Registry Lock Nedir? Domaininizi Yetkisiz İşlemlere Karşı Koruma

Registry Lock, domaininizi registry seviyesinde kilitleyen ek bir güvenlik hizmetidir. Registry, domain uzantısının merkezî kayıt operatörüdür; örneğin .com ve .net uzantılarının kayıt veritabanını Verisign işletir. Registry Lock etkinken domainin başka bir kayıt kuruluşuna transferi, silinmesi ve nameserver ya da iletişim bilgileri gibi verilerinin güncellenmesi registry tarafından reddedilir. Bu işlemler ancak kilit, kayıt kuruluşu ile registry arasında yürütülen ayrı bir doğrulama süreciyle kaldırıldıktan sonra yapılabilir. Hizmet; e-ticaret, finans ve yüksek trafikli siteler gibi domain kesintisinin doğrudan gelir ve itibar kaybına dönüştüğü kurumlar için anlamlıdır.

Registry Lock’ın hedeflediği temel risk, domainin ele geçirilmesidir (domain hijacking). Domain kayıt kuruluşundaki (registrar) yönetim hesabına erişen biri, nameserver bilgilerini değiştirerek web sitesi ve e-posta trafiğini kendi sunucularına yönlendirebilir ya da domaini başka bir kayıt kuruluşuna taşımayı deneyebilir. Registry Lock, bu değişiklikleri hesap şifresinden bağımsız bir onay adımına bağlar.

Registry Lock nasıl çalışır?

Registry Lock, registry tarafından domaine eklenen ve kayıt kuruluşunun kendi başına kaldıramadığı durum kodlarıyla çalışır. Kayıt kuruluşları registry ile EPP (Extensible Provisioning Protocol) adlı standart protokol üzerinden iletişim kurar. EPP’de domain durum kodları iki gruba ayrılır:

• “client” ile başlayan kodlar kayıt kuruluşu tarafından eklenir ve kaldırılır. Yönetim panelindeki transfer kilidi genellikle clientTransferProhibited kodudur.
• “server” ile başlayan kodlar registry tarafından eklenir ve kaldırılır. EPP standardına göre kayıt kuruluşu bu kodları değiştiremez.

Talep onaylandığında registry, domaine server kodlarını ekler; kayıt kuruluşundan gelen transfer, silme veya güncelleme komutları artık reddedilir. Kilidi kaldırmak için kayıt kuruluşunun yetkili personeli, registry ile önceden belirlenmiş bir kanaldan ek doğrulama yapar. Verisign bu adımı, EPP bağlantısının dışında yürütülen ayrı bir kimlik doğrulama olarak tanımlar.

Bazı registry’ler kilidi, domainin altında tanımlı nameserver kayıtlarına da (host nesneleri; örneğin ns1.ornek.com) uygulayabilir. Verisign’da domain ve her host ayrı bir kilit olarak ele alınır. Nameserver’larını kendi domaini altında çalıştıran kurumlar bunu ayrıca sormalıdır.

Registry Lock hangi işlemleri engeller?

Registry Lock genellikle üç EPP durum kodunun birlikte uygulanmasıyla oluşur:

Bu kodların kapsamı ve istisnaları registry prosedürüne bağlıdır. Verisign, kendi uzantılarında Registry Lock’ın etkin sayılması için üç server kodunun birlikte bulunması gerektiğini belirtir. Ancak aynı kodlar hukuki uyuşmazlık veya silme süreci gibi başka nedenlerle de eklenebilir. Bu yüzden WHOIS veya RDAP sorgusunda bu kodları görmek, hizmetin etkin olduğunu tek başına kanıtlamaz; durumu sağlayıcınızdan teyit edin.

Yenileme bu üç kodun kapsamında değildir; yenilemeyi engelleyen ayrı bir kod (serverRenewProhibited) vardır ve Registry Lock’ın standart parçası değildir. Bu yüzden kilitli bir domain çoğu durumda normal şekilde yenilenebilir, ancak uzantınızdaki uygulamayı sağlayıcınıza sormakta yarar var.

