Halka Açık Wi-Fi'da VPN Neyi Korur, Neyi Koruyamaz?

Kısa cevap: VPN halka açık Wi-Fi'da neyi değiştirir?

VPN, cihazınızdan VPN sunucusuna kadar olan yolu şifreli bir tünele alır. Böylece ne aynı Wi-Fi'a bağlı biri ne de mekan sahibi hangi sitelere girdiğinizi görebilir. Trafiğinize müdahale edemez, sizi başka bir adrese yönlendiremezler. Buna karşılık VPN sahte sitelere, zararlı yazılımlara, zayıf parolalara ya da cihazınızın içinde olup bitenlere karışmaz. Kısacası VPN bir kalkan değil, şifreli bir boru hattıdır: İçinden geçeni saklar, ama borunun ucunda ne olduğuna bakmaz.

VPN korur	VPN korumaz
Trafiğin okunması: Aynı ağdakiler yalnızca tek bir sunucuya giden şifreli bir akış görür.	Oltalama sayfaları: Sahte bir banka sitesine giden bağlantıyı da aynı özenle şifreler.
DNS sorgularının izlenmesi: Hangi adresleri sorguladığınız ağdan görünmez.	Zararlı yazılım: Cihazınıza bulaşmış bir yazılımın trafiği de tünelden geçer.
DNS yönlendirmesi: Ağ, sahte bir DNS cevabıyla sizi kopya bir sayfaya gönderemez.	Aynı ağdan cihazınıza erişim: Dosya paylaşımı gibi açık servisler, VPN açıkken de ağdakilere görünebilir.
Ziyaret ettiğiniz siteler: Alan adlarını mekanın ağı ve filtresi değil, VPN sağlayıcısı görür.	Giriş sayfası anı: Mekanın oturum açma sayfasını onaylamadan VPN bağlanamaz. O arada korumasızsınız.
Şifresiz HTTP istekleri: Eski uygulama ve cihazların düz istekleri de tünelin içinde şifrelenir.	Tünel koptuğunda sızıntı: Ağ değişirken ya da cihaz uykudan uyanırken trafik tünelin dışına çıkabilir.
Sahte erişim noktasının müdahalesi: Tünel açıkken evil twin ağı trafiğinizi okuyamaz, değiştiremez.	TunnelVision tipi saldırılar: Sahte bir DHCP sunucusu, VPN bağlı görünürken trafiği tünelin dışına yönlendirebilir.
Sitelerin gördüğü IP adresi: Siteler kafenin değil, VPN sunucusunun IP adresini görür.	Hesap güvenliği ve izleme: Zayıf parolalar, eksik iki adımlı doğrulama, çerezler ve açık oturumlar olduğu gibi kalır.

VPN'in temelde nasıl çalıştığını bilmiyorsanız önce VPN nedir rehberimize göz atabilirsiniz. Bu yazı yalnızca halka açık Wi-Fi tarafına odaklanıyor.

2026'da halka açık Wi-Fi'ın gerçek riskleri

"Yan masadaki biri kafe Wi-Fi'ında parolalarınızı okuyabilir" senaryosu büyük ölçüde geçmişte kaldı, çünkü bugün sitelerin neredeyse tamamı trafiği HTTPS ile şifreliyor. ABD Federal Ticaret Komisyonu (FTC) da Şubat 2023 tarihli tüketici rehberinde aynı şeyi söylüyor: Sitelerin çoğu trafiği şifrelediği için halka açık Wi-Fi'a bağlanmak artık genellikle güvenli. FTC aynı yerde bir uyarı da yapıyor: Dolandırıcılar sahte sitelerini de şifreleyip güvenli gibi gösteriyor. Yani "halka açık Wi-Fi güvenli mi?" sorusunun cevabı eskisi kadar karamsar değil. Yine de şu riskler hala gerçek:

• Sahte erişim noktası (evil twin): Saldırgan, mekandaki ağla aynı ya da ona çok benzeyen adda bir ağ yayınlar, örneğin "Havalimani_Free_WiFi". Bu ağa bağlanan cihazların trafiği saldırganın donanımından geçer.
• Sahte giriş sayfaları: Bunlar internete çıkmak için kart bilgisi, sosyal medya şifresi ya da uygulama yüklemenizi isteyen sayfalardır. Normal bir giriş sayfası bunları istemez.
• DNS manipülasyonu: Ağı kontrol eden kişi alan adı sorgularınıza sahte cevap verip sizi gerçeğine benzeyen bir kopya siteye yönlendirebilir.
• Görünürlük: HTTPS sayfanın içeriğini saklar, ama hangi sitelere ve servislere bağlandığınız ağdan büyük ölçüde görülebilir.
• Aynı ağdaki diğer cihazlar: Dosya paylaşımı açık bir dizüstü bilgisayar, halka açık bir ağda aynı ağa bağlı herkese açılan bir kapı demektir.
• Sahte DHCP sunucusu: Cihazınıza IP adresi ve yönlendirme bilgisi dağıtan kişi, trafiğinizin hangi yoldan gideceğini de belirleyebilir. Aşağıda anlattığımız TunnelVision bunun en bilinen örneği.

