VPN güvenli mi? Kim neyi görebilir

• Yerel ağınız ve internet sağlayıcınız (ev interneti, ofis ya da kampüs Wi‑Fi'ı, kafedeki hotspot): Cihazınızın bir sunucuya bağlı olduğunu, ne zaman bağlandığını ve ne kadar veri aktığını görür. Girdiğiniz alan adlarını ve içeriği göremez.
• VPN işletmecisi: Kaynak IP adresinizi, girdiğiniz alan adlarını ya da adresleri, zamanlamayı ve veri miktarını görür. HTTPS sitelerin içindeki içerik (sayfalar, parolalar, sohbetler, ödeme bilgileri) ona görünmez.
• Girdiğiniz siteler: Ev IP'niz yerine çıkış IP'sini görür. Ama giriş yaptığınız anda site kim olduğunuzu bilir; tarayıcınızdaki çerezler de sizi tanımlamaya devam eder.
• Cihazdaki yazılımlar: Uygulamalarınızın, klavyenizin ve tarayıcı eklentilerinizin neyi görebildiği VPN'le ilgili değildir; VPN açık da olsa kapalı da olsa aynıdır.

Bugün neredeyse her site ve uygulama HTTPS kullanır: Cihazınızla site arasında, anahtarları yalnızca iki uçta duran ikinci bir şifreleme katmanı. VPN sunucusu bu şifreli veriyi yalnızca iletir, açamaz. Banka parolanız, bir e‑postanın gövdesi ve sohbet mesajlarınız, VPN işletmecisine de internet sağlayıcısına da aynı görünür: şifreli metin.

Görünür kalan, zarfın üzerindeki yazıdır: hangi alan adı, hangi saatte, ne kadar veri. VPN yokken bunu yerel ağınız ve sağlayıcınız görür; VPN varken işletmeci görür. VPN bu görüşü bir taraftan diğerine taşır. İşletmeci seçiminin en önemli konu olmasının sebebi bu.

İçerik iki durumda görünür hale gelir. Birincisi, hâlâ şifrelenmemiş HTTP kullanan sitelerdir; adres çubuğu bunları "Güvenli değil" diye işaretler. İkincisi, cihazınıza başkası tarafından kurulmuş bir kök sertifikadır; bu, o kişinin HTTPS'i çözmesine imkân verir. Asıl dikkat etmeniz gereken ikincisidir; aşağıdaki kontrol listesi nereye bakacağınızı gösteriyor.

İşin büyük kısmını şu üç soru belirler. Her birini nasıl doğrulayacağınızı ve şüpheli bir uygulama zaten kuruluysa ne yapacağınızı, kendi başınıza kontrol edebileceğiniz on işareti sıralayan Riskli bir VPN uygulaması nasıl anlaşılır yazısında bulabilirsiniz.

• Kim işletiyor: İşletmeci şirketi bulabiliyor musunuz, ne zamandır faaliyette, ulaşabileceğiniz bir destek var mı, gizlilik politikası tam olarak neyin saklandığını söylüyor mu? Nereye gittiğinizi artık işletmeci görüyor; bu yüzden güvenilirliği her şeyden önce gelir.
• Hangi uygulamayı kurdunuz: Uygulama mağazasından ya da geliştiricinin kendi sitesinden alınan standart bir istemci (Cisco, OpenVPN, Hiddify, Tailscale vb.) doğrulanabilir. Bir grup sohbetinde ya da dosya paylaşımında elden ele dolaşan bir kurulum dosyası veya yalnızca kendi uygulamasıyla çalışan bir hizmet doğrulanamaz.
• Hangi izinleri istedi: Bir VPN'in tek bir izne ihtiyacı vardır, o da tüneli kurmak. Rehber, SMS, fotoğraflar, konum ya da bir sertifikayı kurup güvenilir yapma isteği, bir VPN'in işine yarayacak her şeyin ötesindedir.

iPhone'daki bir VPN uygulaması sistemin korumalı alanı (sandbox) içinde çalışır. Aldığı tek yetki bir VPN tüneli kurmaktır; ilk bağlantıda çıkan "VPN Yapılandırmaları Eklemek İstiyor" uyarısı olağan adımdır. Siz ayrıca izin vermedikçe diğer uygulamaların verilerini, fotoğraflarınızı ya da mesajlarınızı okuyamaz.

iPhone'da dikkat edilecek üç şey var: Bir profil kurup sertifikaya güvenmenizi isteyen her şey; App Store dışından kurumsal imza ya da cihaz yönetimiyle kurulan uygulamalar; ve işvereninizin ya da okulunuzun verip yönettiği telefon. Sonuncusunda yönetici, herhangi bir VPN'in görebileceğinden fazlasını görebilir. Ayarlar → Genel → VPN ve Aygıt Yönetimi'ni açın ve oradaki her kaydı tanıdığınızdan emin olun.

İzlenmeye gelince: Operatörünüz şifreli bir bağlantı kullandığınızı ve bunun hangi sunucuya gittiğini görür; içindeki siteleri ya da içeriği göremez. VPN işletmecisi alan adlarını ve zamanlamayı görebilir. İkisi de HTTPS içeriğini göremez.

