imzala.org Artık USB Token ile Güvenli Elektronik İmza Destekliyor, Java Gerektirmez
imzala.org platformuna güvenli elektronik imza desteği geldi. Kullanıcılar artık kendi USB token sertifikalarıyla, BTK’nın yayımladığı listede yer alan Türk Elektronik Sertifika Hizmet Sağlayıcılarının (ESHS) donanımları üzerinden, Java kurulumu gerekmeden, native bir masaüstü köprüsüyle 5070 sayılı Kanun uyumlu PAdES güvenli elektronik imza atabiliyor.
Bu yazıda neyi başardığımızı, mimari yaklaşımımızı, kullanım akışını ve hukuki çerçeveyi anlatıyoruz.
Üç Ana Yenilik
1. Java yok, native masaüstü köprüsü. Türkiye’deki yaygın nitelikli imza çözümleri tarihsel olarak Java applet’lerine veya JRE’li masaüstü uygulamalarına dayandı. Biz farklı bir yaklaşım seçtik: kullanıcı cihazında lokal çalışan, hafif bir native köprü. Tarayıcı yalnızca cihaz içi yerel TLS bağlantısıyla konuşur; uzak sunucumuza PIN veya özel anahtar iletilmez.
2. macOS akıllı kart uyumu. Apple’ın akıllı kart altyapısında bilinen bir kısıtlama, imza akışını Mac’lerde zorlaştırıyordu. Bu kısıtlamayı aşacak biçimde tasarladık; sonuç olarak Apple Silicon dahil modern Mac’lerde akış sorunsuz çalışıyor.
3. 5070 odaklı, eIDAS farkındalıklı imza. İmza, ETSI EN 319 142-1 PAdES seviyelerinde üretilir; kullanıcı tarafında ek bir adım yoktur. İmzanın 5070 sayılı Kanun anlamındaki niteliği imzacının kendi ESHS sertifikasından doğar. (AB tarafındaki hukuki geçerlilik için aşağıdaki “Hukuki Çerçeve” bölümüne bakın.)
3 Kasım 2026 düzeltmesi. Bu maddenin ilk hâli imzanın “BTK Profil Rehberi, 5070 marker” ile üretildiğini yazıyordu. İmzala.org 3 Kasım 2026’dan itibaren BTK Elektronik İmza Kullanım Profilleri Rehberi’ndeki P1-P4 profillerinden hiçbirine uygunluk beyan etmemekte ve imzaların içine imza politikası kimliği yazmamaktadır; ayrıca o metinde “5070 marker” denen değer sertifikadaki marker değil, bir imza politikası kimliğiydi. İmza seviyeleri ve imzanın hukuki niteliği değişmedi. Ayrıntı: Güvenli Elektronik İmza (USB Token) Uyum Beyanı 2.2.
Mimari (Yüksek Düzey)
Tarayıcı (imza bileşeni)
↕ yerel TLS köprüsü (cihaz içi)
İmzala İmza Aracı (native köprü)
↕ PKCS#11
USB Token (kullanıcının ESHS sertifikası)İmza işlemi kullanıcının kendi cihazında gerçekleşir. Sunucumuz imzalanacak belgenin özetini (hash) hazırlar, köprüden dönen imza değerini PDF’e gömer ve RFC 3161 zaman damgası ekler. Özel anahtar USB token donanımından çıkmaz, PIN sunucumuza ulaşmaz.
