Ücretsiz Proxy ve Web Proxy Siteleri Güvenli mi?

Bir sitenin başka bir ülkeden nasıl göründüğüne bakmak istiyorsunuz ya da IP adresinizin görünmesini istemiyorsunuz. Arama motoruna "ücretsiz proxy" yazdığınızda iki tür sonuç çıkıyor: adres kutusuna site adını yazıp girdiğiniz web proxy siteleri ve yüzlerce IP adresiyle port numarasının sıralandığı listeler. İkisi de para istemiyor, ikisi de bir dakikada çalışıyor. Akla gelen soru da hep aynı: bu kadar kolay ve bedava olan bir şey güvenli mi?

Bu yazıda iki türün nasıl çalıştığını, bu sunucuları kimin işlettiğini ve parayı nereden kazandığını anlatıyoruz. HTTPS'in sizi nereye kadar koruduğunu, akademik ölçümlerin ne bulduğunu ve bu adreslerin neden sürekli engellendiğini ele alıyor, sonunda hangi işte kabul edilebilir sorusunu bir tabloyla cevaplıyoruz. Yazıda ücretsiz proxy listesi ya da site önerisi yok; nedenini okudukça göreceksiniz.

Ücretsiz proxy nedir, kaç türü var?#

Proxy, internete sizin yerinize çıkan aracı bir sunucudur. Siz isteği proxy'ye gönderirsiniz, proxy siteye iletir, cevabı da size geri getirir. Site sizin adresinizi değil, proxy'nin adresini görür. Konunun temelini Proxy Sunucu Nedir ve Nasıl Çalışır? yazımızda anlattık; burada yalnız ücretsiz olanlara bakıyoruz.

"Ücretsiz proxy" adı altında üç ayrı şey dolaşır ve riskleri aynı değildir:

• Web proxy siteleri. Tarayıcıda açtığınız bir sayfadır. Ortasındaki kutuya gitmek istediğiniz sitenin adresini yazarsınız, site o sayfayı kendi içinde açar. Kurulum ya da ayar gerekmez. CroxyProxy bu türün en bilinen adlarından biridir; aşağıda anlatılanlar tek bir servisin değil, türün çalışma biçimidir.
• Açık proxy listeleri. 203.0.113.10:8080 gibi satırlardan oluşan, sürekli yenilenen listelerdir. Buradaki adresi tarayıcınızın ya da işletim sisteminizin proxy ayarına elle girersiniz. Listeyi yayınlayan site bu sunucuların sahibi değildir, yalnızca internette açık bulduğu adresleri toplar.
• Ücretsiz proxy ve VPN uygulamaları, tarayıcı eklentileri. Tek tuşla açılıp kapanan araçlardır. Arkalarında yukarıdaki iki modelden biri ya da kendi sunucuları vardır.

Listelerde adreslerin yanında "şeffaf", "anonim" ya da "elite" gibi etiketler görürsünüz. Bu etiketler proxy'nin sizin gerçek IP adresinizi siteye iletip iletmediğini anlatır, sunucunun güvenilir olup olmadığını değil. Ayrıntısı Şeffaf, Anonim ve Elite Proxy Farkları Nedir? yazımızda.

Ücretsiz proxy'leri kim işletir, parayı nereden kazanır?#

Bir sunucuyu çalıştırmak para tutar: elektrik, bant genişliği, bakım. Birisi bunu herkese bedava açıyorsa ya haberi yoktur ya da gelirini başka bir yerden sağlıyordur. Açık listelerdeki adreslerin kaynağı kabaca dört gruba ayrılır:

