Gmail Satın Al: Hesap Pazarı, Riskler ve Yasal Alternatifler Rehberi

Gmail satın al ifadesi Türkiye'de aylık binlerce kez aranıyor; arkasında çok farklı niyetler yatıyor. Bir grup kullanıcı, hızlı kayıt/SMS doğrulamasından kaçınmak için hazır hesap istiyor; bir başka grup, pazarlama otomasyonu, sosyal medya yönetimi veya çoklu reklam hesabı için toplu Gmail arıyor. Üçüncü ve en büyük grup ise aslında bambaşka bir şey arıyor: kendi alan adıyla kurumsal e-posta. Bu rehber, üç niyeti de teknik derinlikte ayırır, hazır hesap pazarının nasıl işlediğini gösterir, yasal/operasyonel riskleri açıkça ortaya koyar ve doğru alternatifleri — Google Workspace, ücretsiz Gmail kaydı, alan adlı e-posta kurulumu — adım adım anlatır.

İlgili rehberler: DNS ayarları · Let's Encrypt SSL kurulumu · Domain nedir, WHOIS sorgulama · OWASP Top 10 2026 · Password hashing

"Gmail Satın Al" Sorgusu Aslında Üç Farklı İhtiyaçtır

SEO penceresinden bakıldığında gmail satın al ve gmail hesabı satın al aynı anahtar kelime ailesinden görünür. Ancak kullanıcı niyeti üç ayrı kategoriye ayrışır ve bu üçünü karıştırmadan ele almak gerekir. Yanlış soruya doğru cevap vermek, kullanıcı için kötü; arama motoru için ise sahte bir eşleşmedir.

• Niyet A — Hazır kişisel hesap arayışı: Mevcut numaranızla ek hesap açmaya kısıtlama geldi (Google son yıllarda aynı numaraya bağlı hesap sayısını sıkılaştırdı), elinizde SMS alabileceğiniz başka numara yok ve hızlı bir çözüm istiyorsunuz. Pazardaki çoğu "30-50 TL'ye Gmail" ilanı bu kitleyi hedefler.
• Niyet B — Toplu hesap (bulk): Reklam ajansı, dropshipping, sosyal medya yönetimi, bot operasyonu veya growth hacking için onlarca/yüzlerce hesap istiyorsunuz. Bu noktada fiyat hesap başına 5-15 TL'ye düşer; kalite, ülke etiketi (TR/Random) ve PVA durumu konuşulur.
• Niyet C — Kurumsal/özel alan adlı Gmail: "info@sirketim.com" gibi bir adres istiyorsunuz; arama kelimesi olarak "gmail satın al" yazıyorsunuz çünkü tek bildiğiniz arayüz Gmail. Aslında ihtiyacınız olan ürün Google Workspace aboneliğidir.

Bu rehberin omurgası şu: A ve B niyetlerinin gerçek riskini açıklayıp meşru alternatif sunacağız; C niyetini ise mühendislik detayıyla — DNS, MX, SPF, DKIM, DMARC, IMAP migrasyonu — uçtan uca kuracağız. Niyetinizi yanlış teşhis edip 50 TL'ye hesap almak, sizi hesap güvenliği, kimlik doğrulama ve KVKK cephelerinde uzun vadeli bir cehenneme sokar.

Pazarın Anatomisi: Hazır Gmail Hesabı Nasıl Üretilir?

Türkiye ve global pazardaki hazır hesap satıcıları benzer bir tedarik zinciri kullanır. Pazar terminolojisini bilmek, satıcıların ne sattığını ve neyin sahte vaat olduğunu anlamak için kritik. Aşağıdaki başlıklar — fresh, aged, PVA, farmlanmış, kurtarmalı — her ilan sayfasında mutlaka görür.

• Fresh / yeni: Dakikalar içinde otomatik kayıt edilmiş hesap. Pazarda en ucuzu, hesap başına 3-15 TL. Çoğu Gmail risk skoru yüksek başlar; ilk 24 saatte askıya alınma oranı %30+'tır.
• Aged / eski tarihli: 2018-2022 arası açılmış, üzerine biraz aktivite biriktirilmiş hesaplar. 30-100 TL bandı. Reklam, YouTube, AdSense bağlama gibi senaryolarda "trust" sinyali iyi olduğu için talep görür.
• PVA (Phone-Verified Account): SMS doğrulamadan geçmiş hesap. Eskiden kritik bir farktı; bugün Google neredeyse her hesaptan SMS isteyebildiği için PVA varsayılan haline geldi.
• Farmlanmış: Sanal makineler/emülatör çiftliklerinde otomatize üretilmiş, üzerinde sahte aktivite (mail gönderme, video izleme, login/logout) biriktirilmiş hesap.
• Manuel açılmış: Bir insanın eliyle, gerçek bir cihazda, residential IP üzerinden açıldığı iddia edilen hesap. Pazarda en pahalı kategori.
• Kurtarmalı / recovery: Recovery e-posta ve telefon numarası satıcıya ait. Satıcı dilediği zaman hesabınıza geri dönebilir; bu bir özellik değil arka kapıdır.

Üretim Hattı: SMS-PVA Servisleri

Hazır hesap üretiminin temel girdisi geçici telefon numarası. SMS-PVA servisleri (sms-activate, 5sim, smsbower benzerleri) sahip oldukları milyonlarca SIM havuzundan kısa süreliğine numara kiralar. Ücreti numara başına 0.10-0.50 USD. Üretici otomasyonu (Selenium, Puppeteer, Playwright) Gmail kayıt formunu doldurur, gelen SMS'i API'den alır ve hesap aktive olur.

