WhatsApp Business Uçtan Uca Şifreleme: Botlar Mesajlarınızı Okur mu?

WhatsApp Business uçtan uca şifreleme kullanıyor mu? Bu, sohbetin işletme tarafını kimin yürüttüğüne bağlı: WhatsApp Business uygulamasının kurulu olduğu bir telefon mu, yoksa Meta'nın Cloud API'si ve ona bağlı yazılım mı? Bu rehber, uçtan uca şifrelemeyle durağan ve aktarım sırasındaki şifreleme arasındaki farkı anlatıyor, Eylül 2026 itibarıyla WhatsApp, Instagram, Messenger, Telegram ve Viber'i karşılaştırıyor ve bir sağlayıcının güvenlik iddialarını nasıl sınayacağınızı gösteriyor.

Önemli Noktalar

• Uçtan uca şifreleme (E2EE), verinin nerede durduğuyla değil, anahtarları kimin tuttuğuyla ilgilidir: mesajın şifresini yalnızca konuşmanın uç noktaları çözebilir.
• WhatsApp Business API (Cloud API), WhatsApp'ın kendi tanımına göre uçtan uca şifreli değildir; çünkü işletme uç noktasını Meta barındırır ve gelen mesajları iletmeden önce şifresini çözer.
• Instagram, DM'lerde uçtan uca şifrelemeyi 8 Mayıs 2026'da sonlandırdı ve Messenger'da işletmelerle yapılan sohbetler E2EE desteklemiyor.
• Telegram sohbetleri varsayılan olarak uçtan uca şifreli değildir; yalnızca isteğe bağlı gizli sohbetler şifrelidir. Viber ise chatbot'ları ve işletme hesaplarını varsayılan E2EE kapsamının dışında tutuyor.
• Tasarımı gereği, yapay zeka destekli bir otomatik yanıt platformu yanıtladığı mesajları okumak zorundadır; yani onlar hakkında sıfır bilgiye sahip olamaz. Sağlayıcıları kimlik bilgisi şifrelemesi, erişim kontrolü, saklama süresi ve silme üzerinden değerlendirin.

Uçtan uca şifreleme, durağan veri şifreleme ve aktarım şifrelemesi: anahtarları kim tutuyor?

• Aktarım sırasında şifreleme, bir telefonla sunucu gibi iki sistem arasında hareket eden veriyi korur; genellikle TLS ile. Veriyi alan her sunucu şifresini çözebilir.
• Durağan veri şifreleme, disklerde, veritabanlarında veya yedeklerde saklanan veriyi korur. Anahtarları genellikle veriyi saklayan servis tutar ve yazılımı ihtiyaç duyduğunda şifreyi çözebilir.
• Uçtan uca şifreleme, anahtarları yalnızca konuşmanın uç noktalarının tutması demektir. Aradaki sunucular, okuyamadıkları şifreli metni aktarır.

Aktarım sırasında şifreleme artı durağan veri şifreleme, E2EE ile aynı şey değildir. Bu ikili genellikle sağlayıcının içeriği okumasına yine de izin verir; çünkü çoğu kurulumda o anahtarları sağlayıcı kontrol eder. Gerçek E2EE testi şudur: uç noktalar dışında herhangi biri mesajın şifresini çözebiliyor mu?

WhatsApp Business uçtan uca şifreleme var mı? Uygulama ile Cloud API farkı

WhatsApp Business uygulaması, işletme onu kendi cihazlarında, bağlı bir Cloud API eşleşmesi veya sağlayıcı olmadan çalıştırdığında uçtan uca şifrelidir. WhatsApp Business API (Cloud API) ise WhatsApp'ın kendi tanımına göre değildir.

WhatsApp'ın Şifreleme Genel Bakış teknik dokümanı (Şubat 2026'da güncellendi), WhatsApp kullanıcıları arasındaki mesajların, WhatsApp Business uygulaması kullanıcıları dâhil, Signal Protokolü'nü kullandığını ve uçtan uca şifreli sayıldığını söylüyor; çünkü her uç nokta, kullanıcısının kontrol ettiği bir cihazdır.

