Türkiye'deki En İyi E-İmza Yazılımı Hangisi? 2026 Seçim Rehberi

Türkiye’de herkes için “en iyi” tek bir e-imza yazılımı yoktur; doğru seçim, çözmek istediğiniz işe bağlıdır. E-imza isteyen kamu sistemleri (UYAP, EKAP) için ihtiyacınız bir yazılım değil, nitelikli elektronik sertifikadır (NES, USB token veya mobil imza). Müşteriyle, çalışanla ya da tedarikçiyle sözleşmeyi uzaktan imzalatmak içinse dijital imza platformu gerekir. Bu rehber, iki ihtiyacı ayırıp karar vermeniz için 10 ölçüt ve bir kontrol listesi sunar.

İki kavramı en baştan ayıralım. Nitelikli elektronik sertifika kişiye özel düzenlenen bir kimlik aracıdır; uluslararası kaynaklarda QES (Qualified Electronic Signature) olarak geçen imza türü bu sertifikayla atılır. Yazının devamında bu imzayı Nitelikli Elektronik İmza ya da 5070 sayılı Kanun’daki adıyla güvenli elektronik imza olarak anacağız. Dijital imza platformu ise belgeyi hazırlayan, karşı tarafa gönderen, imzayı toplayan ve süreci kayıt altına alan yazılımdır. Biri anahtardır, öbürü o anahtarın da kullanılabildiği iş akışı. Kavram ayrımının ayrıntısı SES, AES ve QES farkları yazısında.

Karar tablosu: ihtiyacınız ne?

Satın almadan önce işinizi aşağıdaki satırlardan birine yerleştirin. Seçim çoğu zaman burada biter.

Son satır en sık atlanan sınırdır. 5070 sayılı Elektronik İmza Kanunu m.5/1’e göre güvenli elektronik imza elle atılan imza ile aynı hukuki sonucu doğurur; ancak m.5/2 açıktır: “Kanunların resmî şekle veya özel bir merasime tabi tuttuğu hukukî işlemler ile banka teminat mektupları ve Türkiye’de yerleşik sigorta şirketleri tarafından düzenlenen kefalet senetleri dışındaki teminat sözleşmeleri, güvenli elektronik imza ile gerçekleştirilemez.” Hangi sektörde hangi işlemin nitelikli imza istediğini e-imza hangi sektörlerde zorunlu yazısında ele aldık.

Nitelikli sertifikayı kim düzenler?

Nitelikli elektronik sertifikayı yalnız Elektronik Sertifika Hizmet Sağlayıcıları (ESHS) düzenler; faaliyetteki ESHS’lerin listesini Bilgi Teknolojileri ve İletişim Kurumu (BTK) yayımlar. Usulüne göre güvenli elektronik imza ile oluşturulan elektronik veriler senet hükmündedir (HMK m.205/2); bu sonuç, imzanın 5070 m.4’te sayılan dört niteliği (nitelikli sertifikaya dayalı kimlik tespiti dahil) birlikte taşımasına bağlıdır.

E-imzayı (nitelikli elektronik sertifika) alabileceğiniz yerler aşağıdadır. İlk satır İmzala.org’dur; diğer satırlar 8 Kasım 2026 itibarıyla BTK’nın yayımladığı listede yer alan ESHS’lerdir ve BTK’daki sırayla aktarılmıştır (sıralama değerlendirme içermez).

BTK sayfasındaki açıklamalara göre Kamu SM yalnız kamu çalışanlarına, EGMSM yalnız Emniyet Genel Müdürlüğü bünyesinde sertifika hizmeti sunar.

Şeffaflık notu: İmzala.org, listedeki Arksigner Yazılım ve Donanım Sanayi Ticaret A.Ş. (ARKİMZA) tarafından düzenlenen sertifikaların yetkili satıcısıdır. Sertifikayı ARKİMZA düzenler; İmzala.org sertifika düzenleyen bir ESHS değildir ve ESHS adına beyanda bulunmaz. Liste değişebilir; başvurudan önce BTK sayfasını kontrol edin. Başvuru adımları e-imza nasıl alınır yazısında, süre ve paket seçimi e-imza fiyatları ve süre seçenekleri yazısında.

Dijital imza platformu seçerken 10 ölçüt

Platform tarafında karşılaştırma yaparken her sağlayıcıya aynı 10 soruyu sorun. Cevabı yazılı ve bağlantılı vermeyen sağlayıcı, soruyu cevaplamamış sayılır.

Birinci ölçütün neden ağır bastığını yurt dışı ve yerli imza platformu yazısında, beşinci ve onuncu ölçütlerin teknik arka planını dijital imza güvenli mi yazısında ayrıntılı anlattık.