İmza, PAdES uzun dönem arşiv seviyesi (B-LTA) hedeflenerek üretilir: imza anında hem zaman damgası hem de iptal kayıtları (OCSP/CRL) ve arşiv damgası belgeye gömülmeye çalışılır. Zaman damgası sunucusunda veya iptal kaydı sorgusunda geçici bir aksaklık olursa imza bir alt seviyede (B-LT, B-T ya da nadiren damgasız B-B olarak) tamamlanır; imza kriptografik olarak yine geçerlidir ve eksik katmanların arka planda sonradan eklenmesi hedeflenir. Bu tamamlama, iptal yanıtlarının yerleşmesi için kasıtlı olarak gecikmelidir ve genellikle bir ila iki gün içinde biter. İlk arşiv seviyesi (B-LTA) otomatik olarak hedeflenir; arşiv damgasının geçerliliği dolmadan yapılması gereken periyodik yenileme ise otomatik değildir. Bu yenileme yapıldıkça imza, imzacının sertifikasının süresi dolduktan sonra da doğrulanabilir kalır. Zaman damgası TÜBİTAK Kamu SM Zamane’den alınır. AB nitelikli zaman damgası için kod tarafındaki bağlantı noktası hazırdır; sağlayıcı sözleşmesi ve yapılandırma tamamlandığında devreye alınması planlanmaktadır.
Güvenlik
USB token PIN’iniz tarayıcıya, ağa veya log dosyalarına dokunmaz; yalnızca işletim sistemi PIN diyaloğunda, kullanıcının yerel cihazında kalır. imzala.org sunucuları PIN’i görmez. İşlem kaydına imza zamanı, sertifika SHA-256 parmak izi ve sonuç durumu yazılır; PIN içeriği veya özel anahtar değeri kaydedilmez.
Yerel köprü, cihaz içi TLS ile şifrelidir ve yalnızca imzala.org alan adlarından gelen istekleri kabul eder (Origin kontrolü). Korelasyon kimlikleriyle sekmeler arası tekrar (replay) saldırılarına karşı koruma sağlanır.
Vendor Uyumluluğu
Köprü, PKCS#11 standardına bağlı çalıştığı için BTK’nın yayımladığı listede yer alan Türk ESHS’lerin donanımlarıyla uyumlu çalışacak şekilde tasarlandı:
- TÜBİTAK Kamu Sertifikasyon Merkezi (Kamu SM / AKİS)
- E-Tuğra (EBG Bilişim)
- TürkTrust
- Elektronik Bilgi Güvenliği A.Ş. (E-Güven)
- Ayyıldız İmza
- EİMZATR
- ArkSigner (ARKİmza)
Vendor başına uçtan uca doğrulama testleri aşamalı olarak yapılmaktadır; bazı middleware’lerde ek uyum çalışması sürmektedir. Güncel uyumluluk durumu için [email protected].
Kullanım Akışı
Müşteri perspektifinden 3 adım:
- İmza aracını bir kez kurun. macOS, Windows, Linux paketleri sunulur; araç herkese açık olarak indirilebilir.
- PKCS#11 sürücüsü kurulu mu kontrol edin. Çoğu kullanıcı, ESHS’sinden USB token aldığında bu adımı zaten tamamlamıştır (Adobe Acrobat ile imzalayanlar dahil). Araç otomatik tespit yapar; eksikse hangi linkten indireceğinizi söyler.
- Panelden imza akışı. Sözleşmeye girdiğinizde sertifika seçim diyaloğu çıkar, sertifikanızı seçersiniz, işletim sistemi PIN diyaloğuna PIN’i girersiniz ve imzalı PDF’iniz hazırlanır.
Hukuki Çerçeve
Türkiye: 5070 sayılı Kanun m.5/1, “Güvenli elektronik imza, elle atılan imza ile aynı hukuki sonucu doğurur.” HMK m.205/2 uyarınca güvenli elektronik imzalı veriler senet hükmündedir. imzala.org ESHS değildir; nitelikli sertifikayı BTK’nın yayımladığı listede yer alan ESHS düzenler (sertifika doğrudan ESHS’den veya yetkili satıcı olarak imzala.org üzerinden edinilebilir); biz imza akışını, saklamayı ve ilk PAdES arşiv seviyesini hedefleyen katmanı sağlarız.