Bu rakamlar 2026 itibarıyla pazarın gözlemlenen ortalamasıdır; satıcıya, dönemin Google sertleştirme dalgasına ve TL kuruna göre değişir. Önemli olan rakamlar değil, mantıktır: üretim maliyeti satış fiyatının çok altında. Bu margin, satıcının her hesaba yatırım yapmadığını ve yığın halinde "akıp gitmesi" üzerine kurulu bir model olduğunu gösterir.

Google'ın Tarafı: Tespit Mekaniği ve Politika

Google'ın kötüye kullanım tespit sistemi (SmartScreen tarzı bir model + Reinforcement Learning + heuristics) hesap üretiminin her aşamasında sinyal toplar. Bu sinyaller bireysel olarak hesap kapatmaz; bir risk skoru üretir. Eşik aşıldığında hesap askıya alınır, kullanıcıdan ek doğrulama istenir veya tamamen kapatılır.

• IP fingerprinting: Datacenter IP, mobile carrier NAT IP ve residential IP arasında trust farkı çoktur. Aynı /24 subnet'inden bir saatte 50 yeni Gmail kaydı gelirse, sonraki tüm denemelere otomatik captcha ve ek SMS gelir.
• TCP/TLS fingerprint: JA3/JA4 hash'i, requests gibi otomatize HTTP istemcilerini gerçek tarayıcıdan ayırır. Headless Chrome bile navigator.webdriver, eksik plugin listesi, Canvas/WebGL hash'leriyle yakalanır.
• Behavioral biometrics: Form alanlarına yazma hızı, mouse hareket eğrisi, scroll ritmi insanla bot arasında belirgin fark yaratır. Headless senaryolarda mouse hareketi sentetik üretilir; tipik makine öğrenmesi modeli bunu kolayca yakalar.
• Recovery graph: Yeni açılan hesabın recovery e-posta veya telefon numarası, daha önce başka kötüye kullanım davranışı sergilemiş bir kümeye bağlıysa, hesap doğar doğmaz "shadowban" durumuna girer.
• Aktivite imzası: Saatlerce hiç login olmayan, sadece haftada bir kez 3 saniyelik web oturumu açan hesap, otomasyonlanmış "ısıtma" davranışına benzer ve risk skorunu artırır.

Google'ın Hizmet Şartları ve Birden çok hesap politikası hesap satışını/devrini açıkça yasaklar. Pratikte bu, satın aldığınız hesabın her an sıfırlanabileceği anlamına gelir; üstelik satıcının elinde hâlâ recovery anahtarları varsa, bilgileri sıfırlayıp hesabı geri alabilir.

Recovery Arka Kapısı

Hazır hesabın bir numaralı sessiz tehdidi satıcının elinde duran kurtarma kanallarıdır. Hesap teslim edildiğinde tipik içerik şöyle olur:

Recovery'i değiştirmeye çalışırsanız Google çoğu durumda 7 gün bekleme süresi başlatır ve eski recovery'ye uyarı yollar. Bu pencere içinde satıcı hesabı geri alabilir. Hesabı "tamamen güvenli" hale getirmenin tek yolu — ki bu da kesin değildir — eski recovery noktalarını kaldırıp yenilerini eklemek, 2FA'yı sıfırlayıp yeniden kurmak ve uygulama şifrelerini geçersiz kılmaktır. Bu işlemler sırasında hesap üzerinde "şüpheli aktivite" alarmları yağar.

Yasal Cephe: KVKK, ToS, MASAK ve Türk Ceza Kanunu

Türkiye'de hesap pazarının yasal zemini sanılandan dardır. "Açıkça yasak değil" söylemi yanıltıcıdır; çoklu hukuki katman aynı anda devreye girer.

• KVKK (6698 sayılı Kanun): Hesap içinde kişisel veri varsa (ki çoğu "aged" hesapta vardır — eski mailler, kişiler), bu veriyi devretmek/almak veri ihlalidir. Veri sorumlusu sıfatınız olmadan başkasının kişisel verisini işliyor olursunuz.
• Google ToS: Hesap satışı/devri açıkça yasak. ToS özel hukuk sözleşmesi olduğu için Türk hukukunda da bağlayıcıdır. Hesabınız kapatılırsa tazminat hakkınız yoktur.
• TCK 245 — Banka ve Kredi Kartlarının Kötüye Kullanılması ve TCK 244 — Sistemleri Engelleme/Bozma: Çalıntı/farmlanmış hesap reklamcılık dolandırıcılığında kullanıldıysa zincirleme suç ortaklığı oluşabilir.
• MASAK / 5549 sayılı Kanun: Toplu hesap alım-satımı ödeme şüpheli işlem bildirimine konu olabilir; kripto ile ödenmesi de "şüpheli işlem" kapsamına girer.
• 5651 sayılı Kanun: Hesap üzerinden işlenen suçun (spam, dolandırıcılık, kimlik avı) IP loglarından geriye dönük olarak SİZE bağlanması mümkün. Hesabı sizin almış olmanız, satıcının soruşturma dışında kalmasını da kolaylaştırır.

"Sadece kendim için sosyal medya kullanacağım" diye düşünseniz bile, hesabın geçmişinde başka biri tarafından yapılmış bir suç eylemi varsa, soruşturmada birinci muhatap mevcut sahip olarak siz olursunuz. KVKK ve siber suç davalarında "iyi niyetli üçüncü kişi" savunması teknik delillerle çürür. Daha fazla bilgi için OWASP Top 10 2026 ve SQL injection önleme yazılarımızda detayladığımız hesap ele geçirme senaryolarına bakın.