Kimlik doğrulama adımlarına yakından bakın

Dijital imza (nitelikli sertifika olmadan atılan imza) bir tıklamadan ibaret değildir; delil gücünü imzacının kimliğine bağlayan adımlar belirler. SMS ile doğrulama, imzacının o numaraya erişimi olduğunu gösterir; kimliğini değil. Daha güçlü bağ istiyorsanız kimlik fotoğrafı doğrulaması ve canlılık kontrolü gibi adımları gönderen olarak açıp açamadığınızı sorun. Canlılık ve yüz eşleştirme biyometrik veri işler ve imzacının açık rızasını gerektirir; kimlik fotoğrafı adımının biyometrik veri işleyip işlemediğini sağlayıcıya sorun. Her adım için saklama süresini ve aydınlatma metnini önceden okuyun.

Doğrulama aracını kendiniz deneyin

İmzalı bir PDF isteyin ve sağlayıcıdan bağımsız bir doğrulama aracına yükleyin. İmza bilgisi, imza zamanı ve belgenin değişmediği görünmüyorsa, o çıktı uyuşmazlıkta sizi zorlar.

Kırmızı bayraklar

Aşağıdakilerden birini gördüğünüzde soruyu yazılı olarak yeniden sorun:

• “Her belge için %100 yasal geçerli” vaadi. 5070 m.5/2 kapsamındaki işlemler elektronik imzayla yapılamaz; mutlak geçerlilik vaadi hukuken yanlıştır.
• Resmî şekli dijital imzayla yapılabilir göstermek. Tapu devri, noterde düzenlenmesi gereken işlemler ve kapsam içindeki teminat sözleşmeleri için hiçbir platform çözüm değildir.
• Sunucu yeri belirsizliği. “Bulutta güvende” demek veri yerini açıklamak değildir; ülke, alt işleyenler ve aktarım dayanağı yazılı olmalı.
• Dijital imzayı nitelikli imza gibi pazarlamak. SMS onaylı imza ile nitelikli sertifikalı imza aynı hukuki sonucu doğurmaz.
• “Kimliksiz, anında e-imza.” Nitelikli sertifika kimlik doğrulamasız düzenlenemez (5070 m.10/1-b).
• Tüketiciye KDV hariç fiyat gösterimi ya da gizli kredi kuralları. Toplam maliyeti ilk sayfada göremiyorsanız teklifi yazılı isteyin.
• Kendi doğrulama aracı olmayan, imzalı çıktıyı yalnız kendi ekranında gösteren sistem.

İmzala bu ölçütlerde nerede duruyor?

Bu yazıyı İmzala.org yayımlıyor; aşağıda kendi ürünümüzü aynı ölçütlerle, yalnız ürünün bugünkü durumunu yazarak anlatıyoruz. Karşılaştırmayı siz yapın.

• Veri yeri: Veriler birincil olarak Türkiye’deki (İstanbul) veri merkezinde işlenir. Trafik yönlendirme ve güvenlik (Cloudflare), e-posta iletimi, geçiş sürecindeki yedekleme ve gönderen açtıysa WhatsApp bildirimi gibi bazı işlemlerde veri yurt dışındaki hizmet sağlayıcılara aktarılır. Alıcıların ve aktarım dayanaklarının listesi alt işleyenler sayfasında ve KVKK aydınlatma metninde yer alır.
• Nitelikli imza: İmzacılar USB token ile masaüstü uygulamamız veya imza aracımız üzerinden, ya da operatör Mobil İmza ile nitelikli imza atabilir. Masaüstü uygulama herkese açık indirilebilir. NES ihtiyacı olanlara, yetkili satıcı olarak ARKİMZA sertifikası satıyoruz.
• Zaman damgası: İmza tamamlandığında belgeye kural olarak TÜBİTAK Kamu SM zaman damgası eklenir. Zaman damgası sunucusuna o an erişilemezse süreç damgasız tamamlanır ve damga sonradan eklenir.
• Doğrulama: Giriş gerektirmeyen imza doğrulama aracımız PAdES, CAdES, XAdES ve ASiC biçimindeki imzalı dosyaları kriptografik olarak denetler.
• Kimlik adımları: E-posta ve SMS doğrulamasına ek olarak gönderen, kimlik fotoğrafı doğrulaması ve canlılık kontrolü açabilir (her biri ek kredi kullanır). T.C. kimlik doğrulaması ve NFC ile kimlik okuma imza akışında henüz yok.
• KVKK rolü: Sözleşme ve imzacı bilgilerinde belgeyi gönderen kurum veri sorumlusu, İmzala veri işleyendir; imza güvenliği ve delil kayıtlarında İmzala’nın rolü imza süreci aydınlatma metninde açıklanır. Bu metin imzacıya imza öncesinde gösterilir. Canlılık ve yüz eşleştirme biyometrik veri işler, imzacının ayrı açık rızasıyla çalışır; bu veriler kurumun seçtiği süre kadar, en fazla 365 gün saklanır. Canlılık adımı açık değilse kimlik fotoğrafı üzerinde yüz tanıma yapılmaz.
• Türkçe: Arayüz, e-postalar ve destek Türkçedir.
• API: REST API, Node.js ve Python kitleri ile MCP sunucusu yayında; ayrıntı geliştirici araçları sayfasında.
• Fiyat: Planlar fiyatlandırma sayfasında, e-imza paketleri e-imza fiyatları sayfasında KDV dahil gösterilir. Ücretsiz planla başlarken hesabınıza 3 kredi tanımlanır.
• Denetim kaydı: Tamamlanan her sözleşme için imzacıyı, zamanı, maskelenmiş IP adresini, cihaz türünü ve uygulanan doğrulama adımlarını gösteren tamamlanma sertifikası üretilir.

