E-İmzalı Belge Nasıl Doğrulanır? 5070 m.7 | Sertifika, SİL, OCSP ve Belge Bütünlüğü 2026

5070 m.7 güvenli elektronik imza doğrulama aracında hangi özellikleri arar?

5070 sayılı Elektronik İmza Kanunu m.7, güvenli elektronik imza doğrulama aracının taşıması gereken özellikleri ayrıntılı biçimde düzenler. Buna göre araç, imzanın doğrulanması için kullanılan verileri değiştirmeden doğrulama yapan kişiye göstermeli; doğrulama işlemini güvenilir ve kesin biçimde çalıştırmalı ve sonucu değiştirmeden sunmalıdır. Gerektiğinde imzalanmış veriyi güvenilir şekilde göstermeli, kullanılan elektronik sertifikanın doğruluğunu ve geçerliliğini tespit etmeli, imza sahibinin kimliğini göstermeli ve doğrulama koşullarını etkileyen değişikliklerin tespitine imkân vermelidir.

Bu hüküm, e-imza doğrulamasının yalnız “imza var/yok” kontrolü olmadığını ortaya koyar. Bir doğrulama işlemi en az dört ayrı soruya cevap vermelidir: elektronik imza teknik olarak doğrulanıyor mu, imzalanan veri değişmemiş mi, sertifika imza tarihinde geçerli ve doğru mu, imza sahibi kimdir? Bunlardan biri belirsizse doğrulama sonucu eksik değerlendirilmiş olur.

Belgenin hangi programda açıldığı da önem taşır. Her PDF görüntüleyici güvenli elektronik imza doğrulama aracı değildir. Bazı programlar yalnız görsel imza panelini gösterir; sertifika zinciri, iptal durumu veya zaman damgasını tam olarak incelemez. Bu nedenle kurumsal ve hukuki işlemlerde kullanılan yazılımın güvenli elektronik imza doğrulama şartlarını karşılaması gerekir.

E-imza doğrulamasında neden özgün elektronik dosya gerekir?

Güvenli elektronik imza, belirli elektronik veriyle kriptografik olarak ilişkilidir. Bir belgenin yazdırılmış çıktısında imza sahibinin adı, tarih ve “elektronik imzalıdır” ibaresi görülebilir; ancak çıktı üzerinden kriptografik doğrulama yapılamaz. İmzanın gerçekten hangi elektronik veri üzerinde üretildiğini kontrol etmek için özgün elektronik dosyaya ihtiyaç vardır.

Benzer şekilde e-imzalı PDF’nin ekran görüntüsü, taranmış kopyası veya başka dosya formatına dönüştürülmüş hâli de özgün imza verilerini kaybedebilir. Bir uyuşmazlıkta yalnız dönüştürülmüş kopya saklanmışsa sertifikanın, imza değerinin ve belge bütünlüğünün teknik olarak yeniden doğrulanması zorlaşır.

Bu nedenle elektronik sözleşme, UYAP evrakı, KEP eki, ihale belgesi veya şirket kararı e-imza ile oluşturulduğunda dosyanın özgün imzalı sürümü arşivlenmelidir. Görüntüleme kolaylığı için PDF çıktısı veya başka kopya üretilebilir; fakat özgün dosya silinmemelidir.

Nitelikli elektronik sertifikanın doğruluğu ve geçerliliği nasıl kontrol edilir?

5070 m.7/d, doğrulama aracının imzanın doğrulanmasında kullanılan elektronik sertifikanın doğruluğunu ve geçerliliğini güvenilir biçimde tespit edip sonucu kullanıcıya göstermesini zorunlu tutar. Nitelikli elektronik sertifikanın kimin tarafından düzenlendiği, seri numarası, geçerlilik başlangıç ve bitiş tarihleri, imza sahibinin kimliği ve varsa kullanım veya maddi kapsam sınırlamaları incelenir.

Sertifikanın güvenilir bir sertifika zinciri içinde olup olmadığı da kontrol edilir. Elektronik sertifika hizmet sağlayıcısının sertifikası ile imza sahibinin sertifikası arasındaki doğrulama zinciri bozuksa veya sertifika güvenilmeyen kaynaktan geliyorsa imza sonucu hakkında dikkatli olunmalıdır.

Sertifika bugün süresi dolmuş olsa bile belgenin yıllar önce imzalandığı tarihte geçerli olmuş olabilir. Bu nedenle yalnız güncel tarih ile bitiş tarihini karşılaştırmak yeterli değildir. İmzanın oluşturulduğu tarih, varsa zaman damgası, sertifika geçerlilik dönemi ve iptal kayıtları birlikte incelenmelidir.

