Elektronik ortamda imzalanan bir belgenin kim tarafından imzalandığını göstermek kadar, hangi anda mevcut olduğunu güvenilir biçimde ortaya koymak da önemlidir. Elektronik imza belgeyi kimin imzaladığını, zaman damgası ise ilgili elektronik verinin hangi zamanda var olduğunu doğrulamaya yardımcı olur. Bu nedenle iki teknoloji farklı soruları yanıtlar ve biri diğerinin yerine geçmez.
Bu rehberde zaman damgasının ne olduğunu, e-imzalı belgelerde neden kullanıldığını, uzun vadeli arşivle ilişkisini ve sık karşılaşılan hata mesajlarının olası nedenlerini ele alıyoruz.
Zaman Damgası Nedir?
Zaman damgası, 5070 sayılı Elektronik İmza Kanunu’ndaki tanımıyla bir elektronik verinin üretildiği, değiştirildiği, gönderildiği, alındığı veya kaydedildiği zamanın tespit edilmesi amacıyla elektronik sertifika hizmet sağlayıcısı tarafından elektronik imzayla doğrulanan kayıttır. Böylece verinin belirli bir anda mevcut olduğu güvenilir bir zaman kaynağına bağlanır.
Zaman Damgası Ne İşe Yarar?
Zaman damgası, bir elektronik verinin belirli bir zamanda var olduğunu doğrulamaya yarar. Damgalama işlemi sırasında belgenin kendisi yerine, belgeden matematiksel yöntemle üretilen özet değer kullanılır. Zaman damgası sunucusu bu özet değeri güvenilir zaman bilgisiyle ilişkilendirir ve elektronik olarak imzalar.
Belge daha sonra doğrulandığında özet değer yeniden hesaplanır. Mevcut değer, zaman damgasındaki değerle uyuşmuyorsa belgenin damgalandığı andaki haliyle aynı olmadığı anlaşılır. Başka bir ifadeyle zaman damgası belgeyi kilitlemez veya değişikliği fiziksel olarak engellemez; değişikliğin doğrulama aşamasında tespit edilebilmesini sağlar.
Bir bilgisayarın ya da telefonun sistem saati aynı güveni sağlamaz. Cihaz saati kullanıcı tarafından değiştirilebilir, yanlış yapılandırılabilir veya senkronizasyonunu kaybedebilir. Zaman damgasının delil değeri, zaman bilgisinin bağımsız bir elektronik sertifika hizmet sağlayıcısı tarafından üretilmesi ve elektronik imzayla doğrulanmasından kaynaklanır.
Zaman damgasının kullanıldığı başlıca alanlar şunlardır:
- e-imzalı sözleşmeler ve kurumsal onay belgeleri
- resmi yazışma paketleri ve elektronik belge yönetimi süreçleri
- KEP ve e-tebligatla ilişkili delil kayıtları
- ihale ve başvuru işlemleri
- uzun süre saklanması gereken dijital arşivler
- ilgili mevzuat ve teknik düzenlemeler kapsamında e-Defter süreçleri
E-imzam Varken Zaman Damgası Neden Gerekir?
Elektronik imza ile zaman damgası birbirini tamamlayan ancak farklı işlevlere sahip iki yapıdır:
| Elektronik imza | Zaman damgası |
|---|---|
| İmzayı oluşturan kişinin kimliğinin doğrulanmasına dayanır. | Elektronik verinin belirli bir zamanda var olduğunu doğrular. |
| Belgenin imzalandıktan sonra değiştirilip değiştirilmediğinin kontrol edilmesini sağlar. | Damgalanan özet değeri güvenilir zaman bilgisiyle ilişkilendirir. |
| Temel olarak “kim imzaladı?” sorusunu yanıtlar. | Temel olarak “bu veri ne zaman mevcuttu?” sorusunu yanıtlar. |
İmzalama yazılımında görünen tarih ve saat her zaman bağımsız bir kanıt değildir. Bu bilgi imzalama yapılan cihazın saatinden alınmış olabilir. Güvenilir bir zaman damgası ise işlemi kullanıcının kontrolündeki cihaz saatinden bağımsız bir zaman kaynağına bağlar.
Zaman damgasının önemi özellikle belgenin aylar veya yıllar sonra doğrulanması gerektiğinde belirginleşir. Güvenli elektronik imza, geçerli bir nitelikli elektronik sertifikaya dayanır. Ancak bu sertifikanın kullanım süresi daha sonra dolabilir veya sertifika iptal edilebilir. Belge üzerinde güvenilir zaman bilgisi ve gerekli doğrulama verileri yoksa imzanın sertifika geçerliyken oluşturulduğunu ileride göstermek zorlaşabilir.
