Uçtan Uca Şifreleme Nedir? WhatsApp ve Signal Nasıl Korur?

Uçtan uca şifreleme nedir?

Bir mesajın size ulaşana kadar iki "ucu" vardır: gönderenin cihazı ve alıcının cihazı. Uçtan uca şifrelemede mesaj, telefondan çıkmadan önce yalnızca alıcının cihazının açabileceği bir anahtarla şifrelenir. Mesaj uygulamanın sunucularından geçer ama sunucu elinde yalnızca anlamsız bir veri tutar.

WhatsApp'ın teknik belgesindeki tanım da buna dayanır: iletişim, göndericinin kontrolündeki bir cihazdan alıcının kontrolündeki bir cihaza kadar şifreli kalmalı ve arada WhatsApp veya ana şirketi Meta dahil hiçbir üçüncü taraf içeriğe erişememelidir.

Bunu günlük hayattan bir örnekle düşünün: kargo şirketi paketi taşır ama paketin kilidinin anahtarı yalnızca alıcıdadır. Şirket paketi kaybedebilir, geciktirebilir; ama içini açıp okuyamaz.

HTTPS/TLS şifrelemesinden farkı nedir?

Bir sitenin adres çubuğundaki kilit simgesi, TLS ile sizinle sunucu arasındaki bağlantının şifrelendiğini gösterir. Ancak sunucu, gelen veriyi çözüp okuyabilir. Uçtan uca şifrelemede ise sunucu da içeriği göremez.

TLS'in nasıl çalıştığını SSL/TLS ve güvenli iletişim yazısında anlattık.

Uçtan uca şifreleme nasıl çalışır?

Temelinde asimetrik (açık anahtarlı) şifreleme vardır. Uygulamayı kurduğunuzda telefonunuz bir anahtar çifti üretir: herkese açık bir anahtar ve yalnızca cihazınızda duran gizli bir anahtar. Açık anahtar sunucuya yüklenir; biri size ilk kez yazdığında cihazı bu açık anahtarı kullanarak sizinle ortak bir gizli anahtar üzerinde anlaşır. Gizli anahtarınız telefonunuzdan hiç çıkmaz.

WhatsApp ve Signal, Signal protokolünü kullanır. Signal'in yayımladığı belgelerde bu protokolün parçaları anlatılır:

• X3DH ve PQXDH: İki kişinin, biri çevrim dışıyken bile ortak bir gizli anahtar oluşturmasını sağlayan anahtar anlaşma protokolleri. PQXDH, gelecekteki kuantum bilgisayar saldırılarına karşı da koruma hedefler.
• Double Ratchet (çift çark): Her mesaj için yeni bir anahtar türetir. WhatsApp'ın belgesine göre anahtarlar geçici olduğu için, bir cihazın o anki anahtarları ele geçirilse bile daha önce gönderilmiş mesajlar bu anahtarlarla çözülemez.

Mesajın kendisi ise simetrik şifrelemeyle korunur. WhatsApp'ın teknik belgesine göre her mesaj anahtarı, AES-256 şifreleme anahtarı ve bütünlük kontrolü için HMAC-SHA256 anahtarı içerir. AES'in mantığını simetrik şifreleme algoritmaları yazısında bulabilirsiniz.

WhatsApp uçtan uca şifreleme: neler korunuyor?

WhatsApp'ın teknik belgesine göre kişisel sohbetler, grup sohbetleri, fotoğraf, video, sesli mesaj ve dosyalar, sesli ve görüntülü aramalar ve durum paylaşımları Signal protokolüyle şifrelenir. Belgenin önemli bir cümlesi de şudur: şifrelemenin kapatma düğmesi yoktur. Birden fazla cihaz bağladığınızda her cihazın kendi anahtarı olur ve yeni cihaza aktarılan mesaj geçmişi de uçtan uca şifrelenir.

Uçtan uca şifreli sayılmayan durumlar

• Bazı işletme sohbetleri: Meta'nın barındırdığı Cloud API'yi kullanan işletmelerle yazışmalar WhatsApp tarafından uçtan uca şifreli sayılmaz. Belgeye göre bir sohbetin şifreleme durumu kullanıcıya görünmeden değişemez; böyle sohbetlerde bir sistem mesajı çıkar.
• Meta AI ve otomatik sohbetler: Meta hizmetleriyle yapılan yazışmalar uçtan uca şifreli sayılmaz. Bir grup sohbetinde Meta AI'ı etiketlediğinizde, belgeye göre yalnızca o mesajın bir kopyası otomatik hesaba gider; diğer kişisel mesajlar şifreli kalır.
• Yedekler: WhatsApp'ın Google Drive veya iCloud'daki sohbet yedeklerini uçtan uca şifreleme özelliği isteğe bağlıdır ve sizin açmanız gerekir. Açtığınızda yedeği kendi belirlediğiniz bir parola ya da 64 haneli bir şifreleme anahtarıyla korursunuz. Bu parola veya anahtarı kaybederseniz yedeğe ulaşamayabileceğinizi unutmayın.

WhatsApp şifreleme doğrulama nedir?

Uçtan uca şifrelemenin teorik bir zayıf noktası, açık anahtarların sunucu üzerinden dağıtılmasıdır. Sunucu size karşı tarafın değil de başka birinin anahtarını verirse araya biri girebilir (ortadaki adam saldırısı). Doğrulama, bunun olmadığını kontrol etmenizi sağlar.

WhatsApp'ın teknik belgesine göre her bire bir sohbet için bir QR kodu ve 60 haneli bir sayı hesaplanır. Bu değerler iki tarafın cihaz anahtarlarından türetilir. Kişinin profil bilgilerindeki şifreleme bölümünü açtığınızda bu kodu görürsünüz.

