PrivaScan: Onaydan Önce Çalışan İzleyicileri Yakalamak (KVKK ve GDPR)

Çerez banner'ları ziyaretçileri düşünmeden "Kabul et"e tıklamaya alıştırdı; pek çok işletmeyi de bir banner'ın uyum anlamına geldiğine inandırdı. Öyle değil. Gerçek KVKK ve GDPR riskinin çoğu eksik bir onay penceresinden kaynaklanmaz; ziyaretçi bir seçim yapmadan önce zaten çalışmaya başlamış olan analiz etiketinden, reklam pikselinden ve etiket yöneticisinden kaynaklanır. Bunlar kişisel verileri sessizce Google'a, Meta'ya ya da başka bir ülkedeki bir sunucuya gönderir. "Çerez banner'ımız var" ile "sitemiz sorduğu tercihe gerçekten uyuyor" arasındaki bu boşluk, kontrol listesiyle değil tarayıcıyla aramadıkça görünmez. PrivaScan bu boşluğu görünür, zaman damgalı ve düzeltilebilir kılmak için var.

PrivaScan, Laravel üzerine kurulu bir KVKK ve GDPR açık rıza uyum tarayıcısıdır. Ona bir URL verirsiniz; sayfayı gerçek bir tarayıcıda açar, herhangi bir onay verilmeden önce çalışan her izleyiciyi, çerezi ve yurt dışına veri aktarımını kaydeder ve sonucu önem derecesine göre sıralanmış, geliştiricinin doğrudan uygulayabileceği bir rapora dönüştürür. Bulgunun güncel kalması için de sürekli izleme ve herkese açık bir güven rozeti sunar.

Önce Dürüstlük: Hüküm Değil, Kanıt Satıyoruz

PrivaScan'deki en önemli tasarım kararı, söylemeyi reddettiği şeydir. Size asla "KVKK'ya uyumlusunuz" ya da "GDPR sertifikalısınız" demez. Bir ya da birkaç sayfanın otomatik taranması bu iddiayı dürüstçe ortaya koyamaz; bunu yapan her araç size sahte bir güven duygusu satıyordur. PrivaScan'in sattığı ise kanıttır: onaydan önce tam olarak hangi izleyicilerin çalıştığının, ziyaretçilerinizin verilerinin hangi bölgelere gönderildiğinin ve bunu düzeltmek için bir geliştiricinin neyi değiştirmesi gerektiğinin belgelenmiş, zaman damgalı ve bağımsız olarak doğrulanabilir kaydı. Her rapor, tespitin otomatik olduğunu, yalnızca test edilen sayfaları kapsadığını ve hukuki danışmanlık olmadığını açıkça söyler. Bu, küçük puntoların arasına gömülmüş bir feragatname değil; asıl satış argümanı bu: kanıt, sözden üstündür.

Tarama Nasıl Çalışır

PrivaScan arka planda gerçek bir headless Chrome örneğini doğrudan PHP'den, Chrome DevTools Protocol üzerinden yönetir. Tıklama yok, taklit edilmiş onay yok; yalnızca sayfanın varsayılan olarak yaptığı şey. Sayfanın yüklenirken gönderdiği her ağ isteğini dinler, kurulan her çerezi okur (istemci tarafındaki JavaScript'in göremediği HttpOnly çerezler dahil) ve localStorage ile sessionStorage'ı inceler. Her üçüncü taraf isteği, elle bakımı yapılan bilinen sağlayıcılar veritabanıyla eşleştirilir: Google Analytics, Google Tag Manager, Meta Pixel, Hotjar, Microsoft Clarity, TikTok Pixel, Yandex Metrica ve onlarca başkası; her biri kategorisi, amacı, merkezinin bulunduğu bölge ve varsayılan önem derecesiyle etiketlidir. PrivaScan buradan size kesin olarak şunları söyleyebilir: bu izleyicilerden hangilerinin onay öncesi analiz, reklam, sosyal piksel, oturum kaydı ya da etiket yöneticisi faaliyeti sayıldığını; ziyaretçilerinizin verilerinin gerçekte hangi bölgelere (ABD, Rusya, Çin, AB) aktığını ve sayfada gerçek bir onay yönetim platformu tespit edip edemediğini. Sonuç, A'dan F'ye bir risk notu ve doğrudan ilgili KVKK maddelerine ve GDPR/ePrivacy hükümlerine eşlenmiş bir rapordur; belirsiz bir "sorun bulundu" sayısı değil.

Bilerek Zor Yoldan Kuruldu

PrivaScan'in mühendislik hikâyesi pahalıya öğrenilmiş bir derstir. Bu fikrin önceki bir sürümü ayrı bir Node.js mikroservisi olarak kurulmuştu ve terk edildi; çünkü Laravel ve PHP ekibi, tam olarak anlamadığı ve günlük olarak bakımını yapmadığı bir çalışma ortamındaki kodu sahiplenemiyordu. PrivaScan bunun düzeltmesidir: ayrı servisi, çalışma ortamı ya da deploy'u olmayan tek bir Laravel monoliti. Tarama motoru, web paneli, CLI, rozet: hepsi PHP, hepsi tek deploy. Tek dış bağımlılık Chrome'un kendisidir; bir protokol üzerinden yönetilir, asla elle yazılmış bir yan servis olarak değil. Kendi ürününün her satırını okuyabilen, hata ayıklayabilen ve yayına alabilen küçük bir ekip, üç dilde yazılmış ve kimsenin tam olarak sahiplenmediği bir mikroservis filosundan iyidir.