Her WhatsApp sohbeti aynı Signal protokolünü kullanır. E2EE etiketini değiştiren şey, işletme uç noktasını kimin işlettiğidir. Cloud API, 2021'den beri Meta tarafından barındırılıyor ve WhatsApp bu sohbetleri uçtan uca şifreli saymıyor; çünkü mesajlar doğrudan işletmenin kontrol ettiği bir uç noktaya teslim edilmiyor.

Meta'nın Cloud API veri gizliliği dokümantasyonu akışı şöyle tarif ediyor:

1. Müşterinin uygulaması ile işletme adına hareket eden Cloud API, Signal anahtarlarını karşılıklı belirler.
2. Cloud API gelen mesajların şifresini çözer ve işletmeye iletir.
3. Yanıtlar için Cloud API, mesajı müşteriye teslim etmeden önce Signal ile şifreler.
4. Meta, işletme adına veri işleyen sıfatıyla hareket eder, Cloud API mesajlarını durağan hâlde şifreli saklar ve en fazla 30 gün tutar.

Cloud API'nin genel bakış dokümanları, webhook'ların TLS ile korunan HTTPS üzerinden iletildiğini belirtiyor.

Yani WhatsApp Cloud API, hat üzerinde hâlâ Signal şifrelemesi kullanıyor ve mesajları durağan hâlde şifreliyor; sadece uçtan uca değil, çünkü düz metni işletme adına Meta'nın sunucuları işliyor. Özellik farkları için WhatsApp Cloud API ile Business uygulaması karşılaştırmamıza bakın.

Sağlayıcı, eşleşme veya yapay zeka gelen kutusu varken WhatsApp Business uçtan uca şifreleme korunuyor mu?

WhatsApp Business uygulaması hesabıyla yapılan bir sohbet her zaman E2EE değildir. Teknik dokümana göre şu durumlarda bu statüsünü kaybeder:

• İşletme, WhatsApp Business uygulamasına Cloud API'yi eşlik eden cihaz olarak bağladığında. Bu, 2024'ten beri mümkün. O bire bir sohbetler işlenmek üzere Meta ile paylaşılıyor.
• Bir sağlayıcı, işletmenin WhatsApp Business API'sini işlettiğinde. O sağlayıcı, işletmenin özel anahtarlarına erişebilir; sağlayıcı Meta olsa bile. Bu yüzden WhatsApp o sohbetleri uçtan uca şifreli saymıyor.

Durum değiştiğinde WhatsApp, müşteriye sohbet içinde bir sistem mesajı gösterir. Kendi barındırdığı uç noktaları uçtan uca şifreli sayılan On-Premises API ise tarihe karıştı: son istemcisi v2.63'ün ömrü 23 Ekim 2025'te doldu ve Meta artık işletmeleri Cloud API'ye yönlendiriyor.

Pratikte, WhatsApp'a bir API, bir Business Solution Provider ya da bir WhatsApp yapay zeka gelen kutusu üzerinden ölçekli yanıt veriyorsanız, sohbetleriniz WhatsApp'ın uçtan uca şifreli saydığı sohbetler değildir.

Bir yapay zeka chatbot'u veya CRM, WhatsApp mesajlarınızı okuduğunda ne oluyor?

Yapay zeka chatbot uçtan uca şifreli mesajları okuyabilir mi? Yalnızca şifresi çözülmüş metni alan bir uç noktada duruyorsa. Cloud API ile yol şöyle işliyor:

1. Müşterinin telefonu mesajı Signal ile şifreler.
2. Meta'nın Cloud API'si mesajı işletme için çözer.
3. Bir webhook, mesajı TLS üzerinden işletmenin platformuna, yani bir CRM'e, yardım masasına veya yapay zeka gelen kutusuna iletir.
4. Platform konuşmayı saklar ve yanıt taslağı hazırlamak ya da göndermek için metni bir yapay zeka modeline aktarır.

Dördüncü adımda mesaj, sağlayıcının sistemleri içinde okunabilir hâldedir; o sağlayıcı durağan hâlde hangi şifrelemeyi kullanırsa kullansın. İki şey aynı anda doğru: sohbet hat üzerinde şifrelidir ve CRM'iniz onu okuyabilir.