1. Sohbeti açıp kişinin adına dokunun ve şifreleme bölümüne girin.
2. Karşınızdaki kişiyle yan yanaysanız birinizin ekranındaki QR kodu diğerinin telefonuyla tarayın.
3. Uzaktaysanız 60 haneli sayıyı başka bir kanaldan (örneğin telefonla okuyarak) karşılaştırın. Rakamlar aynıysa bağlantı doğrudur.

Güvenlik kodu, kişinin WhatsApp'ı kurduğunda üretilen anahtarlara bağlıdır. Karşı taraf uygulamayı yeniden yüklediğinde veya telefon değiştirdiğinde yeni anahtarlar üretildiği için kod da değişir; bu çoğu zaman masum bir durumdur. Beklemediğiniz bir anda, özellikle hassas bir konuşma öncesinde kod değiştiyse kişiye başka bir kanaldan sorun.

"Uçtan uca şifreleme otomatik olarak doğrulandı" ne demek?

Kodları elle karşılaştırmak çoğu kişi için zahmetli olduğundan WhatsApp, Nisan 2023'te anahtar şeffaflığı (key transparency) adlı bir sistemi duyurdu. Meta'nın mühendislik blogundaki açıklamaya göre kullanıcıların açık anahtarları, sonradan değiştirilemeyecek şekilde kayıt tutan ve dışarıdan denetlenebilen bir anahtar dizinine eklenir. Kişi bilgisindeki şifreleme bölümünü açtığınızda uygulama, karşı tarafın anahtarını bu dizine göre kendiliğinden kontrol eder.

Ekranda şifrelemenin otomatik olarak doğrulandığını görmeniz, bu kontrolün başarılı olduğu anlamına gelir. Meta'ya göre bu sistem QR kodla yapılan elle doğrulamanın yerini tutmaz; otomatik kontrol bağlantının güvenli olmayabileceğini gösterirse elle doğrulama yapmanız önerilir.

Signal ve diğer şifreli mesajlaşma uygulamaları

Signal, protokole adını veren uygulamadır ve tüm yazışmalar varsayılan olarak uçtan uca şifrelidir. Signal'deki karşılığı güvenlik numarası (safety number) olarak adlandırılır: Signal'in açıklamasına göre 60 haneli bir sayı veya tek bir QR kodla doğrulanır ve kişi yeni telefona geçtiğinde ya da uygulamayı yeniden kurduğunda değişir.

Diğer uygulamalarda durum farklıdır:

• Messenger: Meta, Aralık 2023'te Messenger ve Facebook'taki kişisel mesajlar ve aramalar için uçtan uca şifrelemeyi varsayılan hâle getirmeye başladığını duyurdu.
• Instagram: Instagram'ın yardım merkezine göre uçtan uca şifreli mesajlaşma 8 Mayıs 2026'dan sonra desteklenmiyor. Yani "uçtan uca şifreleme nedir Instagram" sorusunun bugünkü cevabı, Instagram mesajlarının artık bu korumaya sahip olmadığıdır.

Bir mesajlaşma uygulamasını değerlendirirken şu sorulara bakın: Uçtan uca şifreleme varsayılan olarak mı açık, yoksa ayrıca mı açılıyor? Şirket teknik belge yayımlıyor mu? Anahtarları doğrulamanın bir yolu var mı? Yedekler de şifreli mi?

E-postada durum farklıdır: yaygın e-posta hizmetleri iletileri aktarım sırasında şifreler ama uçtan uca şifrelemez. E-postayı uçtan uca şifrelemek için ayrı bir yöntem gerekir; bunu PGP şifreleme nedir yazısında anlatıyoruz.

Uçtan uca şifreleme neyi korumaz?

Şifreleme mesajı yolda korur; uçlardaki riskleri ortadan kaldırmaz:

• Açık telefon: Telefonunuzu kilitsiz bırakırsanız ya da biri ekran kilidinizi bilirse mesajları doğrudan okuyabilir.
• Karşı taraf: Alıcı mesajınızın ekran görüntüsünü alabilir veya başkasına iletebilir.
• Hesabın ele geçirilmesi: Size SMS ile gelen altı haneli WhatsApp kodunu biriyle paylaşırsanız, hesabınız başka bir telefonda açılabilir. WhatsApp iki adımlı doğrulama bu riski azaltır; hesabınız çalındıysa WhatsApp hesabım çalındı rehberini izleyin.
• Zararlı yazılım: Telefona yerleşmiş casus yazılım, mesajları çözüldükten sonra ekranda okuyabilir. Uygulamaları yalnızca resmi mağazalardan yükleyin.
• Üst veri: Uçtan uca şifreleme mesajın içeriğini korur; kiminle, ne zaman iletişim kurduğunuz gibi bilgilerin aynı şekilde gizlendiğini varsaymayın. Her uygulamanın gizlilik politikasına ayrıca bakın.

Kaynaklar: WhatsApp Encryption Overview teknik belgesi, sürüm 9, 25 Şubat 2026 (İngilizce), WhatsApp Yardım Merkezi – Uçtan uca şifreleme hakkında, WhatsApp Blog – Uçtan uca şifreli yedekler, Engineering at Meta – WhatsApp'ta anahtar şeffaflığı (İngilizce), Signal – Teknik belgeler (İngilizce), Signal Blog – Güvenlik numaraları (İngilizce), Meta – Messenger'da varsayılan uçtan uca şifreleme (İngilizce), Instagram Yardım Merkezi – Instagram'da uçtan uca şifreleme.