Tüm makalelerThis document is also available in English →
Blog18 Temmuz 20269 dk okuma2033 kelime

Türkiye'de Captive Portal Uygulamalarında T.C. Kimlik No Doğrulama Servisinin Kapatılması

NVİ'nin herkese açık T.C. kimlik doğrulama web servisi (tckimlik.nvi.gov.tr) 30 Eylül 2025'te kalıcı olarak kapatıldı. Kapatmanın nedenleri, hukuki dayanağı, captive portal / hotspot sektörüne etkisi, KPS'ye kimlerin erişebildiği ve işletmeler için alternatif doğrulama yöntemleri.

#tc kimlik doğrulama#nvi#kps#captive portal#hotspot#5651#sms otp

1. Yönetici Özeti

Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü (NVİ), yıllardır ücretsiz ve herkese açık şekilde hizmet veren tckimlik.nvi.gov.tr adresindeki public T.C. kimlik doğrulama web servislerini (KPSPublic SOAP servisleri) programatik erişime kapattı. Kapatma kararı, 5490 sayılı Nüfus Hizmetleri Kanunu'nun 45. maddesine dayanılarak oluşturulan Veri Paylaşımı Kurulu'nun 2025/4 sayılı kararı ile alındı. Kapanış önce 1 Ağustos 2025 olarak duyuruldu, kurumların entegrasyon süreçlerinin yetişmemesi nedeniyle 30 Eylül 2025 tarihine ertelendi ve bu tarih itibarıyla servisler kalıcı olarak kapandı.

Bu servis, Türkiye'de 5651 sayılı kanun kapsamında misafir Wi-Fi (captive portal / hotspot) sunan otellerin, kafelerin, AVM'lerin, okulların, hastanelerin ve kurumların en yaygın kullandığı kimlik doğrulama altyapısıydı. Kullanıcının girdiği TCKN + ad + soyad + doğum yılı bilgisi, oturum açılmadan önce bu ücretsiz servisten anlık doğrulanıyordu. Servisin kapanmasıyla bu yöntem Türkiye genelinde çalışamaz hale geldi ve sektör hızla SMS OTP başta olmak üzere alternatif yöntemlere yöneldi. Kimlik doğrulaması yapmak isteyen kuruluşlar için resmi yol artık Kimlik Paylaşımı Sistemi'ne (KPS) kayıt olup sorgu başına ücretli (katılma paylı) KPSv2 servislerini kullanmaktır.

2. Kapatılan Servis Neydi, Nasıl Çalışıyordu?

tckimlik.nvi.gov.tr altında yayınlanan KPSPublic SOAP web servisleri (örn. https://tckimlik.nvi.gov.tr/service/kpspublic.asmx), herhangi bir sözleşme, API anahtarı veya ücret gerektirmeden çağrılabiliyordu. En çok kullanılan metotlar şunlardı: TCKimlikNoDogrula (TCKN + ad + soyad + doğum yılı ile vatandaş doğrulama), kişi ve cüzdan/kimlik kartı doğrulama ve yabancı kimlik numarası doğrulama servisleri.

Captive portal senaryosunda akış tipik olarak şöyleydi: misafir Wi-Fi ağına bağlanan kullanıcı karşısına çıkan portal sayfasına TCKN, ad, soyad ve doğum yılını girer; hotspot yazılımı bu bilgileri NVİ servisinden anlık doğrular; doğrulama başarılıysa kullanıcıya internet erişimi açılır ve 5651 kapsamındaki trafik logları bu doğrulanmış kimlikle eşleştirilerek zaman damgalı şekilde saklanırdı.

Servisin cazibesi ücretsiz, hızlı ve resmi kaynaktan olmasıydı; bu nedenle yalnızca hotspot sektöründe değil, üyelik/abonelik sistemlerinde, CRM'lerde, randevu ve kayıt platformlarında, e-ticaret ve eğitim platformlarında da (ör. sözleşme oluşturma adımlarında) yaygın biçimde kullanılıyordu.