Önemli sınır (5070 m.5/2): “Kanunların resmî şekle veya özel bir merasime tabi tuttuğu hukukî işlemler ile banka teminat mektupları ve Türkiye’de yerleşik sigorta şirketleri tarafından düzenlenen kefalet senetleri dışındaki teminat sözleşmeleri, güvenli elektronik imza ile gerçekleştirilemez.” Bu işlemler nitelikli imza ile dahi yapılamaz, kapsam dışındadır.
AB: Türkiye, AB’nin güvenilir listesinde (EU Trusted List / LOTL) yer almadığından, Türk ESHS sertifikasıyla atılan imza AB’de otomatik olarak nitelikli elektronik imza (QES) statüsü kazanmaz. Bu imza AB’de teknik olarak gelişmiş elektronik imza (PAdES) biçiminde doğrulanabilir; ancak eIDAS Reg. 910/2014 Art.25(2)‘deki “el yazısı imzaya eşdeğer” QES etkisi, AB’nin güvenilir listesindeki nitelikli sertifikalar için geçerlidir. AB tarafına imza atılan sözleşmelerde karşı tarafın hukuk müşaviriyle teyit alınması önerilir. AB nitelikli imza için QTSP entegrasyonu yol haritamızdadır. Detaylı: Kullanım Koşulları.
Detaylı teknik beyanname: eIDAS QES Native Helper Uyum Beyanı. Mevcut SES akışı ile karşılaştırma: SES vs QES rehberi.
Açık Standartlar
Köprü mimarisi yalnızca açık standartlara (PKCS#11, RFC 3161, PAdES, X.509) dayanır; proprietary vendor kilidi yoktur. Aynı USB token, Adobe Acrobat veya AB DSS gibi bağımsız doğrulayıcılarla da uyumlu çalışır.
SSS
Java yüklemem gerekecek mi? Hayır; araç native bir uygulamadır, Java JRE gerekmez.
USB token sürücüsünü kim kurar? ESHS’nizden kartı aldığınızda yönlendirir (masaüstü imza aracıyla imzalayanlar zaten yapmıştır). Araç otomatik tespit eder; eksikse hangi linkten indireceğinizi söyler.
PKCS#11 kullanan masaüstü imza araçlarından farkı ne? Bu araçlar da PKCS#11 kullanır. İmza Aracı’nda ise: (1) imza akışı tarayıcıda akar, (2) ilk PAdES arşiv seviyesi (B-LTA) arka planda otomatik hedeflenir (periyodik arşiv yenilemesi otomatik değildir), (3) imzalı PDF panelinizde saklanır, paylaşılır ve doğrulanır.
Hangi yasal değere sahip? Türkiye’de 5070 m.5/1 uyarınca ıslak imzaya eşdeğerdir (resmî şekle veya özel merasime tabi işlemler ile banka teminat mektupları ve Türkiye’de yerleşik sigorta şirketleri tarafından düzenlenen kefalet senetleri dışındaki teminat sözleşmeleri hariç, 5070 m.5/2). AB’de ise Türkiye LOTL’da olmadığı için otomatik QES tanınması yoktur; imza AB’de gelişmiş elektronik imza (PAdES) olarak teknik geçerlidir.
Güvenli mi? Mimari, PIN’in ve özel anahtarın cihazınızdan çıkmaması üzerine kuruludur. PIN, tarayıcıya/ağa/log dosyalarına dokunmadan, kullanıcının kendi cihazında işletim sistemi PIN diyaloğunda kalır. Özel anahtar USB token donanımından çıkmaz. Detaylı güvenlik mimarisi: /guvenlik.
Şu an ben de kullanabilir miyim? Evet. İmza Aracı herkese açık olarak indirilebilir; sorularınız için [email protected].
Mobil imza? Operatör tabanlı Mobil İmza ayrı bir imza yöntemidir; kullanılabilirliği için Mobil İmza sayfasına bakın.
İlgili sayfalar: