım koşulu yazıyor mu; proxy şifresi kod deposunda ya da paylaşılan belgede geçiyor mu; IP izni seçeneği varsa açık mı; proxy ayarı sistem geneline mi, yalnız iş profiline mi uygulanmış; bankacılık, yönetici paneli ve kişisel hesaplar proxy’siz profilde mi. Sekiz sorunun hepsine doğru cevap verebiliyorsanız residential proxy kullanımınız, aynı işi kendi bağlantınızdan yapmaktan daha az güvenli değildir.

Rotating residential’da her istek başka birinin evinden mi çıkıyor, bu o kişiye risk mi? Rotating ürünlerde çıkış hattı gateway tarafından seçilir ve istek o hattın adresiyle hedefe ulaşır; hat sahibi şifreli içeriği göremez, sizin kimliğinizi de bilmez. Hat sahibine düşen risk, o adresten çıkan isteklerin hedef tarafından nasıl değerlendirildiğidir; bu yüzden hız sınırına ve hedefin kurallarına uymak yalnız sizin değil, çıkış hattının da yararınadır. Hattın havuza nasıl girdiği etik residential IP kaynağı rehberinde anlatılır.

Proxy açıkken girdiğim şifreyi sağlayıcı görebilir mi? HTTPS sayfada hayır: şifre tarayıcı ile hedef arasında kurulan TLS tünelinin içinde gider ve proxy yalnız bayt taşır. Düz HTTP sayfada evet, proxy isteğin tamamını okur; o sayfaya kendi bağlantınızdan girseniz de ISP aynı şeyi görürdü. İstisna, cihazınıza proxy satıcısının kök sertifikası kurulmuş olmasıdır; bu durumda HTTPS de çözülür.

VPN residential proxy’den daha mı güvenli? Farklı işler. VPN, cihazınız ile VPN sunucusu arasındaki bütün trafiği şifreler; proxy yalnız ayarladığınız uygulamanın isteklerini taşır. Hedef site HTTPS kullanıyorsa içerik iki düzende de hedefe kadar şifrelidir ve VPN sunucusu da proxy gibi alan adı, zaman ve hacmi görür. Açık Wi-Fi’da bütün cihazı korumak istiyorsanız VPN, bir hedefe belirli bir konut adresinden görünmek istiyorsanız residential proxy işe uyar.

Kilit simgesi varken proxy içeriği değiştirebilir mi? Sertifika beklediğiniz otorite tarafından düzenlenmişse hayır; TLS, içeriğin yolda değiştirilmesini de tespit eder ve bağlantı kesilir. Kilit simgesi var ama sertifika tanımadığınız bir kurumun adını taşıyorsa, trafik bir ara noktada çözülüp yeniden şifreleniyordur; bu durumda içerik okunabilir de değiştirilebilir de. Simgenin arkasındaki sertifikaya bakın.

Static residential ile rotating residential arasında güvenlik farkı var mı? Şifreleme açısından yoktur; iki üründe de HTTPS içeriği kapalı, alan adı açıktır. Fark üçüncü duraktadır: static üründe çıkış adresi size ayrılmıştır ve o adresin geçmişi sizin kullanımınızdır; rotating üründe adres paylaşımlı havuzdan gelir. Hedefin adres itibarına nasıl baktığı IP fraud skoru rehberinde anlatılır.