İmzalı bir raporu bize sormadan doğrulayın.

Kontrolü başlatın

Tek bir dosya: raporun teslim edildiği .zip. Kontrol için gereken her şey bu dosyanın içindedir: imzalandığı hâliyle rapor baytları, bu baytların üzerindeki attestation ve imzalayan anahtarı belirten sertifika. Arşivi seçin ve doğrula düğmesine basın. Size yalnızca .attestkeep.json dosyası gönderildiyse onu yapıştırın.

Anahtar nereden gelir

Bir anahtar girmezsiniz. Sayfa, güvenmenizin istendiği tek anahtarı, yani bizimkini taşır:

kid:     ak1
ed25519: e287aabe4712197cfa5b6fdf9ea8f2d7f0333ce16ca69aac7e4a3f1e84c04179

Geri kalan her şeye bir zincir hâlinde kefil olunur. Lisans sertifikası bu anahtarla imzaladığımız bir belgedir; içindeki cnf.jwk alanı, lisanslı kurulumun kanıt imzalama anahtarını belirtir. O anahtar DSSE envelope'u imzalar, envelope'taki digest de raporu sabitler. Sayfa ayrıca sertifikanın ve raporun aynı cluster parmak izini belirttiğini çapraz kontrol eder. Bu adım olmasaydı gerçek bir sertifika başka bir kurulumun gerçek envelope'unun yanına konabilir ve ikisi birlikte kanıt gibi görünürdü.

Zincir, eski yöntemdeki bir açığı kapatmak için var. Public key'i belgeyi getiren kişiden kabul eden bir doğrulayıcı, yalnızca belgenin kendi içinde tutarlı olduğunu kanıtlar: sahte belge hazırlayan biri bir anahtar çifti üretir, uydurduğu raporu imzalar ve ikisini birlikte size verir. Zincir, "raporun yazarının size verdiği anahtar" yerine "o kurulum için bizim onayladığımız anahtarı" koyar: raporun içeriğinde hiçbir çıkarı olmayan bir tarafın elindeki tek bir güven çapası.

Bu sayfa o zayıf kontrolü sunmaz. Public key girilecek bir alan yoktur: sertifika paketin kendisinden okunur, sertifikası olmadan gelen bir envelope reddedilir.

Başarılı bir sonuç neyi kanıtlar, neyi kanıtlamaz

Yukarıdaki yeşil bir sonuç tam olarak iki şeyi kanıtlar:

• belgeler imzalandıktan sonra değişmemiştir: bir zaman damgasının içindeki tek bir karakteri bile değiştirirseniz kontrol başarısız olur;
• rapor, sertifikamızda adı geçen kurulumdan gelmiştir: envelope'u sertifikanın kefil olduğu anahtarla imzalanmıştır ve ikisi de aynı cluster'ı belirtir.

Bundan fazlasını kanıtlamaz ve iki sınırı açıkça yazmak gerekir:

Hukuki anlamda elektronik imza değildir. Nitelikli bir sertifika kullanılmaz ve hiçbir e-imza mevzuatı (AB'de eIDAS, Türkiye'de 5070 sayılı Kanun) buna uygulanmaz. Bu kriptografik bir bütünlük kontrolüdür. Süreciniz hukuken tanınan bir imza gerektiriyorsa bunun yerini tutmaz.

Belgenin ne zaman imzalandığını kanıtlamaz. generated_at zaman damgası ve denetim dönemi, kurulumun kendi saatinden okunan kendi beyanıdır. Bir zaman damgası otoritesi devrede değildir; bugün dünün tarihiyle atılan bir imza da aynı şekilde doğrulanır. Zamanın kanıtlanması gerekiyorsa bu kanıt başka bir kaynaktan gelmelidir.

Dürüst olmak için bir satır daha: imza dünyaya değil, belgeye kefil olur. Raporun o kurulumun ürettiği raporun ta kendisi olduğunu kanıtlar; raporda anlatılan olayların anlatıldığı gibi gerçekleştiğini kanıtlamaz.

Sayfadan hiçbir şey çıkmaz

Doğrulayıcı bu siteden sunulan sıradan bir JavaScript'tir; hash hesaplama ve Ed25519 aritmetiği dahil, üçüncü taraf kütüphane ya da CDN kullanmaz. Buna inanmak zorunda değilsiniz: doğrularken tarayıcınızın ağ panelini açıp izleyin ya da sayfayı yükledikten sonra ağ bağlantısını tamamen kesip offline doğrulayın. Sonuç aynıdır, çünkü iki belge de hiçbir zaman bir yere gönderilmez.

Format, yani her predicate alanı, envelope yapısı, sertifika ve imzalanan kodlama, compliance kanıtı attestation'ı v1 sayfasında tanımlanır. Oradaki imzalı örnek, lisans sertifikası olmayan tek başına bir envelope'tur; bu yüzden bu sayfa onu reddeder, dokümantasyondaki script ya da herhangi bir DSSE uygulaması ise doğrular.

Son güncelleme: 14 Ekim 2026