8 Mayıs 2026 sonrası Instagram DM'leri: uçtan uca şifreleme yok

Instagram DM'ler 2026'da uçtan uca şifreli mi? Hayır. Instagram Yardım Merkezi'ne göre Instagram, uçtan uca şifreli mesajlaşma desteğini 8 Mayıs 2026'da durdurdu. Özellik her zaman isteğe bağlıydı, sohbet bazında açılıyordu ve hiçbir zaman varsayılan olmadı. Meta, E2EE isteyen kullanıcıları WhatsApp'a yönlendirdi.

Instagram'da yapay zeka yanıtları kullanıyorsanız, o DM'leri uçtan uca şifreli değilmiş gibi ele alın.

Facebook Messenger: kişisel sohbetler ile işletme sohbetleri

Meta, kişisel bire bir Messenger sohbetleri ve aramaları için varsayılan E2EE'yi 6 Aralık 2023'te kullanıma sunmaya başladı. Messenger Yardım Merkezi, şu anda E2EE desteklemeyen ürünleri listeliyor; bunların arasında işletmelerle yapılan sohbetler, işletme mesajlaşma araçlarını kullanan hesaplar ve Marketplace sohbetleri var.

Yani Messenger uçtan uca şifrelemesi, bir müşterinin gelen kutusu veya chatbot kullanan bir Facebook Sayfası ile yaptığı sohbeti kapsamıyor.

Telegram bulut sohbetleri, gizli sohbetler ve botlar

Telegram mesajları varsayılan olarak uçtan uca şifreli mi? Hayır. Telegram SSS iki sohbet tipi tarif ediyor:

• Bulut sohbetleri, yani varsayılan olan tip, istemci-sunucu şifrelemesi kullanır ve cihazlar arasında senkronize olabilmeleri için Telegram'ın sunucularında şifreli olarak saklanır.
• Telegram gizli sohbetleri uçtan uca şifreleme kullanır. Bire birdir, belirli cihazlara bağlıdır, senkronize olmaz ve varsayılan değildir.

Botlar bulut sohbetlerinde çalışır. Resmî Bot API, sohbet tiplerini private, group, supergroup ve channel olarak listeliyor; gizli sohbet tipi yok. Telegram Business'ın Mart 2024'te kullanıma girmesinden bu yana işletmeler, kendi adlarına mesaj yanıtlayan botlar bağlayabiliyor, ancak bu bot konuşmaları gizli sohbet değil.

Viber özel sohbetleri ile Viber işletme hesapları

Viber'in gizlilik politikası, uçtan uca şifrelemenin bire bir aramaları ve mesajları, grup mesajlarını, özel medya paylaşımını ve bağlı cihazları koruduğunu söylüyor ve Viber bunun varsayılan olarak açık olduğunu belirtiyor. İşletmeler açısından önemli istisna, Viber'in herkese açık içerik koşullarında: Topluluklardaki, Kanallardaki, Chatbot'lardaki ve İşletme Hesaplarındaki içerik uçtan uca şifreli değil ve Viber bu içeriği saklıyor.

Kanala göre şifreleme: karşılaştırma tablosu (Eylül 2026)

Kanal	Kişisel sohbetlerde varsayılan E2EE	İşletme veya bot sohbetlerinde E2EE	İşletme mesajlarını kimler işleyebilir	Kaynak
WhatsApp Business uygulaması (API yok, sağlayıcı yok)	Evet (Signal)	Evet	İşletmenin kendi cihazları	WhatsApp teknik dokümanı
WhatsApp Cloud API veya sağlayıcı tarafından işletilen API	Evet (Signal)	Hayır	Veri işleyen olarak Meta, işletme, bağlı platformlar	WhatsApp teknik dokümanı, Meta dokümanları
Instagram DM'leri	Hayır (isteğe bağlı E2EE 8 Mayıs 2026'da sona erdi)	Hayır	Meta, işletme, bağlı araçlar	Instagram Yardım Merkezi
Facebook Messenger	Aralık 2023'ten beri varsayılan olarak yayılıyor (kişisel bire bir)	Hayır	Meta, işletme, bağlı araçlar	Messenger Yardım Merkezi
Telegram	Hayır (gizli sohbetler isteğe bağlı)	Hayır (bot sohbetleri bulut sohbetidir)	Telegram sunucuları, botu işleten taraf	Telegram SSS, Bot API
Viber	Evet	Hayır (chatbot'lar, işletme hesapları)	Viber, işletme yöneticileri	Viber gizlilik politikası ve koşulları

Yapay zeka otomatik yanıt platformları neden sıfır bilgi olamaz?