Bazı ağlar Wi-Fi Enhanced Open (OWE) kullanıyor. Bu teknoloji parola sormadan havadaki trafiği şifreler ve aynı hotspot'taki birinin trafiğinizi pasif olarak dinlemesini engeller. Ancak ağ ekipmanı üreticisi HPE Aruba'nın teknik belgelerine göre ağın gerçekten o mekana ait olduğunu doğrulamaz. Sahte bir erişim noktası da Enhanced Open sunabilir, bu yüzden bu teknoloji evil twin saldırısına karşı bir çözüm değil. Kablosuz iletişimin arkasındaki fikrin hikayesini merak ediyorsanız Hedy Lamarr yazımıza göz atabilirsiniz.

HTTPS zaten neyi koruyor, neyi açıkta bırakıyor?

Google'ın Ekim 2025'te paylaştığı verilere göre Chrome'daki sayfa yüklemelerinde HTTPS oranı 2015'te yaklaşık yüzde 30-45 aralığındaydı. Bu oran 2020 civarında yüzde 95-99 aralığına çıktı ve o zamandan beri büyük ölçüde aynı seviyede duruyor. Google kalan birkaç yüzdelik HTTP trafiğini hala önemli bir risk olarak görüyor. Şirketin aynı yazıda duyurduğu plana göre İngilizce adı "Always Use Secure Connections" olan ayar, Chrome 147 (Nisan 2026) ile önce Enhanced Safe Browsing kullananlarda, Chrome 154 (Ekim 2026) ile de tüm kullanıcılarda varsayılan olarak açılıyor. Kullanıcılar bu ayarı yine de kapatabiliyor.

Bu varsayılan mod, yalnızca herkese açık sitelere yapılan HTTP bağlantılarından önce uyarı gösteriyor. Modem yönetim sayfası gibi özel ve yerel adresler kapsam dışında. Google bu yerel adreslerin aynı yerel ağdaki biri tarafından hala saldırıya açık olabileceğini de not ediyor. Bu korumalardan yararlanmak için tarayıcınızın güncel olması gerekiyor. Seçenekleri en iyi web tarayıcıları listemizde karşılaştırdık.

HTTPS sayfa içeriğini, parolaları ve form bilgilerini şifreler. Ortak bir ağda ise şunlar görünür kalabilir:

• DNS sorguları: Şifreli DNS açık değilse, hangi alan adlarını sorguladığınız ağdan okunabilir. İnternetin temel işleyişini merak ediyorsanız internetin nasıl çalıştığını anlattığımız yazıya bakabilirsiniz.
• Alan adı (SNI): Bağlantı kurulurken bağlandığınız sitenin adı çoğu sitede hala açık metin olarak gider. CDT ve Zscaler'ın aktardığına göre Chrome 117 (Eylül 2023) ve Firefox 119'dan beri Encrypted Client Hello (ECH) özelliği varsayılan olarak açık ve bu adı gizleyebiliyor. Ancak ECH yalnızca site, ECH anahtarlarını DNS kayıtlarında yayımlamışsa işe yarıyor. Aksi halde alan adı yine görünüyor.
• Zamanlama ve veri miktarı: Ne zaman, ne kadar süre ve ne kadar veriyle bağlandığınız şifrelemeden bağımsız olarak görülebilir.
• Düz HTTP istekleri: Bazı uygulamalar ve eski cihazlar hala şifresiz istek gönderiyor.

Sonuç olarak HTTPS varken içeriği şifrelemek için VPN'e gerek yok, çünkü içerik zaten şifreli. Bugün halka açık Wi-Fi'da VPN'in asıl katkısı meta veri gizliliği (hangi sitelere girdiğiniz, DNS sorgularınız) ve ağ düzeyindeki manipülasyona karşı koruma.

VPN'in gerçekten koruduğu şeyler

VPN'in faydası abartmaya gerek kalmadan da somut. Tünel çalıştığı sürece mekanın ağı sizin için yalnızca trafiği taşıyan bir aracıya dönüşür.

Aynı ağdakilerin trafiğinizi izlemesi

VPN açıkken kafe sahibi ya da ağı dinleyen biri, cihazınızdan tek bir VPN sunucusunun IP adresine giden şifreli bir akış görür. DNS sorgularınız, girdiğiniz alan adları ve içerik bu akışın içinde kalır. Aradaki fark şöyle:

Ağdan görülebilen bilgi	Yalnızca HTTPS	HTTPS + VPN
Sayfa içeriği, parolalar, mesajlar	Görünmez	Görünmez
DNS sorguları	Şifreli DNS yoksa görünür	Görünmez
Girdiğiniz sitenin alan adı	Site ECH kullanmıyorsa görünür	Görünmez
Bağlandığınız sunucuların IP adresleri	Görünür	Yalnızca VPN sunucusu görünür
Şifresiz HTTP istekleri	Tamamen görünür	Görünmez
Bağlantı zamanı ve veri miktarı	Görünür	Toplam olarak görünür

Şunu da unutmayın: Bu bilgiler ortadan kalkmaz, yalnızca el değiştirir. Tablonun sağ sütununda ağdan görünmeyen her şeyi artık VPN sağlayıcısı görebilir. Bu konuya aşağıda ayrıca değiniyoruz.