Zaman damgası burada tarihsel bir doğrulama noktası oluşturur. İmzanın belirli bir anda mevcut olduğunu ve o anda kullanılan sertifikanın durumunun değerlendirilmesini destekler. Bununla birlikte uzun vadeli doğrulama yalnızca zaman damgasından ibaret değildir. Sertifika zinciri, iptal durumu bilgileri, doğrulama verileri ve kullanılan imza formatı da değerlendirilmelidir.
Örneğin bir şirketin beş yıl önce e-imzalanmış sözleşmeyi uyuşmazlık sırasında ibraz ettiğini düşünün. İmzacıya ait sertifikanın süresi bugün dolmuş olabilir. Belge, güvenilir zaman bilgisi ve gerekli doğrulama verileriyle saklanmışsa imzanın oluşturulduğu andaki koşullar daha sağlıklı biçimde incelenebilir. Yalnızca bugünkü sertifika durumuna bakılması ise geçmişteki işlemin tamamını açıklamayabilir.
Nitelikli elektronik sertifikanın işlevi ve geçerliliği hakkında daha fazla bilgi için NES nedir? içeriğini inceleyebilirsiniz.
Zaman Damgasının Geçerlilik Süresi ve Uzun Vadeli Arşiv
Zaman damgası önemli bir doğrulama bileşeni olsa da tek başına ve sonsuza kadar yeterli kabul edilmemelidir. Kullanılan sertifikanın süresi, kriptografik algoritmaların güvenilirliği, doğrulama verilerinin erişilebilirliği ve kurumun saklama yükümlülükleri zaman içinde değişebilir. Bu nedenle uzun süre saklanacak belgelerde yalnızca ilk damganın alınması değil, belgenin yaşam döngüsü boyunca doğrulanabilir kalması önem taşır.
Arşiv imzalama, saklanan belge ve delillerin bütünlüğünü, değişmezliğini ve ileride doğrulanabilirliğini destekleyen uzun vadeli koruma katmanıdır. İhtiyaca ve kullanılan standarda göre doğrulama verilerinin belgeyle birlikte saklanmasını, mevcut koruma süresi sona ermeden yeni zaman damgaları veya arşiv imzaları eklenmesini içerebilir.
Bu konu özellikle ticari defterler, uzun süreli sözleşmeler, resmi yazışmalar ve tebligat delilleri gibi yıllarca saklanan kayıtlarda operasyonel hale gelir. Kurumun yalnızca belgeyi dosyalaması yeterli değildir. Belgenin hangi doğrulama verileriyle saklandığı, damganın doğrulanıp doğrulanmadığı ve yenileme ihtiyacının izlenip izlenmediği de yönetilmelidir.
Zaman damgası ve ilgili sertifikalar için her durumda geçerli tek bir süre vermek doğru değildir. Süreler kullanılan hizmete, sertifikaya, sözleşmeye ve teknik profile göre değişebilir. Kurumların kendi saklama yükümlülüklerini ve hizmet sağlayıcı koşullarını birlikte değerlendirmesi gerekir.
Arşiv süreçleri hakkında arşiv imzalama kavramına ve Docsline Delil Takip ve Arşivleme çözümüne göz atabilirsiniz.
Zaman Damgası Nasıl Alınır?
5070 sayılı Kanun kapsamındaki zaman damgası hizmeti elektronik sertifika hizmet sağlayıcıları tarafından sunulur. Türkiye’de faaliyette bulunan sağlayıcılara ilişkin güncel bilgiye BTK’nın Elektronik Sertifika Hizmet Sağlayıcıları sayfasından ulaşılabilir.
Hizmetin kullanım modeli sağlayıcıya göre değişebilir ve genellikle belirli bir kullanım adedi üzerinden tanımlanır. Kurumsal uygulamalarda kullanıcı çoğu zaman her belge için ayrı bir manuel işlem yapmaz. İmzalama veya belge yönetimi yazılımı zaman damgası sunucusuna bağlanır, belge özetini iletir ve dönen zaman damgasını ilgili belge ya da imza paketiyle ilişkilendirir.
Başvuru, fiyatlandırma, kullanım koşulları ve teknik bağlantı bilgileri için seçilen elektronik sertifika hizmet sağlayıcısının güncel dokümanları esas alınmalıdır.