Nameserver kilidi, DNS kayıtlarının kilitlendiği anlamına gelmez

Registry, domaininizin hangi nameserver’lara yönlendirildiğini, yani delegasyon bilgisini tutar. Web sitenizin IP adresi veya e-posta sunucunuz ise DNS hizmeti aldığınız sağlayıcıdaki DNS bölgesinde (zone) tanımlıdır.

Örnek: ornekmagaza.com domaini ns1.dnssaglayici.net ve ns2.dnssaglayici.net adreslerine yönlendirilmiş olsun. Registry Lock, bu iki nameserver’ın başka adreslerle değiştirilmesini engeller. Ancak DNS sağlayıcısındaki hesaba erişen biri, aynı nameserver’lar üzerinde A kaydını farklı bir IP adresine, MX kaydını başka bir posta sunucusuna yönlendirebilir veya TXT kayıtlarını değiştirebilir. Bu değişiklikler Registry Lock’ın kapsamı dışındadır.

Registry Lock, transfer kilidi, DNSSEC ve 2FA karşılaştırması

Bu dört önlem farklı katmanları korur; biri diğerinin yerine geçmez. DNSSEC, DNS yanıtlarını dijital imzayla doğrulayan güvenlik uzantısıdır; iki faktörlü doğrulama (2FA) ise hesaba girişte parolaya ek ikinci bir doğrulama ister.

Örnek senaryo: Domain yönetim hesabı ele geçirilirse ne değişir?

Bu senaryo, farkı göstermek amacıyla kurgulanmıştır. Bir e-ticaret şirketinde domain yönetim hesabının parolası, oltalama (phishing) e-postasıyla ele geçiriliyor. Hesapta iki faktörlü doğrulama açık değil.

Registry Lock yoksa

Saldırgan panelden nameserver’ları kendi sunucularına yönlendirir. Değişiklik registry’ye ulaştıktan sonra web sitesi trafiği ve gelen e-postalar giderek saldırganın sunucularına akmaya başlar. DNS’i kontrol ettiği için domain için SSL sertifikası almayı veya şifre sıfırlama e-postalarını okumayı deneyebilir. Ardından transfer kilidini panelden kaldırıp domaini başka bir kayıt kuruluşuna taşımaya çalışabilir. DNS önbellekleri yüzünden eski ayarlara dönülse bile etki hemen geçmez.

Registry Lock varsa

Saldırgan aynı panelden nameserver değişikliği veya transfer başlatmaya çalışır, ancak registry bu komutları reddeder. Kilidin kaldırılması için önceden tanımlanmış yetkili kişilerin ve kayıt kuruluşu ile registry arasındaki ayrı doğrulama adımının aşılması gerekir. Bu sırada şirket hesabı kurtarmak ve parolaları yenilemek için zaman kazanır.

Registry Lock kimler için anlamlıdır?

Registry Lock, domainin birkaç saat bile yanlış yere yönlenmesinin ciddi sonuç doğuracağı ve teknik ayarların seyrek değiştiği durumlar için uygundur. Karar verirken şu sorular yol gösterir:

• Domain bir gün boyunca yanlış sunucuya yönlenirse satış, müşteri güveni veya yasal yükümlülükler açısından kayıp ne olur?
• Kurumsal e-posta, tek oturum açma (SSO) veya ödeme altyapısı bu domaine bağlı mı?
• Nameserver ve iletişim bilgileri yılda kaç kez değişiyor?
• Domain yönetim hesabına kaç kişi erişebiliyor?

Bu açıdan hizmet en çok e-ticaret ve ödeme sistemleri işleten şirketler, bankacılık ve finans kuruluşları, kamu ve sağlık hizmetleri, SaaS sağlayıcıları ve yoğun marka trafiği olan şirketler için değer üretir. Nameserver ayarları sık değişen test veya kampanya domainlerinde ise kilit kaldırma süreci gereksiz iş yükü yaratabilir.

