Kabul Edilebilir Kullanım Politikaları
Bu, proxy hizmetlerindeki kabul edilebilir kullanım kurallarına sektör genelinde bir bakıştır. Aşağıda açıklanan kısıtlamalar farklı sağlayıcılara aittir; ProxyCompass koşulları son bölümde ayrıca belirtilir.
Kabul Edilebilir Kullanım Politikası veya AUP, müşterilerin bir proxy hizmeti üzerinden neler yapabileceğini açıklar. Sağlayıcının hizmet politikalarının bir parçasıdır ve ayrı yayımlanabilir veya Hizmet Koşullarına dâhil edilebilir. Aynı görev için proxy sunucuları tanıtan iki hizmet, görevin farklı yapılma biçimlerine izin verdiğinde politikanın pratik amacı açıklık kazanır.
Örneğin yayımlanmış bir politika, oturum açıldıktan sonra erişilen bilgilerin toplanmasını yasaklar. Bir diğeri, herkese açık olmayan bilgilere izinle erişilmesine olanak tanır. Başka bir hizmette, müşteri web sitesinin sahibi olsa bile yük testi için yazılı onay gerekir. Bu farklar ücretli, teknik olarak çalışan bir proxy sunucusunun işe uygun olup olmadığını belirleyebilir.
Veri toplama: bir sayfa oturum açmayı gerektiriyorsa ne değişir?
Bir şirketin tedarikçisinin web sitesinden fiyat topladığını varsayalım. Bazı fiyatları herkes görebilir; toptan fiyatlar şirket müşteri hesabıyla oturum açtıktan sonra görünür. Şirket için bu tek bir fiyat izleme projesidir. Yalnızca herkese açık veriye izin veren bir AUP açısından ise iki bölüm, izin verilen kullanım sınırının farklı taraflarında kalır: müşterinin kendi geçerli hesabıyla giriş yapması, sağlayıcının kısıtlamasını kaldırmaz.
Herkese açık olmayan verilere izinli erişime olanak tanıyan bir politika, farklı bir değerlendirme sağlar. İlgili soru, müşterinin veri toplama işleminin kendisi için izni olup olmadığıdır. Hesap sayfasını görüntüleme, içeriğini dışa aktarma ve ortaya çıkan verileri yeniden dağıtma izinleri ayrı konulardır. Bir çalışanın içeriği okumasına izin veren abonelik, bir programın bunu kopyalayıp yeniden satmasına mutlaka izin vermez.
Diğer maddeler toplamanın nasıl yapıldığıyla ilgilidir. Yayımlanmış AUP’ler, hedefin robots.txt talimatlarına, API sınırlarına ve teknik istek hızı sınırlarına uyulmasını açıkça şart koşar. Böyle bir madde kapsamında istekleri çok sayıda IP adresine dağıtmak, tek başına yasak veri toplamayı kabul edilebilir kılmaz. Müşteri proxy hizmetini satın alırken bu koşulu kabul etmiştir; bu, her robots.txt talimatının kanun olduğu iddiası değildir.
Sayfaların içeriği de önemlidir. Herkese açık ürün fiyatları ile herkesin görebildiği kişisel iletişim bilgileri farklı verilerdir. AUP’ler, kişisel veri toplamak için hukuki dayanak ve tıbbi bilgiler, çocukların verileri veya kimliği belirlenebilir kişilerin takibi için daha sıkı koşullar isteyebilir. Kısıtlamalar sonradan yayımlamayı veya yapay zekâ eğitimini de kapsayabilir. Bir sayfanın başarıyla indirilmesi bu sonraki kullanımların hiçbirini karara bağlamaz.
