Proxy Günlük Kaydı ve Gizlilik
Bir web sitesi sizin IP adresiniz yerine proxy IP adresini görürken proxy sağlayıcısı bağlantıyı hangi müşteri hesabının açtığını bilir. Bunlar aynı isteğin iki farklı görünümüdür. Web sitesinin gördüğü adresi değiştirmek, faaliyetinizi onu taşıyan şirkete görünmez kılmaz.
Proxy günlük kaydı, hizmetin nasıl kullanıldığına ilişkin kayıtların tutulmasıdır: bağlantılar, hedefler, trafik hacimleri, hatalar ve bazı ürünlerde istekler ile yanıtlar. Bu makale sektör genelindeki uygulamaları açıklar. Diğer proxy sağlayıcısı politikalarında olduğu gibi ayrıntılar hizmete bağlıdır. Son bölüm, ProxyCompass’ın hizmet verilerini nasıl işlediğini açıklar.
HTTPS web sitesine bağlanırken proxy sunucusu ne görebilir?
Örnek bir açık artırma düşünün: uygulamanız https://bid.example/lot/218/bids adresine €180 teklif gönderiyor. Normal bir proxy tünelinde HTTPS, uygulamanız ile web sitesi arasındaki alışverişi TLS güvenlik protokolüyle korur. Sağlayıcı bağlanan istemcinin IP adresini, bid.example:443 hedefini ve bağlantı zamanını görebilir; aktarılan veri hacmini de ölçebilir. Tam URL, seçilen lot, istemci işlemi, teklif tutarı, çerezler ve açık artırma yanıtı HTTPS içinde kalır. Doğru sertifika doğrulamasıyla ve araya girme olmadan sağlayıcı bunları okuyamaz.
Alan adı, bu şifreli alışveriş başlamadan önce açığa çıkabilir. HTTP CONNECT normalde hedef ana makineyi ve bağlantı noktasını belirtir. SOCKS5 bir alan adı veya IP adresi alabilir; uygulama proxy sunucusundan alan adıyla bağlanmasını isterse proxy sunucusu bu adı öğrenir. Birden fazla site aynı IP adresini paylaşabileceğinden yalnızca hedef IP adresi belirli bir web sitesini mutlaka tanımlamaz.
Düz HTTP farklıdır: başlıkları, sayfa yolu ve içeriği, isteği taşıyan proxy sunucusuna açıktır. SOCKS5, zaten şifresiz olan bir uygulama alışverişine şifreleme eklemez. SOCKS5 üzerinden HTTPS, HTTPS korumasını korur; SOCKS5 üzerinden HTTP okunabilir kalır.
Şifresi çözülmüş isteği web sitesinin kendisi alır. Gönderdiğiniz giriş bilgilerini, çerezleri ve form alanlarını okuyabilir; proxy IP adresi değiştikten sonra mevcut bir hesabı tanıyabilir. HTTPS aktarım sırasındaki veriyi korur; bu veriyi amaçlanan alıcısından gizlemez.
Bazı proxy sağlayıcıları neden sertifika yüklemenizi ister?
Bazı sağlayıcılar, HTTPS trafiğini inceleyen belirli hizmetler için müşterilerin sağlayıcıya ait kök sertifikaya güvenmesini ister. Bu gereklilik ziyaret edilen web sitesinden değil sağlayıcıdan gelir ve tüm proxy sunucuları için geçerli değildir. ProxyCompass, müşterilerinden ProxyCompass’a ait bir kök sertifika yüklemelerini istemez.
Normal bir HTTPS tünelinde proxy sunucusu isteklerin ve yanıtların içeriğini okuyamaz. Bir hizmetin gönderilen veriyi kontrol etmesi, ona kurallar uygulaması veya web sitesi yanıtlarını analiz etmesi gerekiyorsa bu içeriklere erişmesi gerekir. HTTPS incelemesi bu erişimi sağlar: hizmet, kendisinden geçen trafiğin şifresini çözer.
Kök sertifika, bir uygulamanın diğer sertifikalara güvenmek için temel olarak kullandığı dijital belgedir. Sağlayıcının sertifikasını güvenilenler kümesine eklemek, uygulamanın o sağlayıcının verdiği web sitesi sertifikalarını kabul etmesini sağlar. İnceleme modunda proxy sunucusu web sitesinin asıl sertifikası yerine bunlardan birini sunar. İlgili güven olmadan normal sertifika doğrulaması başarısız olur.
Proxy sunucusu iki ayrı şifreli bağlantı kurar: biri uygulamanızla, diğeri web sitesiyle. Aralarında istekleri ve yanıtları okuyabilir. Örnek açık artırmada bu; tam https://bid.example/lot/218/bids adresini, lot numarasını, gönderilen €180 teklifi, çerezleri ve teklifi kabul eden yanıtı açığa çıkarır. Sağlayıcı, istemcinin web sitesinde gerçekte ne yaptığını görebilir.
Bu gereklilik belirli ürüne, moda ve erişim yöntemine bağlıdır. Web sitesi erişimini otomatikleştiren hizmetlerde veya bir proxy yöneticisinde trafik analizi etkinleştirildiğinde görülebilir. Tek başına “konut” veya “veri merkezi” etiketi, bunun geçerli olup olmadığını söylemez. Bazen sertifikayı yalnızca tek bir betiğe vermeniz yeterlidir; sistemin tamamına yüklemek gereksizdir.
Sertifika yüklemek, tek başına tüm trafiği sağlayıcı üzerinden yönlendirmez. Burada açıklanan erişim, istekler incelemenin etkin olduğu bir hizmetten geçtiğinde oluşur. Yalnızca proxy sunucusunun kendi HTTPS adresini doğrulamak için kullanılan bir sertifika da hedef web sitesine bağlantının içeriğinin şifresinin çözüldüğü anlamına gelmez.
Veriyi okuyabilmek ve onu günlüklere kaydetmek ayrı konulardır. Sertifika, bağlantı içeriğine kimin erişebildiğini açıklamaya yardımcı olur, ancak saklama süreleri veya çalışan erişimi hakkında bir şey söylemez. Sertifika doğrulamasını devre dışı bırakmak da şifreyi çözen hizmetin veriyi görmesini engellemez.
Veri toplama API’leri ve uzak tarayıcılar içeriği alır
Bir Veri Toplama API’sinde hizmete görev verirsiniz: bu URL’yi aç ve sayfayı veya çıkarılan veriyi döndür. Hizmet web sitesine kendi bağlantısını kurar ve yanıtı okunabilir biçimde alır. Sayfayı getiren istemci kendisi olduğu için bunu sertifika yüklemenizi istemeden yapabilir.
Sağlayıcı tarafından barındırılan tarayıcı, sağlayıcının makinelerinde çalışır. Tarayıcıyı kontrol etmek için kullandığınız bağlantı şifreli olsa bile sayfalar, çerezler ve tarayıcı oturumları orada işlenir. Ürüne bağlı olarak göreviniz tam URL’ler, özel başlıklar, çerezler, form verileri ve sayfayla etkileşim talimatları içerebilir.
Bu erişim görevi yapmak için gereklidir. Her sayfanın arşivlendiğini veya çalışanların müşteri sonuçlarını rutin olarak okuduğunu göstermez. Ancak ürünün görevleri ve sonuçları işleme kurallarının önemli olduğu anlamına gelir: normal proxy tünellerini kapsayan bir vaat, API’sini veya barındırılan tarayıcısını kapsamayabilir.
Bir işletme için hassas bilgi, izlenen ürünler listesi, bir arama dizisi veya araştırma hedefleri grubu olabilir. Kaynak sayfaların tamamı herkese açık olsa bile toplama işlemi ve kullanım biçimi ticari bir projeyi açığa çıkarabilir.
Proxy günlüklerinde neler yer alabilir?
Bir sağlayıcı birkaç tür kayıt tutabilir. Bunların birlikte saklanması gerekmez: bir bağlantı hesap numarasına atıfta bulunurken e-posta adresi, sipariş ve ödeme başka sistemlerde bulunabilir.
| Kayıt türü | Olası içerik |
|---|---|
| Bağlantılar | Başlangıç zamanı ve süre, bağlanan IP adresi, siteye ulaşmak için kullanılan proxy IP adresi, hedef adres veya alan adı, bağlantı noktaları ve bağlantı hataları. |
| Kullanım | Aktarılan baytlar, bağlantı sayıları ve hesap veya ücretlendirme dönemi toplamları. |
| Hesap ve erişim | Kayıt bilgileri, oturum açmalar, izin verilen istemci IP adresleri, erişim bilgisi değişiklikleri, siparişler ve ödeme referansları. |
| Destek ve olaylar | Destek talepleri, ekler, web sitesi şikâyetleri ve araştırma kayıtları. |
| İstekler ve sonuçlar | Ürünün okuyabildiği ve ayarlarının kayda izin verdiği durumlarda tam URL’ler, başlıklar, istek gövdeleri veya getirilen sayfalar. |
Bunlar her sağlayıcının mutlaka topladığı bir liste değil, olası kategorilerdir. Bir hizmet, bağlantı açmak için bir değeri saklamadan işleyebilir. Her hedefin kalıcı kaydını tutmadan toplam trafik hacmi sayacı da tutabilir.
Günlükteki istemci IP adresi, proxy sunucusuna doğrudan bağlanan cihazın veya aracının adresidir. Doğrudan bağlantıda genellikle müşterinin genel IP adresidir; önünde başka bir aracı varsa o aracının adresi olabilir.
Günlük tutulmadığı iddiası gerçekte neyi kapsar?
“Trafiğinizin içeriğini saklamıyoruz” ifadesi, hedef alan adlarının, bağlantı zamanlarının ve kullanımın kayıtlarıyla bir arada bulunabilir. “Yalnızca kullanım toplamlarını tutuyoruz” farklı bir düzenlemeyi tanımlar. Kısa bir günlük tutmama etiketi, sağlayıcının bu vaatlerden hangisini verdiğini söylemez.
İddiayı adı geçen veri ve ürünle birlikte okuyun. Sayfa içeriğini, tekil bağlantı kayıtlarını, hedef geçmişini veya üçünü birden mi hariç tutuyor? Yalnızca normal çalışmayı mı, yoksa tanılama günlük kaydını da mı kapsıyor? Hesap, ödeme, destek ve kötüye kullanım sistemlerinde neler kalıyor?
Yalnızca RAM kullanıldığı iddiası, bir saklama yöntemini tanımlar. Bellek temizlenmeden önce bilgilerin başka sisteme gönderilip gönderilmediğini söylemez. Benzer şekilde şifreli saklama, kayıtları belirli yetkisiz erişim türlerine karşı korur; sağlayıcının bunları okuyamadığı anlamına gelmez.
Özel, adanmış veya Elit gibi etiketler bu soruları yanıtlamaz. Proxy sunucusunun başka özelliklerini tanımlarlar. IP denetleyen bir web sitesi, kendisine gelen isteği inceleyebilir; ancak sağlayıcının iç günlük kaydı uygulamalarını doğrulayamaz.
Günlükler arızalarda, ücretlendirmede ve kötüye kullanım bildirimlerinde nasıl yardımcı olur?
Bağlantı kayıtları, kimlik doğrulama hatasını yanıt vermeyen bir hedeften ayırabilir. Kullanım toplamları tükenen trafik kotasını açıklamaya yardımcı olur. Bağlantı kalıplarındaki ani değişim, bozuk bir betiği veya hesabın beklenmedik kullanımını da ortaya çıkarabilir.
Yararlı bir ayrım, başarılı proxy bağlantısı ile başarılı web sitesi isteğidir. Başarılı bir CONNECT yanıtı tünelin açıldığını doğrular. İçeride site yine de CAPTCHA veya HTTP 403 döndürebilir. Normal bir tünel bu şifreli yanıtı okumaz; dolayısıyla bağlantı sonucu ile uygulamanın web sitesi sonucu farklı olabilir.
Hedef web sitesinin başka bir görünümü vardır. Parola tahmin girişimleri alırsa istekleri, proxy IP adresini, zamanı ve diğer bağlantı ayrıntılarını bildirebilir. Sağlayıcının yeterli karşılık gelen kaydı varsa bildirimi o bağlantılarda kullanılan müşteri hesabıyla eşleştirebilir. İstek yolunu web sitesinin şikâyetinden öğrenmek, sağlayıcının asıl HTTPS trafiğinin şifresini çözdüğü anlamına gelmez.
Paylaşımlı bir proxy IP adresi bu eşleştirmeyi engellemez. Ayrıntılı kayıtlar, kimliği doğrulanmış müşteri bağlantısını web sitesine yapılan bağlantıyla ilişkilendirebilir. Kaydediliyorsa milisaniyeler dâhil kesin zaman damgaları, bağlantı noktaları ve hedef, eşzamanlı bağlantıları ayırt etmeye yardımcı olur. Dönen IP adresleri de aynı hesapla bağlantılı kalabilir. Adresi değiştirmek veya paylaşmak sağlayıcının kayıtlarını silmez.