3. Kapatma Kararı: Tarihçe ve Hukuki Dayanak

Kararın hukuki zemini 5490 sayılı Nüfus Hizmetleri Kanunu'nun nüfus verilerinin paylaşımını düzenleyen 45. maddesi ve bu maddeye dayanılarak oluşturulan Veri Paylaşımı Kurulu'dur. Kurulun 2025/4 sayılı kararı iki temel değişiklik getirdi: birincisi, KPS'deki "Tüm Kütük Doğrulama Servisi"ne "Seri No" alanının eklenmesi (yani doğrulamada artık kimlik kartı seri numarasının da sorgulanabilmesi, ki bu kartı fiilen elinde bulundurmayı kanıtlamaya yönelik bir güvenlik güçlendirmesidir); ikincisi, tckimlik.nvi.gov.tr adresindeki herkese açık web sayfası doğrulama servislerinin kapatılmasıdır.

Zaman çizelgesi şöyle işledi: kapanış ilk olarak 01.08.2025 için duyuruldu; kurumların KPS entegrasyon süreçleri devam ettiği için tarih 30.09.2025'e uzatıldı; 30 Eylül 2025 itibarıyla programatik (API/web servis) erişim kalıcı olarak sonlandırıldı. Önemli bir ayrıntı: tckimlik.nvi.gov.tr üzerindeki ekran hizmeti (tarayıcıdan tek tek manuel sorgu yapılan form sayfası, ör. /Modul/TcKimlikNoDogrula) vatandaş kullanımına açık kalmaya devam etti. Kapatılan şey, yazılımların otomatik çağrı yapabildiği web servisleridir.

4. Neden Kapatıldı?

Resmî gerekçe kimlik doğrulama yetkisinin tek merkezde (KPS ve e-Devlet Kapısı) toplanması, yani merkezileştirmedir. Bunun arkasındaki motivasyonlar birkaç başlıkta toplanabilir.

Veri güvenliği ve kötüye kullanım riski en önde gelen etkendir. Servis tamamen anonim ve limitsiz çağrılabildiği için, TCKN + ad + doğum yılı kombinasyonlarını deneme-yanılma ile doğrulamak (bir tür "oracle" olarak kullanmak) mümkündü. Türkiye'de yıllardır süren büyük çaplı kişisel veri sızıntıları — 2023'te kamuoyuna yansıyan e-Devlet verilerinin çalındığı iddiaları ve vatandaş bilgilerinin satıldığı yasadışı "sorgu paneli" siteleri — bu tür açık servislerin sızdırılmış verileri teyit etmek ve zenginleştirmek için kullanılabildiğini gösterdi. Kapatma, bu ekosisteme karşı alınan tedbirler zincirinin bir halkası olarak okunmaktadır.

İkinci etken KVKK/GDPR uyumu ve hesap verebilirliktir: kimin, hangi amaçla, kimi sorguladığının izlenemediği anonim bir doğrulama servisi, kişisel verilerin korunması mevzuatının veri işleme ilkeleriyle bağdaşmıyordu. KPS modelinde ise her kurum ikili anlaşmayla tanımlanır, hangi servise hangi kapsamla erişebileceği belirlenir ve tüm sorgular loglanır. Üçüncü etken ise mali boyuttur: ücretsiz public servis kapanırken, aynı işlev sorgu başına katılma payı alınan KPS'ye taşınmıştır.

5. Captive Portal / Hotspot Sektörüne Etkisi ve 5651 Boyutu

5651 sayılı "İnternet Ortamında Yapılan Yayınların Düzenlenmesi..." Kanunu ve ilgili yönetmelikler, ticari amaçla toplu internet kullanımı sağlayanlara (oteller, kafeler, restoranlar, AVM'ler vb.) iç ağ trafik kayıtlarını (IP dağıtım logları, zaman damgalı erişim kayıtları) tutma yükümlülüğü getirir. Mevzuat belirli bir kimlik doğrulama yöntemini (TCKN veya SMS) açıkça zorunlu kılmaz; asıl beklenti, bir hukuki olay hâlinde trafiğin hangi kullanıcıya ait olduğunun tespit edilebilmesidir. TCKN doğrulaması bu tespiti güçlendiren, ücretsiz olduğu için de fiilî standart hâline gelmiş bir yöntemdi.