Nitelikli elektronik sertifikanın zorunlu alanları ve kullanım sınırlamaları için Nitelikli Elektronik Sertifika Nedir? rehberi ayrıca incelenebilir.

SİL ve OCSP ne işe yarar?

SİL, Sertifika İptal Listesidir. Elektronik sertifika hizmet sağlayıcısı iptal ettiği sertifikaları doğrulama ekosisteminde erişilebilir hâle getirmek için iptal durum bilgisi yayımlar. Doğrulama yazılımı, sertifikanın seri numarasını ve iptal kaydını kullanarak sertifikanın belirli tarihte iptal edilmiş olup olmadığını kontrol edebilir.

OCSP ise çevrimiçi sertifika durum protokolüdür. Belirli sertifikanın durumunu çevrimiçi ve daha güncel biçimde sorgulamaya yarar. SİL toplu liste mantığıyla, OCSP ise belirli sertifika için anlık durum sorgusu mantığıyla çalışır. Kullanıcının hukuki açıdan bilmesi gereken temel nokta, sertifikanın yalnız süre bakımından değil iptal durumu bakımından da doğrulanmasıdır.

Örneğin sertifikanın bitiş tarihi 2027 olsa bile 2026’da token kaybı nedeniyle iptal edilmiş olabilir. Sadece “bitiş tarihi geçmemiş” kontrolü yapılırsa iptal durumu gözden kaçırılır. Bu nedenle SİL veya OCSP bilgisi doğrulamanın önemli parçasıdır.

Elektronik sertifika hizmet sağlayıcısı 5070 m.11 uyarınca iptal edilen sertifikanın iptal zamanını tam olarak tespit etmeye imkân veren ve üçüncü kişilerin hızlı ve güvenli biçimde ulaşabileceği kayıt oluşturmak zorundadır.

İmza sahibinin kimliği doğrulamada nasıl görülür?

5070 m.7/e, doğrulama aracının imza sahibinin kimliğini değiştirmeden doğrulama yapan kişiye göstermesini arar. Nitelikli elektronik sertifika m.9 uyarınca imza sahibinin teşhis edilebileceği kimlik bilgilerini içerir. Böylece imza doğrulandığında elektronik imzanın hangi gerçek kişiye bağlı olduğu belirlenebilir.

Şirket adına atılmış e-imzada bu kontrol tek başına yeterli değildir. İmza sahibi gerçek kişi olabilir; fakat sözleşme şirket adına imzalanmışsa kişinin şirketi temsil yetkisi ticaret sicili ve yetkilendirme belgelerinden ayrıca kontrol edilir. Teknik kimlik doğrulaması ile hukuki temsil yetkisi aynı şey değildir.

Sertifikada bir meslek, unvan veya temsil edilen tüzel kişi bilgisi bulunması da sınırsız yetki yaratmaz. Yetkinin parasal, konu veya müşterek temsil sınırı ayrıca incelenmelidir.

E-imzalı belgenin sonradan değiştirilip değiştirilmediği nasıl anlaşılır?

Güvenli elektronik imzanın 5070 m.4’teki temel özelliklerinden biri, imzalanmış elektronik veride sonradan değişiklik yapılıp yapılmadığının tespitini sağlamasıdır. İmza, belgenin belirli özet değeriyle ilişkilidir. Belge içeriği imzadan sonra değişirse özet değeri değişir ve doğrulama işlemi imza bütünlüğünün bozulduğunu gösterir.

Bu nedenle “belgenin görünümü aynı” olması yeterli değildir. Görsel olarak fark edilmeyen küçük bir değişiklik bile kriptografik doğrulamayı etkileyebilir. Doğrulama aracı imzalanan veriyle mevcut verinin aynı olup olmadığını teknik olarak kontrol eder.

Birden fazla imza bulunan dosyada her imzanın hangi belge sürümüne atıldığı da önemlidir. İlk imzadan sonra belge değiştirilmiş ve sonra ikinci imza atılmışsa imza zincirinin yapısı dikkatle incelenmelidir. Kurumsal sistemler nihai sürümü kilitleyip tüm yetkililerin aynı veri üzerinde imza atmasını sağlamalıdır.

E-imzalı belgede zaman damgası nasıl doğrulanır?

Zaman damgası, elektronik veriyi güvenilir zaman bilgisiyle ilişkilendiren ayrı bir kayıttır. Doğrulamada zaman damgasının hangi elektronik sertifika hizmet sağlayıcısı tarafından üretildiği, damga sertifikasının geçerliliği ve damganın ilişkilendirildiği özet değerin belgeyle uyumlu olup olmadığı kontrol edilir.

Zaman damgası bulunması, elektronik imzanın kendiliğinden geçerli olduğu anlamına gelmez. İmza ve zaman damgası ayrı doğrulama unsurlarıdır. İmza kimliği ve belge bütünlüğünü; zaman damgası ise verinin belirli zamandaki varlığını ve işlem zamanını güçlendirir.