Sık Karşılaşılan Zaman Damgası Hataları
“Zaman damgası alınamadı” veya “zaman damgası geçersiz” gibi uyarılar tek bir nedene işaret etmez. Hatanın görüldüğü platform, imzalama yazılımı, ağ yapısı ve hizmet sağlayıcı yanıtı birlikte incelenmelidir.
Zaman damgası alınamadı hatası
Bu uyarı, uygulamanın zaman damgası sunucusundan geçerli bir yanıt alamadığını gösterebilir. Olası nedenler arasında sunucuya erişim sorunu, ağ kesintisi, proxy veya güvenlik duvarı kısıtı, yanlış bağlantı bilgileri, kimlik doğrulama sorunu ya da tanımlı kullanım hakkının tükenmesi bulunabilir.
İlk olarak internet ve kurumsal ağ erişimi, hizmet sağlayıcı durumu ve uygulamadaki sunucu ayarları kontrol edilmelidir. Sorun sürüyorsa hata kodu ve işlem zamanı kaydedilerek yazılım sağlayıcısı veya zaman damgası hizmetini sunan ESHS ile paylaşılmalıdır.
EKAP zaman damgası hatası
EKAP üzerinde görülen hata, platformun kendi işlem akışı, kullanılan imza bileşeni veya zaman damgası hizmetiyle ilgili olabilir. Genel bir e-imza hatasıyla aynı kabul edilmemelidir. Güncel istemci sürümü ve EKAP duyuruları kontrol edilmeli; hata mesajı değiştirilmeden EKAP destek kanalı ve gerekiyorsa ilgili ESHS ile paylaşılmalıdır.
E-imza sırasında zaman damgası hatası
İmzalama sırasında alınan her hata doğrudan zaman damgası sunucusundan kaynaklanmaz. Kart okuyucu, e-imza sürücüsü, sertifika zinciri, uygulama sürümü, cihaz saatinin senkronizasyonu veya ağ ayarları da işlemi etkileyebilir. Hatanın imza oluşturma aşamasında mı, damga talebi sırasında mı yoksa doğrulama sırasında mı oluştuğunun belirlenmesi doğru muhataba ulaşmayı kolaylaştırır.
“Alınan imza zaman damgası geçersiz” uyarısı
Bu uyarı, zaman damgasının doğrulama zincirinin kurulamaması, damgalanan özet ile mevcut belgenin özetinin uyuşmaması, gerekli kök veya ara sertifikalara erişilememesi ya da kullanılan doğrulama yazılımının teknik uyumsuzluğu gibi nedenlerle görülebilir. Uyarı tek başına belgenin hukuki durumuna ilişkin kesin sonuç vermez. Belge ve doğrulama raporu üzerinde teknik inceleme yapılması gerekir.
Kurumsal ortamlarda sorun giderirken deneme amacıyla belgeyi yeniden kaydetmek veya dönüştürmek, mevcut özet değeri değiştirebileceği için dikkatli olunmalıdır. Orijinal dosya korunmalı; hata kodu, doğrulama raporu, işlem zamanı ve kullanılan yazılım sürümü kayıt altına alınmalıdır.
Kurumsal Süreçlerde Zaman Damgası Yönetimi
Tek bir belgede zaman damgası kullanmak görece kolaydır. Binlerce belgede damganın doğru anda alındığını, doğrulandığını, belgeyle ilişkilendirildiğini ve saklandığını izlemek ise ayrı bir süreç yönetimi gerektirir.
Elle veya birbirinden kopuk uygulamalarla yönetilen yapılarda şu riskler gözden kaçabilir:
- zaman damgası alınamayan belgelerin sonradan fark edilmesi
- kullanım hakkının tükenmesi nedeniyle işlemlerin aksaması
- doğrulama sonucunun belgeyle birlikte saklanmaması
- delil, log ve işlem kayıtlarının farklı ortamlarda kalması
- uzun vadeli arşiv için gerekli yenileme adımlarının izlenmemesi
Kurumsal bir yönetim katmanı; damganın imzalama akışında otomatik alınmasını, doğrulama sonucunun kayda geçirilmesini, işlem loglarının delillerle ilişkilendirilmesini ve arşiv imzalama süreçlerinin bütüncül biçimde izlenmesini sağlar.
