E-imzalı bir PDF'i doğrulamak için dosyanın aslını (çıktısını ya da ekran görüntüsünü değil) imza doğrulamayı destekleyen bir PDF okuyucusunda, örneğin Adobe Acrobat Reader'da açıp imza panelinde üç şeye bakarsınız: belge imzadan sonra değişmiş mi, imzayı kim atmış ve sertifikası BTK'nın listesindeki yetkili bir elektronik sertifika hizmet sağlayıcısından (ESHS) mı, imza anında sertifika geçerli miymiş. "Kimlik bilinmiyor" uyarısı çoğu zaman imzanın sahte olduğunu değil, okuyucunuzun Türk ESHS'nin kök sertifikasını tanımadığını gösterir.
Bir e-imza neyi kanıtlar, neyi kanıtlamaz?
Güvenli elektronik imza iki şeyi aynı anda sağlar: nitelikli elektronik sertifikaya dayanarak imza sahibinin kimliğini tespit eder ve imzalanmış veride sonradan değişiklik yapılıp yapılmadığını gösterir (5070 sayılı Elektronik İmza Kanunu md. 4). Bu nedenle elle atılan imza ile aynı hukuki sonucu doğurur (5070 md. 5).
Usulüne göre güvenli elektronik imzayla oluşturulan elektronik veriler mahkemede senet hükmündedir ve hâkim, sunulan elektronik imzalı belgenin güvenli elektronik imzayla oluşturulup oluşturulmadığını kendiliğinden inceler (HMK md. 205/2–3). Doğrulamayı yalnızca siz yapmazsınız; gerekirse mahkeme de yapar.
İmza, belgedeki bilgilerin doğru olduğunu ya da imzalayanın şirket adına imzaya yetkili olduğunu tek başına kanıtlamaz. Şirket adına atılan imzalarda sertifikada kişinin adıyla birlikte temsil ettiği şirketin adı da yazılır (TTK md. 1526/4); yetkinin kapsamını imza sirküleri gibi belgelerden ayrıca kontrol edin.
Kontrol etmek sizin de yükümlülüğünüz
Yönetmelik, e-imzalı belgeye güvenen "üçüncü kişilere" de görev verir. Sertifikanın "nitelikli elektronik sertifika" olup olmadığını, iptal ve geçerlilik durumunu (ya da güvenli bir imza doğrulama aracı kullanmayı) ve sertifikanın kullanımına bir kısıtlama olup olmadığını kontrol etmekle yükümlüsünüz (Elektronik İmza Kanununun Uygulanmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik md. 16). Aşağıdaki adımlar tam olarak bunu yapar.
Adım adım: Adobe Acrobat Reader ile doğrulama
- Dosyanın aslını kaydedin. E-postadaki eki ya da indirdiğiniz PDF'i bilgisayarınıza kaydedin. Tarayıcıların yerleşik PDF görüntüleyicileri imzayı her zaman doğrulamaz. "Yazdır > PDF olarak kaydet" ile oluşturulmuş bir kopya imzayı taşımaz.
- Acrobat Reader'da açın. İmzalı belgelerde sayfanın üstünde imza durumunu özetleyen bir şerit çıkar. Buradan ya da sol kenardaki kalem simgesinden İmza panelini açın.
- Her imzayı genişletin. Panelde imzalayanın adı, imza zamanı ve imzanın durumu listelenir. Birden çok imza varsa her birine ayrı ayrı bakın.
- İmza özelliklerini açın. İmzaya sağ tıklayıp özelliklerini göster seçeneğiyle ayrıntıya, oradan imzalayanın sertifikasına ulaşırsınız.
Panelde görebileceğiniz durumlar ve anlamları
Arayüz dilinize göre ifadeler değişir; İngilizce arayüzde görülen karşılıkları parantez içinde verdik.
| Ne görüyorsunuz? | Anlamı | Ne yapmalı? |
|---|---|---|
Yeşil onay; tüm imzalar geçerli (Signed and all signatures are valid) | Belge imzadan sonra değişmemiş, sertifika zinciri okuyucunuzun güvendiği bir köke bağlanıyor. | Yine de sertifikayı verenin yetkili bir ESHS olduğunu ve imzalayanın beklediğiniz kişi olduğunu kontrol edin. |
Sarı uyarı; geçerlilik bilinmiyor (Signature validity is UNKNOWN), imzalayanın kimliği bilinmiyor | Çoğunlukla kök sertifika okuyucunuzun güven listesinde değildir. Belge değişmemiş olabilir. | Sertifikayı veren ESHS'yi kontrol edin; gerekirse aşağıda anlatıldığı gibi kök sertifikaya güvenin. |
| Kırmızı çarpı; belge imzadan sonra değiştirilmiş ya da bozulmuş | İmzalanan içerik ile elinizdeki içerik aynı değil. | Belgeye güvenmeyin; karşı taraftan imzalı aslını yeniden isteyin. |
| İmza geçerli, ama imzadan sonra belgede değişiklik var | İmzadan sonra izin verilen eklemeler olabilir: ikinci bir imza, form doldurma ya da doğrulama verisinin eklenmesi. | İmzalı sürümü görüntüleme seçeneğiyle belgenin imzalandığı andaki hâlini açıp karşılaştırın. |
Türk ESHS'nin kök sertifikasına güvenmek
Bazı PDF okuyucuları Türk ESHS'lerin kök sertifikalarını varsayılan olarak tanımayabilir. Bu durumda imza matematiksel olarak sağlam olsa bile "kimlik bilinmiyor" uyarısı görürsünüz. Çözüm, kök sertifikaya bir kez güvenmektir; ama doğru sertifikaya:
- Kök sertifikayı yalnızca ESHS'nin kendi resmî internet sitesinden indirin; e-postayla gönderilen bir sertifikayı kullanmayın.