Otomasyon ne yaptığına göre değerlendirilir
“Veri toplama aracı”, “bot” ve “sosyal medya aracı” yazılımı tanımlar, ancak davranışı hakkında az şey söyler. Aynı tarayıcı otomasyonu bir reklamı inceleyebilir veya yapay bir ücretli tıklama oluşturabilir. Yayımlanmış AUP’ler aşağıdaki faaliyetleri ayırır; sol sütundaki görevin desteklenmesi, sağdaki işleme izin verildiği anlamına gelmez.
| Bir hizmetin destekleyebileceği görev | Yayımlanmış AUP’lerin kısıtladığı faaliyet |
|---|---|
| Reklam yerleşimini ve görünürlüğünü kontrol etme | Başka bir reklamverenin bütçesini tüketmeyi amaçlayan tıklamalar dâhil sahte gösterimler veya ücretli tıklamalar oluşturma. |
| Arama sonuçlarını ve sıralamaları izleme | Sıralamaları değiştirmek veya trafiği ilgili kullanıcılardan geliyormuş gibi göstermek için yapay tıklamalar oluşturma. |
| Bir işletmenin sosyal medya hesaplarını yönetme | Sahte profiller, yorumlar, takipçiler veya etkileşim oluşturma; toplu hesap kaydı da yasaklanabilir. |
| Bilet fiyatlarını ve bulunabilirliğini izleme | Toplu edinim veya karaborsa satışı için otomatik satın alma. Bazı politikalar bilet satın alma botlarını kategori olarak yasaklar. |
Aynı ayrım, e-posta bağlantı noktaları engellenmişken bile istenmeyen mesaj kuralının neden geçerli olabileceğini açıklar. Mesajlar web sitesinin formları, yorumları veya özel mesaj arayüzü üzerinden gönderilebilir. Bir SMTP bağlantı noktasını kapatmak, e-posta göndermenin bir yolunu önler; her türlü istenmeyen mesajı durdurmaz.
Daha doğrudan kötüye kullanım biçimleri arasında olası parolaları deneyen kaba kuvvet saldırıları ve çalınmış kullanıcı adı-parola çiftlerini sınayan credential stuffing saldırıları vardır. Politikalar ayrıca kimlik avını, çalınmış kart kontrollerini, zararlı yazılım dağıtımını, DDoS saldırılarını ve çocukların istismarı ile telif hakkı ihlalleri dâhil yasa dışı içeriği yasaklar. Bu yasaklar faaliyetin kendisiyle ilgilidir: neredeyse hiç trafik tüketilmese bile az sayıda girişim AUP’yi ihlal edebilir.
Saldırı ve dolandırıcılığın ötesindeki kısıtlamalar
AUP’ler ticari istisnalar da içerir. Gerçekte yayımlanmış listelerde ücretli anketler, oyun içi öğelerin ticareti, yayın hizmetleriyle ilgili alan adları, kripto para ticareti, kumar ve yetişkin içerik bulunur. Bunlar sektör genelinde ortak bir yasak değil, farklı hizmet kurallarından örneklerdir. Bir sağlayıcı, bir ticari faaliyetin her örneğinin suç olduğunu iddia etmeden o faaliyeti kapsam dışında bırakabilir.
Yeniden satış başka bir somut kısıtlamadır. Kiralanan proxy erişim bilgilerine erişimin müşterilere satılması ayrı bir sözleşme gerektirebilir veya standart sözleşmeyle yasaklanabilir. Kontrol panelindeki alt kullanıcı özelliği konuyu çözmez: ayrı erişim bilgileri müşterinin kendi ekibi için tasarlanmış olabilir. Rapor hazırlamak için proxy sunucuları kullanan bir ajans ile proxy erişiminin kendisini satan bir işletme farklı hizmetler sunar.
Bazı koşullar proxy havuzunun kendisini korur. Adresleri ve düğümleri hakkında edinilen bilgilerin, proxy sunucularını tespit eden, IP itibarını değerlendiren veya trafiği engelleyen veritabanlarına verilmesini yasaklar. Örneğin sağlayıcının web sitelerine ulaşırken kullandığı IP adreslerini kataloglamak ve bir proxy tespit veritabanına katkıda bulunmak için erişim kiralamak, hiçbir hedef web sitesine saldırılmasa bile böyle bir maddeyi ihlal edebilir. Kısıtlama ağın ticari değerini korur.