Servisin kapanmasının pratik sonuçları şunlar oldu: TCKN doğrulamalı portal kurulumlarında doğrulama adımı çalışmaz hâle geldi ve üreticiler ürünlerine güncelleme/duyuru yayınlamak zorunda kaldı. Doğrulama yapılamadığında iki risk doğar: ya portal sahte/uydurma TCKN girişlerini kabul eder ve tutulan loglar gerçek kişiyle eşleşmez (5651'in amacını boşa düşürür), ya da işletme doğrulamayı tamamen kaldırıp erişimi açar. Bu nedenle sektör, kullanıcıyı fiilen tanımlayabilen SMS OTP'ye kitlesel olarak geçti; zira bir GSM numarası, abonelik kaydı üzerinden kişiye ulaşmayı zaten mümkün kılar.

Ayrıca geliştirici ekosistemi de etkilendi: NVİ servisini saran açık kaynak kütüphaneler ve REST API projeleri "KAPATILDI" notuyla arşivlendi; TCKN doğrulamasıyla sözleşme oluşturan bazı SaaS platformları bu özelliklerini askıya aldı.

6. Yeni Resmî Yol: Kimlik Paylaşımı Sistemi (KPS)

Kimlik doğrulamasına devam etmek isteyen kuruluşlar için resmî kanal artık KPS'dir. KPS, MERNİS'te tutulan nüfus kayıtlarının kamu kurumları ve diğer tüzel kişilerle çevrimiçi, 7/24 ve denetlenebilir biçimde paylaşılmasını sağlayan sistemdir. Erişim modeli şöyledir: kuruluş kpsbasvuru.nvi.gov.tr üzerinden başvurur; NVİ ile başvuran kurum arasında hangi servislere, hangi veri kapsamıyla erişilebileceğini tanımlayan ikili anlaşma/protokol imzalanır; erişim KPSv2 web servisleri üzerinden, kurum kimliğiyle ve loglanarak yapılır.

Ücretlendirme tarafında, 27 Haziran 2020'de Resmî Gazete'de yayımlanan "Kimlik Paylaşımı Sistemi Katılma Payı Usul ve Esasları Hakkında Tebliğ" sorgu başına katılma payını 3 kuruş olarak belirlemiş ve her yıl yeniden değerleme oranında artırılmasını hükme bağlamıştır; bu tutar yeniden değerleme artışlarıyla 2025 itibarıyla sorgu başına yaklaşık 0,23 TL seviyesine gelmiştir (sektör kaynaklarının aktardığı rakam). 5018 sayılı kanun kapsamındaki kamu kurumları (2.000'i aşkın kurum) sistemden ücretsiz yararlanırken, özel hukuk tüzel kişileri katılma payı ödeyerek yararlanır. Ayrıca katılma payına zaman zaman yüksek oranlı güncellemeler yapıldığı (ör. %50'lik artış haberleri) basına yansımıştır.

Captive portal özelinde pratik gerçek şudur: KPS başvurusu, protokol süreci ve teknik entegrasyon (KPSv2, seri no alanı dahil) küçük bir kafe veya otelin tek başına yürütebileceği bir süreç değildir; üstelik aşağıdaki bölümde açıklandığı üzere, özel sektör şirketlerinin büyük çoğunluğu KPS'ye erişim hakkına zaten sahip değildir.

7. KPS'yi Kimler Kullanabilir? Şirketler Hotspot İçin KPS'ye Erişebilir mi?

Bu sorunun cevabı mevzuatta nettir ve captive portal işleten işletmeler açısından belirleyicidir: KPS, başvuran her şirkete açık bir sistem değildir.

7.1. Mevzuatın çizdiği çerçeve

KPS'den kimlerin yararlanabileceği 5490 sayılı Nüfus Hizmetleri Kanunu'nun 45. maddesinde sınırlı sayma (numerus clausus) yöntemiyle belirlenmiştir. NVİ'nin resmî sık sorulan sorular sayfasında da teyit edildiği üzere KPS'ye başvurabilecek olanlar şunlardır:

  1. Kamu kurum ve kuruluşları (5018 sayılı kanun kapsamındakiler sistemden ücretsiz yararlanır),
  2. Kamu hizmeti sunan tüzel kişilikler (ör. elektrik/su/doğalgaz dağıtım şirketleri gibi kamu hizmeti imtiyazıyla çalışan kuruluşlar),
  3. Bankalar ve Risk Merkezi ile bilgi paylaşımı amacıyla kurulmuş şirketler,
  4. Sigorta ve emeklilik şirketleri,
  5. Finansal kiralama ve finansman şirketleri,
  6. Sermaye piyasası aracı kurumları ve portföy yönetim şirketleri,
  7. Ödeme hizmeti sağlayıcıları.