1. Yanlış yapılandırılmış sunucular. Bir şirketin ya da okulun kendi içinde kullanmak için kurduğu proxy, bir ayar hatası yüzünden dışarıya açık kalmıştır. Sahibi fark edince kapatır. Listelerdeki adreslerin birkaç saat ya da birkaç gün içinde ölmesinin bir nedeni budur.
2. Ele geçirilmiş cihazlar. Zararlı yazılım bulaşmış bir bilgisayar, modem ya da internete bağlı başka bir cihaz, sahibinin haberi olmadan proxy olarak çalıştırılır. Bu durumda trafiğiniz bir yabancının evindeki cihazdan geçer ve o cihazı yöneten kişi bir saldırgandır.
3. Bilerek açılan sunucular. İşleten kişi gelen trafiği izlemek, sayfalara reklam eklemek ya da kullanıcı verisi toplamak için sunucuyu açık bırakır. Güvenlik araştırmacıları da saldırı trafiğini gözlemlemek için benzer tuzak sunucular kurar; iki durumda da trafiğiniz kayıt altındadır.
4. Gönüllüler ve deneme amaçlı sunucular. Kötü niyet taşımayanlar da vardır. Sorun şu ki listeye bakarak hangisinin hangi gruba girdiğini ayırt edemezsiniz.

Web proxy sitelerinde gelir modeli daha görünürdür: sayfanın üstüne ve altına eklenen reklamlar, ücretli pakete yönlendirme, bazı durumlarda kullanım verisi. Reklamla ayakta durmak kötü niyet göstermez. Ama servisi kimin işlettiği, kayıtları ne kadar tuttuğu ve kiminle paylaştığı çoğu zaman yazılı değildir; yazılı olsa da denetleyemezsiniz.

Web proxy sitesi nasıl çalışır?#

Web proxy sitesi, normal bir proxy'den farklı bir yol izler. Tarayıcınız hedef siteye hiç bağlanmaz; yalnızca web proxy sitesiyle konuşur. Adımlar şöyledir:

1. Web proxy sitesini açarsınız ve kutuya hedef sitenin adresini yazarsınız.
2. Servisin sunucusu o sayfayı sizin yerinize, kendi bağlantısıyla indirir.
3. İndirdiği sayfanın içindeki bütün bağlantıları, resimleri ve formları kendi adresinden geçecek biçimde yeniden yazar.
4. Değiştirilmiş sayfayı, çoğu zaman üstüne kendi çubuğunu ya da reklamını ekleyerek size gönderir.
5. Bir bağlantıya tıkladığınızda ya da bir form doldurduğunuzda istek yine önce servise gider ve aynı döngü tekrarlanır.

Bu düzenin güvenlik açısından önemli bir sonucu var. Tarayıcınızın adres çubuğunda hedef sitenin değil, web proxy sitesinin adı yazar. Gördüğünüz kilit simgesi de tarayıcınız ile web proxy sitesi arasındaki bağlantıya aittir. Hedef siteyle şifreli bağlantıyı kuran taraf servistir; şifreyi çözen de odur. Sayfayı yeniden yazabilmesi için içeriği düz metin olarak görmesi zaten şarttır.

Pratikte bu şu demek: web proxy sitesi üzerinden bir hesaba giriş yaparsanız kullanıcı adınız, parolanız ve giriş sonrası oluşan oturum çereziniz servisin sunucusundan okunabilir biçimde geçer. Servisin bunları kaydedip kaydetmediğini bilmenin bir yolu yoktur.

Web proxy sitelerinde videoların takılması, giriş yapınca sayfanın bozulması ya da düğmelerin çalışmaması da aynı nedenden kaynaklanır. Bugünkü siteler sayfayı tarayıcıda çalışan programlarla kurar ve servis bu programların içindeki bütün adresleri doğru biçimde yeniden yazamaz.

HTTPS sizi ne kadar korur?#

Adresi https:// ile başlayan bir siteye, listeden aldığınız bir IP:port proxy'si üzerinden girdiğinizde tarayıcınız proxy'ye CONNECT adı verilen bir istek gönderir. Bu istekte yalnızca gitmek istediğiniz sitenin adı ve port numarası yazar. Proxy bağlantıyı kurar, sonrasında iki yönde akan veriyi içine bakmadan taşır. Mozilla'nın geliştirici belgeleri bu davranışı CONNECT yöntemi sayfasında anlatır. Şifreleme sizin tarayıcınız ile hedef site arasında kurulduğu için proxy sayfanın içeriğini, parolanızı ya da çerezlerinizi okuyamaz.