Dolandırıcılık Vektörleri: Pazarın Karanlık Yüzü

Hesap pazarındaki ekonomik dengeler, dolandırıcılığı kaçınılmaz kılar. Aşağıdaki vektörler, markaadi ekibinin sahada gözlemlediği gerçek senaryolardır.

• Çift satış: Aynı hesap aynı gün 5-10 farklı alıcıya satılır. Önce gelen kullanır; satıcı recovery üzerinden geri alıp tekrar satar. "15 dakika sonra hesap çalışmıyor" şikayetlerinin %40'ı bu sebepten.
• Honeypot hesap: Sahte hesap satıcı tarafından kurulur, içine yapay aktivite atılır, alıcıya teslim edilir. Alıcı reklam hesabı bağladığında ödeme bilgilerini ve kredi kartını ele geçiren bir keylogger/extension hesaba bağlanır.
• Sıfırlanmış hesap: Daha önce kapatılmış (suspended) bir hesap, küçük bir teknik açıkla geçici olarak "login olunabilir" hale getirilir; alıcı parayı ödedikten 24 saat sonra hesap ulaşılmaz olur.
• Aboneliği soyma: "Aged" hesap satarken, içinde Google One, YouTube Premium veya Workspace aboneliği gizlenir. Satıcı aboneliği sürdürmenize izin verir; ödeme yöntemi kendisinindir, ay sonu kart ona çekilir, sizden de para alır.
• Captcha-pool kiralama: "7/24 destek" diyen satıcı, hesap her bloklandığında uzaktan oturum açıp captcha çözer. Bu süreçte sizin trafiğiniz, IP'niz ve davranış profiliniz onların botnet'ine eklenir.

Toplu Hesap Operasyonu: Reklam ve Sosyal Medya Senaryoları

Bir reklam ajansının veya growth ekibinin gerçek dünyada yüzlerce Gmail'e ihtiyacı olabilir mi? Cevap: nadiren ve genelde yanlış sebeple. Çoklu Gmail talebinin altında çoğunlukla şu senaryolar yatar:

• Çoklu Google Ads hesabı: Tek müşterinin yasaklanmış reklam hesabını canlı tutmaya çalışmak — bu Google'ın unfair advantage politikasıyla doğrudan çatışır ve büyük çaplı kapatma dalgalarına yol açar.
• Sosyal medya ısıtma çiftliği: YouTube/Reddit/Quora'da yapay etkileşim üretmek. Spamdır, etik değildir, etkili de değildir.
• Affiliate spam: Aynı hedef kitleye farklı kimliklerle ulaşmak. Hem ToS hem KVKK hem ETK (6563 sayılı Elektronik Ticaret Kanunu) ihlali.
• Bot ağı / scraping: Toplu Gmail, oluşturduğunuz scraper'ın IP yerine identity bazında bloklanmasından kaçmak için. Rate limiting mantığını okuyup, hedef sistemin ToS'ına uygun bir API kullanın.

Meşru toplu hesap senaryosu var mı? Evet — ama bu Google Workspace ile çözülür. Bir kurumda 50 çalışan varsa ve her biri için ayrı bir kurumsal kimlik gerekiyorsa, çözüm 50 ücretsiz Gmail hesabı toplamak değil, Google Workspace üzerinde 50 user lisansı almaktır. Bu rehberin ileri bölümlerinde bu kurulumu anlatacağız.

Doğru Yol 1: Ücretsiz Yeni Gmail Hesabı Oluşturma

Niyet A — yani hızlı, kişisel, ek bir Gmail — için en doğru yol mevcut Gmail kayıt akışını kullanmaktır. Hesap satın almadan, dakikalar içinde, ücretsiz.

• accounts.google.com/signup adresine gidin.
• Ad-soyad ve doğum tarihinizi girin. Yaş 13'ün altında ise Family Link akışına yönlendirileceksiniz.
• Tercih ettiğiniz kullanıcı adını seçin. Alınmışsa Google üç-dört öneri sunar; ya da kendi sayı/nokta varyasyonunuzu yazın.
• Güçlü bir şifre seçin: en az 12 karakter, harf-sayı-sembol karışımı. Şifre yöneticisi (Bitwarden, 1Password, Dashlane) kullanın.
• Telefon numarası adımında: aynı numaraya bağlı 2-3'ten fazla aktif Gmail varsa, kayıt tamamlanmaz. Bu durumda farklı bir mobil hat kullanın veya mevcut hesapları konsolide edin.
• Recovery e-posta olarak gerçekten erişebileceğiniz, tercihen farklı bir provider (ProtonMail, Outlook, kendi alan adlı e-postanız) ekleyin.
• Kayıt sonrası ilk 5 dakika içinde 2FA'yı (2 adımlı doğrulama) açın — Authenticator app + 8-10 yedek kod. SMS-only 2FA zayıftır, SIM swap saldırılarına açıktır.

Aynı Numaraya Birden Fazla Gmail Kuralları

Google resmi olarak "bir telefon numarasına kaç Gmail bağlanabileceği" rakamı yayınlamaz, ancak gözlemler 2024 sonundan itibaren limitin sıkılaştığını gösterir. Pratik durum:

• Bir GSM numarasına maksimum ~4 aktif Gmail bağlanabilir; sonraki kayıtta SMS kod gönderilmez veya "bu numara çok fazla hesapla ilişkili" hatası alırsınız.
• Numarayı recovery'den tamamen sileceğiniz hesap, 14 günlük "soğuma" süresine girer; bu süre içinde aynı numarayı yeni hesaba bağlayamazsınız.
• Sanal numara (Twilio, Voip) çoğu durumda Google tarafından reddedilir. eSIM hatları kabul edilir.
• Eşinizin/aile bireyinin numarasını kullanmak ToS'a aykırı değildir; ancak hesap kurtarmada karışıklık çıkarır.

