e-İmza & KEP Entegrasyonu

Evet. 5070 sayılı Elektronik İmza Kanunu'na göre güvenli elektronik imza, elle atılan imza ile aynı hukuki sonucu doğurur. İstisnası, kanunların resmî şekle veya özel merasime tabi tuttuğu işlemlerdir: taşınmaz satışı, evlenme ve veraset sözleşmeleri ile banka teminat mektupları e-imza ile yapılamaz. Ticari sözleşmeler, İK belgeleri ve hizmet sözleşmelerinin büyük bölümü ise e-imzaya uygundur.

İkisi de nitelikli sertifikaya dayanır ve aynı hukuki güce sahiptir; fark sertifikanın taşındığı ortamdır. e-İmzada sertifika akıllı kart veya USB token üzerindedir, bilgisayar ve okuyucu gerektirir. Mobil imzada sertifika GSM operatörünün SIM kartındadır; imza telefondan PIN ile atılır. Sahada veya uzaktan imzalayan kullanıcılar için mobil imza, masa başında yoğun imza atanlar için e-imza pratik seçimdir.

Normal e-postada gönderimin yapıldığı ve iletinin ulaştığı hukuken ispatlanamaz. KEP'te ise gönderim, teslim ve okunma anları zaman damgalı delil kayıtlarıyla saklanır ve bu kayıtlar aksi ispatlanana kadar geçerli delil kabul edilir. Bu yüzden ihtar, fesih ve ihbar gibi hukuki sonuç doğuran bildirimler KEP ile gönderilir; sıradan bilgilendirme mesajları için normal e-posta yeterlidir.

Ticaret siciline kayıtlı sermaye şirketleri (anonim, limited ve sermayesi paylara bölünmüş komandit) için KEP adresi edinme yükümlülüğü mevzuatta düzenlenmiştir; bazı kamu yazışmaları da yalnızca KEP üzerinden kabul edilir. Adres, yetkili KEP hizmet sağlayıcılarından (KEPHS) alınır. Zorunluluk için alınan adres, API ile yazılımınıza bağlandığında otomatik ihtar ve toplu bildirim gibi süreçlerde aktif olarak da kullanılabilir.

Nitelikli elektronik sertifika, BTK'nın yetkilendirdiği sertifika sağlayıcılarından (örneğin E-Güven, TürkTrust, Kamu SM) alınır; mobil imza için GSM operatörünüze başvurulur. Başvuruda kimlik doğrulama yapılır; sağlayıcılar bu adımı artık büyük ölçüde e-Devlet ve çipli kimlik kartıyla NFC doğrulama üzerinden yürütüyor, bu da süreci hızlandırdı. Sertifika genellikle birkaç iş günü içinde teslim edilir ve 1-3 yıllık dönemler halinde ücretlendirilir. Entegrasyon projesine başlarken imzacıların başvurularını paralel yürütmek, canlıya geçişte beklemeyi önler.

PDF sözleşmeler imzalayacaksanız standart PAdES'tir; imza belgenin içine gömülür ve yaygın PDF okuyucularla doğrulanır. Herhangi bir dosya türünü (görsel, arşiv dosyası, video) imzalamanız gerekiyorsa CAdES kullanılır. XAdES, XML tabanlı yapılar ve kamu kurumlarına gönderilen e-Yazışma paketleri için tercih edilir. Uzun yıllar saklanacak belgelerde formatın LTV (uzun dönem doğrulama) profiliyle kullanılması, sertifika süresi dolsa bile doğrulanabilirliği korur.

Güvenli elektronik imza için karşı tarafın da nitelikli sertifikası veya mobil imzası olmalıdır; kurumsal müşterilerde imza yetkilileri genellikle bu sertifikaya sahiptir. Sertifikası olmayan bireysel müşteriler için SMS ile tek kullanımlık kod onayı, biyometrik imza veya platform üzerinde onay gibi alternatifler kurgulanabilir; ancak bunların ispat gücü güvenli e-imzayla aynı değildir. Hangi belgede hangi yöntemin yeterli olduğunu hukuk danışmanınızla birlikte belirlemek en sağlıklısıdır.

Doğrulamada imzanın matematiksel bütünlüğü, sertifikanın geçerliliği ve zaman damgası kontrol edilir; belgede tek karakter değişse imza geçersiz görünür. Sertifikaların süresi dolduğunda doğrulanabilirliğin sürmesi için imzaların LTV profiliyle atılması, sertifika zinciri ve iptal bilgilerinin belgeye gömülmesi gerekir. On yıl saklama yükümlülüğü olan sözleşme ve İK belgelerinde bu detay, arşivin hukuki değerini doğrudan belirler.