Sahte erişim noktası ve DNS yönlendirmesi

Evil twin saldırısında saldırgan, mekanın ağıyla aynı ya da çok benzer adda bir erişim noktası açar. Telefonunuz bu ağa bağlandığında tüm trafiğiniz saldırganın cihazından geçer. Saldırgan DNS sorgularınıza sahte cevaplar verebilir. Bankanızın adresini yazdığınızda sizi kopya bir giriş sayfasına gönderebilir.

VPN tüneli çalışırken saldırganın elinde yalnızca şifreli paketler olur. İçeriği okuyamaz, sorgularınızı göremez. DNS sorguları tünelden geçip VPN tarafında cevaplandığı sürece sizi sahte bir cevapla yönlendiremez de. Bu korumanın iki önemli sınırı var:

• Koruma yalnızca tünel ayaktayken geçerli. Giriş sayfasını onayladığınız dakikalarda ya da bağlantı koptuğunda sahte ağ trafiğinizi yine görebilir.
• VPN, yanlış ağa bağlandığınızı size fark ettirmez. Cihazınız saldırganın ağında kalmaya devam eder ve aşağıda anlattığımız yerel ağ saldırılarına açık olur.

İşletme kayıtları: 5651 kapsamında kafe ve otel neyi görür?

Türkiye'de toplu kullanıma internet sunan yerler, 5651 sayılı Kanun'a dayanan İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmelik'e tabi. BTK'nın hazırladığı bu yönetmelik, 11 Nisan 2017 tarihli ve 30035 sayılı Resmi Gazete'de yayımlandı ve 2007 tarihli eski yönetmeliği yürürlükten kaldırdı.

Yönetmelikteki "internet toplu kullanım sağlayıcı" tanımı geniş: Belirli bir yerde, belirli bir süre için insanlara internet erişimi sağlayan herkes bu tanıma giriyor. Yönetmelik mekanları tek tek saymıyor, ama Wi-Fi sunan kafe, otel ve AVM'ler bu genel tanımın içinde kalıyor. Yönetmeliğin 4. maddesine göre bu sağlayıcıların yükümlülükleri şunlar:

• suç teşkil eden içeriğe karşı bir içerik filtreleme sistemi kullanmak,
• erişim kayıtlarını kendi sistemlerinde elektronik ortamda tutup iki yıl saklamak,
• umuma açık alanlarda internet sunuyorlarsa kullanıcıları SMS veya benzeri yöntemlerle tanımlayan bir sistem kurmak.

Kafe ve AVM giriş sayfalarının telefon numaranızı istemesinin sebebi bu SMS şartı. Mülki idare amirinden izin belgesi, sabit IP ve kayıtlar için günlük bütünlük değeri gibi ek yükümlülükler ise ücret karşılığı hizmet veren internet salonu benzeri "ticari amaçlı" sağlayıcılar için geçerli.

Yönetmelik metninin yayımlanan kopyalarına göre erişim kayıtları üç bilgiyi kapsıyor: cihazlara dağıtılan iç IP adresleri, oturumların başlangıç ve bitiş zamanları ve cihazların MAC adresleri. Pratikte durum şöyle:

• VPN olmadan: Mekanın ağı ve içerik filtresi, işini yapabilmek için hangi alan adlarına gitmek istediğinizi görür. Bu bilgi mekanın ağında açıkta durur.
• VPN ile: Mekan, cihazınızın hangi saatler arasında bağlı kaldığını ve bir VPN sunucusuyla bağlantı kurduğunu görür. Hangi sitelere girdiğinizi göremez.

VPN'in değiştirmediği şeyler de var. Giriş sayfasında SMS ile doğrulama yaptıysanız, o oturum telefon numaranızla eşleşmiş olur. Kayıtlara gerçek donanım adresinizin geçmemesi için özel (rastgele) MAC adresi ayarını açık tutmak işe yarar. Bu ayarı adım adım bölümünde anlatıyoruz.

VPN'in koruyamadığı şeyler

TunnelVision açığını ortaya çıkaran Leviathan Security araştırmacılarına göre VPN pazarlaması, güvenilmeyen ağlarda koruma vaat etmekten vazgeçmeli. Gerekçelerini de açıkça yazıyorlar:

VPN'ler sizi fiziksel yerel ağdaki saldırılara karşı korumaz.