Doğru Yol 2: Google Workspace ile Özel Alan Adlı Gmail

"Bana info@kobifirmasi.com gibi bir Gmail adresi lazım" diyorsanız, gerçekte aradığınız ürün Google Workspace. Aylık kullanıcı başına 6 USD'den başlayan plan, Gmail arayüzünü size verir, ama domain'iniz sizindir, yönetim paneli sizdedir, mailler sizin sahip olduğunuz kurumsal kimlikten gider. "Hesap satın al" değil, servis abone ol.

• Business Starter (~6 USD / kullanıcı / ay): 30 GB depolama, alan adlı Gmail, Meet, Drive, Docs/Sheets/Slides, mobil yönetim. Küçük ekipler için ideal.
• Business Standard (~12 USD / kullanıcı / ay): 2 TB pooled storage, Meet kayıt, branded e-mail templates, Vault keşif başlangıcı. KOBİ standardı.
• Business Plus (~18 USD / kullanıcı / ay): 5 TB storage, gelişmiş güvenlik (Vault, eDiscovery, S/MIME), advanced endpoint management.
• Enterprise (özel fiyat): Sınırsız storage, DLP, Context-Aware Access, BeyondCorp Enterprise entegrasyonu, S/MIME zorunlu.
• Fiyatlar 2026 verisidir; bölgesel kur, KDV ve yıllık-aylık ödeme tercihine göre değişir. Türkiye için faturalandırma TL veya USD olarak seçilebilir.

Workspace'in görünmez avantajı şudur: alan adınızla birlikte aldığınız Gmail, Google'ın bütün anti-spam altyapısını arkanıza alır. Postfix sunucusunda 3 ay uğraşıp da "yine spam'e düşüyor" yorgunluğu yerine, ilk günden Gmail/Outlook delivery'sine sahip olursunuz. DNS yapılandırması doğru kurulduğunda, marka itibarınız da MX seviyesinde Google'ın itibarına yaslanır.

Workspace Kurulum Akışı: 6 Adım

MX Kayıtları

DNS provider'ınız Cloudflare ise Proxy status'u DNS only (gri bulut) tutun — MX kayıtları proxy'lenemez. TTL'i değişiklik döneminde 300 saniyeye düşürmek hata düzeltmeyi hızlandırır; geçiş bittikten sonra 3600'e geri çekin.

SPF, DKIM, DMARC: Üçlü Kombinasyon

E-posta kimlik doğrulamasının üç katmanı vardır. Üçü de doğru kurulmadan modern provider'lara temiz inbox'a düşmesi imkansıza yakındır. Her üçünün spec'lerine ve RFC 7208 (SPF), RFC 6376 (DKIM), RFC 7489 (DMARC)'a aşinalık şart.

p=none ile başlamayı kesinlikle önerirsiniz — 2 hafta rapor toplayın, hangi gönderici hangi domain'iniz adına mail atıyor görün, ardından quarantine, sonra reject'e tırmanın. Atlamak, meşru mail trafiğinin de spam'e düşmesi demektir. DMARC raporlarını parse etmek için Postmark'ın açık kaynak dmarc weekly digest servisi veya dmarcian faydalıdır.

Doğru Yol 3: Self-Hosted SMTP'den Gmail SMTP Relay'e

E-posta gönderim altyapısını kendi sunucunuzda yönetiyorsanız (Postfix, Exim, Haraka), gönderdiğiniz transactional/marketing maillerin Gmail'e ulaşma oranı genelde dramatik şekilde düşer. Çünkü VPS IP havuzlarının çoğu kalıcı blacklist'lerde. Bunu çözmenin iki yolu var: dedicated IP üzerinde itibar inşa etmek (aylar sürer) veya Gmail SMTP relay kullanmak.

smtp-relay.gmail.com kullanmak için Workspace admin panelinde Apps > Google Workspace > Gmail > Routing > SMTP relay service ayarlarını açıp izinli IP'leri (sunucu IP'niz) tanımlamalısınız. App-specific password 2FA açık hesaplarda gerekir; kimlik doğrulama ve password hashing yazılarımızda detaylandırdığımız ilkeleri ihmal etmeyin.

IMAP / POP3 Migrasyonu: Eski Mail Arşivini Taşıma

Workspace'e geçişte en sık atlanan adım: yıllarca biriktirilmiş eski mailleri yeni alana getirmek. Workspace'in built-in Data Migration aracı IMAP, Exchange, Gmail-to-Gmail ve PST yollarını destekler. Büyük migrasyonları ise imapsync ile komut satırından yapmak hem kontrollü hem hızlıdır.

Migrasyonu mesai dışında çalıştırın; kullanıcılar yeni mail gönderip alırken eski sunucuya ait son maillerin senkronu hatalı olabilir. --maxbytespersecond ile bant genişliğinizi koruyun. --dry seçeneğiyle önce kuru çalıştırma yapıp tahmini süreyi görün. Detaylı backup stratejisi için veritabanı yedekleme stratejileri yazımız mail arşivi senaryosuna da uygulanabilir.

Gmail vs Outlook vs Zoho vs Self-Hosted: 2026 Karşılaştırması

Workspace bir tercih; tek seçenek değil. Özel alan adlı kurumsal e-posta için dört temel yol vardır ve KOBİ-orta ölçek-büyük şirket eksenlerinde farklı optimum noktaları bulunur.