Bu koruma gerçektir, ama üç sınırı vardır:

• Hangi siteye, ne zaman, ne kadar veriyle bağlandığınız görünür. Site adı CONNECT isteğinde açıkça yazar. İçerik gizlidir, ziyaret kaydı değildir.
• Şifresiz sayfalarda hiçbir koruma yoktur. Adresi http:// ile başlayan bir sayfa proxy'den düz metin olarak geçer. Chrome bu sayfalarda adres çubuğunda "Güvenli değil" yazar ve Google'ın site bağlantısı güvenliği yardım sayfası nedenini açıkça söyler: başka biri gönderdiğiniz ve aldığınız bilgileri görüntüleyip değiştirebilir. Arada kimliği belirsiz bir proxy varsa o "başka biri" artık varsayım değildir.
• Sertifika uyarısı korumayı sizin elinize bırakır. Proxy şifreli bağlantının arasına girmeye çalışırsa tarayıcınız sahte sertifikayı fark eder ve tam sayfa bir uyarı gösterir. Uyarıyı geçip siteye devam ederseniz korumayı kendiniz kapatmış olursunuz. Bir proxy servisi ya da uygulaması sizden cihazınıza "sertifika yüklemenizi" istiyorsa amaç tam olarak bu uyarıyı susturmaktır; yüklemeyin.

Web proxy sitelerinde bu bölümdeki koruma geçerli değildir. Orada tünel kurulmaz, şifreyi servis çözer.

Araştırmalar ücretsiz proxy'lerde ne buldu?#

Bu konuda korku pazarlaması yapmak kolaydır; internette kaynağı belirsiz yüzdeler dolaşır. Biz yalnızca hakemli iki akademik ölçüme bakıyoruz. İkisi de 2018'de yayınlandı, yani rakamlar o dönemin listelerini anlatır; bugünün oranı diye okunmamalıdır. Mekanizmalar ise değişmedi.

FORTH, Kıbrıs Üniversitesi ve Stony Brook Üniversitesi araştırmacıları açık HTTP proxy'lerini iki ay boyunca izledi ve sonuçları NDSS 2018'de yayınladı. Sayfayı getirebilen, yani çalışan proxy'lerin %38'i içinden geçen sayfada bir değişiklik yapıyordu. Bunların çoğu zararsızdı. Aynı proxy'lerin %5,15'i ise araştırmacıların kötü niyetli ya da istenmeyen saydığı bir değişiklik yapıyordu: bu grubun %47'si sayfaya reklam, %39'u kullanıcıyı izlemeye ve parmak izi çıkarmaya yarayan kod ekliyor, %12'si kullanıcıyı zararlı yazılım barındıran sayfalara yönlendirmeye çalışıyordu.

Georgetown ve Northeastern üniversitelerinden bir ekip aynı yıl daha geniş bir ölçüm yaptı: 50 gün boyunca, liste sitelerinde yer alan 107 binden fazla açık proxy ve 13 milyon istek. ACSAC 2018'de sunulan çalışmaya göre listelerdeki proxy'lerin %92'sinden fazlası isteklere hiç cevap vermiyordu. Çalışanlar arasında sayfaya kripto para madenciliği kodu ekleyenler, şifreli bağlantının arasına girmeye çalışanlar ve proxy üzerinden indirilen programların içine uzaktan erişim truva atı yerleştirenler tespit edildi.

İki çalışmadan çıkan sonuç abartıya gerek bırakmıyor. Açık proxy'lerin çoğu kötü niyetli değil, çoğu zaten çalışmıyor. Ama kötü niyetli olanlar var, listede diğerlerinden ayırt edilemiyor ve karşılaştığınızda kaybınız bir reklamdan bir hesabın ele geçirilmesine kadar uzanabiliyor.

Ücretsiz proxy neden yavaş ve neden sürekli engelleniyor?#

Güvenlik bir yana, ücretsiz proxy'ler çoğu zaman işi de görmez. Bunun üç nedeni var.

