Sunucunuzun üzerindeki katmanlar: alan adı, CDN, transit

Sunucunuzun nerede duracağını seçmek üç karardan yalnızca biridir ve sonucu belirleyen nadiren bu karardır. Sunucunun üstünde, başka birinin işlettiği bir ad durur. Sunucunun önünde ise çoğu site için, yine başka birinin işlettiği bir ters proxy durur. İkisi de barındırıcınızın politikasına bağlı değildir, ikisi de barındırıcınızın yargı yetkisinde değildir ve ikisine de, barındırıcınıza hiçbir erişimi olmayan bir mahkeme tarafından harekete geçme emri verilebilir. Offshore barındırmanın kapsamadığı yığın parçası burasıdır ve tam olarak nerede bittiğini bilmekte fayda vardır.

Üç katman, üç farklı sahip

Erişilebilir olan herhangi bir site en az üç ayrı işletmeye bağlıdır ve bunlar birbirinden bağımsız olarak arızalanır.

Ad. Bir kayıt kuruluşu size sattı; bir sicil işletmecisi ise onun yaşadığı uzantıyı işletiyor. İki şirket, genellikle iki ülke, ve ikincisi sizin adınızı hiç duymamış.

Ön. Sizin adınıza herhangi bir şey cevap veriyorsa — bir CDN, bir ters proxy, bir anycast uç noktası — ziyaretçilerinizin bağlantılarını sunucunuz onları görmeden sonlandırır. Bu yüzden orijin adresinizi yapısı gereği bilir ve şikâyetleri o alır.

Hat ve makine. Barındırıcınız, onun transit operatörleri, tesis, sunucunuzun içinde durduğu adres aralığı. İnsanların alışveriş yaptığı katman budur ve üçü içinde bir barındırma yargı yetkisinin gerçekten yönettiği tek katman da budur.

Kırılmaya değer alışkanlık, bunları tek bir satın alma gibi düşünmektir. Bunlar üç ayrı şeydir ve üçünü tek bir elde — ya da tek bir hukuk sisteminde — toplamak, tek bir emrin her şeyi bir anda çökertmesinin yoludur.

Alan adı: kayıt kuruluşu ve üstündeki sicil işletmecisi

Kayıt kuruluşunuz dükkândır. Sicil işletmecisi ise uzantıyı işleten toptancıdır ve neredeyse hiç kimsenin satın almadan önce kontrol etmediği katman budur.

Bir kayıt kuruluşunu ne harekete geçirir

Akredite kayıt kuruluşları 5 Nisan 2024’ten beri, ICANN’ın DNS Abuse dediği şeye karşı harekete geçme konusunda sözleşmesel bir yükümlülük taşıyor: eyleme geçirilebilir kanıta sahip olduklarında, adı bozmak için makul ölçüde gerekli olan azaltım önlemlerini derhal almalıdırlar. Bu kuralın işe yarayan yarısı tanımıdır. DNS Abuse; kötü amaçlı yazılım, botnet, oltalama, pharming ve — birinin taşıyıcısı olduğu ölçüde — istenmeyen posta anlamına gelir. Web sitesi içeriği kapsam dışıdır, telif hakkı da kapsam dışıdır — açıkça.

Bunu bir teselli değil, bir eşik olarak okuyun. Size, kayıt kuruluşunuzun harekete geçmek zorunda kalmadan önce bir şikâyetin alması gereken şekli söyler; ayrıca bu listenin dışında kalan her şeyin, daha yavaş, denetlenebilir ve itiraz edilebilir olan bir mahkeme ya da makam emri olarak gelmesi gerektiğini de söyler. Almak üzere olduğunuz şikâyeti dosyalamadan önce iki yarısını da bilmekte fayda var.

Sicil işletmecisinin yapabildiği şey ve nerede durduğu

Bir sicil işletmecisinin tek ve mutlak bir kolu vardır: adınıza, onu bölgeden çıkaran bir durum atayabilir. Ad, bundan sonra kayıt kuruluşunuz ne düşünürse düşünsün ve sunucunuz nerede olursa olsun, hiçbir yerde hiç kimse için çözümlenmez. Barındırma katmanında hiçbir şey bunu hafifletmez, çünkü barındırma katmanında hiçbir şey işin içinde değildir.

Bu teorik değil. 2026 Haziran’ında bir Teksas mahkemesi, .com’u işleten Verisign’a motherless.com’u registry hold durumuna almasını emreden bir haciz emri (writ of attachment) çıkardı. İşletmeci, eyaletin yaş doğrulama yasası kapsamında bir Teksas kararını görmezden gelmiş bir Lüksemburg şirketiydi; emir, adı geri almanın koşulu olarak 9,14 milyon dolarlık bir teminat belirledi. Site Teksas’ta barındırılmıyordu ve şirket de Teksas’ta değildi. Ad .com’daydı ve .com, Amerika Birleşik Devletleri yargı yetkisi altında bir Amerikan şirketi tarafından işletiliyor. Bu yeterliydi.

Genellenebilir ders bu davayla ilgili değil. Ders şu: seçtiğiniz uzantı, tıpkı sunucunuzun bulunduğu ülke gibi, bir yargı yetkisi seçimidir ve çoğu insan bunu alışkanlıkla yapar. Uzantıyı kimin, hangi hukuk altında işlettiğini ve o hukuk sisteminin sicil işletmecilerine emir verme alışkanlığı olup olmadığını sorun. Sonra tek adınızın orada olmasını isteyip istemediğinize karar verin.

Addaki gizlilik, bilgi değil yayın meselesidir

WHOIS ve RDAP kısıtlaması toplu kazımayı ve gündelik sorguyu durdurur. Kayıt kuruluşunuzu bundan habersiz kılmaz: akreditasyon ona kayıt verilerini tutma yükümlülüğü getirir ve bu veriler herkes gibi yasal süreç altında ifşa edilir. Kaydın önündeki bir gizlilik hizmeti bir kalkan değil, bir yayın ayarıdır — ve sizden hiçbir şey istemeyen bir kayıt kuruluşu sahip olmadığı şeyi ifşa edemez; bu tamamen farklı bir özelliktir ve ödemeye değer tek özelliktir.

Öndeki proxy: neyi kaldırır, neyi iletir

Bir CDN, önbellekleyen bir aracıdır. Sitenizi kalıcı olarak depolamaz, dolayısıyla «dosyayı kaldırın» genellikle yapabileceği bir şey değildir. Yapabileceği şey sizi proxy’lemeyi durdurmaktır — erişilebilir kalmak ve orijinini sessiz tutmak için proxy’ye bağımlı bir site için bu, tek hareketle hem bir kaldırma hem bir ifşadır.

Daha ilgi çekici olan davranış gündelik olanıdır ve en büyük sağlayıcı bunu açıkça yayımlar. Yalnızca proxy’lediği bir site hakkında bir kötüye kullanım bildirimi aldığında, şikâyetinizi site işletmecisine ve barındırma sağlayıcısına iletecek ve barındırma sağlayıcısına söz konusu içeriğin orijin IP adresini verecektir. Bu ikisi de kendi kötüye kullanım politikasından alıntıdır ve alıcıların para ödediklerini sandıkları şeyin tam tersidir.

Yani proxy, sizinle barındırıcınızın kötüye kullanım birimi arasında bir tampon değildir. Bir kuryedir. Şikâyeti barındırıcınıza taşır ve barındırıcınıza tam olarak hangi makineye bakması gerektiğini söyler. Barındırıcınızı şikâyetleri ele alış biçimi için seçtiyseniz sorun yok — şikâyet ulaşmasını istediğiniz yere ulaşır. Bir proxy’yi, şikâyetin orada duracağını umarak seçtiyseniz, durmaz.

Aynı sağlayıcının belgeleri size de bir yükümlülük yükler: etkin biçimde yönetilen ve izlenen bir kötüye kullanım iletişim adresi tutun ve herhangi bir kötüye kullanım bildirimine yirmi dört saat içinde yanıt verin. Zamanında yanıt vermemek, bildirilen içeriğin kaldırılması ya da engellenmesiyle, hesabın askıya alınması ya da sonlandırılmasıyla sonuçlanabilir. İçeriğinizi kaldıramayan aracı, yine de kendine bir kaldırma maddesi ve bir saat yazmış.

Önemli olan bir istisna var. Aynı şirket ayrıca barındırdığında da — nesne depolama, sunucusuz platform, medya ve sayfa ürünleri — o içerik için bir barındırma sağlayıcısıdır, bunu kendisi de söyler ve içeriği, Amerika Birleşik Devletleri hukukunun öngördüğü biçimde, karşı bildirimli bir notice-and-takedown süreciyle kaldırır. Tek bir satıcının iki ürünü, iki tamamen farklı cevap. Gerçekte hangisini kullandığınızı bilin.