- Sertifikanın özet değerini (parmak izi) karşılaştırın. ESHS, faaliyete geçtikten sonra kendi sertifikasının özet değerini ve özetleme algoritmasını internet sayfasında yayımlamak zorundadır (Yönetmelik md. 18).
- Acrobat'ta imzalayanın sertifikasını açın, zincirin en üstündeki kök sertifikayı seçin ve Güven (Trust) sekmesinden güvenilen sertifikalara ekleyin.
- Belgeyi yeniden açın; imza durumu güncellenir.
Bu işlemle uğraşmak istemiyorsanız, sertifikanızı aldığınız ESHS'nin sunduğu imza doğrulama aracını da kullanabilirsiniz.
Sertifikayı veren yetkili bir ESHS mi?
Nitelikli sertifikada, sertifikanın "nitelikli elektronik sertifika" olduğuna dair bir ibare ve sertifikayı veren sağlayıcının kimlik bilgileri bulunmak zorundadır (5070 md. 9). Sertifika ayrıntılarında "Veren" (Issued by) alanındaki kuruluşun adını not edin ve BTK'nın Elektronik Sertifika Hizmet Sağlayıcıları sayfasındaki listeyle karşılaştırın. BTK, ESHS'lerin bildirim sürecine ve faaliyet durumuna ilişkin bilgileri internet sayfasında yayımlar (Yönetmelik md. 17).
Listede olmayan bir kuruluşun verdiği sertifikaya dayanan imzayı güvenli elektronik imza olarak kabul etmeden önce bir hukukçuya danışın; yabancı sertifikaların hukuki sonucu milletlerarası anlaşmalara ya da Türkiye'deki bir ESHS'nin kabulüne bağlıdır (5070 md. 14).
İmza zamanı ve iptal durumu
İmza özelliklerinde imza zamanının nereden geldiğine bakın. Zaman bir zaman damgası sunucusundan geliyorsa ESHS tarafından onaylanmıştır; aksi hâlde imzalayanın bilgisayar saatini gösterir. İptal kontrolünün sonucu ve imzanın uzun süreli doğrulamaya (LTV) uygun olup olmadığı da aynı ekranda yazar. Sertifikası sonradan iptal edilen ya da süresi dolan imzaların neden hâlâ doğrulanabildiğini zaman damgası ve LTV yazımızda anlattık.
Collobr'la imzalanan belgelerde ek bir kolaylık
Collobr'da e-imzalanan PDF'lerin üzerine docs.collobr.com adresinde açılan bir doğrulama kodu ve karekod basılır. Bağlantıyı açan herkes belgenin aslını, imzalayanı, imza zamanını ve belgenin imzadan sonra değişip değişmediğini görür; elindeki PDF'i asılla bayt bayt karşılaştırabilir. Bu, PDF okuyucusundaki doğrulamanın yerine geçmez; karşı tarafa hızlı bir ilk kontrol imkânı verir.
Kısa kontrol listesi
- Elimdeki dosya imzalı PDF'in aslı mı, çıktı ya da yeniden kaydedilmiş bir kopya değil mi?
- Belge imzadan sonra değişmemiş mi?
- İmzalayan beklediğim kişi mi; şirket adına imzaysa yetkisi var mı?
- Sertifika nitelikli mi ve BTK listesindeki bir ESHS'den mi?
- İmza anında sertifika geçerli miymiş; imza zaman damgalı mı?
Belgenin e-imzayla yapılabilecek türden olup olmadığını da unutmayın: çek, senet, kefalet ya da tapu işlemi gibi belgeler e-imzayla geçerli olmaz. Ayrıntılar e-imzanın nerede geçerli olduğu yazımızda ve e-imza rehberimizde.
Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir. Bir uyuşmazlıkta belgenin delil değeri için bir hukukçuya danışın.
Tekliflerinizi ve sözleşmelerinizi, karşı tarafın tek bağlantıyla doğrulayabileceği şekilde imzalamak için Collobr'u 14 gün ücretsiz deneyin.