EPARAF ile imzalanan bir belge nasıl doğrulanır?
Bu sayfa, EPARAF üzerinden imzalanmış bir sözleşmeyi incelemesi gereken avukat, bilirkişi ve hâkimler için hazırlandı. Delil paketinde ne olduğunu, her kontrolün EPARAF'a güvenmeden nasıl yapılacağını ve bu kontrollerin neyi kanıtlayıp neyi kanıtlamadığını açıkça anlatıyoruz.
EPARAF imzası nedir, ne değildir?
EPARAF'ta her taraf kendi hesabından, imzasını ekrana çizip hesabına kayıtlı telefon numarasına gönderilen tek kullanımlık SMS kodunu girerek imzalar. Bu, 5070 sayılı Elektronik İmza Kanunu anlamında bir elektronik imzadır; nitelikli elektronik sertifikaya dayanan güvenli (nitelikli) elektronik imza veya mobil imza değildir. Bu nedenle elle atılan imzayla aynı hukuki sonucu doğurduğu iddia edilmez (TBK md. 15) ve kayıtlar hâkim tarafından diğer delillerle birlikte serbestçe değerlendirilir.
Kanunun özel bir şekil şartı koymadığı kira, hizmet, gizlilik ve araç kiralama gibi sözleşmeler bu yolla geçerli olarak kurulabilir (TBK md. 12). Resmî şekil (ör. tapuda satış), noter onayı ya da nitelikli e-imza gerektiren işlemler (ör. kefalet, kambiyo senetleri) için EPARAF uygun değildir. Ayrıntılar “Elektronik imza ile sözleşme” rehberimizdedir.
Delil paketinde neler var?
Sözleşme yürürlüğe girdikten sonra tarafların her biri, sözleşme detayındaki “Delil Paketi” düğmesiyle tek bir ZIP dosyası indirebilir. Paket istek anında üretilir; her indirme, indirenin IP adresiyle birlikte olay kaydına yazılır.
- 00_DOGRULAMA-RAPORU.pdf
- Bütün kayıtların Türkçe özeti: taraflar, imza zamanları, IP ve cihaz bilgisi, SMS doğrulaması ve kodun gönderildiği numara, zaman damgalarının doğrulama sonucu, olay geçmişi, sınırlar ve bu sayfadaki komutların pakete özel hâli.
- 01_sozlesme.pdf
- Son imzadan sonra dondurulan, filigransız imzalı belge. Paket hazırlanırken dosyanın SHA-256 özeti kayıtla yeniden karşılaştırılır; eşleşmezse paket hiç üretilmez.
- 02_kapanis-kaydi.pdf
- Yalnızca sona ermiş araç kiralama sözleşmelerinde: dondurulmuş sona erme kaydı.
- zaman-damgalari/*.tsr
- DigiCert'ten alınan RFC 3161 zaman damgası yanıtları: imzalı belgenin, her imzanın ve diğer olayların özetlerine basılmış damgalar.
- zaman-damgalari/tsa-sertifika-zinciri.pem
- Damgaları çevrimdışı doğrulamak için DigiCert'in zaman damgası ara sertifikası ve kök sertifikası (DigiCert Trusted Root G4).
- imza-kayitlari.json
- Raporun ham verisi (UTC): imza kayıtları, imza özetleri ve imza zinciri bağları, zaman damgası sonuçları, olaylar ve ödemeler. Kart bilgisi içermez.
- SHA256SUMS.txt
- Paketteki her dosyanın SHA-256 özeti; `sha256sum -c` ile doğrudan kontrol edilir.
Teknik bilgi gerektirmeyen doğrulama
Elinizde yalnızca sözleşmenin PDF'i varsa en kolay yol EPARAF'ın belge doğrulama aracıdır:
- 1eparaf.com/check adresini açın ve “Belge doğrula” bölümüne sözleşmenin PDF dosyasını sürükleyin.
- 2Dosyanın SHA-256 özeti tarayıcınızda hesaplanır; dosyanın kendisi sunucuya gönderilmez.
- 3Özet kayıtlı imzalı belgeyle eşleşirse sözleşme kodu, taraflar, imza ve zaman damgası bilgileri gösterilir. Tek bir bayt bile değişmiş bir dosya eşleşmez.