Bir CDN’in gizlemediği şey ve orijinler nasıl bulunur

Pek çok kişi tek bir sebeple bir sunucunun önüne proxy koyar: orijin adresini herkese açık internetten uzak tutmak için. Bunun pratikte ne kadar işe yaradığını bilmekte fayda var ve dürüst cevap şu: beş sıradan hatadan biri onu bozana kadar işe yarar. Bunların hiçbiri egzotik değildir; proxy satıcılarının kendileri bunları belgeler.

Taşınmadan önce yayımladığınız kayıtlar. DNS herkese açıktır ve arşivlenir. Bir proxy’nin arkasına taşınan hemen her sitenin taşınma öncesi adresi, birinin geçmiş veri kümesinde kalıcı olarak durur. Satıcının kendi kılavuzu, aramaya alındıktan sonra orijin adresini döndürmektir — bunu yapmadıysanız, taşınma kozmetikti.

Proxy’siz bıraktığınız kayıtlar. Doğrudan makineye işaret eden tek bir alt alan adı yeter: mail, ftp, cpanel, dev, staging, vpn, bir kere kurduğunuz izleme sunucusu. Yalnızca oluşturduğunuzu hatırladıklarınızı değil, bölgedeki her kaydı denetleyin.

Makineden çıkan posta. Orijin posta gönderiyorsa, adresi başlıklarda seyahat eder. Var olmayan bir adrese bir ileti gönderin, geri dönen ret iletisi adresi taşıyarak gelir. Posta, sessiz tutmaya çalıştığınız makineden farklı bir makinede olmalıdır.

Sertifika şeffaflığı. Herkese açık olarak güvenilen her sertifika, kapsadığı adlarla birlikte günlüğe kaydedilir. Günlükler bir adres vermez, ama denenecek alt alan adlarının tam listesini verir — özel sandığınız adlar dahil.

Toptan tarama. Tüm adres uzayı sürekli taranır ve verdiği cevaba göre dizinlenir. Çıplak bir adresten sunulan ayırt edici bir sayfa, bir soruşturma değil, bir veritabanı sorgusudur.

Çözümler iyi bilinir ve bunları kolaylık sırasına göre değil, güç sırasına göre uygulamakta fayda vardır.

1. Yalnızca giden bağlantılı bir tünel. Orijin, uç noktaya bir bağlantı açar ve hiçbir şeyi dinlemez. Bulunacak bir port olmadığından, sızsa bile adres ilginç olmaktan çıkar. Listedeki, bir kuralı doğru kurmaya bağlı olmayan tek seçenek budur.
2. Uç noktadan karşılıklı TLS (mTLS). Orijin, yalnızca proxy’nin sertifikasını sunan bir istemciye hizmet verir. Adres sızabilir; cevap vermez. Güçlüdür ve adresin herkese açık hale gelmesine dayanıklıdır.
3. Proxy’nin yayımladığı aralıklara güvenlik duvarı. Hiç yoktan iyidir ve devreye almak kolaydır, ama aralıklar değişir ve satıcının kendi karşılaştırması bu yaklaşımı sahtecilik (spoofing) karşısında savunmasız olarak işaretler. Bunu bir çözüm değil, bir taban olarak görün.
4. Düzen. Uç noktanın arkasına geçtikten sonra orijin adresini döndürün, postayı makineden çıkarın ve her değişiklikten sonra proxy’siz kayıtları denetleyin. Çoğu ifşa, akıllıca bir saldırı değil, bu üçünden biridir.

Bir proxy, orijini bir tarayıcısı olan yabancıdan gizler. Orijini proxy’den gizlemez — proxy onu tanımı gereği bilir ve bir şikâyet aldığında, barındırma sağlayıcınıza onun ne olduğunu söylemeyi taahhüt etmiştir.

Makinenin altında: transit, prefiks, tesis

Sunucunuzun altında bir taraf grubu daha vardır ve bunlar bir barındırıcının genellikle tartışmaya en az istekli olduğu taraflardır.

Transit operatörleri. Barındırıcınız bağlantıyı birinden satın alır. Bu operatörlerin kendi kötüye kullanım birimleri, sözleşmeleri ve risk iştahları vardır ve sizi sorun olarak gören bir operatör, barındırıcınızın kararını onun yerine verebilir. Kaç operatör olduğunu sorun — bir tanesi hem tek bir arıza noktası hem de tek bir politika noktasıdır — ve daha keskin soruyu sorun: barındırıcınız, trafiğinizde operatör tarafı engelleme listelerini sessizce kabul ediyor mu?

Paylaştığınız prefiks. İtibar sistemleri müşteriler üzerinde değil, adres aralıkları üzerinde çalışır. Komşularınızı devralırsınız ve onların kim olduğu size söylenmeden devralırsınız. Kendini her şey için bir sığınak olarak tanıtan bir sağlayıcının somut bedeli budur: engelleme listeleri aralığa ulaşır ve postanız ile API çağrılarınız onun içindedir.

Tesis ve donanım. Kiralık kabinler, barındırıcınızın üstünde görünmez biçimde duran, kendi kötüye kullanım politikası olan bir ev sahibi demektir; barındırıcınızın üstündeki her katman, asla göremeyeceğiniz sebeplerle sizi sonlandırabilecek bir taraf daha demektir.

Bu kılavuzun amacı her katmanı hesap verebilir kılmak olduğuna göre, işte bu katman da aynı terimlerle. Chișinău’ya giren, BGP ile dengelenmiş, harmanlanmış yirmi gigabitlik iki transit operatörü. Her port için, herkese, satın alınacak hiçbir şey olmadan, yukarı akışta 3. ve 4. katman filtreleme. Operatör tarafı engelleme listeleri müşteri trafiğinde kabul edilmez: bir şeyin engellenmesi gerekiyorsa bunu bir mahkeme söyler ve biz size söyleriz. Donanım, tek bir ülkede, satın aldığınız şirket tarafından kiralanmak yerine sahiplenilmiştir — ayrıntılar ağ sayfasında ve tesis sayfasındadır.

Ve boşluk, açıkça ifade edilirse: alan adı satmıyoruz ve sunucunuzun önüne koyduğunuz proxy’yi işletmiyoruz. Bu iki katman sizindir. Sicil işletmecileri ve iletilen şikâyetler hakkında yukarıda yazılan her şey size, tam olarak yazıldığı gibi uygulanır ve hiçbir barındırma yargı yetkisi — bizimki dahil — bunun tek bir kelimesini değiştirmez.

Üç katmanı üç farklı ele teslim etmek

Kılavuzun tamamı bir avuç karara indirgenir ve hiçbirinin bir bedeli yoktur.

1. Üç katman, üç tedarikçi, üç hukuk ailesi. Ad, uç nokta ve sunucu tek bir şirketin elindeyse, hiçliğe tek bir emir uzaklıktadır. Üç elde olduğunda, herhangi birine karşı bir emir diğer ikisini çalışır durumda bırakır ve size zaman kazandırır.
2. Her katmana aynı üç soruyu sorun. Sizi neyi iletmeye, neyi kaldırmaya ve neyi ifşa etmeye zorlayabilirler? Bunlar birbirinden bağımsız olarak çöker ve üçünü de tek bir cümlede yanıtlayan bir tedarikçi soruyu anlamamıştır.
3. Proxy’nin ilettiğini varsayarak yapılandırın, çünkü öyle yapar. Her şikâyetin, orijin adresiniz iliştirilmiş olarak barındırıcınıza ulaştığını varsayın. Bu sonuç bir sorunsa, çözüm barındırma katmanındadır ya da yayımladığınız şeydedir — başka bir aracı eklemekte değil.
4. Orijini düzgün biçimde kapatın. Yalnızca giden bağlantılı tünel ya da karşılıklı TLS; posta farklı bir makinede; aramaya alındıktan sonra adresi döndürün; proxy’siz kayıtları denetleyin. Dört madde, hepsi sıkıcı, ve neredeyse tüm gerçek ifşaları kapsıyorlar.
5. Adı tek arıza noktanız olarak görün ve buna göre planlayın. Uzantınızı hangi sicil işletmecisinin, hangi hukuk altında işlettiğini bilin. Farklı bir uzantıda, farklı bir kayıt kuruluşunda ikinci bir ad bulundurun ve insanlara onu nasıl kullanmalarını söyleyeceğinizi önceden bilin.

Bunların hiçbiri sunucunuzun önüne bir proxy koymaya karşı bir argüman değildir ve hiçbiri offshore barındırmaya karşı bir argüman değildir — ikisi için de garip bir kaynak olurduk. Argüman şudur: üç katman, üç ayrı arıza biçimine sahip üç ayrı satın almadır ve insanların en sıkı incelediği katman, onları bitirme olasılığı en yüksek olan katman değildir. İşlettiğimiz katmanın aynı standarda tabi tutulmasını istiyorsanız, bunu kontrol edebileceğiniz yer üç aylık sayılar ve kolluk kuvvetleri sayfasıdır.

Platformu işleten mühendisler tarafından yazılmıştır ve bugün tarihinde yeniden gözden geçirilmiştir. Burada yanlış olan veya güncelliğini yitirmiş bir şey varsa, panelden bildirin — bunların yaklaşık yarısı zaten böyle geldi.