Uzun dönem doğrulamada zaman damgası özellikle önem kazanır. Sertifikanın yıllar sonra süresi dolduğunda imzanın hangi tarihte oluşturulduğunu ve o tarihte sertifikanın geçerli olup olmadığını değerlendirmeye yardımcı olur. Ayrıntılı bilgi için Zaman Damgası Nedir? rehberi kullanılabilir.

Sertifikanın süresi dolmuşsa e-imza geçersiz midir?

Bugün sertifika süresinin dolmuş olması, geçmişte geçerli sertifikayla oluşturulmuş imzanın otomatik olarak geçersiz olduğu anlamına gelmez. Esas olan imza anındaki sertifika durumudur. İmza oluşturulduğu tarihte sertifika geçerli, iptal edilmemiş ve diğer doğrulama şartları sağlanmışsa geçmiş imza ayrıca değerlendirilir.

Bu nedenle eski bir elektronik belgenin doğrulanmasında imza zamanı ve varsa zaman damgası önemlidir. Uzun dönem doğrulama bilgileri saklanmışsa sertifikanın geçmiş durumunu tespit etmek kolaylaşır. Yalnız bugünkü sertifika ekranına bakılarak geçmiş imza hakkında kesin sonuç kurulmaz.

Sertifika süresi dolduktan sonra yeni imza oluşturulması için yeni veya yenilenmiş geçerli sertifika gerekir. Süresi dolan sertifika ile sonradan üretilen imza güvenli elektronik imzanın şartlarını karşılamaz.

Sertifika iptal edilmişse belge nasıl değerlendirilir?

İptal kaydının tarihi kritik önemdedir. 5070 m.11, ESHS’nin sertifika iptal zamanını tam olarak tespit etmeye imkân veren kayıt oluşturmasını ve geçmişe yönelik sertifika iptali yapamamasını düzenler. Bu nedenle sertifikanın hangi anda iptal edildiği belirlenebilir.

İmza iptalden önce oluşturulmuşsa sertifikanın o andaki durumu incelenir. İmza iptalden sonra oluşturulmuşsa sertifikanın geçerli olmadığı görülecektir. Token kaybı veya yetkisiz kullanım uyuşmazlığında kayıp zamanı, ESHS’ye bildirim zamanı, iptal zamanı ve imzanın üretim zamanı birlikte karşılaştırılır.

İptal edilmiş sertifikayla oluşturulmuş şüpheli belge alınırsa işlem tamamlanmadan imza sahibiyle güvenilir başka kanaldan teyit yapılması ve özgün dosyanın delil olarak korunması gerekir.

Uzun dönem doğrulama ne demektir?

Elektronik imzalı belgeler bazı sektörlerde yıllarca saklanır. Bu sürede imza sertifikasının ve kök sertifikaların süresi dolabilir, algoritmalar güncellenebilir veya hizmet sağlayıcı altyapısı değişebilir. Uzun dönem doğrulama, belgenin yıllar sonra da imza anındaki geçerlilik durumunun ispatlanabilmesini amaçlayan teknik kayıt setidir.

Bu amaçla imzalı özgün dosya, sertifika zinciri, zaman damgası, SİL veya OCSP durum bilgileri ve doğrulama raporları birlikte saklanabilir. Kullanılan imza formatı uzun dönem doğrulama bilgilerini kendi içinde barındırabilecek yapılara sahip olabilir.

Hukuken önemli olan, sadece dosyanın açılabilir olması değildir. Dosyanın kim tarafından, hangi sertifikayla, hangi zamanda imzalandığının ve o sertifikanın o anda geçerli olduğunun yıllar sonra da doğrulanabilmesi gerekir.

Mahkeme veya uyuşmazlık için hangi kayıtlar saklanmalıdır?

Özgün e-imzalı dosya birinci sırada korunmalıdır. Bunun yanında imza doğrulama raporu, nitelikli elektronik sertifika bilgileri, sertifika seri numarası, imza zamanı, varsa zaman damgası, SİL/OCSP doğrulama sonucu, belgenin gönderim ve teslim kayıtları ile tarafların ilgili yazışmaları saklanmalıdır.

Şirket adına imza atılmışsa ticaret sicili kayıtları, temsil yetkisi, organ kararları ve müşterek temsil şartı da dosyaya eklenmelidir. Bir imzanın teknik olarak geçerli olması, imzalayan kişinin işlemi yapmaya yetkili olduğunu tek başına göstermez.