Registry Lock destekleyen uzantılar

Registry Lock her uzantıda bulunmaz: hizmeti uzantının registry’si sunar, erişimi ise kayıt kuruluşu sağlar. Aşağıdaki tablo, Registry Lock’ın sunulduğu başlıca uzantıları gösterir; domaininiz için güncel durumu Atak Domain destek ekibinden öğrenebilirsiniz.

Registry Lock destekleyen uzantılar (kontrol tarihi: 8 Ekim 2026)

Tabloyu okurken şu noktalara dikkat edin:

• Liste eksiksiz değildir; .org, .tr veya .tv gibi listede olmayan uzantılar için “desteklenmiyor” sonucu çıkarılamaz.
• Tabloda .au ailesinden yalnızca .au, .com.au, .net.au ve .org.au yer alır; diğer .au alt uzantıları listeye eklenmemiştir.
• Bir uzantının listede olması, her kayıt kuruluşunun o uzantıda hizmeti sunduğu anlamına gelmez. Domaininiz için güncel durumu sağlayıcınızdan teyit edin.
• Verisign’ın kendi dokümanı da hizmeti .com, .net, .cc ve .name uzantıları için sunduğunu belirtir.

Kilitli domainde değişiklik nasıl yapılır?

Kilit geçici olarak kaldırılır, değişiklik yapılır ve kilit yeniden uygulanır. Ayrıntılar registry’ye ve sağlayıcıya göre değişse de süreç genellikle şöyle işler:

1. Talep: Domain adına önceden yetkilendirilmiş kişi, değişikliği sağlayıcının belirlediği kanaldan bildirir.
2. Doğrulama: Sağlayıcı, talebin gerçekten yetkili kişiden geldiğini teyit eder. Bu adım; kayıtlı numaradan geri arama, imzalı form veya önceden belirlenmiş bir parola gibi yöntemlerle yapılabilir.
3. Registry onayı: Kayıt kuruluşu talebi registry’ye iletir; registry kendi prosedürüne göre doğrulama yaparak kilidi kaldırır.
4. Değişiklik: Nameserver, iletişim bilgisi veya transfer işlemi gerçekleştirilir.
5. Yeniden kilitleme ve kontrol: Kilit yeniden uygulanır; bazı registry’lerde bu, belirli bir süre sonunda kendiliğinden olur. Kilidin yeniden etkinleştiği sağlayıcıdan teyit edilir.

Ek güvenlik, işlem süresinin uzunluğundan değil, standart panel işlemlerinden ayrı yürütülen yetki doğrulamasından gelir. Bu doğrulama çoğunlukla insan onayı gerektirdiği için süre; registry tarafındaki çalışma düzenine, doğrulama yöntemine ve sağlayıcının prosedürüne göre değişir. Kilit kaldırmada kullanılan parola veya kod kaybolursa registry’ye özgü prosedür işletilir ve süreç uzayabilir.

Registry Lock’ın sınırları ve operasyonel planlama

Registry Lock’ın koruması registry’deki kayıt verileriyle sınırlıdır. Aşağıdaki riskleri tek başına önlemez:

• Hosting sunucusuna veya web uygulamasına yönelik saldırılar.
• DNS sağlayıcısı hesabının ele geçirilmesi.
• DNS bölgesindeki kayıt değişiklikleri.
• DDoS saldırıları.
• E-posta hesaplarının ele geçirilmesi.
• Domainin süresinin takip edilmemesinden doğan riskler. Kilidin varlığı, yenilenmeyen bir domainin kesintisiz kullanılmaya devam edeceğini garanti etmez.

Değişiklikleri önceden planlayın

Hosting veya DNS sağlayıcısı değişikliği, veri merkezi taşıması ya da nameserver güncellemesi gerektiren projelerde kilit kaldırma süresini proje takvimine ekleyin. Değişikliği iş yoğunluğunun düşük olduğu bir zamana denk getirmek, olası bir gecikmenin etkisini azaltır.