Aşağıdaki tehditlerin hiçbirinde şifreleme işe yaramıyor, çünkü sorun yolda değil, ya varış noktasında ya da cihazınızın kendisinde.

Oltalama ve sahte giriş sayfaları

VPN, sahte bir siteye giden bağlantınızı da gerçek siteye giden bağlantı kadar iyi şifreler. Adres çubuğundaki kilit simgesi yalnızca bağlantının şifreli olduğunu gösterir, sitenin gerçek olduğunu kanıtlamaz. FTC de dolandırıcıların şifreli sahte siteler işlettiği konusunda uyarıyor. Ne yapabilirsiniz?

• Banka ve e-Devlet gibi adresleri bir bağlantıya tıklayarak değil, kendiniz yazarak açın. Daha da iyisi, kurumun resmi uygulamasını kullanın.
• Bir şifre yöneticisi kullanın. Şifre yöneticileri kayıtlı parolayı yalnızca doğru alan adında doldurur, benzer görünen sahte bir adreste otomatik doldurma yapmaz. Bu da size erken bir uyarı verir.
• Destekleyen hesaplarda geçiş anahtarı (passkey) ya da iki adımlı doğrulama kullanın. FTC de güçlü parola ve iki adımlı doğrulama öneriyor. Böylece parolanız ele geçse bile hesabınıza girmek zorlaşır.

Kötü amaçlı yazılım ve güncel olmayan cihazlar

Telefonunuza ya da bilgisayarınıza zararlı bir yazılım bulaştıysa, VPN tüneli o yazılımın trafiğini de sizin trafiğiniz gibi taşır. VPN bir antivirüs değildir. İşletim sisteminizde ve uygulamalarınızda otomatik güncellemeleri açık tutun. FTC'nin önerilerinden biri de bu. Resmi mağaza dışından APK yüklemeyin, "ücretsiz Wi-Fi bulucu" ya da "Wi-Fi hızlandırıcı" gibi yardımcı uygulamalardan da uzak durun. Şüpheli bir durum varsa telefonlar için telefondaki virüsü temizleme rehberimize, bilgisayarlar için antivirüs programı önerilerimize bakabilirsiniz. Zararlıların nasıl bulaştığını bilgisayar virüsleri yazımızda anlattık.

Aynı ağdaki cihazların size doğrudan erişmesi

VPN internete giden trafiğinizi tünele alır, ama cihazınız hala kafenin yerel ağının bir parçasıdır. Aynı Wi-Fi'daki başka bir cihaz, bilgisayarınızda açık duran dosya ve yazıcı paylaşımı, ağ bulma ya da uzak masaüstü gibi servislere doğrudan ulaşmayı deneyebilir. Bazı VPN uygulamaları, cihazınızı yerel ağda görünmez kılmayı ayrı bir özellik olarak sunuyor. Demek ki VPN'i açmak cihazınızı yerel ağdan kendiliğinden gizlemeyebilir. Varsayılan ayarlar uygulamaya ve platforma göre değişiyor, bu yüzden kendi uygulamanızı kontrol edin.

• Windows 11: Üçüncü taraf Windows rehberlerine göre ağ profili, Ayarlar > Ağ ve internet > Wi-Fi altında, bağlı ağın özelliklerindeki "Ağ profili türü" seçeneğinden "Genel ağ" ya da "Özel ağ" olarak değiştiriliyor. Aynı rehberlere göre Windows tanımadığı yeni ağları zaten Genel profille açıyor. Genel profil bilgisayarınızı ağdaki diğer cihazlardan gizliyor, dosya ve yazıcı paylaşımını da kapatıyor. Halka açık bir ağda profilin Genel kaldığını kontrol edin. Daha önce bir ağı Özel yaptıysanız geri alın. Menü adları sizin Windows sürümünüzde birebir böyle görünmeyebilir.
• Tüm bilgisayarlar: Hangi işletim sistemini kullanırsanız kullanın, dosya ve yazıcı paylaşımı, ağ bulma ve uzak masaüstü gibi servislere ihtiyacınız yoksa kapalı tutun. Uzak masaüstü ya da AnyDesk gibi araçları da kullanmadığınız zamanlarda kapatın.
• iPhone ve AirDrop: AirDrop, hotspot'un ağı üzerinden değil, yakındaki cihazlarla doğrudan bağlantı kurarak çalışır. Bu yüzden onu ağ ayarından çok, yakınınızdakilere açık bir kapı olarak düşünün. Türkçe rehberlerde alma seçenekleri "Yalnızca Kişiler", "Herkes için 10 Dakika" ve "Alma Kapalı" (bazı rehberlerde "Alımı Kapat") olarak geçiyor. Kalabalık yerlerde "Yalnızca Kişiler"i ya da alımı kapatan seçeneği kullanın. MacRumors'un aktardığına göre iOS 16.2 ile gelen 10 dakikalık "Herkes" modu, süre dolunca yalnızca kişilere geri dönüyor. Etiketler kendi iOS sürümünüzde farklı görünebilir.
• VPN uygulaması: Uygulamanızda "yerel ağı engelle" ya da "yerel ağda görünmez ol" gibi bir seçenek varsa halka açık ağlarda açın.

