Uygulama kaynağı nasıl doğrulanır: mağaza, dosya, profil

Bir sitenin alt bilgisinde "Android" ve "iOS" yazan iki bağlantı görüldüğünde akla ilk gelen, iki uygulama indirme sayfasıdır. 4 Kasım 2026'da Betroy'un alt bilgisinde okunan iki bağlantı başka bir şeye çıktı. Etiketin söylediği ile bağlantının gittiği yer arasındaki bu fark, bir uygulama kaynağı doğrulanırken bakılacak ilk şeyi gösteriyor: adresin ve mağaza kaydının okunması gerekiyor, ad yeterli sayılmaz.

4 Kasım 2026'da okunan Android ve iOS bağlantıları

Betroy'un betroy193.com adresindeki yardım sayfalarının alt bilgisinde "GÜVENLİK" başlığı altında iki bağlantı yer alıyor: "Android" ve "Ios". Bağlantılar girişsiz açıldı. İkisi de aynı metne çıktı: Google Authenticator ile iki faktörlü doğrulamanın nasıl etkinleştirildiğini anlatan adım adım bir rehber.

Rehberdeki "indirmek için tıklayınız" ifadesinin bağlantı adresleri sayfa kodundan okundu, bağlantılar izlenmedi. Android sayfasında adres play.google.com altındaki bir Google Play kaydına, iOS sayfasında ise apps.apple.com altındaki bir App Store kaydına gidiyor; iOS adresinde google-authenticator ifadesi açıkça yazıyor. Yani iki bağlantı bir uygulama dosyasının adresini taşımıyor; doğrulayıcı uygulamanın platform mağazasındaki sayfasına gidiyor.

Okunan sayfalarda Betroy'un kendi mobil uygulamasına ait bir mağaza ya da dosya bağlantısı görülmedi. Bu, böyle bir uygulamanın olmadığı anlamına gelmez; yalnızca bu notun bakış alanını belirler. Bir uygulama iddiasıyla karşılaşıldığında aşağıdaki sıra kullanılır.

Bu örnekten çıkan ders, etiket ile içerik arasındaki farkın bir uygulama kaynağı sorusuna da taşınmasıdır. "Android" yazan bir bağlantı bir Android uygulaması vaat eder, ama vaadin neye çıktığı adrese bakılarak anlaşılır. Aynı özen, adres çubuğundaki alan adı için de gösterilir.

Uygulama kaynağı sıralaması

Kaynaklar, doğrulanabilirliklerine göre sıralanır. Yukarıdakiler ne zaman ve kim tarafından yüklendiğini gösterme gücü yüksek olanlardır.

Google'ın Play Protect'e ilişkin yardım ve geliştirici sayfaları, Play dışı kaynaklardan gelen uygulamaların yükleme sırasında bilinen zararlı örneklerle karşılaştırıldığını ve uygulama verisinin kullanıcı kabul ederse analiz için Google'a gönderilebildiğini anlatıyor. Çevrimiçi kaynaklardan gelen bir uygulama hassas izin istiyorsa Play Protect yüklemeyi otomatik engelleyebiliyor. Bu koruma ek bir katmandır ve hiçbir zaman kaynağın yerine geçmez; her zararlı uygulamayı yakalamayabilir.

Mağaza sayfasında bakılacak beş şey

Mağaza sayfası bulunduğunda bile kayıt sorgulanır. Beş soru yeterli olur.

1. Geliştirici adı. Beklenen kuruluşla aynı mı ve harf harf aynı mı?
2. Geliştiricinin web sitesi. Mağaza kaydındaki adres kayıtlı adı beklenen alan adıyla uyuşuyor mu?
3. Yayın ve güncelleme tarihi. Bir hizmet yıllardır varken uygulaması birkaç gün öncesine ait görünüyorsa neden sorulur.
4. İndirme ve değerlendirme sayısı. Çok az yorumlu bir kayıt, yaygın bir uygulamanın kopyası olabilir.
5. İstenen izinler. Bir doğrulayıcı uygulamanın kişi listesi ya da konum izni istemesi için olağan bir neden görünmez; izin listesi uygulamanın işiyle karşılaştırılır.

Paket adı ve mağaza numarası da kayıtla birlikte okunur. Android'de paket adı, iOS'ta mağaza numarası bir uygulamayı benzersiz kılar; benzer adlı taklitler bu alanlarda ayrışır. Aynı kaydı bir kez doğruladıktan sonra, mağaza sayfasının adresi yer imine ya da günlüğe yazılır.