Çerez Banner'ının Ötesi: Yurt Dışına Aktarımlar ve Gerçek Çözümler

Onay öncesi çalışan bir izleyici hikâyenin yalnızca yarısıdır; hem KVKK'nın 9. maddesi hem de GDPR'ın V. Bölümü açısından verinin nereye gittiği de en az onun kadar önemlidir. PrivaScan tespit edilen her sağlayıcıyı verisinin gerçekte ulaştığı bölgeyle eşler; böylece rapor yalnızca "Yandex Metrica bulundu" demez, onaydan önce Rusya'ya bir yurt dışı aktarım yapıldığını ve bunun hangi kanun maddesine dokunduğunu söyler. Bir bulgu ancak biri ona göre harekete geçebiliyorsa işe yaradığı için de rapordaki her kategori somut bir geliştirici çözümüyle gelir. En yaygın durumda bu, Google Consent Mode v2'yi, `analytics_storage` ve `ad_storage` varsayılan olarak reddedilmiş (denied) başlayacak ve ancak açık bir onaydan sonra izinli (granted) duruma geçecek şekilde kurmak demektir; "çerez politikanızı gözden geçirin" gibi belirsiz bir tavsiye değil.

Kesintisiz: İzleme ve Güven Rozeti

Bir sitenin izleyici ayak izi yerinde durmaz: yeni bir pazarlama etiketi, ajansın eklediği yeni bir piksel ya da birinin geçen hafta iliştirdiği bir A/B test aracı, az önce düzelttiğiniz sorunu sessizce geri getirebilir. PrivaScan izlenen siteleri belirli aralıklarla yeniden tarar, sonucu bir önceki taramayla izleyici izleyici karşılaştırır ve yeni bir şey ortaya çıktığı ya da düzelttiğiniz bir şeyin düzelmiş kaldığı anda size e-posta gönderir. Bunun görünür sonucu, sitenizin alt bilgisi için herkese açık bir güven rozetidir: sitenizin onay durumunu canlı ve kendiliğinden güncellenen biçimde gösteren, kimsenin bir daha bakmadığı bir lansman günü fotoğrafında donup kalmak yerine izleme aksarsa dürüstçe zayıflayan bir beyan.

Nereye Gidiyor

PrivaScan, açık bir ön kapı olarak ücretsiz tek sayfa taramasıyla, sitenin tamamını tarama ve günlük izleme ekleyen ücretli paketlerle ve abonelik yerine tek seferlik derinlemesine bir denetim ya da bir gizlilik uzmanının onayını isteyen ekipler için tek seferlik ürünlerle sunuluyor. Buradan sonraki yol haritası, Talivio portföyünün geri kalanıyla aynı kanıt öncelikli çizgide ilerliyor: izleyici başına, herkese açık ve giderek büyüyen bir çözüm kılavuzları kütüphanesi ("Google Tag Manager'ın onaydan önce çalışması nasıl engellenir", "Rusya'ya yurt dışı aktarım KVKK açısından gerçekte ne anlama gelir") ki çözüm, sorundan tek bir arama uzaklıkta olsun. Ücretsiz taramayı şimdi privascan.talivio.com adresinden yapabilirsiniz.

Bu Neden Önemli

Bir açık rıza uyum ürününün zor kısmı bir sayfayı Chrome'da açmak değildir; o kısım neredeyse mekaniktir. Zor kısım, arkasında duramayacağınız bir kesinliği satma cazibesine direnmek ve bunun yerine bir işletmeye gerçek bir tarayıcının tam olarak ne gördüğünü söyleyen, bunu dokunduğu mevzuatla eşleyen, geliştiricinin eline nutuk yerine çözüm veren ve ilk temiz raporda durmak yerine lansmandan sonra da kontrol etmeye devam eden bir şey kurmaktır. PrivaScan'in cevabı, onaydan önce gerçekte ne olduğunu gerçek bir tarayıcıyla tarayan, bakımı yapılabilir tek bir Laravel uygulamasıyla sunulan, sürekli izleme ve herkese açık bir rozetle dürüst tutulan bir taramadır. Size güvende olduğunuzu söylemez. Tam olarak nerede durduğunuzu söyler ve söylemeye devam eder.

Güncelleme (Ağustos 2026)

Bu yazıdan bu yana tespit katmanı epey derinleşti. Sağlayıcı veritabanı artık yalnızca elle tutulmuyor: zengin üst verili, özenle seçilmiş bir küme, Disconnect listesinden eşitlenen binlerce izleyici alan adının üzerinde duruyor. Yurt dışı hedefler, her ana makinenin sunucularının gerçekte bulunduğu ülkeye çözümlenmesiyle ölçülüyor; bir ana makine bir CDN'in arkasına saklandığında PrivaScan tahmin yürütmek yerine bunu söylüyor. Birinci taraf kılığına girmiş, CNAME ile gizlenmiş izleyicileri de yakalıyor, sonradan yüklenen etiketler için sayfayı kaydırıyor ve muhtemel sunucu taraflı etiketlemeyi işaretliyor. En önemlisi, sitenin tamamını kapsayan taramada onay banner'ı artık yalnızca tespit edilmiyor: PrivaScan banner'ın herhangi bir işe yarayıp yaramadığını görmek için Reddet'e, ardından GDPR 30. madde kaydınızın ihtiyaç duyduğu onay sonrası envanterin tamamını çıkarmak için Kabul et'e tıklıyor. Temel tek sayfa taraması hâlâ hiçbir şeye tıklamıyor; orada çalışan her şey onaydan önce çalışmış demektir.