Giriş sayfası (captive portal) anı

Kafe, otel ve havalimanı Wi-Fi'larının çoğu, internete çıkmadan önce bir giriş sayfasını onaylamanızı ister. Türkiye'de bu sayfaların telefon numarası ve SMS kodu istemesinin sebebi, yukarıda anlattığımız yönetmelik. Bu sayfa geçilmeden VPN bağlanamaz, dolayısıyla o birkaç saniye ya da dakika boyunca korumasızsınız. Sahte giriş sayfaları tam bu anı hedefler. Kart bilgisi, sosyal medya şifresi ya da "bağlantı için gerekli" bir uygulamayı kurmanızı isteyebilirler.

• Giriş sayfasında yalnızca normalde istenen bilgiyi verin: telefon numarası, oda numarası ya da mekanın verdiği kod.
• Kart bilgisi ya da hesap parolası isteyen veya uygulama yüklemenizi söyleyen bir sayfa görürseniz bağlantıyı kesin.
• Sayfayı geçer geçmez VPN'i açın. Tünel kurulmadan hassas bir işlem yapmayın.

Bağlantı koptuğunda sızıntı ve TunnelVision saldırısı

Ağ değiştirirken, sinyal zayıfladığında ya da cihaz uykudan uyandığında VPN tüneli kısa bir süre kopabilir. Bu sırada uygulamalar trafiklerini şifresiz olarak doğrudan Wi-Fi'dan gönderebilir. DNS sorgularının tünelin dışına çıkmasına DNS sızıntısı denir. Bunun ilacı kill switch, yani tünel düştüğünde internet bağlantısını tamamen kesen ayardır. Kullandığınız VPN uygulamasında böyle bir seçenek olup olmadığına ve açık durduğuna bakın.

Android'de bunu sistem düzeyinde de yapabilirsiniz. Google'ın Türkçe yardım sayfasına göre Ayarlar > Ağ ve internet > VPN yolunu izleyip VPN'in yanındaki dişli simgesine dokunduğunuzda "Her zaman açık VPN" seçeneğini görürsünüz. VPN sağlayıcılarının Türkçe destek sayfalarına göre aynı ekranda "VPN olmadan bağlantıları engelle" seçeneği de bulunuyor ve tünel düştüğünde tüm internet erişimini kesiyor. Aynı kaynaklara göre bu seçenek Android 8.0 veya sonrasını gerektiriyor ve açıkken bölünmüş tüneli ve yerel cihaz erişimini devre dışı bırakıyor. Menü adları üreticiye göre değişiyor ve bazı cihazlarda bu seçenek hiç yer almayabiliyor.

Kill switch'in de atlatılabildiği bir senaryo var: TunnelVision (CVE-2024-3661). Leviathan Security'nin 6 Mayıs 2024'te duyurduğu saldırı şöyle çalışıyor:

1. Bir ağa bağlanan cihaz, IP adresini ve yönlendirme bilgilerini DHCP adlı bir hizmetten alır.
2. Aynı ağdaki saldırgan kendi sahte DHCP sunucusunu çalıştırır ve 121 numaralı seçenekle (option 121) cihazınıza VPN'in kurduğundan daha ayrıntılı yönlendirme kuralları gönderir.
3. İşletim sistemi daha ayrıntılı kurala öncelik verir. Böylece trafik tünele girmeden doğrudan ağa çıkar.
4. VPN'in kontrol kanalı ayakta kaldığı için uygulama "bağlı" görünmeye devam eder ve kill switch hiç devreye girmez.

Saldırıdan Windows, macOS, iOS ve Linux etkileniyor. Android ise 121 numaralı DHCP seçeneğini uygulamadığı için etkilenmiyor. Araştırmacılar tekniğin 2002'den beri kullanılabilir olabileceğini de belirtiyor. Saldırı, aynı ağda DHCP cevabı verebilen birinin bulunmasını gerektiriyor. Ne sıklıkla kullanıldığına dair bir veri yok, yani her kafede sizi beklediğini düşünmek için bir neden de yok.

Leviathan'ın kullanıcılara önerileri şunlar:

• Hassas trafik için güvenilmeyen ağları kullanmayın. Bunun yerine güvendiğiniz bir hotspot kullanın ya da VPN'i, ağ bağdaştırıcısı köprülenmemiş bir sanal makinenin içinde çalıştırın.
• Bu açık için etkili bir düzeltme yayımlamış bir sağlayıcı seçin. Araştırmacılar sağlayıcılar için en güçlü çözüm olarak ağ ad alanlarını (network namespaces) gösteriyor. Bu yöntem sorunu Linux'ta tamamen çözüyor.