Çoğu ölüdür. Liste sitesi adresi bir kez bulur ve yayınlar; sunucu o gün kapanmış olabilir.

Çalışanı herkes kullanır. Listeyi sizinle aynı anda binlerce kişi görür ve çalışan birkaç adrese yüklenir. Sunucunun bant genişliği bu kadar kişiye bölününce sayfalar geç açılır, videolar takılır.

Adresin sicili bozuktur. Siteler gelen bağlantının IP adresine bakar. Aynı adresten kısa sürede binlerce farklı kişinin ve otomatik programın isteği geliyorsa site o adrese güvenmez: doğrulama kutusu çıkarır, "olağandışı trafik" uyarısı verir ya da doğrudan engeller. Açık proxy adresleri ayrıca IP kara listelerine ve risk puanı veritabanlarına hızla girer. Bu mekanizmaları IP Kara Liste Nedir, Kara Listeden Nasıl Çıkılır? ve IP Fraud Score Nedir? yazılarımızda, paylaşılan adresin genel etkisini de CGNAT Nedir? yazımızda anlattık. Karşılaştığınız ekran "VPN veya proxy algılandı" diyorsa o uyarının yazısı, Google'ın olağandışı trafik sayfasıysa bu yazı nedenini açıklar.

Ücretsiz uygulamalar ve eklentilerde ek risk#

Ücretsiz proxy ya da VPN uygulamalarında bir risk daha vardır: bazıları yalnızca sizin trafiğinizi taşımaz, sizin bağlantınızı da başkalarına kullandırır. Kullanım şartlarının derinlerinde, cihazınızın internet bağlantısının başka kullanıcıların trafiği için çıkış noktası olmasına izin verdiğiniz yazar. Böyle bir uygulama kuruluyken tanımadığınız birinin yaptığı işlem, dışarıdan sizin ev adresinizden yapılmış gibi görünür.

Tarayıcı eklentilerinde de dikkat gerekir. Proxy eklentisi çalışabilmek için geniş izinler ister ve bu izinler işleteni belirsiz bir eklentiye verildiğinde web proxy sitesindeki durumun benzeri oluşur. Eklenti kuracaksanız yayıncısı belli, içinde hazır sunucu gelmeyen ve yalnızca sizin girdiğiniz proxy adresini kullanan bir araç seçin.

Hangi işte kabul edilebilir, hangisinde asla?#

Ücretsiz proxy'nin her kullanımı aynı riski taşımaz. Ölçüt basit: o bağlantıdan geçen bilgi başkasının eline geçse ne kaybedersiniz?

• Oturum açmadan, herkese açık tek bir sayfaya bakmak. Bir haber sitesinin ya da ürün sayfasının başka bir ülkeden nasıl göründüğünü merak ediyorsunuz. Risk düşüktür; gördüğünüz sayfanın değiştirilmiş olabileceğini aklınızda tutun ve hiçbir şey indirmeyin.
• Proxy'nin ne olduğunu öğrenmek. Ayarın nereye girildiğini görmek için bir kez denemek makuldür; deneme bitince ayarı kapatın. Proxy'nin çalışıp çalışmadığını ve adresinizi sızdırıp sızdırmadığını Proxy Nasıl Test Edilir? ve WebRTC ve DNS Sızıntısı Nedir? yazılarımızda gösterdik.
• E-posta, sosyal medya, oyun hesabı. Kullanmayın. Web proxy sitesinde parolanız doğrudan görünür. IP:port proxy'de HTTPS sizi korur, ama tek bir sertifika uyarısını geçmek ya da tek bir şifresiz sayfa yeter.
• Banka, ödeme, e-Devlet, iş hesapları. Asla. Burada tartılacak bir fayda yok.
• Düzenli ya da iş amaçlı kullanım. Hesap yönetimi, fiyat takibi ya da veri toplama gibi işlerde adresin size ait olması ve yarın da çalışması gerekir; ücretsiz bir adres bunu sağlayamaz. Paylaşımsız adresin ne demek olduğunu Private Proxy Nedir? yazımızda, işe göre tür seçimini Proxy Satın Alırken Nelere Dikkat Edilmeli? yazımızda bulabilirsiniz.

