Android'de APK Kurulumunu Güvenli Bir Şekilde Yapma — Kısa Rehber

Kerem Aydın·7 Temmuz 2026·⏱3 dk

Kısaca: Google Play'i, resmi web sitelerini veya doğrulanmış depoları kullanın; sideload yapmanız gerekiyorsa her zaman apk imzasını (apksigner) kontrol edin, dosyanın SHA‑256 değerini karşılaştırın, bilinmeyen kaynaklardan yüklemeyi yalnızca geçici olarak etkinleştirin ve gereksiz izinler vermeyin.

APK Nereden İndirilir

  • En iyi seçenek resmi mağazadır (uygulama orada varsa) veya geliştiricinin resmi web sitesidir.
  • Açık kaynaklı uygulamalar için derlemeleri ve kaynak kodlarını içeren depolar tercih edilmelidir.
  • Güvenilir yansılar kabul edilebilir, ancak yalnızca imza ve hash zorunlu olarak kontrol edildiğinde.

Uygulama resmi mağazada mevcutsa oradan yükleyin. Sideloading'i yalnızca gerçek bir ihtiyaç durumunda (bölgesel kısıtlamalar, beta sürümler, açık kaynak) kullanın.

İmza ve Bütünlük Kontrolü (Somut Adımlar)

Sahteciliğe karşı gerçekten koruma sağlayacak adımlar:

  1. Geliştiriciden veya resmi sayfadan sertifikanın SHA‑256 parmak izini ve/veya APK'nın SHA‑256 hash değerini alın.

  2. Dosya hash kontrolü:

    • Linux/macOS: sha256sum app.apk
    • Windows PowerShell: Get-FileHash app.apk -Algorithm SHA256 Yayınlanan değerle karşılaştırın.

  3. İmza kontrolü (Android SDK — apksigner):

    • apksigner verify --print-certs app.apk Çıktıda SHA‑256 certificate digest / public key digest değerlerini yayınlanan parmak iziyle karşılaştırın.

  4. Ek olarak (imza kontrolünün yerine geçmez): Bilinen kötü amaçlı yazılım imzalarını tespit etmek için APK'yı bir tarayıcıya yükleyin — bu ek bir kontroldür, ancak gizliliği göz önünde bulundurun.

Geliştirici sertifika parmak izlerini yayınlamıyorsa bu bir risktir. Parmak izini resmi kanallardan (web sitesi, depo) isteyin.

İzinler ve Güvenli Kurulum — Adım Adım

  1. Önemli verilerinizin yedeğini alın.
  2. Hash ve imzayı kontrol edin (yukarıya bakın).
  3. Bilinmeyen kaynaklardan yüklemeyi yalnızca belirli yükleyici için etkinleştirin (Ayarlar → Uygulamalar → Özel erişim → Bilinmeyen uygulamaları yükle) ve kurulumdan hemen sonra devre dışı bırakın.
  4. Uygulamayı yükleyin.
  5. Hemen gereksiz izinleri kontrol edin ve geri alın: Ayarlar → Uygulamalar → [Uygulama] → İzinler / Özel erişim.
  6. Davranışı gözlemleyin (pil, veri trafiği, açılır pencereler).

Tehlikeli izinler: SMS/Arama günlüğü, hesaplara erişim, Erişilebilirlik Hizmeti, Bildirim dinleyicisi, SYSTEM_ALERT_WINDOW, paket yükleme hakkı (REQUEST_INSTALL_PACKAGES). Bunları açık bir neden olmadan vermeyin.

APK, belirgin bir işlevsel ihtiyaç olmadan Erişilebilirlik veya SMS/arama erişimi istiyorsa vermeyin ve uygulamayı kaldırın.

Sık Yapılan Hatalar

  • Doğrulanmamış yansılardan indirme ve imza kontrolü yapmadan kurma.
  • "Bilinmeyen kaynaklardan yükleme"yi global olarak etkinleştirip kapatmayı unutmak.
  • "Kolaylık olsun diye" Erişilebilirlik/Cihaz yöneticisi hakları vermek.
  • SHA‑256 hash veya sertifika parmak izi uyuşmazlığını görmezden gelmek.

SSS

  • İmzayı her zaman kontrol etmek gerekir mi?
    Evet — bu, APK'nın gerçekten geliştiriciden geldiğinden ve değiştirilmediğinden emin olmanın temel yoludur.

  • Sadece antivirüs taraması yeterli midir?
    Hayır. Tarama faydalıdır ancak imza ve hash kontrolünün yerine geçmez.

  • Kompromis şüphesi durumunda ne yapılmalı?
    Uygulamayı kaldırın, şifreleri değiştirin, banka işlemlerini kontrol edin, gerekirse fabrika ayarlarına sıfırlama yapın ve güvenli bir yedekten geri yükleyin.

Kurulum Öncesi Kontrol Listesi

  • [ ] Kaynak güvenilir mi?
  • [ ] SHA‑256 hash ve/veya sertifika parmak izi alındı mı?
  • [ ] sha256sum / Get-FileHash — hash eşleşiyor mu?
  • [ ] apksigner verify --print-certs — parmak izi eşleşiyor mu?
  • [ ] İzinler gerekçeli ve sınırlı mı?
  • [ ] Bilinmeyen kaynaklardan yükleme geçici olarak etkin mi?
  • [ ] Yedek alındı mı?

Gerekirse, komut örnekleri ve apksigner çıktı formatıyla birlikte işletim sisteminize (Windows/macOS/Linux) özel kısa bir talimat hazırlayabilirim.