Belgenin KEP ile gönderildiği durumda KEP delilleri, UYAP üzerinden sunulduğu durumda UYAP işlem kayıtları, şirket belge yönetim sistemi kullanıldıysa sistem logları ayrı katmanlardır. Bu kayıtlar e-imza doğrulamasının yerine geçmez; onu tamamlar.

BTK’nın güncel e-imza açıklamaları için E-İmza Sık Sorulan Sorular ve mevzuat için BTK Elektronik İmza Mevzuatı esas alınmalıdır.

Türkiye geneli ve Mersin uygulaması

E-imza doğrulama kuralları Türkiye genelinde aynıdır. Mersin’de görülen bir ticari dava veya iş uyuşmazlığında belgenin başka şehirdeki ESHS tarafından düzenlenen sertifikayla imzalanmış olması doğrulama metodunu değiştirmez. Sertifika ve imza 5070 sayılı Kanun çerçevesinde incelenir.

Bakırcı & Keskin Hukuk Bürosu açısından elektronik belge uyuşmazlığında “dosya açılıyor ve imza yeşil görünüyor” kontrolü yeterli kabul edilmez. Özgün dosya, sertifika, iptal durumu, imza zamanı, zaman damgası, temsil yetkisi ve gönderim kayıtları birlikte değerlendirilir.

Kurumsal e-imza doğrulama tutanağında hangi bilgiler bulunmalıdır?

Yüksek bedelli veya uzun süre saklanacak elektronik belgelerde doğrulama sonucunun yalnız ekranda görülüp kapatılması yerine kayıt altına alınması daha güvenlidir. Doğrulama tutanağında belge adı ve benzersiz dosya bilgisi, imza sahibinin adı, sertifika seri numarası, sertifikayı düzenleyen ESHS, sertifikanın geçerlilik dönemi, imza zamanı, varsa zaman damgası, SİL veya OCSP sonucu ve belge bütünlüğü sonucu yer almalıdır.

Doğrulama işleminin hangi yazılım ve sürümle yapıldığı da kaydedilebilir. Böylece yıllar sonra kullanılan doğrulama yönteminin ve görülen sonucun izlenmesi kolaylaşır. Kurumsal belge yönetim sistemleri bu raporu otomatik üretebilir; manuel doğrulamada ise PDF veya başka rapor formatı arşivlenebilir.

E-posta eki olarak gelen dosya özgün e-imzalı dosya mıdır?

Dosyanın e-posta eki olarak gelmesi tek başına özgünlüğünü kanıtlamaz. Ek dosya gerçekten güvenli elektronik imza içerebilir; ancak gönderici dosyayı dönüştürmüş, yeniden kaydetmiş veya yalnız taranmış kopya göndermiş olabilir. Dosya açıldığında imza yapısının bulunup bulunmadığı ve doğrulama aracının imzayı geçerli olarak tespit edip etmediği kontrol edilmelidir.

KEP veya kurumsal e-posta ile gönderim, dosyanın hangi adresten geldiğini ve gönderim zamanını ispat bakımından ayrı kayıt sağlar. Buna rağmen ekin kriptografik e-imza doğrulaması ayrıca yapılır. Gönderim kanalının güvenilir olması imza doğrulamasının yerine geçmez.

E-imzaya güvenen üçüncü kişi hangi kontrolleri yapmalıdır?

BTK’nın kullanıcı açıklamalarında, elektronik sertifikaya dayanarak işlem yapan üçüncü kişilerin sertifikanın nitelikli olup olmadığını, iptal ve geçerlilik durumunu ve varsa kullanım sınırlarını kontrol etmesi gerektiği belirtilir. Bu kontrol güvenli doğrulama aracı kullanılarak gerçekleştirilebilir. Özellikle yüksek bedelli sözleşmelerde yalnız karşı tarafın “e-imza geçerli” beyanına güvenilmemelidir.

Şirket adına imzalanan belgede sertifika geçerli olsa bile temsil yetkisi ayrıca araştırılmalıdır. Kişi adına düzenlenen sertifika, tüzel kişi adına sınırsız işlem yapma yetkisi sağlamaz. Ticaret sicili kaydı ve gerekli organ kararları imza doğrulama dosyasına eklenmelidir.

Av. Halil Bakırcı tarafından hazırlanmış, Av. Emirhan Keskin tarafından incelenmiştir.

Yazar Bilgisi

Avukat Halil BAKIRCI, Mersin Barosu 3472 sicil numarasına kayıtlıdır. Bakırcı & Keskin Hukuk Bürosu bünyesinde ceza, aile, iş, gayrimenkul ve ticaret hukuku alanlarında hukuki danışmanlık ve dava takibi sunmaktadır.

İnceleyen: Av. Emirhan Keskin · Mersin Barosu Sicil No: 5507

Av. Halil Bakırcı profilini inceleyin →