Docsline, zaman damgası sağlayıcısı değildir. Elektronik sertifika hizmet sağlayıcısından alınan zaman damgasını e-imzalama, delil takip ve arşivleme akışlarında kullanan yönetim katmanıdır. Böylece kurumlar e-imzalı belgelerini, ilgili delilleri ve doğrulama kayıtlarını dağınık uygulamalar yerine merkezi bir süreç içinde takip edebilir.
Zaman damgası ve arşiv imzalamayı kurumsal imzalama akışının içine alarak tek panelden yönetmek için Docsline e-İmzalama ve Delil Takip ve Arşivleme çözümlerini inceleyebilirsiniz.
Zaman damgası nedir, ne işe yarar?
Zaman damgası, elektronik bir verinin belirli bir zamanda mevcut olduğunu doğrulayan elektronik kayıttır. Damgalanan özet değer sayesinde belgenin daha sonra değiştirilip değiştirilmediği doğrulama sırasında anlaşılabilir.
E-imza ile zaman damgası arasındaki fark nedir?
E-imza temel olarak imzalayanın kimliğini ve imzalanan verinin bütünlüğünü doğrulamaya yöneliktir. Zaman damgası ise veriyi güvenilir bir zaman bilgisiyle ilişkilendirir. Kısaca e-imza “kim”, zaman damgası “ne zaman” sorusunu yanıtlar.
E-imzalı belgede zaman damgası zorunlu mu?
Her e-imzalı belge için genel ve tek bir zorunluluk bulunduğu söylenemez. Zorunluluk, ilgili işlem türünün mevzuatına, teknik standardına veya kurumun saklama ve ispat gereksinimlerine göre değerlendirilmelidir.
Zaman damgası olmadan imza geçersiz olur mu?
Zaman damgasının bulunmaması, güvenli elektronik imzayı kendiliğinden geçersiz hale getirmez. Ancak güvenilir imzalama zamanının ve imzanın geçmişteki geçerlilik durumunun uzun süre sonra kanıtlanmasını zorlaştırabilir.
Zaman damgasının geçerlilik süresi ne kadardır?
Her zaman damgası için geçerli tek bir sabit süre yoktur. Süre ve uzun vadeli doğrulanabilirlik; hizmet sağlayıcının sertifikasına, kullanılan algoritmalara, teknik profile ve arşivleme yöntemine göre değerlendirilmelidir.
Zaman damgası nereden alınır?
Zaman damgası hizmeti elektronik sertifika hizmet sağlayıcıları tarafından sunulur. Güncel sağlayıcı bilgileri BTK’nın resmi ESHS listesinden kontrol edilmelidir.
Zaman damgası nerelerde kullanılır?
Zaman damgası e-imzalı sözleşmelerde, resmi yazışmalarda, ihale süreçlerinde, KEP ve e-tebligat delillerinde, e-Defter uygulamalarında ve uzun süreli dijital arşivlerde kullanılabilir. Kullanım gereksinimi sürecin tabi olduğu kurala göre değişir.
Zaman damgası alınamadı hatası neden olur?
Sunucuya erişim sorunu, ağ veya güvenlik duvarı kısıtı, yanlış yapılandırma, kimlik doğrulama problemi ya da kullanım hakkının tükenmesi olası nedenler arasındadır. Kesin neden, uygulama logları ve hizmet sağlayıcı yanıtıyla belirlenmelidir.
Arşiv imzalama ile zaman damgası aynı şey mi?
Hayır. Zaman damgası veriyi belirli bir zamanla ilişkilendirir; arşiv imzalama ise uzun süre saklanan belge ve doğrulama verilerinin ileride de doğrulanabilir kalmasını destekleyen daha geniş bir koruma sürecidir.
E-Defterde zaman damgası kullanılır mı?
E-Defter süreçlerinde zaman damgası belirli teknik ve operasyonel senaryolarda kullanılabilir. Güncel yükümlülükler ve kullanım koşulları için Gelir İdaresi Başkanlığının yürürlükteki e-Defter düzenlemeleri ile teknik kılavuzları esas alınmalıdır.
Kaynaklar
- 5070 sayılı Elektronik İmza Kanunu, Adalet Bakanlığı Mevzuat Bilgi Sistemi
- Elektronik İmza Kanununun Uygulanmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik, Resmi Gazete
- Elektronik Sertifika Hizmet Sağlayıcıları, BTK
- Zaman Damgası Nedir?, TÜBİTAK Kamu SM
- Kamu SM Zaman Damgası Nasıl Çalışır?, TÜBİTAK Kamu SM