Zaman damgası, belgenin belirli bir anda var olduğunu ve o andan sonra değişmediğini kanıtlayan, yetkili sağlayıcı tarafından üretilen elektronik mühürdür. İmzaya eklendiğinde belgenin hangi anda imzalandığı tartışmasız hale gelir; imza sertifikası ileride iptal edilse bile damga anındaki geçerlilik ispatlanabilir. Zaman damgaları kontör paketleriyle satılır; entegrasyonda kontör tüketimini izleyip bitmeden uyarı üretmek pratikte önemli bir detaydır.

Evet. Belge; hazırlayan, kontrol eden ve imzalayanların sırayla veya paralel geçtiği bir akışa bağlanır. Her adım için süre ve hatırlatma tanımlanır; imzacı belgeyi gerekçesiyle reddedebilir ve akış ilgili adıma geri döner. Genel müdür ile müşteri yetkilisinin imzaladığı iki taraflı senaryolarda sıralı imza, yönetim kurulu kararı gibi belgelerde paralel imza tercih edilir.

Evet. Bayilik, kurumsal satış ve hizmet sözleşmeleri e-imza ile uzaktan imzalatılabilir; e-ticaret platformunuzla kurulan bağlantıda sipariş kaydı ile imzalı sözleşme otomatik eşleşir. Sözleşme onayı sonrası tahsilat adımını QR ve dijital cüzdan ödeme akışına bağlayarak imza-ödeme zincirini tek oturumda tamamlatmak da mümkündür. Mesafeli satışta çoğu senaryoda platform üzerinden onay yeterlidir; e-imza daha çok yüksek tutarlı kurumsal sözleşmelerde devreye girer.

e-İmza tarafında E-Güven, TürkTrust ve Kamu SM gibi BTK yetkili sertifika sağlayıcıları; mobil imzada GSM operatörlerinin altyapıları; KEP tarafında yetkili KEP hizmet sağlayıcıları API sunar. Seçimde API dokümantasyonunun kalitesi, sandbox (test) ortamı sunulması, işlem ücretleri ve ekibinizin mevcut sertifikaları belirleyicidir. Doğru soyutlamayla kurulmuş bir entegrasyonda sağlayıcı değişse bile uygulama katmanının yeniden yazılması gerekmez.

Dört kalem toplanır: imzacı başına yıllık sertifika veya mobil imza ücreti; platform ya da işlem ücretleri (hazır platformlarda süreç başına yaklaşık 10-30 TL aralığı yaygındır); zaman damgası kontörleri ile KEP posta kutusu ve gönderim ücretleri; bir de geliştirme maliyeti. Geliştirme tarafı belge tipi sayısına, onay akışının karmaşıklığına ve bağlanacak sistem adedine göre değişir; sağlıklı teklif ancak süreç haritası çıktıktan sonra verilebilir.

Tek belge tipi ve tek sağlayıcıyla basit bir imza akışı birkaç haftada canlıya alınabilir; çok aşamalı onay akışı, KEP, mobil imza ve ERP bağlantısı içeren kapsamlı projeler birkaç ayı bulur. Takvimi en çok etkileyen dış faktörler, sağlayıcı hesabı ile sandbox erişiminin açılma süresi ve imzacı sertifikalarının teminidir; Edge Bilişim projelerinde bu başvuruları geliştirmeyle paralel, ilk haftada başlatıyoruz.

e-İmza gerçek kişiye, e-mühür ise tüzel kişiliğe (şirkete veya kuruma) aittir. Fatura, ekstre, poliçe gibi kişi imzası gerektirmeyen ama kaynağının şirketiniz olduğu kanıtlanması gereken belgeleri sistem otomatik olarak e-mühürle mühürleyebilir; gece çalışan toplu belge üretiminde bu büyük pratiklik sağlar. Sözleşme gibi irade beyanı içeren belgelerde ise yetkilinin kişisel e-imzası gerekir; ikisi aynı entegrasyonda birlikte kullanılabilir.

Bulut platformlarda kurulum hızlıdır, bakım sağlayıcıdadır ve işlem başına ödersiniz; düşük-orta hacimde genellikle mantıklı seçimdir. Kendi sunucunuza (on-premise) kurulumda belgeler ağınızdan çıkmaz; bankacılık, sağlık gibi regülasyonu sıkı sektörlerde veya çok yüksek imza hacminde tercih edilir. Karar kriterleri veri saklama politikanız, aylık imza adedi ve iç BT kapasitenizdir; hibrit kurgu da mümkündür — imza bulutta atılır, arşiv kendi sunucunuzda tutulur.

Önce belge envanterinizi ve imza yetkilerini birlikte çıkarıyoruz: hangi belge hangi formatta imzalanacak, kimler hangi sırayla onaylayacak. Ardından sağlayıcının sandbox ortamında imza atma, doğrulama ve zaman damgası akışını uçtan uca test ediyor, pilot bir grupla gerçek sözleşmeler üzerinde deniyoruz. Canlıya geçişte entegrasyon kodu Git deposuyla size devredilir; imza katmanı soyutlandığı için ileride sağlayıcı değişikliği uygulamanızı etkilemez.