- 4Sonuç sayfasından zaman damgası dosyasını (.tsr) indirerek aşağıdaki bağımsız kontrolü de yapabilirsiniz.
Bu yol EPARAF sunucusunu kullanır. EPARAF'a hiç güvenmeden yapılacak kontrol için aşağıdaki adımları izleyin.
Bilirkişi için bağımsız doğrulama (çevrimdışı)
Aşağıdaki komutlar ZIP'in açıldığı klasörde, olduğu gibi çalışır. İnternet bağlantısı ve EPARAF sunucusu gerekmez. OpenSSL ve sha256sum Linux ve macOS'ta hazır gelir; Windows'ta Git for Windows ile birlikte kurulur. Doğrulama raporunun “Bağımsız Doğrulama” bölümü, aynı komutları o pakete ait dosya adları ve özetlerle yazar.
1. Paket bütünlüğü
Her satırda “OK” görülmelidir. Bu, paketteki dosyaların paket oluşturulduktan sonra değişmediğini gösterir. SHA256SUMS.txt'yi EPARAF ürettiği için bu adım tek başına bağımsız kanıt değildir; bağımsız kanıt 3. adımdaki zaman damgasıdır.
sha256sum -c SHA256SUMS.txt2. Belgenin özeti
Çıkan değer, doğrulama raporunun “İmzalı Belge” bölümündeki SHA-256 değeriyle aynı olmalıdır. Windows'ta aynı değer certutil ile de hesaplanabilir.
sha256sum 01_sozlesme.pdf
certutil -hashfile 01_sozlesme.pdf SHA2563. Zaman damgası
Çıktı “Verification: OK” olmalıdır. OpenSSL bu komutta belgenin özetinin damgadakiyle aynı olduğunu, damganın DigiCert tarafından imzalandığını ve imzalayan sertifikanın zaman damgası yetkisiyle DigiCert köküne zincirlendiğini birlikte denetler. Ara sertifikalar damga dosyasının içinde de bulunduğu için ek bir “-untrusted” parametresi gerekmez. Damganın içeriğini (zaman, seri no, özet) görmek için ikinci komut kullanılabilir.
openssl ts -verify -data 01_sozlesme.pdf -in zaman-damgalari/belge.tsr -CAfile zaman-damgalari/tsa-sertifika-zinciri.pem
openssl ts -reply -in zaman-damgalari/belge.tsr -text4. Kök sertifikayı bağımsız teyit edin
Paketteki zincir dosyasına güvenmek istemeyen kişi kök sertifikayı doğrudan DigiCert'ten indirip kullanabilir. DigiCert Trusted Root G4'ün SHA-256 parmak izi 55:2F:7B:DC:F1:A7:AF:9E:6C:E6:72:01:7F:4F:12:AB:F7:72:40:C7:8E:76:1A:C2:03:D1:D9:D2:0A:C8:99:88'dir ve DigiCert'in kök sertifikalar sayfasında (knowledge.digicert.com) yayımlanan değerle karşılaştırılabilir.
curl -O https://cacerts.digicert.com/DigiCertTrustedRootG4.crt
openssl x509 -inform DER -in DigiCertTrustedRootG4.crt -noout -fingerprint -sha256
openssl x509 -inform DER -in DigiCertTrustedRootG4.crt -out digicert-root.pem
openssl ts -verify -data 01_sozlesme.pdf -in zaman-damgalari/belge.tsr -CAfile digicert-root.pem5. İmzaların zaman damgaları
İmzalara ait damgalar bir dosyaya değil, imza kaydının bütünlük belirtecine (imza-kayitlari.json içindeki integrity_token, bir SHA-256 değeri) basılır. Bu damgalar “-digest” ile o değere karşı doğrulanır; her damga için tam komut, değeriyle birlikte doğrulama raporunda yazılıdır. Örnek:
openssl ts -verify -digest <integrity_token> -in zaman-damgalari/imza-kiraci.tsr -CAfile zaman-damgalari/tsa-sertifika-zinciri.pem6. Yıllar sonra doğrulama
OpenSSL sertifikaları varsayılan olarak bugünün tarihine göre denetler. DigiCert'in zaman damgası sertifikalarının süresi dolduktan sonra (bugünkü zincirde 2037–2038) komuta, sertifikaları damga anına göre denetlemesi için “-attime” ile damga anı (Unix zamanı) eklenir. Rapor bu komutu da hazır olarak yazar. Sertifikanın süresinin sonradan dolması, damganın basıldığı anda geçerli bir sertifikayla imzalandığı gerçeğini değiştirmez.
openssl ts -verify -data 01_sozlesme.pdf -in zaman-damgalari/belge.tsr -CAfile zaman-damgalari/tsa-sertifika-zinciri.pem -attime <damga-anı>Eski sözleşmeler
Zaman damgası sağlayıcısı olarak DigiCert'e geçilmeden önce imzalanmış bazı sözleşmelerde farklı bir sağlayıcının damgası bulunabilir. Rapor her damga için özetin, imzanın ve sertifika zincirinin doğrulanıp doğrulanamadığını ayrı ayrı ve nedeniyle birlikte yazar; doğrulanamayan bir damga gizlenmez.
Hangi kontrol neyi kanıtlar?
- Belge, damga anından beri değişmedi
- Zaman damgası, belgenin SHA-256 özetine basılır. Belgede tek bir karakter değişse özet değişir ve “openssl ts -verify” başarısız olur. Bu, dosyanın damga zamanında var olduğunu ve o andan beri aynı kaldığını gösterir.
- Zamanı bağımsız bir üçüncü taraf belirledi
- Damgayı EPARAF değil, uluslararası sertifika hizmet sağlayıcısı DigiCert imzalar. EPARAF damganın zamanını ya da basıldığı özeti sonradan değiştiremez; değiştirilmiş bir damga imza doğrulamasından geçmez.
- İmzaların sırası ve bütünlüğü
- Her imza kaydı, kendisinden önceki imza kaydının SHA-256 özetini taşır. Rapor bu bağları yeniden hesaplayarak gösterir; kayıtlar arasına sonradan imza eklenmesi ya da sıranın değiştirilmesi bağları bozar. Değerler imza-kayitlari.json dosyasında olduğu için hesap bağımsız olarak tekrarlanabilir.
- İmza anına ait kayıtlar
- Her imza için zaman, IP adresi, cihaz/tarayıcı bilgisi, SMS doğrulamasının yapıldığı an ve kodun gönderildiği telefon numarası (bu kaydın başladığı tarihten sonraki imzalarda) raporda yer alır.
Bu kontroller neyi tek başına kanıtlamaz?
- İmzalayan kişinin kimliğini tek başına kanıtlamaz. Kimliğe ilişkin delil; kodun, hesaba kayıtlı numaraya gönderilmiş olması ve imza kayıtlarıdır. Numaranın kime ait olduğu ve SMS'in teslimi operatör kayıtlarıyla ayrıca doğrulanabilir.
- IP adresi ve cihaz bilgisi bağlantıdan alınır; kişiyi tek başına tanımlamaz.
- SMS doğrulamalı imza, nitelikli elektronik imza değildir; elle atılan imzanın hukuki sonucunu doğurmaz ve senet niteliği taşımaz (HMK md. 205). Değerlendirme mahkemeye aittir.
- Zaman damgası belgenin içeriğinin doğru ya da hukuka uygun olduğunu değil, yalnızca o anda var olduğunu ve değişmediğini gösterir.
Nitelikli e-imza gereken işlemler
Kanunun yazılı şekli geçerlilik şartı saydığı ve ıslak imza ya da nitelikli e-imza aradığı işlemler (ör. kefalet, rekabet yasağı, fikri hak devri) ile resmî şekil veya noter gerektiren işlemler için EPARAF uygun değildir. Bu işlemlerde noter, tapu ya da nitelikli e-imza kullanılmalıdır.
Kayıt talebi ve kişisel veriler
Delil paketini yalnızca sözleşmenin tarafları indirebilir. Taraflar dışındaki kişiler (ör. mahkeme, bilirkişi) paketi taraflardan temin edebilir. Mahkeme veya resmî makam yazıları ile 6698 sayılı KVKK kapsamındaki başvurular için destek@eparaf.com adresine ya da eparaf.com/destek sayfasından yazabilirsiniz; kayıtlar yalnızca yasal dayanağı bulunan taleplerde ve mevzuatın izin verdiği ölçüde paylaşılır.
Kayıtlar nasıl saklanır?
Dondurulmuş imzalı belgeler her gece, AWS S3 Object Lock ile korunan ve yazılan dosyanın 10 yıl boyunca silinemediği ya da değiştirilemediği ayrı bir yedek alanına da kopyalanır. Veritabanı (imza kayıtları ve zaman damgası dosyaları dahil) ayrıca sunucu dışına yedeklenir.
En sağlam yol, delil paketini indirip kendi arşivinizde saklamanızdır: paketteki belge ve DigiCert damgası, EPARAF'ın sunucularına ihtiyaç duymadan doğrulanabilir.
Sık sorulan sorular
Belge sonradan değiştirilebilir mi?
İmzalı belge son imzadan sonra dondurulur ve SHA-256 özetine DigiCert'ten RFC 3161 zaman damgası alınır. Belgede tek bir karakter değişirse özet değişir; değişmiş belge ne eparaf.com/check'teki doğrulamadan ne de “openssl ts -verify” kontrolünden geçer. EPARAF da dahil hiç kimse, damgayı bozmadan belgeyi ya da damga zamanını değiştiremez.
EPARAF kapanırsa delil ne olur?
İndirilmiş delil paketi EPARAF'a bağlı değildir: belge, DigiCert zaman damgası ve paketteki sertifika zinciri, EPARAF sunucuları olmadan ve internet bağlantısı olmadan OpenSSL gibi standart araçlarla doğrulanabilir. Bu nedenle sözleşme yürürlüğe girdikten sonra delil paketini indirip saklamanızı öneririz. EPARAF tarafında dondurulmuş belgeler, yazıldıktan sonra 10 yıl silinemeyen (AWS S3 Object Lock) bir yedek alanına da kopyalanır.
DigiCert kimdir, neden bağımsız sayılır?
DigiCert, dünya genelinde kullanılan, EPARAF'tan bağımsız bir sertifika ve zaman damgası hizmet sağlayıcısıdır. EPARAF yalnızca belgenin özetini gönderir, DigiCert bu özete kendi saatine göre zaman damgası basar ve kendi sertifikasıyla imzalar. Damganın kök sertifikası (DigiCert Trusted Root G4) DigiCert'in sitesinden bağımsız olarak indirilip parmak izi karşılaştırılabilir.
Doğrulama “FAILED” verirse ne anlama gelir?
En sık neden, kontrol edilen dosyanın imzalı belgenin kendisi olmamasıdır (ör. belgenin yeniden kaydedilmiş, yazdırılıp taranmış ya da filigranlı önizleme sürümü). Delil paketindeki 01_sozlesme.pdf dosyasını kullanın. Sertifikaların süresi dolmuşsa “-attime” parametresi gerekir. Doğrulama raporu, paket hazırlanırken her damganın sonucunu ayrıca yazar.
SMS kodu imzalayanın kimliğini kanıtlar mı?
Tek başına kesin olarak kanıtlamaz. SMS kodu, işlemin hesaba kayıtlı telefon numarasına erişimi olan kişi tarafından onaylandığını gösterir; imza kaydı numarayı, gönderim ve doğrulama zamanını, IP ve cihaz bilgisini içerir. Numaranın kime ait olduğu operatör kayıtlarıyla doğrulanabilir. Kimliğin kanunen nitelikli sertifikayla kanıtlanması gereken işlemler için nitelikli e-imza kullanılmalıdır.
EPARAF imzası ıslak imza yerine geçer mi?
Hayır. Kanuna göre elle atılan imzayla aynı hukuki sonucu doğuran tek elektronik imza türü güvenli (nitelikli) elektronik imzadır; EPARAF'ın SMS doğrulamalı imzası bu türden değildir. Şekil şartı olmayan sözleşmeler bu imzayla geçerli olarak kurulabilir; uyuşmazlıkta kayıtlar delil olarak değerlendirilir.
Delil paketini kim indirebilir?
Yalnızca sözleşmenin tarafları, sözleşme yürürlüğe girdikten sonra indirebilir. Her indirme; kimin, ne zaman ve hangi IP adresinden indirdiğiyle birlikte olay kaydına yazılır.
Bir belgeyi şimdi doğrulayın
PDF'i yükleyin; özeti tarayıcınızda hesaplanır, dosya sunucuya gönderilmez.
Belge doğrula