Sıfır bilgi (zero-knowledge) şifreleme, bir sağlayıcının verinizi saklarken şifresini çözecek anahtarlara hiçbir zaman sahip olmaması, dolayısıyla içeriği okuyamaması demektir.

Yapay zeka destekli bir otomatik yanıt ürünü tasarımı gereği tam tersi çalışır. "Yarın Erbil'e teslimat yapıyor musunuz?" sorusunu yanıtlamak için modelin soruyu düz metin olarak okuması, bilgi tabanınıza bakması ve bir yanıt yazması gerekir. Mantık açık: mesajları yanıtlamak için okuyan bir sistem, onları her zaman okuyabilir.

"Sıfır bilgi yapay zeka gelen kutusu" ya da "uçtan uca şifreli yapay zeka chatbot" reklamı yapan bir sağlayıcı ya terimleri esnetiyordur ya da mesajlarınız üzerinde yapay zeka çalıştırmıyordur. İşe yarayan sorular, okunabilir veriye kimin ve neyin ulaşabildiğini sınırlamakla ilgilidir.

Sağlayıcıların şifreleme iddiaları nasıl değerlendirilir?

Uyarı işaretleri:

• Bir yapay zeka chatbot'u ya da WhatsApp Cloud API gelen kutusu için "uçtan uca şifreli" ifadesinin kullanılması.
• Neyin şifrelendiğini ya da anahtarları kimin tuttuğunu listelemeyen "tüm veriler şifreli" iddiası.
• Algoritma, kapsam veya anahtar yönetimi ayrıntısı olmayan "askeri düzeyde" ya da "banka düzeyinde" ifadeleri.
• İsteyince gösterilebilecek bir sertifika ya da denetim raporu olmayan sertifikasyon rozetleri.

Sorulacak sorular:

1. Uygulama düzeyinde hangi alanlar, hangi algoritmayla şifreleniyor?
2. Kanal erişim tokenları ve yapay zeka sağlayıcı anahtarları şifreleniyor mu, anahtar nerede tutuluyor?
3. Mesaj içeriği uygulama düzeyinde mi şifreleniyor, yoksa yalnızca kimlik bilgileri ve seçili alanlar mı?
4. Sağlayıcının hangi çalışanları müşteri konuşmalarını görebiliyor ve bu erişim loglanıyor mu?
5. Mesajlar ne kadar süre saklanıyor ve hesap silme işlemi gerçekte neleri kaldırıyor?
6. Mesaj metnini hangi yapay zeka sağlayıcıları alıyor ve hangi veri kullanım koşullarıyla?

Raabt bugün neleri şifreliyor ve koruyor?

Raabt yapay zeka destekli bir otomatik yanıt platformu, dolayısıyla aynı mantık bizim için de geçerli: yapay zekamız yanıt yazmak için mesaj metnini okuyor. Bu, Raabt'ın uçtan uca şifreli olmadığı ve yukarıdaki tanıma göre hiçbir yapay zeka gelen kutusunun olamayacağı anlamına geliyor. Bugün devrede olanlar şunlar:

• Alan düzeyinde şifreleme: kimlik bilgileri, tokenlar ve seçili iletişim bilgileri (telefon, e-posta, adres), HKDF-SHA256 ile türetilmiş bir anahtar kullanılarak AES-256-GCM ile şifreleniyor. Bu, Facebook, Instagram, WhatsApp ve Telegram için bağlı kanal erişim tokenlarını ve yapay zeka sağlayıcı API anahtarlarını kapsıyor. Uygulama, en az 32 karakterlik bir anahtar olmadan başlamayı reddediyor.
• Parolalar ve kodlar: parolalar Argon2id ile hash'leniyor, partner API anahtarı gizli değerleri yalnızca SHA-256 hash'i olarak saklanıyor ve tek kullanımlık kodlar yalnızca HMAC-SHA256 hash'i olarak tutuluyor.
• Oturum açma: e-posta ve parolayla yapılan girişlerde, oturum açılmadan önce e-postanıza gönderilen tek kullanımlık bir kod isteniyor.
• Ekip erişimi: bölüm bazlı izinlere sahip dört rol (owner, admin, agent, viewer) ve işletme uç noktaları önce çağrıyı yapanın o işletmenin aktif bir üyesi olduğunu doğruluyor.
• Webhook'lar ve medya: Meta webhook'ları X-Hub-Signature-256 imzası geçerli değilse reddediliyor, Telegram webhook'ları gizli bir token gerektiriyor ve ekler yalnızca süresi dolan, HMAC ile imzalanmış URL'ler üzerinden sunuluyor.
• Silme: Raabt, Meta'nın veri silme geri çağrısını destekliyor ve veri silme sayfasında bir durum bağlantısı sunuyor. Hesap silme işlemi parolanızı ve e-postayla gönderilen bir kodu gerektiriyor; ardından hesap anında devre dışı bırakılıyor ve e-postası anonimleştiriliyor.

Sıkça Sorulan Sorular

WhatsApp Business API uçtan uca şifreli mi?

Hayır. WhatsApp'ın teknik dokümanı, Cloud API kullanan işletmelerle yapılan sohbetlerin uçtan uca şifreli sayılmadığını söylüyor; çünkü uç noktayı Meta barındırıyor. Mesajlar Meta'ya yine Signal şifrelemesiyle gidiyor, Meta şifrelerini çözüp işletmeye TLS üzerinden iletiyor.

Meta, WhatsApp Business mesajlarını okuyabilir mi?

Cloud API'de evet: Meta'nın sunucuları, işletmenin veri işleyeni olarak mesajların şifresini çözüyor, durağan hâlde şifreli saklıyor ve en fazla 30 gün tutuyor. Cloud API bağlantısı ya da sağlayıcısı olmayan WhatsApp Business uygulamasında ise hayır: sohbetler cihazlar arasında uçtan uca şifrelidir.

Yapay zeka chatbot uçtan uca şifreli mesajları okuyabilir mi?

Yalnızca şifresi çözülmüş mesajı bir uç noktada aldığında. WhatsApp Cloud API'de, Instagram'da, Messenger işletme sohbetlerinde, Telegram botlarında ve Viber chatbot'larında işletme tarafı uçtan uca şifreli olmadığı için yapay zeka okunabilir metinle çalışır.

Uçtan uca şifreleme ile durağan veri şifreleme arasındaki fark nedir?

Durağan veri şifreleme saklanan veriyi korur ve anahtarları genellikle veriyi saklayan servis tutar. Uçtan uca şifreleme ise anahtarları yalnızca konuşmanın uç noktalarında tutar, böylece mesajı aktaran sağlayıcı onu okuyamaz.

Telegram mesajları varsayılan olarak uçtan uca şifreli mi?

Hayır. Varsayılan bulut sohbetleri istemci-sunucu şifrelemesi kullanır ve Telegram'ın sunucularında şifreli olarak saklanır. Yalnızca bire bir olan ve bilerek başlatılması gereken gizli sohbetler uçtan uca şifrelidir; bot konuşmaları ise gizli sohbet değildir.

Instagram DM'ler 2026'da hâlâ uçtan uca şifreli mi?

Hayır. Instagram, uçtan uca şifreli mesajlaşma desteğini 8 Mayıs 2026'da durdurdu ve bu hiçbir zaman varsayılan değildi; bu yüzden işletme hesaplarıyla yapılan DM'leri uçtan uca şifreli değilmiş gibi ele alın.

Kanal tokenları AES-256-GCM ile şifrelenmiş bir kurulumda yanıtları otomatikleştirmeye hazır mısınız? Ücretsiz başlayın.