Başvurular kpsbasvuru.nvi.gov.tr üzerinden tamamen elektronik ortamda (e-imza ile) yapılır ve Veri Paylaşımı Kurulu tarafından değerlendirilir; Kurul hangi kurumun hangi servise, hangi veri kapsamıyla erişeceğini belirler. Erişim hakkı kazanan kuruluşla NVİ arasında amaç, hukuki dayanak, yetki-sorumluluk ve güvenlik tedbirlerini içeren taahhütname/ikili anlaşma imzalanır.

7.2. Sıradan bir şirket hotspot için KPS kullanabilir mi? — Hayır

Herhangi bir sektörde faaliyet gösteren sıradan bir özel şirket (otel, kafe, AVM, fabrika, bilişim firması, restoran zinciri vb.) yukarıdaki kategorilerin hiçbirine girmediği için KPS'ye doğrudan başvuramaz ve misafir Wi-Fi (hotspot) kimlik doğrulaması için KPS'yi kullanamaz. Kanunda sayılan finans/sigorta kuruluşları dışındaki özel sektör işletmeleri hizmetin kapsamı dışındadır.

Bunun ötesinde ikinci bir engel daha vardır: amaç sınırlaması. 5490 md. 45/3 uyarınca KPS'den veri alan kuruluşlar bu bilgileri "tanımlanmış hizmetlerin yerine getirilmesi dışında başka hiçbir amaçla" kullanamaz. Yani KPS erişimi olan bir banka bile bu erişimi yalnızca taahhütnamede tanımlı bankacılık işlemleri için kullanabilir; şubelerindeki misafir Wi-Fi portalında KPS sorgusu çalıştırması amaç dışı kullanım olur ve erişimin iptali dahil yaptırım doğurur.

7.3. Kimler hotspot senaryosunda KPS'yi (meşru olarak) kullanabilir?

Pratikte KPS üzerinden TCKN doğrulamalı captive portal sürdürebilecek olanlar esasen kamu tarafıdır: belediyeler (halka açık şehir Wi-Fi'ları), üniversiteler, kamu hastaneleri, bakanlıklar ve diğer kamu kurumları — bunlar zaten KPS'nin doğal kullanıcısıdır ve taahhütnamelerine bu kullanım amacını ekletebildikleri ölçüde doğrulamaya devam edebilirler. Hotspot/güvenlik duvarı üreticilerinin ürünlerine ekledikleri "NVİ KPSv2" doğrulama seçenekleri de ancak müşterinin kendi KPS erişimi ve kurum kimlik bilgileri varsa çalışır; üretici firmanın kendi üzerinden tüm müşterilerine toplu KPS doğrulaması sunması mevzuata uygun bir model değildir (veri, alıcı kurum adına ve onun taahhütnamesi kapsamında sorgulanmak zorundadır).

Sonuç: özel sektörde captive portal işleten işletmeler için TCKN doğrulamasının resmî bir geri dönüş yolu fiilen yoktur; bu işletmeler için hukuken güvenli yol SMS OTP ve benzeri, kullanıcıyı GSM aboneliği üzerinden tespit edilebilir kılan yöntemlerdir.

8. Captive Portal İçin Alternatif Doğrulama Yöntemleri

Bugün sahada uygulanabilir yöntemler ve değerlendirmeleri şöyledir:

SMS OTP (tek kullanımlık şifre): Yeni fiilî standart. Kullanıcı GSM numarasını girer, SMS ile gelen kodla oturum açar. Kimlik tespiti GSM aboneliği üzerinden dolaylı ama güçlüdür; yabancı misafirler de (roaming'deki numaralarıyla) kapsanabilir. Maliyeti SMS başına ücrettir ve bir toplu SMS sağlayıcısıyla anlaşma gerektirir.

KPSv2 üzerinden TCKN doğrulama (yalnızca erişim hakkı olanlar için): KPS kaydı ve ikili anlaşması olan kuruluşlar için TCKN doğrulaması sorgu başına ücretle sürdürülebilir. Bölüm 7'de açıklandığı üzere bu yol yalnızca kamu kurumları, kamu hizmeti sunan tüzel kişilikler ve kanunda sayılan finans/sigorta kuruluşlarına açıktır; sıradan özel şirketler bu seçeneği kullanamaz.