• Google Workspace: Gmail UI, en iyi delivery, mobile/web mükemmel. Lisans başına ~6-18 USD/ay. Mecburiyet: Google ekosistemine bağımlılık.
• Microsoft 365 Business: Outlook + Teams + OneDrive + Office. Workspace'le yarışan tek alternatif. Kurumsal müşteride Office uyumu sebebiyle hâlâ çoğunlukta.
• Zoho Mail: 5 kullanıcıya kadar ücretsiz, sonra ~1-4 USD/ay. Veri Avrupa'da kalır. Türkiye KOBİ pazarında giderek yaygın.
• ProtonMail Business: E2EE, İsviçre yargı bölgesi. Hassas veriyle çalışan bürolar (avukat, doktor) için.
• Self-hosted (Postfix + Dovecot): VPS başına ~5 USD/ay; ama IP itibarı, blacklist, anti-spam, Sieve, sertifika yenileme — toplam TCO genelde Workspace'i geçer.
• Mailcow / iRedMail / Mail-in-a-Box: Self-hosted'ı kolaylaştıran open-source paketler. Tek sunucuda Postfix+Dovecot+SOGo+Rspamd+Solr birarada.
• Hetzner / NameCheap mail hosting: Hosting paketi yanında gelen IMAP/SMTP. Küçük ekip için "yeterli" olabilir; ama Workspace'in delivery'sine yaklaşamaz.

Self-Hosted'ın Gizli Maliyeti

"Sunucum var, neden lisans ödeyim?" yaklaşımı, e-posta operasyonunun gerçek maliyetini hesaba katmaz. Nginx kurulumundan farkıyla, mail server kurmak sadece port 25/587/993 dinleyen bir daemon ayarı değildir.

• IP itibarı kazanmak için 4-8 hafta yavaş ısıtma (warm-up) gerekir.
• Reverse DNS (PTR) kaydını VPS sağlayıcısı üzerinden ayarlamak zorundasınız; hosting şirketleri çoğu zaman bunu rahat vermez.
• SPF, DKIM, DMARC + MTA-STS + DANE/TLSA + BIMI — modern doğrulamanın altısını da yönetmek günlük operasyon yüküdür.
• Spam filtreleme: Rspamd + Bayes + RBL feed + greylist + DKIM verify. Yanlış yapılandırma müşteri/iş ortağı maillerini bile kaybettirir.
• Backup, GPO/policy enforcement, mobile device management, eDiscovery, Vault, S/MIME — her biri ayrı yatırım.
• Compliance: KVKK, ISO 27001, SOC 2 denetimi için mail loglarının saklanması, erişimi, silinmesi belgelenmelidir.
• Çalışan saati maliyeti: Yetkili sysadmin'in haftada 4-8 saati mail ile geçer. Bu saat × maaş ÷ kullanıcı sayısı, çoğu zaman Workspace ücretini aşar.

Sonuç: 1-3 kişilik bürolar dışında self-hosted mail neredeyse her zaman daha pahalıdır. Performans optimizasyonunda savunduğumuz "build vs buy" mantığı mail için de geçerli — kendinize katma değer yaratan kısma odaklanın, mail altyapısı çoktan emtialaştı.

Hesap Güvenliği: Sahip Olduğunuz Gmail'i Sertleştirin

Hesabı satın almak yerine ücretsiz açtınız ya da Workspace abone oldunuz; iş bitmedi. Asıl iş, hesabın ele geçirilemez olmasını sağlamaktır. markaadi ekibinin kurumsal müşterilerde uyguladığı checklist:

• Authenticator app + 8 yedek kod: Authy/1Password/Aegis. SMS-only 2FA'yı bırakın; SIM swap saldırılarına açıktır.
• FIDO2 hardware key: Yubikey 5 NFC, Google Titan, Feitian. Phishing'e karşı tek %100 koruma. Workspace Advanced Protection Program zorunlu kılar.
• Recovery e-posta + telefon: Farklı sağlayıcıdan, sadece kurtarma için kullanılan, ayrı şifreli bir adres.
• Şifre yöneticisi: Bitwarden self-hosted, 1Password, Dashlane. Tarayıcıya kayıt etmeyin; cihaz çalınırsa tüm hesaplar gider.
• App-specific password kontrolü: myaccount.google.com/apppasswords — eski/kullanılmayan tüm app password'leri silin.
• Üçüncü taraf erişim audit'i: "Bağlantılı uygulamalar" listesi her 6 ayda bir gözden geçirilmeli. "Tüm Google Drive" izni vermiş hangi servisler aktif?
• Login geçmişi: device-activity sayfasında bilinmeyen oturum varsa anında çıkış + şifre değişikliği.
• Advanced Protection Program: Hassas profil için (gazeteci, yönetici, güvenlik araştırmacısı). FIDO2 zorunlu, üçüncü taraf indirme engellenir, recovery zorlaşır — bilerek.

Phishing ve OAuth Token Hırsızlığı

2024-2026 arasında en hızlı büyüyen Gmail saldırı vektörü, kimlik bilgisi değil OAuth token hırsızlığıdır. Kullanıcı sahte bir uygulamaya "Gmail'inize erişim" izni verir; saldırgan kalıcı bir refresh token alır ve şifre değişse bile erişimi devam eder.

Workspace'te "Internal apps" ve "OAuth app whitelisting" politikaları her tenantta aktif edilmelidir. Bireysel hesaplarda myaccount.google.com/permissions sayfası tanımadığınız uygulama varsa anında kaldırılmalıdır. Detaylı OAuth güvenliği için OAuth 2.0 ve OIDC rehberi ve JWT güvenlik pitfalls yazılarımıza bakın.