Bir not: proxy'nin ücretsiz ya da ücretli olması, onunla yapılan işin yasal olup olmadığını değiştirmez. Okulunuzun ya da iş yerinizin ağ kurallarını web proxy sitesiyle dolanmak da hem o kuralları çiğner hem de yukarıdaki risklerin hepsini o ağa taşır.

Veri toplama işinde ücretsiz liste neden pahalıya patlar?#

Bu bölüm, bir öğrenci projesi ya da küçük bir veri toplama işi için ücretsiz listeyi düşünen geliştiricilere. Uygulamada üç kalem bu hesabı bozar.

İlki zamandır. Listedeki adreslerin çoğu cevap vermediği için programınız vaktini zaman aşımı bekleyerek ve yeniden deneyerek geçirir. Çalışan adresler de kara listede olduğundan hedef site 403 ya da 429 döner; bu kodları Scraping'de HTTP Hata Kodları yazımızda anlattık. İkincisi veri kalitesidir. Aradaki sunucu sayfaya reklam ya da kod ekliyorsa topladığınız veri kirlenir ve bunu çoğu zaman fark etmezsiniz. Üçüncüsü güvenliktir. İsteğinize eklediğiniz API anahtarı ya da oturum çerezi, şifresiz bir bağlantıda o sunucudan okunabilir biçimde geçer.

Öğrenme amaçlı bir projede çoğu zaman proxy'ye hiç gerek yoktur: isteklerinizi seyrek gönderin ve sitenin robots.txt kurallarına uyun. Ücretsiz listeye başvurmak bu üç kalemi birden üstlenmek demektir; kazandığınızı sandığınız para, kaybedilen saatler ve güvenilmez veri olarak geri döner.

Ücretsiz proxy kullandıysanız ne yapmalısınız?#

Geçmişte ücretsiz bir proxy üzerinden hesaplarınıza girdiyseniz şu adımları atın:

1. Proxy ayarını kapatın. Windows 11'de Ayarlar > Ağ ve internet > Proxy ekranında Proxy sunucusu kullan anahtarının kapalı olduğundan emin olun. Telefonda ayar Wi-Fi ağının ayrıntılarındadır; yerini Android Proxy Ayarları ve iPhone Proxy Ayarları yazılarımızda gösterdik.
2. Kullanmadığınız proxy ve VPN uygulamalarını, eklentilerini kaldırın. Yalnızca kapatmak yetmez; arka planda çalışmaya devam edebilirler.
3. O dönemde giriş yaptığınız hesapların parolasını değiştirin. Bunu proxy kapalıyken, kendi bağlantınızdan yapın. Aynı parolayı başka sitelerde de kullanıyorsanız onları da değiştirin.
4. Açık oturumları kapatın. Çoğu platformun güvenlik ayarlarında "tüm cihazlardan çıkış yap" seçeneği vardır. Bu, ele geçmiş olabilecek oturum çerezlerini geçersiz kılar.
5. İki adımlı doğrulamayı açın. Parolanız sızmış olsa bile ikinci adım girişi durdurur.

Sık yapılan hatalar#

• Kilit simgesini görüp güvende olduğunu sanmak. Web proxy sitesinde kilit, sizinle servis arasındaki bağlantıyı gösterir. Hedef siteyle aranızdaki uçtan uca şifrelemeyi göstermez.
• Sertifika uyarısını geçmek. Proxy açıkken çıkan sertifika uyarısı, birinin araya girmeye çalıştığının en açık işaretidir.
• "Elite" etiketini güvence sanmak. Etiket, sunucunun IP adresinizi siteye iletmediğini söyler. Sunucunun trafiğinizi kaydetmediğini söylemez.
• Ayarı açık unutmak. Sistem proxy ayarı açık kaldığında bütün tarayıcı trafiğiniz günlerce o sunucudan geçer. Sunucu öldüğünde ise internetiniz "proxy sunucusu yanıt vermiyor" hatasıyla kesilir.
• Proxy üzerinden program indirmek. Ölçümlerde indirilen dosyaların içine zararlı yazılım yerleştiren sunucular tespit edildi. Kurulum dosyalarını kendi bağlantınızdan, resmî kaynağından indirin.