Yetkili kişileri ve doğrulama kanallarını güncel tutun

Kilidin kaldırılmasını isteyebilecek kişilerin listesi ve iletişim bilgileri güncel olmalı; bir yetkili ayrıldığında liste hemen değiştirilmelidir. İletişim e-postalarının tamamı korunan domain üzerinde çalışıyorsa, domainde sorun çıktığında bildirimler size ulaşmayabilir. En az bir yetkili için farklı bir domaindeki e-posta adresini tanımlamak bu riski azaltır.

Tamamlayıcı önlemlerle birlikte kullanın

Domain ve DNS sağlayıcısı hesaplarında 2FA’yı açın, panel erişimini yalnızca ihtiyaç duyan kişilerle sınırlayın, otomatik yenilemeyi ve ödeme yönteminin geçerliliğini düzenli olarak kontrol edin.

Domaininiz Registry Lock için uygun mu?

Domaininizi Atak Domain destek ekibiyle paylaşın; kullanılabilirlik, güncel ücret ve işlem koşulları hakkında bilgi alın.

Sık sorulan sorular

Registry Lock ile normal transfer kilidi arasındaki fark nedir?

Transfer kilidi panelden açılıp kapatılabilir; hesabınıza erişen biri de bunu yapabilir. Registry Lock ise registry seviyesindedir, ek doğrulama olmadan kaldırılamaz ve transferin yanında silme ile güncellemeyi de kapsar.

Registry Lock etkinken nameserver değiştirilebilir mi?

Kilit etkinken hayır; serverUpdateProhibited kodu bunu engeller. Değişiklik için kilit geçici olarak kaldırılır.

DNS kayıtları da kilitlenir mi?

Hayır. A, MX, TXT ve CNAME gibi kayıtlar DNS sağlayıcınızda tutulur; Registry Lock yalnızca registry’deki verileri kapsar.

Registry Lock uygulanmış domain yenilenebilir mi?

Registry Lock’ın standart kodları yenilemeyi engellemez; yenilemeyi engelleyen ayrı bir EPP kodu vardır. Bu nedenle çoğu durumda yenileme yapılabilir. Uzantıya ve sağlayıcıya özgü kuralları önceden doğrulayın.

Registry Lock her uzantıda kullanılabilir mi?

Hayır. Hizmetin hem registry tarafından sunulması hem de kayıt kuruluşunuzca erişilebilir olması gerekir; uzantınız için durumu sağlayıcınıza sorun.

Registry Lock ücretli midir?

Registry’ler bu hizmeti genellikle ayrı bir ücretle sunar; nihai fiyatı ve faturalama dönemini registry ile kayıt kuruluşunun koşulları belirler. Domaininiz için güncel ücreti Atak Domain destek ekibinden öğrenebilirsiniz.

Kilit kaldırma ne kadar sürer?

Sabit bir süre yoktur; süre registry’ye ve sağlayıcıya göre değişir. Ek doğrulama ve registry onayı gerektiği için dakikalar içinde tamamlanacağını varsaymayın; planlı değişikliklerde süreci önceden başlatın.

DNSSEC ve 2FA kullanıyorsam Registry Lock’a ihtiyacım var mı?

Bu önlemler farklı riskleri karşılar. Domain kesintisi işletmeniz için büyük kayıp anlamına geliyorsa Registry Lock, hesap ele geçirilse bile kritik değişiklikleri durduran üçüncü bir katman olarak anlamlıdır.

Kaynaklar

• ICANN – EPP Status Codes: What Do They Mean, and Why Should I Know?
• IETF RFC 5731 – EPP Domain Name Mapping (Bölüm 2.3: Durum değerleri)
• Verisign – Registry Lock Service
• Switch (.ch/.li registry) – Security: Registry Lock