Bu maddeler, AUP’nin neden bir suç listesine indirgenemeyeceğini açıklar. Yasal bir iş modelinin belirli bir hizmete uyup uymadığını belirleyebilir. Şirket içi araştırmadan yeniden satışa veya herkese açık fiyat toplamaktan kişiler hakkında veri kümesi oluşturmaya geçiş, aynı program ve proxy ayarları kullanılsa bile sözleşmesel değerlendirmeyi değiştirebilir.
Kendi web sitenizi test etmek yine de onay gerektirebilir
Bir şirket web sitesini güvenlik açıkları için taraması amacıyla bir yüklenici tutar. Şirket teste izin verebilir, ancak yüklenicinin proxy ağını kontrol etmez. Yayımlanmış proxy kuralları, güvenlik açığı taraması veya stres ve yük testlerinden önce sağlayıcının yazılı iznini açıkça gerektirir. Bu nedenle web sitesi sahibinin izni, iş için gereken onayı her zaman tamamlamaz.
Testi taşıyan ağ da ortaya çıkan trafik ve şikâyetlerle karşılaşır. Bir tarama kararlaştırılmış hedefin dışındaki sistemlere ulaşabilir; yük testi paylaşımlı barındırmayı veya koruma hizmetlerini etkileyebilir. Sağlayıcı bu testlere izin veriyorsa hedefler, yöntemler ve dönem üzerinde anlaşılması, hangi trafiği taşımayı kabul ettiğini belirler. “Güvenlik araştırması” gibi genel bir açıklama bu kapsamı belirlemez.
Proxy üzerinden yapılan faaliyet nasıl kötüye kullanım bildirimine dönüşür?
Bir hedef, proxy sunucusunun kullandığı IP adresini görür. İşletmecisi parola saldırıları veya ağ taraması gözlemlerse kanıtı başlangıçta o adresi gösterir. Bildirim proxy sağlayıcısına veya adresi ve sunucuyu sağlayan barındırma şirketine gidebilir. İkinci durumda proxy satıcısı konuyu kendi tedarikçisinden alır.
Yayımlanmış barındırma belgeleri, böyle bir kanıtın neler içerebileceğini gösterir. Ağ taraması kaydı; zamanı, kaynak IP adresini, hedef IP adresini ve hedef bağlantı noktasını listeler. Örneğin tek bir kaynaktan farklı sunuculardaki 22 numaralı bağlantı noktasına tekrarlanan bağlantılar, SSH hizmetlerinin taranması olarak bildirilebilir. Yoğun trafik saldırısı bildirimi ise paket hızlarını ve hedefe göre trafik özetini içerebilir. Bu kayıtlar farklı olayları tanımlar ve farklı açıklamalar gerektirir.
Sağlayıcının daha sonra dış olayı müşteri faaliyetiyle ilişkilendirmesi gerekir. Adanmış bir adreste tahsis bilgisi yardımcı olabilir; paylaşımlı veya dönen proxy IP adreslerinde tek başına adres yetersiz kalabilir. Müşteriler aynı IP adresini farklı zamanlarda veya eşzamanlı kullanabilir. Kesin zaman, saat dilimi ve mevcut ve ilgiliyse kaynak bağlantı noktaları, bağlantıları ayırt etmeye yardımcı olur. Bu, ağın gerçekten tuttuğu kayıtlara bağlıdır.
Bir şikâyetin ulaştığı zaman, anlattığı faaliyetin zamanından da farklıdır. Destek ekibi müşteriye yazdığında boşta olan bir iş, bildirilen trafiği daha önce üretmiş olabilir. Bu nedenle yalnızca mevcut süreç listesini veya proxy sunucusunun şimdi çalışıp çalışmadığını kontrol etmek bildirimi yanıtlamaz.
