VPN Log Tutar mı? “No-Log” Ne Anlama Gelir?
Bağlantı logu ile aktivite logu farkı, bağımsız denetim raporlarının önemi.
"No-log" politikası, bir VPN sağlayıcısının kullanıcı etkinliğine dair kayıt tutmadığını söyleyen iddia. Neredeyse bütün sağlayıcılar bu ifadeyi kullanıyor; asıl soru neyi kayıt saymadıkları.
Her sunucu teknik olarak bir şeyler kaydediyor — kaç kişi bağlı, işlemci ne kadar dolu. Önemli olan hangi bilginin, ne kadar süre ve sizinle eşleştirilebilir biçimde tutulduğu.
Dört ayrı kayıt türü
| Tür | Neyi içerir | Kimliğinizle eşleşir mi |
|---|---|---|
| Aktivite kaydı | Ziyaret edilen siteler, DNS sorguları, indirilen dosyalar | Evet — en ağır tür |
| Bağlantı kaydı | Gerçek adresiniz, bağlanma ve ayrılma zamanı, size verilen VPN adresi, aktarılan veri miktarı | Evet — eşleştirmeye tek başına yeter |
| Toplu istatistik | Sunucu yükü, günlük toplam trafik, ülke bazında kullanıcı sayısı | Hayır — kişi ayrımı yok |
| Hesap bilgisi | E-posta, ödeme kaydı, abonelik tarihi | Kendisi zaten kimlik |
Çoğu gizlilik politikası yalnızca birinci satırı reddediyor ve bunu "no-log" diye sunuyor. Oysa ikinci satır en az onun kadar önemli.
Bağlantı kaydı neden tek başına yetiyor?
Senaryoyu adım adım izleyin:
- Bir site, belirli bir saatte belirli bir VPN adresinden gelen bir isteği kayıt altına alıyor.
- O adresin VPN sağlayıcısına ait olduğu herkese açık kayıtlardan anlaşılıyor.
- Sağlayıcıya "şu saatte şu adresi kim kullanıyordu?" sorusu soruluyor.
- Bağlantı kaydı varsa cevap tek satır: gerçek adresiniz ve hesabınız.
Burada hiçbir aktivite kaydı gerekmedi. Hangi siteye girdiğiniz zaten karşı tarafın elindeydi; eksik olan tek parça kim olduğunuzdu ve onu bağlantı kaydı verdi.
Bir adresin hangi kuruma ait olduğunu herkes görebiliyor — WHOIS sorgusu ya da IP kime ait yazısındaki yöntemlerle. Yani ikinci adım bir engel değil.
Paylaşılan adres neyi değiştiriyor?
Birçok sağlayıcı aynı çıkış adresini aynı anda yüzlerce kullanıcıya veriyor. Bu, eşleştirmeyi zorlaştırıyor: aynı saniyede aynı adresi kullanan kalabalığın içinden birini seçmek için bağlantı kaydının yanında port bilgisi de gerekiyor.
Adanmış ya da sabit VPN adresi satın alanlarda bu koruma yok. O adres yalnızca size ait ve hesabınıza bağlı; kayıt olsun olmasın, eşleşme doğrudan hesap bilgisinden kuruluyor.
Politika metninde aranacak ifadeler
Gizlilik politikasını okurken şu ifadeler iddianın sınırını gösteriyor:
| İfade | Ne anlama gelebilir |
|---|---|
| "Kişisel olarak tanımlayıcı olmayan bilgiler" | Gerçek adres bu kapsamda sayılmıyor olabilir — tanım politikada ayrıca yapılmış mı bakın |
| "Hizmet kalitesi için sınırlı süre" | Kayıt tutuluyor, yalnızca siliniyor; süre yazılı mı? |
| "Yasal yükümlülüklerimiz saklıdır" | Şirketin bağlı olduğu ülke kayıt isterse tutulacak |
| "Zaman damgası tutmuyoruz ama tarih tutuyoruz" | Günlük bağlantı bilgisi var — eşleşme için kaba ama kullanılabilir |
| "Aktarılan veri miktarı" | Kotalı ücretsiz sürümlerde neredeyse zorunlu; hesabınıza bağlı |
Bir ayrıntı daha: eşzamanlı cihaz sınırı olan sağlayıcılar, o an kaç cihazınızın bağlı olduğunu bilmek zorunda. Bu bilginin anlık tutulup bağlantı bitince silinmesi başka, diske yazılması başka. Politika bunu açıkça ayırıyorsa iyi bir işaret.
İddia nasıl doğrulanır?
Politika metni bir vaat. Doğrulamak için dışarıdan gelen kanıta bakmak gerekiyor. Güçten zayıfa sıralı:
- Gerçek dünyada sınanmış olması. Mahkeme belgeleri ve sunucuya el koyma olayları en güçlü kanıt. Geçmişte "kayıt tutmuyoruz" diyen bazı sağlayıcıların soruşturmalarda bağlantı kaydı teslim ettiği belgelere yansıdı; bazılarının sunucusuna el konuldu ve üzerinde kullanılabilir bir şey çıkmadı. İkisi de kamuya açık kayıtlarda duruyor.
- Bağımsız denetim. Tanınmış bir denetim firmasının raporu. Ama raporun ne denetlediğine bakın: yalnızca politika metnini mi, yoksa sunucuların fiili yapılandırmasını mı? Ve ne zaman: üç yıl önceki denetim bugünkü altyapıyı anlatmıyor.
- Disksiz sunucular. Sunucular yalnızca bellekte çalışıyorsa her yeniden başlatmada her şey siliniyor. Kayıt tutmayı niyet meselesi olmaktan çıkarıp teknik bir sınıra çeviriyor.
- Yetki alanı. Şirketin kayıtlı olduğu ülkenin veri saklama yasası. Bazı ülkeler hizmet sağlayıcılara belirli süre kayıt tutma zorunluluğu getiriyor; o durumda politika metni yasayı geçemiyor.
Denetimin sınırını da bilmek gerekiyor: bir anın fotoğrafı. Denetim bittikten sonra bir ayar değişirse rapor bunu göstermez. Bu yüzden düzenli tekrarlanan denetim, tek seferlikten çok daha değerli.
Kayıt olmasa da görünenler
En temiz no-log politikası bile yalnızca sağlayıcının tuttuğu kaydı kapsıyor. Başka taraflar kendi kayıtlarını tutmaya devam ediyor:
- İnternet operatörünüz bir VPN sunucusuna bağlandığınızı, ne zaman ve ne kadar veri aktardığınızı görüyor — içeriği görmüyor.
- Ödeme sağlayıcısı abonelik aldığınızı biliyor.
- Uygulamanın kendisi çökme raporu ve kullanım istatistiği gönderiyor olabilir; ayarlarda kapatılabiliyor mu bakın.
- Hesaplarınız — tünelin öbür ucunda oturum açtığınız her site sizi zaten tanıyor.
Kimin neyi görebildiğini tek tabloda ağ trafiği izlenebilir mi yazısında topladık.
Ücretsiz VPN'de durum
Sunucu, bant genişliği ve yazılım geliştirme para tutuyor. Ücretsiz bir hizmet bu parayı bir yerden çıkarıyor: reklam, sınırlı sürümden ücretliye geçiş ya da kullanıcı verisi. Üçüncüsü söz konusuysa kayıt tutmamak iş modeline aykırı.
Ücretli sağlayıcıların sınırlı ücretsiz sürümleri ayrı bir durum; orada kotayı izlemek için aktarılan veri miktarı hesabınıza bağlı tutuluyor. VPN yazımızda ücretsiz seçenekleri ayrıca tartıştık.
Kısa değerlendirme listesi
| Soru | İyi cevap |
|---|---|
| Bağlantı kaydı açıkça reddediliyor mu? | Evet, yalnızca aktivite değil |
| Bağımsız denetim var mı? | Var, altyapıyı kapsıyor ve yakın tarihli |
| Sunucular disksiz mi? | Evet |
| Sınanmış mı? | Kamuya açık bir olayda kayıt çıkmamış |
| Anonim ödeme mümkün mü? | Hesap bilgisi en aza iniyor |
Hiçbir sağlayıcı beş satırın hepsini kesin olarak kanıtlayamaz. Ama birinci satırda belirsiz kalan bir politika, geri kalanı ne kadar iyi görünürse görünsün eksik.
Sıkça sorulan sorular
No-log VPN ne demek?
Sağlayıcının kullanıcı etkinliğine dair kayıt tutmadığını söyleyen iddiadır. Önemli olan yalnızca ziyaret edilen sitelerin değil, bağlantı zamanı ve gerçek adres gibi bağlantı kayıtlarının da tutulmadığının açıkça yazılmasıdır.
Bağlantı logu ile aktivite logu farkı nedir?
Aktivite logu nereye gittiğinizi, bağlantı logu ne zaman ve hangi gerçek adresle bağlandığınızı tutar. Bağlantı logu tek başına bir VPN adresini sizin hesabınızla eşleştirmeye yeter.
Bağımsız denetim raporu neden önemli?
Politika metni bir vaattir, denetim dışarıdan bir kontroldür. Ama raporun yalnızca metni mi yoksa sunucuların fiili yapılandırmasını mı incelediğine ve ne zaman yapıldığına bakmak gerekir.
VPN kayıt tutmasa operatörüm ne görür?
Bir VPN sunucusuna bağlandığınızı, ne zaman ve ne kadar veri aktardığınızı görür. Tünelin içindeki içeriği ve ziyaret ettiğiniz siteleri göremez.
Ücretsiz VPN’ler kayıt tutar mı?
Birçoğunun geliri reklam ya da kullanıcı verisinden gelir; bu durumda kayıt tutmamak iş modeline aykırıdır. Ücretli sağlayıcıların kotalı ücretsiz sürümleri ise en azından veri miktarını hesabınıza bağlı tutar.