Sponsorlu / e-posta onaylı erişim: Misafirin erişimi, kurum içindeki bir "sponsor" personelin onayıyla veya e-posta aktivasyonuyla açılır. Kurumsal misafir ağları için uygundur; kimlik tespiti sponsora dayanır.

Otel senaryosu — PMS entegrasyonu: Oda numarası + soyad ile doğrulama. Otel zaten yasal olarak (1774 sayılı Kimlik Bildirme Kanunu ve KBS üzerinden) konaklayanın kimliğini aldığı için, Wi-Fi oturumunu konaklama kaydına bağlamak hem 5651 hem KVKK açısından temiz bir çözümdür.

Kullanıcı adı/şifre, voucher/bilet kodu: Kayıt masasında kimlik gösterilerek alınan tek kullanımlık kodlar; kongre, etkinlik ve misafirhane senaryolarında kullanılır.

Doğrulamasız açık erişim: Teknik olarak mümkün olsa da, bir olay hâlinde kullanıcı tespiti yapılamayacağı için ticari toplu kullanım sağlayıcılar açısından hukuki risk taşır; önerilmez.

KVKK perspektifinden not: TCKN özel önem taşıyan bir veri olmasa da veri minimizasyonu ilkesi gereği "gerekmedikçe toplanmaması gereken" bir tanımlayıcıdır; KVKK Kurumu otelcilik sektöründe kimlik fotokopisi alınmasını dahi ilke kararıyla sınırlamıştır. Bu açıdan SMS OTP'ye geçiş, birçok uzmana göre misafir Wi-Fi'da TCKN toplamaktan daha uyumlu bir pratiktir: hem kimlik tespiti amacını karşılar hem de işletmenin elinde TCKN havuzu birikmesini önler.

9. Değerlendirme ve Öneriler

Kapatma, tekil bir teknik karar değil; Türkiye'de kişisel verilerin devlet servisleri üzerinden kontrolsüz doğrulanmasının önünü kesmeye yönelik bir politika değişikliğidir. Kısa vadede hotspot sektöründe kesinti ve maliyet (SMS/KPS ücretleri) yaratmış, orta vadede ise kimlik doğrulamayı kayıt altındaki kanallara (KPS, e-Devlet) taşımıştır.

Halen TCKN doğrulamalı captive portal işleten veya kuran bir kuruluş için önerilen yol haritası:

  1. Portaldaki NVİ public servis entegrasyonunu devre dışı bırakın — servis artık yanıt vermiyor ve sahte girişleri engelleyemiyor.
  2. Birincil yöntem olarak SMS OTP'ye geçin, yabancı misafirler için pasaport no + SMS akışını açın.
  3. Müşteri kamu kurumu ya da 5490 md. 45'te sayılan kuruluşlardan biriyse KPS başvurusunu (kpsbasvuru.nvi.gov.tr) başlatın ve hotspot üreticinizin KPSv2 modülünü kurumun kendi erişim kimliğiyle yapılandırın — bunun dışındaki özel şirketler için KPS seçeneği mevcut değildir.
  4. 5651 log imzalama ve zaman damgası düzeninizi değiştirmeyin — değişen şey loglama değil, yalnızca oturum öncesi kimlik tespit yöntemidir.
  5. KVKK tarafında aydınlatma metinlerinizi yeni yönteme (GSM numarası işleme) göre güncelleyin ve eski TCKN kayıtlarınız için saklama/imha politikanızı gözden geçirin.

SignLogger Kullanıcıları İçin Not

SignLogger'ın Hotspot Yönetimi / Captive Portal modülü, NVİ public servisine bağımlı olmayan doğrulama yöntemlerini — SMS OTP, kullanıcı adı/parola, sponsor onaylı form doğrulaması ve LDAP — hazır olarak sunar; 5651 kapsamındaki log imzalama ve zaman damgası düzeni bu geçişten etkilenmez. Kurulum adımları için Captive Portal Kullanım Kılavuzu'na göz atabilirsiniz.

10. Kaynaklar (Resmî Kurumlar)

Son güncelleme: 13 Ağustos 2026

SignLogger ile ilgili sorularınız mı var?

İletişime geçin