Çoklu Hesabı Düzgün Yönetmek: Profil ve Workspace Ayrımı

Birden fazla kişisel + iş Gmail'ini hızlı/güvenli kullanmak isteyenler için "hesap satın al" yerine doğru çözüm Chrome profilleri ve eklentilerdir.

• Chrome / Edge profilleri: Her hesap için ayrı profil = ayrı çerez kavanozu = ayrı eklenti seti. Üç tıkla geçiş.
• Workspace + kişisel paralel: Tek tarayıcı içinde hem siz@sirketim.com hem siz.kisisel@gmail.com; sağ üst köşeden anında değişim.
• Firefox Multi-Account Containers: Aynı sekmede bile farklı hesap session'ı; çerezler container bazında izole.
• Mobile uygulamada multi-account: Gmail iOS/Android uygulaması 5+ hesabı paralel destekler; sağdan kaydırma ile geçiş.
• Inbox forwarding: Eski hesabı kapatmadan, mailleri yeni Workspace'e otomatik yönlendir. Eski hesap geçmişi kaybolmaz, yeni adresten cevap verirsiniz.

Kayıp Hesabı Geri Alma: Recovery 101

Hesabınız ele geçirildiyse veya unuttuysanız, Google'ın resmi accounts.google.com/signin/recovery akışı tek meşru yoldur. "Hesap kurtarma servisi" reklamı veren üçüncü taraf siteler, durumu düzeltmek yerine kötüleştirir. Kurtarma akışı şu sırayla denenir:

• Mevcut bilinen şifreler (eski şifreniz hatırlıyorsanız)
• Recovery e-posta adresi
• Recovery telefon numarası
• Yedek kod (8 adet üretilen, güvenli sakladığınız)
• Authenticator uygulaması
• Hesabı oluştururken kullandığınız yaklaşık tarih
• Daha önce sıkça kullanılan IP/cihaz
• Hesabın bağlı olduğu hizmet (YouTube kanalı, Drive dosyası adı vb.)

Kurtarma süreci 24-72 saat sürebilir. "Hızlandırıcı" diyen kimseye ücret ödemeyin — Google'ın iç süreci insan müdahalesine kapalıdır. Tek istisna Workspace tenant'ları için support.google.com/a üzerinden açılan resmi destek talebidir.

Gönderim Limitleri ve Kotalar (2026 Verisi)

Toplu mailing senaryoları için Gmail'in günlük gönderim limitlerini bilmek şart. Limit aşıldığında hesap 24 saat boyunca "sending suspended" durumuna girer.

• Ücretsiz Gmail (gmail.com): Günde 500 mesaj, alıcı sayısı toplam 500. SMTP üzerinden ise 100. Toplu mailing için uygun değil.
• Workspace (her plan): Günde 2.000 dış alıcı, SMTP relay 10.000. Marketing campaign'leri için SendGrid/Mailgun ile çift sağlayıcı önerilir.
• Tek mesajda alıcı: To+Cc+Bcc toplam 2.000.
• Eklenti boyutu: 25 MB (büyük dosyalar Drive üzerinden link olarak gönderilir).
• API kotası: Gmail API 1.000.000 quota unit / kullanıcı / gün; messages.send 100 unit, messages.list 5 unit. Resmi belge: developers.google.com/gmail/api/reference/quota.

Marketing Mailingi: Workspace Yetmez

Aylık 50.000+ kontağa pazarlama maili göndermek istiyorsanız, Workspace tek başına yetmez. Doğru mimari: Workspace = transactional & 1-1 yazışma, SendGrid / Mailgun / AWS SES / Brevo = bulk marketing.

Ayrı subdomain'ler ayrı reputation pool'u demektir. Marketing kampanyası kötü çalışırsa mail.sirketim.com blacklist'e girer; sirketim.com ana adresiniz temiz kalır. Bu izolasyon, kurumsal e-posta mimarisinin en kritik tercihidir.

Dahili Mail Filtreleri ve Otomasyon

Gmail'in en güçlü ama en az kullanılan özelliği filtreleme + etiketleme + Apps Script otomasyonudur. Toplu hesap satın almak yerine, mevcut tek hesabınızı 10 farklı kanal gibi çalıştırabilirsiniz.

Apps Script ücretsizdir, Workspace dışı Gmail'lerde de çalışır (sınırlı kotayla). 5 dakikalık trigger, her 5 dakikada bir onNewOrder() fonksiyonunu çağırır. Rate limiting ilkelerini uygulamak ve dış servislere webhook gönderirken backoff strateji kullanmak şart.

Şirket Devri ve Hesapla İlgili Hukuki Detaylar

"Şirketi sattım, info@sirketim.com hesabı yeni sahibe geçecek" senaryosunda hesap satışı meşru mudur? Workspace tenant devri Google tarafından desteklenir; bireysel Gmail satışı ise hâlâ ToS ihlalidir. Workspace'te şu adımlar izlenir:

• Eski super admin'in admin@ kullanıcısı yeni sahibe ait birine dönüştürülür (rename + recovery güncellemesi).
• Faturalandırma payment method'u yeni şirket kartına geçer.
• Domain ownership Google'a yeni WHOIS bilgisi ile doğrulatılır.
• Vault export ile devir öncesi tam mail arşivi alınır (KVKK gereği).
• Tüm kullanıcılara yazılı bildirim: hesabınızdaki kişisel veriniz neyle ne kadar süre saklanacak, kim erişebilecek.

Bireysel Gmail için şirket devri geçerli sebep değildir. Yeni sahip kendi hesabını açar, eski hesaba autoreply + 90 gün sonra kapatma yapılır. Aksi durumda KVKK'nın "veri sorumlusu sıfatı" konusunda çelişki doğar — kişisel veriyi açık rıza olmadan yeni bir veri sorumlusuna devretmiş olursunuz.