Karar rehberi#

Sıkça sorulan sorular#

Ücretsiz proxy kullanmak tehlikeli midir?#

İşe göre değişir. Oturum açmadan herkese açık bir sayfaya bakmak düşük risklidir. Parola, kart bilgisi ya da kişisel veri girdiğiniz her işte tehlikelidir, çünkü trafiğiniz kim olduğunu bilmediğiniz birinin sunucusundan geçer.

Web proxy sitesinde girdiğim parolayı servis görebilir mi?#

Evet. Web proxy sitesi hedef sayfayı kendi sunucusunda açıp yeniden yazdığı için formlara yazdıklarınızı, parolanız ve oturum çereziniz dahil, düz metin olarak görür. Kaydedip kaydetmediğini dışarıdan doğrulayamazsınız.

HTTPS kullanıyorsam ücretsiz proxy güvenli hale gelir mi?#

Kısmen. Cihazınızın proxy ayarına girdiğiniz IP:port türü bir proxy'de HTTPS sayfanın içeriğini ve parolanızı korur. Hangi siteye ne zaman girdiğiniz yine görünür, şifresiz sayfalar korunmaz ve bir sertifika uyarısını geçtiğiniz anda koruma biter. Web proxy sitelerinde ise HTTPS sizi servise karşı korumaz.

Güncel proxy listelerindeki adresler neden çalışmıyor?#

Listelerdeki adreslerin büyük bölümü yanlışlıkla açık kalmış ya da ele geçirilmiş sunuculardır ve sahibi fark edince kapanır. Liste siteleri adresi bir kez bulup yayınlar, sürekli denetlemez. 2018'deki geniş ölçümde listelenen proxy'lerin %92'sinden fazlası isteklere cevap vermiyordu.

Ücretsiz proxy ile ücretli proxy arasındaki asıl fark nedir?#

Hız farkı da var, ama asıl fark bilinirliktir. Ücretsiz bir sunucuda işleteni, gelirinin kaynağını ve kayıt tutup tutmadığını dışarıdan doğrulayamazsınız; sorun çıktığında başvuracağınız bir muhatap da yoktur. Listedeki bir adresi ayrıca sizinle birlikte onu bulan herkes kullanır, yani adres kimseye kapalı değildir; kimlik doğrulama yöntemlerini Proxy Kimlik Doğrulama yazımızda anlattık.

Ücretsiz proxy yerine VPN kullanmak daha mı güvenli?#

Ücretsiz olduğu sürece aynı soru VPN için de geçerlidir: sunucuyu kim işletiyor ve parayı nereden kazanıyor? VPN bütün trafiği şifreli bir tünele alır, ama tünelin öbür ucundaki sunucu yine trafiğinizin geçtiği yerdir. İki aracın farkını Proxy ve VPN Farkı yazımızda karşılaştırdık.

Özet#

Web proxy siteleri sayfayı kendi sunucusunda açtığı için parolalarınız dahil her şeyi görür. Listelerdeki IP:port proxy'lerinde HTTPS içeriği korur, ama hangi siteye girdiğiniz görünür, şifresiz sayfalar değiştirilebilir ve sunucuyu kimin işlettiği bilinmez. 2018 tarihli hakemli ölçümler bu sunucuların çoğunun çalışmadığını, çalışanların bir kısmının da sayfalara reklam, izleme kodu ve zararlı yazılım eklediğini gösterdi. Hesap ve ödeme işlerinde ücretsiz proxy kullanmayın; daha önce kullandıysanız ayarı kapatıp parolalarınızı yenileyin. Ölçü basit: bir adresi kimin işlettiğini doğrulayamıyorsanız, o adresten geçen her şeyin bir yabancının elinde olabileceğini varsayın.