Bizim önerimiz de bunlarla uyumlu. Güvenmediğiniz bir ağda bankacılık ya da iş gibi hassas işler için mobil veriyi veya kendi telefonunuzun hotspot'unu tercih edin. VPN uygulamanızı güncel tutun ve sağlayıcınızın TunnelVision için bir düzeltme yayımlayıp yayımlamadığını kontrol edin. Düzeltmelerin durumu sağlayıcıdan sağlayıcıya değişiyor. Mullvad, açık duyurulduğunda düzeltmesini henüz yayına almadığını açıklamıştı.

Hesap güvenliği ve çevrimiçi izleme

VPN, birden fazla sitede kullandığınız zayıf bir parolayı güçlendirmez ve hesabınıza iki adımlı doğrulama eklemez. Çevrimiçi izlemede de etkisi sınırlıdır: Sitelerin gördüğü IP adresini değiştirir, o kadar. Google, Meta ya da reklam ağları sizi açık oturumlarınız, çerezler ve tarayıcı parmak izi gibi başka yollarla da tanıyabilir. VPN bunlara dokunmaz. Boru benzetmesine dönersek: Borunun içi şifreli, ama ucunda kimin olduğu ve elinizdeki anahtarlar sizin sorumluluğunuzda.

Güveni VPN şirketine devretmek: ücretsiz VPN riski

VPN'in en az konuşulan yanı şu: VPN açtığınızda meta verinizi görebilecek taraf yok olmaz, kafeden VPN sağlayıcısına geçer. Hangi sitelere girdiğinizi, ne zaman bağlandığınızı ve gerçek IP adresinizi artık VPN şirketi görebilir. Bu yüzden halka açık Wi-Fi'da sağlayıcınızın güvenilirliği, kafenin güvenilirliğinden daha önemli hale gelir.

VPN uygulamaları üzerine yapılan araştırmalar, sağlayıcı seçiminin neden bu kadar önemli olduğunu gösteriyor:

• Sahipliğini gizleyen ücretsiz VPN'ler: Tech Transparency Project (TTP), 2024'te ABD App Store'daki en popüler 100 ücretsiz VPN'in 20'den fazlasında Çinli sahiplik izleri buldu. Bunların hiçbiri sahipliğini açıkça belirtmiyordu. 8 Mayıs 2025'teki kontrolde bu tür uygulamalardan 13'ü App Store'da, 11'i Google Play'de hala duruyordu. Kuruluş, Çinli şirketlerin kullanıcı verilerini paylaşmaya yasal olarak zorlanabileceğini hatırlatıyor. TTP'nin aktardığına göre Apple'ın mağaza kuralları VPN uygulamalarının kullanıcı verisini üçüncü taraflara satmasını, kullanmasını ya da açıklamasını yasaklıyor. Yani bir uygulamanın mağazada yer alması tek başına bir güvence değil.
• Şifrelemeyen VPN uygulamaları: CSIRO, ICSI ve UNSW araştırmacıları 2016'da Google Play'deki 283 Android VPN uygulamasını inceledi. Haberlere yansıyan sonuçlara göre bu uygulamaların yüzde 18'i tünel protokollerini şifreleme olmadan kullanıyordu. Çalışma eski, ama sorunun yeni olmadığını gösteriyor.
• Ortak sahipliğini gizleyen uygulama aileleri: FOCI 2025 konferansında yayımlanan "Hidden Links" çalışması, Google Play'deki VPN uygulamaları arasında ortak sahipliğini gizleyen üç sağlayıcı ailesi tespit etti. Bu ailelerin uygulamaları toplamda 700 milyonun üzerinde indirildi. Bazıları uygulamaya gömülü ortak Shadowsocks parolaları kullanıyor. Bu da bir saldırganın kullanıcı trafiğini çözmesine imkan tanıyor.

Kısacası, kim olduğunu bilmediğiniz bir VPN, güvenmediğiniz bir kafeyi yine güvenemeyeceğiniz bir şirketle değiştirmek anlamına gelebilir. Bir VPN seçerken şunlara bakın:

• Bağımsız denetimden geçmiş bir kayıt tutmama (no-logs) politikası
• WireGuard veya IKEv2 protokolü desteği
• Kill switch
• DNS sızıntısı koruması
• Yerel ağ erişimini engelleme seçeneği
• Şirketin kim olduğu ve hangi ülkenin yasalarına tabi olduğu konusunda açıklık

Bu ölçütlere göre değerlendirdiğimiz seçenekleri en iyi VPN programları rehberimizde bulabilirsiniz.