Bilmeniz gereken sınırlar da var: kayıtlı elektronik posta (KEP) ile gönderim sunmuyoruz ve mobil uygulamamız henüz uygulama mağazalarında değil; telefondan imza, mobil tarayıcı üzerinden atılır.

Kendi kontrol listeniz

Karar vermeden önce şu listeyi tamamlayın:

1. İşlemim resmî şekle veya özel bir merasime tabi mi, banka teminat mektubu ve yerleşik sigorta şirketi kefalet senedi dışında bir teminat sözleşmesi mi? Evetse elektronik imza yolu kapalıdır (5070 m.5/2).
2. İşlem e-imza isteyen bir kamu sisteminde mi (UYAP, EKAP)? Evetse NES alın ve kurumun uygulamasını kullanın.
3. Karşı taraftan nitelikli imza mı istiyorum, dijital imza yeterli mi?
4. Sağlayıcı veri yerini, alt işleyenleri ve aktarım dayanağını yazılı açıklıyor mu?
5. Zaman damgası kaynağı BTK listesindeki bir ESHS mi?
6. İmzalı çıktıyı bağımsız bir araçla doğrulayabildim mi?
7. Hangi kimlik doğrulama adımlarını açabiliyorum, biyometrik veri ne kadar saklanıyor?
8. KVKK rolleri ve imzacıya gösterilen aydınlatma metni belli mi?
9. Toplam fiyatı KDV dahil gördüm mü, kredi ve paket kuralları açık mı?
10. Denetim kaydı örneğini gördüm mü, uyuşmazlıkta işime yarar mı?

On sorunun cevabını yazılı aldığınız sağlayıcı, sizin için “en iyi” olandır.

Sıkça Sorulan Sorular

Türkiye’deki en iyi e-imza yazılımı hangisi?

Herkes için tek bir en iyi yoktur. UYAP veya EKAP gibi e-imza isteyen kamu sistemleri için BTK’nın yayımladığı listede yer alan bir ESHS’den nitelikli elektronik sertifika (NES) ve kurumun kendi uygulaması gerekir. Müşteri, çalışan veya tedarikçiyle sözleşmeyi uzaktan imzalatmak içinse dijital imza platformu gerekir. Doğru seçimi ihtiyacınız ve bu yazıdaki 10 ölçüt belirler.

E-imza ile dijital imza platformu aynı şey mi?

Hayır. E-imza (NES) kişiye özel düzenlenen nitelikli bir sertifikadır; USB token veya mobil imza ile kullanılır. Dijital imza platformu ise belgeyi hazırlayıp karşı tarafa gönderen, imzayı toplayan ve kayıt tutan yazılımdır. Bir platform, nitelikli sertifikayla atılan imzayı da destekleyebilir.

En iyi dijital imza programı her sözleşme için yeterli mi?

Hayır. 5070 sayılı Kanun m.5/2 uyarınca kanunların resmî şekle veya özel bir merasime tabi tuttuğu hukuki işlemler ile banka teminat mektupları ve Türkiye’de yerleşik sigorta şirketleri tarafından düzenlenen kefalet senetleri dışındaki teminat sözleşmeleri güvenli elektronik imza ile gerçekleştirilemez. Bu işlemleri hiçbir yazılım çözmez.

E-imza yazılımı seçerken verinin nerede işlendiği neden önemli?

İmzalanan belgeler ve imzacı bilgileri kişisel veri içerir. Verinin yurt dışına aktarılması 6698 sayılı KVKK m.9’daki şartlara bağlıdır. Sağlayıcının veriyi hangi ülkede işlediğini, hangi alt işleyenleri kullandığını ve bunu nerede açıkladığını sorun.

Nitelikli elektronik sertifikayı kim verir?

Nitelikli elektronik sertifikayı Elektronik Sertifika Hizmet Sağlayıcıları (ESHS) düzenler; faaliyetteki ESHS’lerin listesini BTK yayımlar. Yazılım şirketleri yetkili satıcı olarak satış ve destek süreçlerini yürütebilir, ancak sertifikayı ESHS düzenler.