VoIP güvenli mi? Tarayıcıdan yapılan bir arama neyi korur, neyi açığa çıkarır

VoIP kullanmak güvenli mi?

Sıradan aramalar için evet. Tarayıcıdan yapılan arama WebRTC kullanır ve standart, sesin şifresiz gönderilmesini yasaklar; bu yüzden Wi-Fi'ınızı paylaşan biri aramanızı öylece dinleyemez ^[1]. VoIP'nin değiştirdiği şey gizli dinleme değil güvendir: aramanızı ve kayıtlarını dürüstçe işlemesi için hizmete güvenirsiniz ve telefon hattının size verdiği acil aramalar ve insanların tanıdığı bir arayan numara gibi şeyleri kaybedersiniz.

Önemli olan ayrım, iki kişinin de aynı uygulamayı kullandığı uygulamadan uygulamaya arama ile sıradan bir telefon numarasını çaldıran arama arasındaki ayrım. Her biri için sık sorulan altı soruyu sağlayıcıların kendi belgelerinden yanıtladım.

Aşağıda karşılaştırılan hizmetlerden yalnızca TextNow ve Google Voice'un ücretli planları acil aramaları desteklediğini söylüyor; diğerleri bunları kapsam dışında tutuyor ya da hiçbir şey söylemiyor.

Konuşmanın kendisi için en gizli seçenek, uçtan uca şifreli uygulamadan uygulamaya aramadır. Sıradan telefonlara ulaşmak için ise tarayıcıdan arama aşağı yukarı seçtiğiniz hizmet kadar gizlidir; aşağıdaki bölümler bir hizmeti nasıl değerlendirdiğimi gösteriyor.

WebRTC güvenli mi?

Evet, bir teknoloji olarak savunmacı biçimde tasarlanmış. Arkasındaki IETF standardı her aramada şifreli ses ve bir sayfa mikrofonunuzu kullanmadan önce açık izin istiyor; tarayıcılar da mikrofonu yalnızca güvenli (HTTPS) sayfalara sunuyor ^[1][19]. Bilinen zayıf noktası gizli dinleme değil gizlilik: bir aramanın kurulması IP adreslerinizi hizmete gösterebiliyor.

Chrome standardın üzerine kendi denetimlerini ekliyor. Bir arama sitesi mikrofonu istediğinde, siteyi ziyaret ettiğiniz süre boyunca izin verebilir, yalnızca bu sefer izin verebilir ya da hiç izin vermeyebilirsiniz; ayrıca bir site, siz başka bir sekmede veya başka bir uygulamadayken kayda başlayamaz ^[20]. Bir kez kullanmayı düşündüğüm bir arama hizmetinde "Bu sefer izin ver" seçeneğini seçiyorum.

WebRTC eklenti veya ek yazılım gerektirmiyor ^[21]; bu yüzden sizden bir uzantı ya da masaüstü uygulaması kurmanızı isteyen bir "ücretsiz arama" sayfası, tarayıcıdan aramanın ihtiyaç duyduğundan fazla erişim istiyor demektir.

IP adresleri konusunda IETF'nin kendi belgesi, WebRTC'nin VPN'inizin genel adresini ve bölünmüş tünelli (split-tunnel) bir VPN'de altındaki internet sağlayıcısının adresini öğrenebileceğini söylüyor ^[22]; Messenger'ın yardım sayfası da bire bir aramaların IP adresinizi karşı tarafın cihazıyla paylaştığını ekliyor ^[23]. Bunu nasıl test edip sınırlayacağınızı WebRTC sızıntısı rehberimde anlattım.

Bir aramanın sekmeden çalan telefona kadar izlediği yol için tarayıcıdan yapılan bir aramanın telefona nasıl ulaştığına bakın.

Tarayıcıdan yaptığım aramayı kim duyabilir veya görebilir?

Dört taraf: aradığınız kişi; ağ geçidi tarayıcı sesini sıradan bir telefon aramasına çeviren, üzerinden aradığınız hizmet; karşı taraftaki, aramayı diğer tüm aramalar gibi işleyen telefon operatörleri; ve hesabınızı veya bilgisayarınızı kontrol eden herkes. Hizmet ve operatörler, yalnızca WhatsApp veya Telegram gibi uçtan uca şifreli uygulamadan uygulamaya aramalarda konuşmanın kendisinin dışında tutulur.

Konuşma: iletim sırasında şifreli, uçtan uca değil

Sitenin sponsoru TwinPhone sınırı açıkça belirtiyor: kendi kontrolündeki sinyalleşme ve medya iletim sırasında TLS ve SRTP ile şifreleniyor, son operatör ayağı ise alıcının operatörünün güvenlik modelini izliyor ^[4]. Yolla, web uygulamasının oturum açarken veya arama yaparken şifreli bir bağlantı kullandığını söylüyor ^[24]. Google Meet varsayılan olarak iletim sırasında şifreliyor ve isteğe bağlı uçtan uca şifrelemeyi yalnızca kişisel hesaplar arasındaki aramalarda sunuyor ^[25][26].

Bir web arama hizmetindeki "uçtan uca" ifadesine temkinli yaklaşın. PopTox'un ana sayfası uçtan uca WebRTC şifrelemesi vaat ediyor, ancak en son 23 Şubat 2016 tarihinde güncellenen koşulları verilerin şifresiz aktarılabileceğini söylüyor ^[27][28]. Sabit hattı çaldıran bir aramanın şifresinin önce bir ağ geçidinde çözülmesi gerekir; bu yüzden sıkı anlamda uçtan uca olamaz.

Kayıtlar: kim, ne zaman, ne kadar süre

Google'ın gizlilik politikası, hizmetleriyle yapılan aramalarda numaranızı, arayan ve aranan numaraları, saati, süreyi ve yönlendirmeyi toplayabileceğini söylüyor ^[5]; Google Voice'un yardım sayfası da arama, SMS ve sesli mesaj bilgilerini sakladığını söylüyor ^[29]. Call2Friends aranan numarayı, tarihi ve süreyi kaydediyor ve arama içeriğini saklamadığını söylüyor ^[10]. Globfone aranan numarayı, saati, süreyi ve arama durumunu listeliyor ^[30].

Bu, "VoIP aramaları takip edilebilir mi?" sorusunu da yanıtlıyor: evet, bu kayıtlar aracılığıyla. Örneğin Google, yasal bir sürece veya uygulanabilir bir resmî talebe yanıt vermek için gerekli olduğuna inandığında kişisel bilgileri paylaştığını söylüyor ^[5]. Kayıt konusunda TwinPhone kişisel aramaların kaydedilmediğini söylüyor ^[14].

Hizmet hizmet gizlilik ve acil aramalar

WhatsApp ve Telegram aramaları uçtan uca şifreliyor, ancak yalnızca kendi kullanıcılarına ulaşıyor. Google Meet uçtan uca şifrelemeyi isteğe bağlı sunuyor, Teams (ücretsiz) ise yalnızca veri şifrelemesi vaat ediyor ^[26][31]. Telefonları çaldıran hizmetler en fazla kendi ağ geçitlerine kadar şifreliyor. Acil arama sunduğunu söyleyenler yalnızca TextNow ve ücretli planlarında Google Voice.

Telefonda tüm sütunları görmek için tabloyu yana kaydırın.

TwinPhone telefonları çaldıran hizmetler arasında yer alıyor: iletim sırasında şifreli ama uçtan uca değil, acil arama yok ve numara kiralamadıkça ya da kendi numaranızı doğrulamadıkça ortak bir arayan numara gösteriyor ^[4][7][14]. Gizlilik açısından lehine olan nokta, kaydın telefon numarası olmadan bir e-posta veya Google hesabıyla yapılması ^[17]. Fiyatlar, kapsama ve genel puanlarım için karşılaştırdığım tüm hizmetlerin yan yana listesine bakın.

Google Voice güvenli mi?

Evet, bazı çekincelerle. Google Voice Google hesabınız üzerinde çalışıyor ve kaydı çoğundan daha sıkı: gerçek bir telefona SMS kodu ve yeni numaralar için resmî kimlik kontrolü ^[16][34]. Google'ın yardım sayfalarında Voice aramaları için uçtan uca şifreleme iddiası bulamadım; Google arama kayıtlarını tutuyor ve ücretsiz plan 911'i arayamıyor. En çok dikkat edeceğim risk bir saldırı değil, bir dolandırıcılık.

Dolandırıcılık bu kayıt kodu üzerinden işliyor. FTC, size bir Google Voice doğrulama kodu SMS ile gönderten ve ardından bu kodu sizden isteyen yabancılara karşı uyarıyor; kodu verirseniz telefon numaranıza bağlı bir Google Voice numarası oluşturmaya çalışıyorlar ^[45]. Sizinle ilk iletişime geçen kişi kim olursa olsun ona asla bir doğrulama kodu okumayın.

• Google'ın, şifreniz çalınırsa ek bir güvenlik katmanı sağladığını söylediği 2 Adımlı Doğrulama'yı açın ^[46].
• Voice numaranızın görünmesini istemediğiniz aramalarda arayan kimliğinizi gizleyin ^[47].
• Acil durumlar için bir telefon bulundurun: Google'ın yardım sayfası Google Voice ile acil arama yapamayacağınızı söylüyor ve 911 yalnızca ücretli Starter, Standard ve Workspace hesaplarıyla sınırlı ^[33][9].

Kişisel Google Voice hesapları yalnızca ABD'de açılabiliyor ^[48]. Bu durum ya da kimlik kontrolü sizi dışarıda bırakıyorsa, Google Voice alternatifleri hakkındaki notlarım seçenekleri karşılaştırıyor.

Ücretsiz arama siteleri güvenli mi?

Açmak çoğunlukla güvenli, ancak her biri hakkında az şey bildiğiniz bir işletmeciye güvenmenizi istiyor. İncelediğim ücretsiz arama hizmetleri teknolojiden çok belgelerde ayrışıyor: onları kimin işlettiği, neyi kaydettikleri, şifreleme hakkında ne iddia ettikleri ve hangi numarayı gösterdikleri.

Bir numara yazmadan önce neleri kontrol ediyorum

• Adı belli bir işletmeci. Bir şirketin ve ülkenin adını veren koşullar size hesap sorabileceğiniz birini verir; şablon metinli koşullar ise kimseyi vermez.
• Neyin kaydedildiğini listeleyen bir gizlilik politikası. Call2Friends ve Globfone tam olarak neyi tuttuklarını söylüyor; bu bana ayrıntısız bir vaattan daha çok şey anlatıyor.
• İndirme yok. Tarayıcıdan arama yalnızca mikrofon izni gerektirir; bu yüzden uzantı ya da kurulum dosyası dayatan her ücretsiz arama sayfasını kapatıyorum.
• Kart bilgileri yalnızca işletmecinin adı belliyse. Globfone kartları Stripe üzerinden kontrol ediyor ve karttan ücret alınmadığını söylüyor ^[43]; hiçbir şirketin adını vermeyen bir arama hizmetine kart numarası yazmazdım.

StartACall, HelloAirDial ve MySecondLine konusunda dikkatli olun. 1 Kasım 2026 tarihinde sitelerini okuduğumda StartACall'un koşullarında geçerli hukukun yazılması gereken yerde bir şablon yer tutucusu vardı ^[53], HelloAirDial'ın koşulları hiçbir şirketin veya yargı yetkisinin adını vermiyordu ^[54], MySecondLine'ın ana sayfasında da "Lorem ipsum" dolgu metni görünüyordu ^[55]. Hiçbirine numaramı ya da kartımı vermezdim. Hangi ücretsiz arama hizmetlerinin hâlâ çalıştığı ve belirttikleri sınırlar incelediğim ücretsiz tarayıcı arama hizmetlerinde.

Acil aramalar ve arayan numara: önce bilinmesi gereken iki sınır

Çoğu kişi için iki boşluk şifrelemeden daha önemli. Birçok tarayıcı hizmeti 911, 112 veya 999'u bağlayamıyor, diğerleri de bu konuda bir şey söylemiyor; bu yüzden bir tarayıcı telefonu asla tek telefonunuz olmamalı. Ayrıca karşı tarafın gördüğü numara hizmete bağlı: sizin numaranız, kiralık bir numara ya da ortak bir numara olabilir; bu da kimin açacağını ve sizi geri arayıp arayamayacaklarını etkiler.

Acil aramalar

WhatsApp'ın koşulları acil durum hizmetlerini kapsam dışında tutuyor, TwinPhone ve Yolla bunları arayamıyor, Google Voice ise 911'i yalnızca ücretli Starter, Standard ve Workspace hesaplarında destekliyor ^[6][7][8][9]. İstisna, ABD ve Kanada'da 911'i sınırlı olarak yönlendiren TextNow ^[11]; ayrıntılar ve ABD dışında ne yapılacağı bilgisayardan acil arama rehberimde.

Arayan numara

Yolla kendi numaranızı, Google Voice Voice numaranızı, PopTox ise herkes için tek bir ortak numarayı gösteriyor ^[13][33][15]; TwinPhone, numara kiralamadıkça ya da kendi numaranızı doğrulamadıkça geri aranamayan ortak bir numara gösteriyor ve size ait olduğunu kanıtlayamadığınız bir numarayı göstermiyor ^[14]. Bir bankayı veya bir ofisi ararken bunun neden önemli olduğunu arayan numara açıklamamda anlattım.

Tarayıcıdan aramalar nasıl daha güvenli hale getirilir

Altı alışkanlık risklerin çoğunu karşılıyor ve hiçbiri teknik beceri gerektirmiyor. Bunları en çok koruyandan, yani doğru arama türünü seçmekten başlayarak, tarayıcıdan arama yapan herkesin bulundurması gereken yedeğe, acil servislere ulaşabilen bir telefon hattına doğru sıraladım.

1. Özel bir konuşma için uçtan uca şifreli, uygulamadan uygulamaya bir arama kullanın. WhatsApp Web artık bu tür aramaları tarayıcıda yapıyor, ancak özellik hâlâ dağıtılıyor ^[56][57].
2. Mikrofon iznini site site verin, tek seferlik arama hizmetlerinde "Bu sefer izin ver" seçeneğini seçin ve eski izinleri Chrome'un site ayarlarından kaldırın ^[20].
3. Arama yaptığınız hesapta 2 Adımlı Doğrulama'yı açın; böylece çalınan bir şifre tek başına hesabı açmaya yetmez ^[46].
4. Sizinle iletişime geçen birine asla doğrulama kodu okumayın ^[45].
5. Bir bankayı, doktoru veya resmî bir daireyi aramadan önce hizmetinizin hangi arayan numarayı gösterdiğini kontrol edin; ortak bir numara yanıtsız kalabilir.
6. 911, 112 veya 999 için bir cep telefonunu veya sabit hattı elinizin altında tutun.

Bu rehberde

• Rehberler

  Bilgisayardan 911 ya da 112'yi aramak: ne çalışıyor, ne engelli ve yerine ne kullanmalı

  Bilgisayardan 911 aranır mı? Hangi tarayıcı ve VoIP servislerinin 911, 112 ya da 999'a bağlandığını, kuralların ne istediğini ve alternatifleri inceledim.

• Açıklamalar

  WebRTC sızıntı testi: tarayıcıdan yapılan bir arama IP adresiniz hakkında neleri ele veriyor

  WebRTC sızıntı testi nasıl yapılır, sonuç nasıl okunur, tarayıcıdan aramada IP'nizi kim görür? İncelediğim Chrome, Firefox, Brave, Safari ve VPN ayarlarıyla.

• Açıklamalar

  VoIP'te arayan numara: tarayıcıdan aradığınızda karşı taraf hangi numarayı görür?

  Tarayıcıdan aramada görünen numara ortak bir numara, hizmetin verdiği numara ya da doğruladığınız cep numaranız olabilir. Hangisinin ne gösterdiğini kıyasladım.

Sık sorulan sorular