Halka açık Wi-Fi'a bağlanırken adım adım güvenli kullanım

Aşağıdaki sırayı bir kez alışkanlık haline getirdiğinizde her bağlantıda yalnızca birkaç saniyenizi alır:

1. Ağ adını personele sorun. Sahte ağlar mekanın ağıyla aynı ya da çok benzer bir ad taşıyabilir. Listede benzer adlı iki ağ görüyorsanız tahmin yürütmeyin.
2. Enhanced Open destekli bir ağ varsa onu seçin. Enhanced Open (OWE), aynı hotspot'taki birinin trafiğinizi pasif olarak dinlemesini engeller. Yine de ağın gerçek olduğunu kanıtlamaz.
3. Özel MAC adresini açık tutun. Böylece mekanın kayıtlarına gerçek donanım adresiniz geçmez. iPhone'da Ayarlar > Wi-Fi yolunu izleyip ağın yanındaki bilgi düğmesine dokunun ve "Özel Wi-Fi Adresi" ayarına bakın. iOS 18 ve sonrasında Kapalı, Sabit ve Dönüşümlü Kullanılan seçenekleri bulunuyor. Açık ve zayıf güvenlikli ağlarda varsayılan olan "Dönüşümlü Kullanılan" ayarını değiştirmeyin. Diğer cihazlarınızda da benzer bir ayar varsa açık tutun.
4. Giriş sayfasını hassas bilgi vermeden geçin. Telefon numarası ve SMS kodu istenmesi normaldir. Kart bilgisi, hesap parolası ya da uygulama kurulumu isteniyorsa bağlantıyı kesin.
5. VPN'i hemen açın. En iyisi, her zaman açık VPN ile kill switch'i birlikte kullanmak. Böylece tünel düştüğünde trafik açıkta kalmaz.
6. Ağ profilinin Genel olduğundan emin olun ve paylaşımı kapatın. Böylece aynı ağdaki cihazlar bilgisayarınızı göremez ve paylaşılan klasörlerinize ulaşamaz.
7. Hassas işleri resmi uygulamada ya da mobil veride yapın. Bankacılık, e-Devlet ve iş uygulamalarında adres yazma adımı ortadan kalkar, sahte sayfa riski azalır. Kısa süreli hassas işler için en temiz seçenek mobil veri.
8. İşiniz bitince ağı unutun ve otomatik bağlanmayı kapatın. Böylece cihazınız ileride aynı adı taşıyan bir ağa siz fark etmeden bağlanmaz.

VPN mi, mobil veri mi? Senaryoya göre öneri

Senaryo	Risk	Öneri
Kafede haber okumak, sosyal medyada gezinmek	Düşük. İçerik HTTPS ile şifreli, ağ yalnızca hangi sitelere girdiğinizi görebilir.	Doğru ağa bağlanın ve paylaşımı kapatın. Gizlilik istiyorsanız VPN açın.
Havalimanında mobil bankacılık veya e-Devlet	Daha yüksek. İşlem hassas, ağı tanımıyorsunuz ve sahte ağ ya da sahte giriş sayfası ihtimali var.	Mümkünse mobil veri kullanın. Wi-Fi şartsa resmi uygulamayı VPN ve kill switch açıkken kullanın. Adresleri asla bir bağlantıdan açmayın.
Otelde şirket bilgisayarıyla çalışmak	Orta. Uzun süre aynı ağdasınız ve cihazda kurumsal veri var.	Şirketin kurumsal VPN'ini kullanın ve ağ profilini Genel tutun. Kritik işler için telefonunuzun hotspot'una geçin.
Yurt dışında seyahat	Orta. Ağları tanımıyorsunuz ve dolaşım maliyeti sizi ücretsiz Wi-Fi'a itiyor.	En güvenli yol, yerel bir hat ya da eSIM ile kendi bağlantınızı kullanmak. Wi-Fi kullanacaksanız yukarıdaki adımları uygulayın.
Yurt veya site ortak Wi-Fi'ı	Orta ve kalıcı. Aynı ağda çok sayıda cihaz var ve aylarca aynı ağda kalıyorsunuz.	Genel ağ profili, kapalı paylaşım, VPN'in yerel ağ engelleme seçeneği ve güncel cihaz olmazsa olmaz.

Tabloda aynı önerinin tekrar etmesinin bir sebebi var: Kendi SIM kartınızla, güçlü bir parolayla açtığınız hotspot ortak ağ sorununu tamamen ortadan kaldırır. Ağda sizden başka kimse olmadığında sahte DHCP sunucusu da, mekanın giriş sayfası da, aynı ağdan cihazınıza uzanan yabancılar da olmaz. Kısa süreli hassas işler için çoğu zaman en iyi seçenek budur.

Türkiye'de VPN kullanımı: yasal durum ve erişim engelleri

Türkiye'de bireysel VPN kullanımını doğrudan cezalandıran bir düzenleme bulunmuyor. Basına yansıyan tartışma kullanıcıları değil, sağlayıcıları hedef alıyor. Elbette VPN üzerinden yaptığınız işlem başlı başına suçsa, VPN kullanmanız bunu değiştirmez.

İfade Özgürlüğü Derneği'nin (İFÖD) EngelliWeb projesi, Nisan 2026'da 5809 sayılı Elektronik Haberleşme Kanunu'nda değişiklik öngören bir teklifi aktardı. Aktarılan metne göre VPN türü hizmetler "sanal ağ hizmeti" olarak tanımlanacak. Sağlayıcıların Türkiye'de anonim ya da limited şirket olarak temsilci bulundurması ve BTK'dan yetki alması gerekecek. Yetkisiz sağlayıcılara 1 milyon ile 30 milyon TL arasında para cezası öngörülüyor. Altı ay içinde uymayan sağlayıcılar için BTK, yüzde 95'e varan bant daraltma ya da erişim engeli kararı verebilecek. Karar'ın Mayıs 2026 tarihli haberinde düzenleme hala hazırlanan bir teklif olarak geçiyordu. Teklifin yasalaşıp yasalaşmadığını takip etmekte fayda var.

Bugünkü pratik durum şu: Birçok VPN sağlayıcısının sitesine Türkiye'den erişim engellendi. Bu, o ürünlerin güvensiz olduğunu göstermez. Asıl risk, engeli aşmak için başvurulan resmi olmayan indirme kaynaklarında. Bir forumda ya da tanımadığınız bir sitede paylaşılan kurulum dosyasının gerçekten o şirkete ait olup olmadığını bilemezsiniz. VPN uygulamanızı yalnızca App Store, Google Play veya Microsoft Store gibi resmi mağazalardan indirin ve güncellemeleri de oradan alın.

Sıkça Sorulan Sorular

HTTPS olan sitelerde VPN'e yine de gerek var mı?

İçeriği korumak için gerek yok, bunu HTTPS zaten yapıyor. VPN'in katkısı başka yerde. Hangi sitelere girdiğinizi ve DNS sorgularınızı ağdan gizler, DNS yönlendirmesi gibi ağ düzeyindeki müdahaleleri engeller ve hala şifresiz istek gönderen uygulamaları korur. Kafede haber okumak için şart değil. Havalimanı veya otel gibi tanımadığınız ağlarda ise faydalı.

Ücretsiz VPN halka açık Wi-Fi için yeterli mi?

Çoğu durumda hayır. VPN açtığınızda trafiğinizin meta verisini görebilecek taraf kafeden VPN şirketine geçer. Tech Transparency Project, 2024'te ABD App Store'daki en popüler 100 ücretsiz VPN'in 20'den fazlasının Çin bağlantılı sahipliğini gizlediğini tespit etti. Kim olduğunu bilmediğiniz ücretsiz bir VPN, güvenmediğiniz bir kafeyi yine güvenemeyeceğiniz bir şirketle değiştirmek anlamına gelebilir.

VPN açıkken kafe veya otel Wi-Fi'ının sahibi hangi sitelere girdiğimi görebilir mi?

Tünel çalıştığı sürece göremez. Mekan, cihazınızın hangi saatler arasında bağlı olduğunu ve bir VPN sunucusuyla bağlantı kurduğunu görür. SMS ile giriş yaptıysanız o oturumu telefon numaranızla eşleştirebilir. Ancak giriş sayfasını geçtiğiniz sırada, yani VPN bağlanmadan önce ya da tünel koptuğunda trafiğiniz yine görünür hale gelebilir.

Halka açık Wi-Fi'da mobil bankacılık uygulaması kullanmak güvenli mi?

Bankanın resmi uygulaması, tarayıcıda bir bağlantıya tıklayarak giriş yapmaktan çok daha güvenli, çünkü sahte sayfaya düşme riski azalır. Yine de sahte giriş sayfaları, aynı ağdaki cihazlar ve TunnelVision gibi saldırılar yüzünden hassas işlemler için en iyi seçenek mobil veri ya da kendi telefonunuzun hotspot'u. Wi-Fi kullanmak zorundaysanız VPN'i ve kill switch'i açın, uygulamanın güncel olduğundan emin olun.

VPN kullanırken yine de hacklenebilir miyim?

Evet. VPN oltalama sayfalarını, cihazınızdaki zararlı yazılımı, aynı ağdan cihazınıza yapılan erişimi, giriş sayfası anını ve zayıf parolaları çözmez. TunnelVision gibi saldırılar, VPN bağlı görünürken bile trafiği tünelin dışına çıkarabilir. Güncel bir cihaz, şifre yöneticisi, iki adımlı doğrulama ve kapalı paylaşım ayarları en az VPN kadar önemli.

Türkiye'de VPN kullanmak yasal mı?

Bireysel VPN kullanımını doğrudan cezalandıran bir düzenleme bulunmuyor. 2026'da basına yansıyan teklif kullanıcıları değil, VPN sağlayıcılarını hedef alıyor. Birçok VPN sağlayıcısının sitesine erişim engelli olsa da en sağlıklı yol, uygulamaları resmi mağazalardan indirmek. VPN üzerinden yaptığınız işlemin kendisi suçsa, VPN bunu değiştirmez.