E-imza kartını USB’den çıkarmam açık portal oturumunu kapatır mı?
Ortak bilgisayarda e-imza ile bir portala girdim. İşim bitince kartı veya USB okuyucuyu çıkarmam yeterli mi; tarayıcıdaki hesabım da otomatik olarak kapanır mı?
Buna güvenmeyin. E-imza kartını çıkarmak, açık web oturumunu kapatmakla aynı işlem değildir. Girişte kullanılan kart ile giriş sonrasında sürdürülen portal oturumu ayrı yönetilebilir; kartın çıkarılmasına verilecek tepki uygulamaya bağlıdır. İşiniz bitince portalın çıkış düğmesini kullanın, çıkışın tamamlandığını kontrol edin ve kartınızı yanınıza alın. Ortak bilgisayarı hesabınız açıkken başkasına bırakmayın.
Kimlik doğrulama, o anda giriş yapan kişinin doğrulanmasıdır. Oturum ise bundan sonraki sayfa geçişlerinde hizmeti kullanmayı sürdürmenizi sağlar. NIST’in oturum yönetimi açıklaması, bu devamlılığın örneğin tarayıcıdaki bir oturum çereziyle sağlanabileceğini belirtir. Dolayısıyla kartın artık takılı olmaması, sunucudaki oturumun sona erdiğini tek başına kanıtlamaz. Bu genel teknik ayrım, Türkiye’deki bütün portallar için aynı davranış veya süre kuralı değildir.
Somut resmî örnek e-Devlet Kapısı’dır: Bilgi Güvenliği politikasında, işlemler tamamlandığında çıkış düğmesiyle sistemden çıkılması istenir. Elektronik imzayla giriş yapmış olmanız bu çıkış adımını gereksiz kılmaz. Kartın çıkarılmasını veya imza uygulamasının kapanmasını, portalın çıkış onayı yerine koymayın. UYAP’a e-imza ile giriş yolları ise ayrı rehberimizin konusudur.
Sekmeyi kapatmak da güvenilir bir çıkış kontrolü değildir. OWASP, tarayıcı kapanış olaylarının oturumu sonlandırmayı garanti edemeyeceğini ve açık bir çıkış işleminin gerekli olduğunu anlatır. Çıkıştan sonra eski sayfanın geri düğmesiyle görünmesi yalnızca önbellekten kaynaklanabilir; bunu tek başına oturum açık veya kapalı kanıtı saymayın. Çıkış sonucunu ve portalın kendi yardım açıklamasını kontrol edin.
Ortak cihaz kullanımı ayrıca değerlendirilmelidir. e-Devlet’in güvenlik sayfası, ortak kullanımdaki bilgisayarlarda kişisel bilgileri çalmaya yönelik yazılımlar bulunabileceğini hatırlatır ve güvenilen cihazların kullanılmasını önerir. Başarıyla çıkış yapmak, cihazı güvenilir hâle getirmez. PIN veya parolayı başka kişiye vermeyin; işleminiz için güvenli bir cihaz seçin.
Örnek durum
Temsili örnek: Kurumun ortak bilgisayarında bir başvuru portalına girdiniz ve işlem sonucunu gördünüz. Kartı çıkarınca başvuru listesi ekranda kalıyor. “Yeni imza atamıyorum, öyleyse hesabım kapandı” sonucuna varmayın. Portalın çıkış düğmesini kullanıp giriş ekranına veya çıkış onayına dönüşü kontrol edin. İmza gerektiren bir işlem ile mevcut bilgileri görüntüleme erişimi aynı kontrol değildir; hangi erişimin sürdüğünü denemek için gerçek bir başvuruyu yeniden göndermeyin.
Hangi durumlarda değişir?
Kullandığınız ürün kart çıkarılınca kilitlenme veya çıkış özelliği sunuyorsa kapsamını resmî yardımından doğrulayın. Bir bilgisayarın kilitlenmesiyle tarayıcıdaki hizmet oturumunun sunucuda sonlandırılması aynı sonuç değildir; başka portallar için de geçerli olduğunu varsaymayın.
Bir kimlik doğrulama hizmetinden başka bir kurum portalına geçtiyseniz ayrı oturumlar bulunabilir. NIST bu oturumların bağımsız sonlanabileceğini açıklar. Tek çıkışın tümünü kapattığını varsaymak yerine kullandığınız hizmetlerin çıkış yönergelerini izleyin; bütün portallara ortak bir bekleme süresi uygulamayın.
Kaynaklar ve inceleme
Yanıt, aşağıdaki resmî kaynaklar esas alınarak hazırlandı. Bağlantılar yeni sekmede açılır.
- NIST SP 800-63B-4 — Oturum yönetimi
- e-Devlet Kapısı — Bilgi güvenliği ve çıkış politikası
- OWASP — Oturum yönetimi, çıkış ve önbellek sınırları
- e-Devlet Kapısı — Güvenli cihaz kullanımı
- Microsoft — Cihaz güvenliği ve ekran kilidi
Son inceleme: 29 Ekim 2026