LeoTun iPhone'da App Store'daki resmi istemcileri kullanır (Cisco yöntemi için Cisco'nun kendi uygulaması, Hiddify yöntemi için Hiddify) ve sizden asla sertifika kurmanızı istemez. Mağazada bunları göremiyorsanız: iOS'ta uygulama yüklenemiyorsa ne yapmalı.

İki tür "ücretsiz" vardır. Ücretsiz yazılım (OpenVPN, Hiddify, Tailscale gibi açık kaynaklı istemciler) para istemez ve doğrulanabilir. Ücretsiz hizmet ise farklıdır: Sunucular ve bant genişliği para tutar; sizden ücret almayan bir hizmet bu maliyeti başka yerden çıkarır. Genellikle reklamla, kullanım verilerini toplayıp satarak ya da cihazınızı başkaları için çıkış noktası olarak kullanarak.

Bu yüzden ücretsiz bir VPN'i, onu neyin ayakta tuttuğuna bakarak değerlendirin, sonra yukarıdaki üç soruyu uygulayın. Giriş, ödeme ya da iş söz konusu olan her şey için işletmecisini tanımlayabildiğiniz bir hizmet kullanın. Daha ayrıntılı karşılaştırma: Çin için ücretsiz mi, ücretli VPN mi?

1. Kaynak: Uygulama bir uygulama mağazasından mı, geliştiricinin sitesinden mi geldi? Kurulum dosyası bir grup sohbetinden, dosya paylaşımından ya da bir QR koddan geldiyse aynı istemciyi resmi kanaldan yeniden kurun.
2. İzinler: Sistem ayarlarını açın, uygulamaya hangi izinlerin verildiğine bakın ve VPN'in kendisi dışındaki her şeyi kapatın. Uygulama çalışmaya devam etmelidir.
3. Sertifikalar ve profiller: iOS'ta Ayarlar → Genel → VPN ve Aygıt Yönetimi; Android'de Ayarlar → Güvenlik → Şifreleme ve kimlik bilgileri → Güvenilen kimlik bilgileri → Kullanıcı. Tanımadığınız her kaydı silin ve onu ekleyen yazılımı kaldırın.
4. Çıkış: Bağlandıktan sonra IP adresinizi gösteren bir sayfa açın ve seçtiğiniz bölgede olduğunu doğrulayın. Ardından DNS sızıntısı ve DNS zehirlenmesi yazısında anlatıldığı gibi bir DNS testi yapın.
5. HTTPS: Bankanızın ya da e‑postanızın sitesini açıp kilit simgesine tıklayın. Sertifikayı veren, sıradan bir sertifika otoritesi olmalı. Tarayıcı sertifika hakkında uyarı veriyorsa orada durun.
6. Arka plan kullanımı: Uygulama boştayken yoğun şekilde veri yüklüyor ve pil belirgin şekilde hızlı bitiyorsa kullanmayı bırakın ve başka birini seçin.

VPN yolu korur: Aynı Wi‑Fi'daki kişiler, yerel ağ ve sağlayıcınız nereye gittiğinizi göremez. Cihazın ve hesaplarınızın içindeki güvenlik ise sistem güncellemelerinden, düzgün kaynaktan gelen yazılımlardan ve dikkatli alışkanlıklardan gelir. Aşağıdakiler VPN olsa da olmasa da sizin elinizdedir.

• Oltalama (phishing): Sahte giriş sayfaları, sahte destek temsilcileri, sahte ödül bağlantıları. Parolayı kendiniz yazarsanız şifreli tünel onu sadakatle yerine ulaştırır. Yazmadan önce alan adını okuyun.
• Zararlı yazılım: Cihazdaki bir truva atı, arka kapılı korsan yazılım ya da kaynağı belirsiz bir tarayıcı eklentisi, verileriniz VPN'e girmeden önce onlara ulaşır.
• Oturum açılmış hesaplar: WeChat'e, Google'a ya da Taobao'ya giriş yaptığınızda platform, çıkış IP'si ne olursa olsun sizin olduğunuzu bilir. VPN adresinizi değiştirir, kimliğinizi değil.
• Zayıf ve tekrar kullanılan parolalar: Bir site sızdırılır, diğerleri aynı anahtarla açılır. Önemli hesaplara ayrı parolalar verin ve iki adımlı doğrulamayı açın.
• Kendi verdiğiniz bilgiler: Yayımladığınız gönderiler, doldurduğunuz formlar ve uygulamalara verdiğiniz konum ile rehber erişimi.

• İstemciler Cisco, OpenVPN, Hiddify ve Tailscale'in resmi ve açık kaynaklı sürümleridir, değiştirilmeden yansılanır. Buradan indirdiğiniz kopyayı istediğiniz zaman resmi kanaldaki sürümle değiştirebilirsiniz.
• Tüm protokoller standarttır; trafiği kendiniz yakalayıp inceleyebilirsiniz.
• Kayıt için yalnızca e‑posta adresi gerekir: telefon numarası yok, kimlik doğrulama yok.
• Yalnızca faturalandırmanın gerektirdiği bilgileri saklarız. Girdiğiniz siteleri kaydetmeyiz, trafiği incelemeyiz, reklam eklemeyiz, veri satmayız.
• Kurulacak sertifika yok; rehber ya da konum izni istenmez.