Güncelleme de kaynaktan gelir

Uygulamanın nereden kurulduğu, güncellemeleri nereden alacağını da belirler. Mağazadan kurulan bir uygulama güncellemeyi aynı mağazadan alır ve sürüm geçmişi mağaza kaydında görünür. Doğrudan dosyadan kurulan bir uygulama çoğu zaman güncellenmez ya da güncellemeyi dosyayı sağlayan kişiden bekler. Eski sürüm, bilinen açıklarla kalabilir. Uygulama kaynağı böylece yalnızca ilk kurulumun değil, uygulamanın bütün ömrünün sorusudur.

Doğrulayıcı uygulamada kaynak neden daha önemlidir

Rehberin konusu olan türden bir doğrulayıcı uygulama, hesabın ikinci anahtarını tutar. Rehber, sitede gösterilen "kurulum anahtarı"nın kopyalanıp uygulamaya yapıştırılmasını ve uygulamanın 30 saniyede bir yenilenen altı haneli kod üretmesini anlatıyor. Kurulum anahtarı bir sırdır: yalnızca doğrulayıcı uygulamaya girilir, başka bir forma, mesaja ya da "destek"e yazılmaz.

Taklit bir doğrulayıcı uygulama, yapıştırılan anahtarı kendi sunucusuna gönderebilir. Bu yüzden doğrulayıcı uygulamanın kaynağı, sıradan bir uygulamanın kaynağından daha sıkı denetlenir. Rehberin gösterdiği mağaza adreslerinin gerçekten Google Authenticator'a ait kayıtlara çıktığı ise, mağaza sayfasında geliştirici adı ve paket adı ile sınanır.

Uygulama bir mesajla önerilirse

Mesaj Betroy adına "yeni uygulamamızı indirin" diyorsa, 4 Kasım 2026'da okunan sayfalarda böyle bir uygulamanın bağlantısı bulunmadığı akılda tutulur. Mesajdaki bağlantı açılmaz. Uygulamanın var olup olmadığı, sitenin kendi kanallarından ve iki bağımsız kanalla sorulur; ancak iki kanal aynı mağaza kaydını söylüyorsa kayıt açılır. Kayıt, yukarıdaki beş soruyla yeniden süzülür.

Yükleme bittikten sonra da izinler gözden geçirilir. Gereksiz görünen bir izin verilmişse geri alınır; uygulama beklenmedik bir bildirim ya da oturum isteği gösteriyorsa kaldırılır.

Kurulumdan sonra ayarlar sekmesi bir kez daha açılır. Uygulamaya verilen izinler gözden geçirilir; gereksiz görünen bir izin kapatılabilir ve uygulama bundan sonra da çalışıyorsa izin gerekli değildi demektir. Beklenmedik bir bildirim ya da oturum isteği gelirse uygulama kaldırılır ve kaynağı yeniden sorgulanır.

Kaynak güvenliği için kısa kontrol listesi

Yukarıdakiler on saniyelik bir listeye sığar. Kurulum düğmesine basılmadan önce şu sıra izlenir: bağlantı hangi kayıtlı ada gidiyor, mağaza kaydındaki geliştirici beklenen kuruluşla uyuşuyor mu, kaydın tarihi ve yorum sayısı mantıklı mı, istenen izinler işle orantılı mı. Dört sorunun biri bile belirsizse kurulum beklemeye alınır ve iki bağımsız kanaldan biri aranır. Kurulumdan sonra ilk açılışta uygulamanın gösterdiği ekranlar da kayıtla karşılaştırılır; mağaza kaydı bir doğrulayıcıyı tarif ediyorsa ilk ekran oyun ya da bahis arayüzü olmamalıdır.

Kaynak ve sınırlar

Sayfaların bağlantıları 4 Kasım 2026'da girişsiz okundu; bağlantıların hedefleri izlenmedi, adresleri sayfa kodundan alındı. Mağaza kayıtlarının içeriği bu notta doğrulanmadı. Play Protect bilgileri Google'ın yardım ve geliştirici sayfalarındaki genel açıklamalara dayanıyor. Bu yazı hiçbir uygulamanın güvenli olduğunu söylemez.

Sık sorulan sorular

Betroy alt bilgisindeki Android ve iOS bağlantıları uygulama indirme sayfası mı?

4 Kasım 2026'da okunan sayfalarda ikisi de Google Authenticator ile iki faktörlü doğrulamayı anlatan bir rehbere gidiyordu. Rehberdeki indirme bağlantıları doğrulayıcı uygulamanın mağaza kayıtlarına çıkıyor.

Mağaza dışından kurulan uygulama neden daha risklidir?

Dosyanın nereden çıktığı görülmez ve güncellemeler çoğu zaman gelmez. Android'de Play Protect ek bir koruma katmanıdır ama her zararlı uygulamayı yakalamayabilir.

Mağaza sayfasında hangi bilgiler okunmalı?

Geliştirici adı ve web sitesi, yayın ve güncelleme tarihi, yorum sayısı, istenen izinler ve paket adı birlikte okunur.