Yaygın Sorular

"Hesap aldım, çalışıyor, sorun ne?"

Bugün çalışıyor, yarın çalışmayabilir. Risk skoru sürekli güncellenir. Üstelik üzerine reklam, AdSense, YouTube monetizasyon, Drive dosyası gibi değer biriktirdikçe kaybetme maliyetiniz katlanır. markaadi'in görüştüğü vakaların büyük çoğunluğunda, hesap değer kazandığı an kapatılmıştır — sanki Google ne zaman vurmak gerektiğini bilen bir paradoks.

"Recovery'i değiştirdim, satıcı artık dokunamaz"

Çoğu durumda evet — ama Google'ın güvenlik akışları satıcıya "hesabınıza şüpheli erişim" mailleri yollar. Satıcı bu mailden 1-2 saat içinde tepki verirse, eski recovery'yi kullanarak "şifremi unuttum" akışını başlatabilir. Hesabı 7 günlük "cooldown" geçirmeden tamamen güvenli saymak hatadır.

"Sadece 5 TL'lik fresh hesabı sosyal medya yorumu için kullanacağım"

Yorum spam'i — etik olmadığı kadar etkili de değildir. Modern platformlar (Reddit, Quora, Twitter/X) yeni hesap reputation'ını sıkı izler. 5 TL'lik fresh hesabınız muhtemelen ilk yorumda shadowban'lanır. Aynı zamanı meşru bir profil inşasına ayırmak, uzun vadede 1000x daha verimlidir.

"Workspace pahalı geliyor, daha ucuz alternatifi var mı?"

Zoho Mail Lite kullanıcı başına ~1 USD/ay, 5 user'a kadar ücretsiz. Microsoft 365 Basic ~6 USD. ProtonMail Business ~7 USD ama E2EE. Self-hosted Mailcow tek sunucuda 10-50 user'a kadar 5-10 USD/ay altyapı + sysadmin saatleri. "En ucuz" çözüm ihtiyacınıza göre değişir; saf maliyet ekseninde Zoho ile başlayıp ölçek geldikçe Workspace'e migrate etmek yaygın patterndir.

"Gmail @gmail.com gerçekten ücretsiz mi, gizli ücreti var mı?"

Birincil Gmail hesabı (15 GB depolamayla) ücretsizdir. 15 GB'ı aştığınızda Google One aboneliği gerekir (100 GB ~25 TL/ay, 2 TB ~100 TL/ay). Reklam, veri kullanımı (yıllar içinde personalization politikalarındaki değişikliklerle azalmış olsa da) Google'ın privacy policy'sinde detaylanır. Workspace hesaplarında ise reklam yoktur ve Google içeriğinizi reklamlandırma için kullanmaz.

Karar Şeması: Hangi Yol Sizin İçin?

Pratik 30 Günlük Migrasyon Planı

Mevcut karışık mail durumunuzu (eski cPanel mail, gmail.com kişisel hesap, satın alınan eski hesap) Workspace'e taşımak için disiplinli 30 günlük plan:

• Gün 1-2: Workspace planı seç + domain doğrulama TXT'sini DNS'e ekle.
• Gün 3-5: Pilot kullanıcı (genelde IT veya kurucu) için hesap aç, MX'i pilot test domain'e/subdomain'e yönlendir, gönderim/alma testleri.
• Gün 6-8: SPF, DKIM, DMARC p=none kuruldu. Raporları topla. Hangi servisler sizin adınıza mail atıyor?
• Gün 9-12: Tüm kullanıcı listesini Workspace'e provision et. CSV import veya Google Cloud Directory Sync kullan.
• Gün 13-16: imapsync ile her kullanıcının eski mail arşivini paralel olarak (gece, mesai dışı) Workspace'e taşı.
• Gün 17-19: MX kayıtlarını canlı sırasında değiştir. Eski sunucuda IMAP'i 30 gün daha açık bırak, autoreply ekle.
• Gün 20-23: Mobile cihazlarda eski IMAP profilini kaldır, yeni Workspace profilini ekle (Android/iOS Google login).
• Gün 24-27: DMARC'i p=quarantine; pct=25'e yükselt. Bir hafta gözle.
• Gün 28-30: p=reject'e geç. Eski mail sunucusunu kapat. Vault'ta retention policy aktif et.

Maliyet Modeli: 25 Kullanıcılı KOBİ Örneği

Tablodan görüldüğü gibi hazır hesap yolu, sadece nakit çıkış olarak değil opportunity cost olarak da pahalıdır. Hibrit Workspace + Zoho modeli, 25 kişilik KOBİ için kişi başı yıllık ~1.250 TL'ye iner ve kurumsal kimlik + uyum + güvenlik bedavadır.

İleri Konu: BIMI ve Marka Logo Doğrulaması

DMARC p=reject seviyesindeyseniz bir sonraki adım BIMI (Brand Indicators for Message Identification). Inbox'ta mail yanında marka logonuzun ✓ işaretiyle görünmesini sağlar — Apple Mail, Gmail (Workspace), Yahoo destekler.

BIMI maliyeti yüksek, getirisi marka itibarına bağlı. B2B/finans/sigorta gibi e-posta üzerinden milyon TL'lik karar alınan sektörlerde geri dönüş anlamlı; 1 kişilik freelancer için lüks. bimigroup.org resmi referans noktasıdır.