Bu süreç, proxy sağlayıcısının her HTTPS sayfasını okumasını gerektirmez. Proxy tünelinden geçen normal uçtan uca TLS’de sayfa yolları, gönderilen parolalar ve yanıt içerikleri şifrelidir. Hedef kendi tarafından kanıt sunabilir; sağlayıcı veya barındırma şirketi ise elindeki ağ bilgilerini kullanır. Sayfaları gerçekten işleyen yönetilen tarayıcı veya veri toplama API’sinin rolü ve görebildikleri farklıdır.
Diğerleri yüklenirken bir hedef neden çalışmayı durdurabilir?
Yaptırım her zaman hesabı devre dışı bırakmaz. Yayımlanmış bir şikâyet işleme prosedürü, yalnızca bildirimde adı geçen web sitesinin veya ana makinenin geçici olarak kısıtlanmasına izin verir. Diğer trafik devam edebilir. Bu durumda müşterinin asıl işi hedefe ulaşamasa bile bir proxy denetim aracı çalışan bağlantı bildirebilir.
Önleyici kurallar da vardır. Bazı hizmetler, banka giriş sayfaları gibi hassas hedeflere istek hızlarını izler ve faaliyet aşırı hâle geldiğinde ek kısıtlamalar uygular. Bu nedenle bir kategori normal kullanımda erişilebilir olsa bile sınırsız otomatik isteğe açık olmayabilir. Bunlar mutlaka aylık trafik kotası değil, hedef kontrolleridir.
AUP ve adil kullanım burada örtüşebilir, ancak müdahale nedeni yine de önemlidir. Fiyat toplayan bir araç, izin verilen bir görevi yaparken ortak bir kaynağı aşırı yükleyebilir. Parola saldırıları çok daha düşük hacimde AUP’yi ihlal edebilir. Daha fazla trafik satın almak, yalnızca ilgili kapasiteyi değiştiriyorsa ilk sorunu çözer; ikinci faaliyete izin vermez.
Altyapıyı sağlayan barındırma şirketi daha geniş bir kısıtlama uygulayabilir. Barındırma kuralları, saldırı ve taramalardan sonra tek IP adresinin, birkaç adresin veya tüm sunucunun kilitlenmesini açıklar. Bu altyapıyı kullanan bir proxy satıcısının erişim geri gelmeden önce olayı barındırma şirketiyle çözmesi gerekebilir. Aynı faaliyeti sürdürürken proxy IP adresini değiştirmek nedeni ortadan kaldırmaz.
Evrensel bir uyarı sırası da yoktur. Bazı politikalar, ilk ihlalden sonra askıya alma hakkını saklı tutarken sorunu müşteriyle çözme girişimlerini açıklar. Yayımlanmış hesap sistemleri de kötüye kullanım bildirimini, tespit edilen AUP ihlalini ve ödeme dolandırıcılığı sorununu ayırır. Müşteri kısıtlamanın belirtilen nedenini ve kapsamını bilmelidir; tek başına “askıya alındı” sözcüğü bu bilgiyi vermez.
Trafiği bir yüklenici veya başka bir kullanıcı gönderdiyse
Proxy erişim bilgileri birden fazla uygulamaya kurulmuş veya bir ajansa verilmiş olabilir. Sağlayıcı koşulları, o erişim üzerinden yapılan faaliyetten hesap sahibini sorumlu tutabilir. Sağlayıcının ilişkisi hizmeti satın alan müşteriyle olduğundan, programı bir yüklenicinin çalıştırdığı açıklaması tek başına olayı çözmez.
Pratik görev, bildirilen zamanda erişim bilgilerini hangi uygulamanın veya kişinin kullandığını belirleyip ilgili faaliyeti durdurmaktır. Erişim sızdıysa açığa çıkan erişim bilgilerinin iptal edilmesi veya değiştirilmesi gerekir. Hizmet destekliyorsa ayrı erişim bilgileri ve görev kayıtları bu işi kolaylaştırabilir. Bunlar AUP’ye istisna oluşturmaz.