Kayıtlar ne kadar süre kalır?
Bağlantı günlüklerinin, faturaların, destek taleplerinin ve veri toplama sonuçlarının farklı saklama süreleri olabilir. Yararlı bir politika bu süreleri kategoriye göre açıklar veya her kategoriye ne kadar ihtiyaç duyulduğuna karar vermek için kullanılan koşulları belirtir.
Kontrol panelinde görünen geçmiş, mutlaka saklama süresinin tamamı değildir. Arayüz yalnızca yakın tarihli etkinliği gösteriyorsa bu, orada neyi görebileceğinizi söyler. İç kayıtların, olay dosyalarının veya yedeklerin ne zaman silindiğini göstermez.
Bir hesabı kapatmak, ilgili tüm kayıtları mutlaka silmez. Ücretlendirme veya olay kayıtları, bunları tutmak için hukuka uygun neden bulunduğunda kalabilir. Aktif sistemlerden silinme ve yedek kopyaların süresinin dolması farklı takvimlerde de gerçekleşebilir.
Müşterinin adı yerine hesap kimliği koymak, şirket bu kimlikle müşteri arasındaki bağlantıyı tutuyorsa kayıtları anonim yapmaz. İlgili soru, kalan bilginin hâlâ bir hesap veya kişiyle ilişkilendirilip ilişkilendirilemediğidir.
Bilgilere kim erişebilir?
Günlüklerin varlığı ile onları okuma izni farklı konulardır. Destek ekibi bağlantı hatalarına, finans birimi ödeme kayıtlarına ve güvenlik ekibi bir olayla ilgili bilgilere ihtiyaç duyabilir. Gizlilik politikası erişimi ve paylaşımı açıklamalı; güvenlik kontrolleri erişimi ihtiyaç duyan kişilerle sınırlamalıdır.
Bir yeniden satıcı ile proxy ağını işleten şirket kaydın farklı bölümlerini tutabilir. Ödeme işleyicileri, barındırma şirketleri ve destek platformları da belirli verileri işleyebilir. Hangi şirketlerin sürece katıldığını ve hangi bilgileri aldıklarını kontrol edin.
Bir proxy IP adresinin ülkesi, tek başına müşteri kayıtlarının nerede tutulduğunu veya sağlayıcıya hangi hukuk kurallarının uygulandığını belirlemez. Sözleşme yapılan şirket, veri işleme düzenlemeleri ve geçerli hukuk da önemlidir. Bir sağlayıcının bağlayıcı yasal gereklilik kapsamında saklanan bilgileri yetkililere açıklaması gerekebilir. Geçerli koşullar politikasından okunmalıdır; her proxy hizmeti için dünya genelinde tek bir kural yoktur.
İş yükünüz için gizlilik koşullarını seçme
Sayfa içeriğini kendi uygulamanızda tutması gereken bir proje için normal HTTPS tüneli ile yönetilen içerik getirme hizmeti arasındaki ayrım önemlidir. Tünel, bağlantı meta verilerini açığa çıkarırken içeriği aracı için okunamaz tutabilir. Yönetilen API, kendi geliştirme işinizi azaltabilir, ancak görevi ve sonucu alır.
Hedef meta verileri de önemli olabilir. Alan adları listesi, ziyaretlerin zamanlaması ve hacmi, bir ekibin hangi işletmeleri veya pazarları incelediğini ortaya çıkarabilir. İçerik şifrelemesini proje için yeterli koruma saymadan önce bu bilginin hassas olup olmadığına karar verin.
Son olarak destek ekibine kendiniz ne gönderdiğinizi düşünün. Yapılandırma dosyası veya ağ yakalama kaydı, sağlayıcının trafik günlüklerinde hiç yer almayan proxy parolaları, erişim belirteçleri, çerezler ve istek gövdeleri içerebilir. Tanılama materyalini paylaşmadan önce ilgisiz gizli bilgileri kaldırın.
Çalışmaya başlamadan önce seçilen ürünün neleri okuyabildiğini, neleri tuttuğunu, bu kayıtların ne zaman kaldırıldığını ve kimlerin alabileceğini belirleyin. Bu ayrıntılar gizlilik politikasını gerçek bir görev için yararlı kılar.