Workspace Ek Özellikler: Vault, DLP, Context-Aware Access

Workspace Plus ve Enterprise'da gelen üç güç özellik, hesap satın alma pazarında elinizden hiç edinemeyeceğiniz şeylerdir:

• Vault: Tüm Gmail/Drive/Chat içeriğini retention/legal hold ile saklar. Mahkeme talebi geldiğinde aramaya 5 dakikada cevap verir. KVKK gereği tutulması zorunlu logları otomatik yönetir.
• DLP (Data Loss Prevention): TC kimlik no, kredi kartı, banka hesabı, telefon numarası gibi pattern'ler içeren maillerin dışarı gitmesini engeller. Dahili kuralla kullanıcıya uyarı + admin'e bildirim.
• Context-Aware Access: Hangi ülke, hangi cihaz, hangi network'ten erişebilir? "Yalnızca Türkiye'den, MDM ile yönetilen cihazdan, kurumsal VPN üzerinden" politikası 3 tıkla.
• Advanced endpoint management: BYOD cihazlarda iş hesabı sandbox'ı; uzaktan tek-iş-konteyneri silme.
• Secure LDAP: On-prem uygulamalara Workspace dizini ile auth.
• S/MIME zorunlu mod: Belirli kullanıcı grupları için imzasız mail göndermeyi tamamen kapatır.

E-posta İmzası ve Branding

"Hesap aldım" yerine kurumsal Workspace kurduktan sonra, marka tutarlılığı için merkezi e-posta imzası önemlidir. Workspace admin > Apps > Gmail > Compliance > Append footer ile tüm domain genelinde her giden maile otomatik imza eklenebilir.

{{full_name}} ve {{title}} placeholderları Workspace Directory'den otomatik dolar. Kullanıcı kendi imzasını yazsa bile bu footer her maile zorla eklenir; tutarlı kurumsal görünüm garantilenir. Detaylı HTML/CSS optimizasyonu için Core Web Vitals 2026 rehberindeki email-safe CSS ipuçlarını uygulayın (table layout, inline style, web-safe font).

Yedekleme: Workspace Tek Başına Yetmez

"Cloud'da, neden yedekleyeyim?" yanılgısının kurbanı çoktur. Workspace dahili Vault'u retention yapar; backup değildir. Kullanıcı bir Drive dosyasını kalıcı silerse, retention policy süresi geçmişse, dosya gider. Üçüncü taraf yedekleme şart.

• Spanning Backup (Dell): Daily incremental, 1-click restore. Kullanıcı başına ~5 USD/ay.
• Druva inSync: Workspace + endpoint birlikte, eDiscovery dahil.
• Backupify: Klasik seçenek, KOBİ dostu.
• Self-hosted alternatif: gmvault (Gmail), rclone (Drive), vdirsyncer (Calendar/Contacts) → kendi S3/Hetzner Storage Box hedefi.

Yedeklemeyi başka bir bulut sağlayıcıya alın — aynı sağlayıcıda backup tutmak "3-2-1 kuralının" 1 numaralı ihlali. Hetzner Storage Box, Backblaze B2, Wasabi gibi soğuk depolama servisleri TB başına 5-6 USD/ay. Detaylar için veritabanı yedekleme stratejileri.

Performans: Inbox 10.000 Maili Hızlandırma

İçinde 10 yıllık arşiv olan Gmail/Workspace inbox'unun yavaşlaması fizik kuralı değil, kullanım şeklidir. markaadi ekibinin müşteri inbox'larında uyguladığı performans ipuçları:

• Conversation view kapalı = liste 3x daha hızlı yüklenir; ama UX olarak zor.
• Tabbed inbox (Promotions, Updates, Forums, Social) → ana "Primary" sekmesi sadece insan maillerini gösterir.
• Vacation responder kapalı tutun, gerekmedikçe.
• Smart Compose / Smart Reply düşük güçlü cihazda CPU yer; Settings → General'dan kapatılabilir.
• Tarayıcı cache: Workspace 200-300 MB local IndexedDB tutabilir; ayda bir temizlemek başlatma süresini düşürür.
• Etiket sayısı: 50+ etiketten sonra performans düşer; ihtiyacın olmayanları sil.
• POP3 yerine IMAP: IMAP push notification + sunucu-tarafı arama; POP3 hâlâ yüklenecek tüm maili indirir.

Kaynaklar

• workspace.google.com — Workspace ürün sayfası
• policies.google.com/terms — Hizmet Şartları
• support.google.com/accounts — Hesap yardım merkezi
• admin.google.com — Workspace yönetim paneli
• RFC 7208 — SPF
• RFC 6376 — DKIM
• RFC 7489 — DMARC
• RFC 8460 — TLS-RPT
• RFC 8461 — MTA-STS
• dmarc.org — DMARC resmi referans
• kvkk.gov.tr — KVKK Kurumu
• Gmail API documentation
• imapsync.lamiral.info
• mailcow.email
• zoho.com/mail
• proton.me/business
• bimigroup.org

İlgili Yazılar

• DNS Nedir? Ayarları Değiştirme — MX kayıtları kurulumu için temel
• Domain Adı Nedir, WHOIS Sorgulama — Workspace için domain'iniz olması gerekir
• Let's Encrypt SSL Kurulumu — Self-hosted mail panelleri için
• OAuth 2.0 ve OIDC — Gmail OAuth scope ve token güvenliği
• JWT Güvenlik Pitfalls — Token tabanlı saldırılar
• OWASP Top 10 2026 — Web güvenlik temelleri
• Password Hashing — Hesap şifre güvenliği
• Veritabanı Yedekleme Stratejileri — Mail arşivi için 3-2-1 prensibi
• Nginx Yapılandırma Rehberi — Mail panel reverse proxy
• API Rate Limiting — Gmail API kullanırken backoff