Hesap kısıtlamaları, sağlayıcının kendi kurallarını aşma girişimlerini de kapsayabilir: yasaktan sonra yeni hesaplar açmak, belirtilen koşullara aykırı biçimde tekrarlı deneme talep etmek veya kimlik doğrulamasından kaçınmak. Yeni hesap veya yeni tahsis edilmiş IP adresi, aynı yasak işlemi onaylı hâle getirmez.
Ücretli pakete ve bakiyesine ne olur?
Birkaç olası mali sonuç vardır ve bunlar ayrı tutulmalıdır. Biri, şikâyetin işlenmesindeki çalışma için alınan ücrettir. Diğeri, ihlal nedeniyle sözleşme feshedildiğinde kullanılmamış hizmet hakkının kaybıdır. Üçüncüsü, müşterinin davranışından kaynaklanan belirli üçüncü taraf taleplerini veya masraflarını karşılama yükümlülüğüdür. Proxy paketi için ödenen tutar bu yükümlülüklerin tamamını mutlaka sınırlamaz.
Bunlar gerçek sözleşmesel farklardır. Yayımlanmış koşullar, ihlal nedeniyle fesih sonrasında kullanılmamış kredilerin kaybını içerirken sağlayıcının kendi tercihiyle hizmeti bitirmesine farklı işlem uygular. Bazıları, uyum nedeniyle askıya almanın aboneliği veya kredilerin geçerliliğini otomatik olarak uzatmadığını da belirtir. Bu nedenle boşta kalan bir hesap, ücretli süresinin mutlaka durduğu anlamına gelmez.
Şikâyet işleme ücretinin sektör genelinde standart bir tutarı yoktur. Bunu ödemek, sözleşmede belirtilen ücreti karşılar; yasak faaliyeti sürdürme izni satın almaz veya yeniden erişimi garanti etmez. Buna karşılık yalnızca bir bildirimin gelmesi de tüm mali sonuçları belirlemez. Kısıtlama veya fesih için ilgili gerekçeler ve geçerli ödeme hükümleri, vazgeçilemez yasal haklar saklı kalmak üzere sözleşmesel sonucu belirler.
Destek ekibi sizinle iletişime geçtiğinde ne gönderilmeli?
Destek ekibinin bildirimde açıklanan faaliyet hakkında yanıt alması gerekir. “Proxy çalışıyor”, “paketin ücreti ödendi” ve “yalnızca veri topluyoruz” ifadeleri bildirilen bağlantıları neyin oluşturduğunu belirlemez. Yararlı bir yanıt, olayı müşterinin gerçek işiyle ilişkilendirir ve neler yapıldığını açıklar.
- Etkilenen işi duraklatın; ayarlarını ve mevcut günlüklerini saklayın. Mesajı aldığınız zamanı değil, saat dilimiyle birlikte bildirilen faaliyetin zamanını kullanın.
- Erişimi kullanan uygulamayı, zamanlanmış görevi, çalışanı veya yükleniciyi belirleyin. Hedefi ve proxy IP adresini kayıtlarınızla karşılaştırın. Eksik ayrıntıları sağlayıcının destek kanalından isteyin.
- Nedeni ve yaptığınız değişikliği açıklayın: örneğin işin durdurulması, istenmeyen hedefin kaldırılması veya açığa çıkan erişimin iptal edilmesi. Önceden kararlaştırılmış test için yazılı izni ve kapsamını ekleyin.
- Hangi kısıtlamanın sürdüğünü ve izin verilen işin yeniden başlamasından önce sağlayıcının ne istediğini doğrulayın. Neden çözülmeden aynı işlemi başka bir IP adresinde yeniden başlatmaktan kaçının.
Sağlayıcı destek talebi, kontrol paneli formu veya özel bir yanıt süreci kullanabilir. Bazı hizmetler şikâyet metnini ve durumunu API üzerinden sunar. Bunlar olayı ele alma yollarıdır; hiçbiri yeniden erişim için evrensel bir süre belirlemez. Müşterinin yanıtını inceleme süresi de hizmeti yeniden etkinleştirme vaadinden farklıdır.