Sahte sertifika sorunu ve kurumlar için doğrulanabilir belge altyapısı

Sorun nerede başlıyor?

Sertifikalı eğitim belgeleri bugün büyük ölçüde basılı ya da PDF olarak verilmektedir. Bir PDF birkaç dakikada düzenlenebilir; ad, tarih veya program adı değiştirilebilir, logo, imza ve kaşe birebir kopyalanabilir. Belgeye gözle bakan biri çoğu zaman farkı anlayamaz.

YÖK, sürekli eğitim merkezlerinin sertifika programlarını 1 Ekim 2026'dan itibaren merkezi değerlendirmeye alırken gerekçeler arasında sahte belgeyi ve sertifika enflasyonunu açıkça saymıştır (memurlar.net (yeni sekmede açılır), Anadolu Ajansı (yeni sekmede açılır)). Sahte belgelerin yaygınlığına ilişkin kamuya açık, güvenilir bir istatistik bulunmamaktadır; bu yazı sorunun büyüklüğünü değil, nasıl önlenebileceğini ele alır.

Sahte belge türleri

• Tamamen uydurma belge: Hiç düzenlenmemiş bir belgenin, gerçek bir kurumun görünümü taklit edilerek üretilmesi.
• Değiştirilmiş belge: Gerçek bir belgedeki ad, tarih, süre veya kredi bilgisinin değiştirilmesi.
• İptal edilmiş belgenin kullanımı: Hatalı veya usulsüz düzenlendiği için kurumca geri alınan belgenin dağıtılmış kopyasının kullanılmaya devam etmesi.
• Sahte doğrulama sayfası: Belgedeki QR kodun veya bağlantının, gerçek kuruma benzeyen ancak sahte bir sayfaya yönlendirilmesi.

Bugünkü doğrulama yöntemleri neden yetersiz?

İşveren veya kamu kurumu bir belgenin gerçekliğini öğrenmek için çoğunlukla belgeyi düzenleyen birimi arar ya da resmî yazı gönderir. Bu yöntemin sınırları bellidir:

1. Yanıt günler sürebilir; mesai dışında hiç gelmez.
2. Yazışmaların önemli bir kısmı kayıt altına alınmaz.
3. Her üniversitenin doğrulama yöntemi farklıdır; bazı kurumların doğrulama sayfası vardır, bazılarının yoktur.
4. İptal edilen bir belgenin bilgisi, belgenin dağıtılmış kopyalarına ulaşmaz.
5. Belgelerde T.C. kimlik numarasının açık yazılması, belge paylaşıldığı her yerde kişisel verinin de dolaşmasına yol açar. KVKK'nın kimlik numarası rehberi (yeni sekmede açılır) daha az müdahaleci yöntemlerin tercih edilmesini ister.

Doğrulanabilir belge altyapısının bileşenleri

Bir belgenin sahte olup olmadığını güvenilir biçimde anlamanın yolu, belgeyi bir görüntü olmaktan çıkarıp imzalı bir veri kaydına dönüştürmektir. Bunun için beş bileşen gerekir:

Doğrulama beyanı, basılı veya PDF sertifikada yer alan ve kaldırılamayan bir bloktur: doğrulama adresi, QR kod, belge numarası, düzenleme tarihi ve belge içeriğinin özetinin (SHA-256) ilk karakterleri. Bu değerler doğrulama sayfasındaki değerlerle eşleşir; böylece PDF'e bakan biri de belgeyi kayıtla karşılaştırabilir (Doğrulama beyanı).

Kurumlar için uygulama listesi

1. Belge numarasını tek kaynaktan üretin. Aynı belgenin farklı sistemlerde farklı numaralarla dolaşmasına izin vermeyin.
2. Onay zincirini kayıt altına alın. Belgede basılan ad ve unvanın, onayı fiilen veren kişiden alınması ve her onayın kullanıcı ve zaman bilgisiyle saklanması gerekir. Bazı yönergeler birden çok imza öngörür; örneğin İTÜ SEM Yönergesi (yeni sekmede açılır) sertifikada üç imza ister.
3. İptali anında yayımlayın. Hatalı belge iptal edildiğinde bilgi, belgenin tüm kopyalarına bir sonraki doğrulamada ulaşmalıdır.
4. Kimlik numarasını belgeye açık yazmayın. Kimliği belgede özet (hash) olarak taşıyın; açık numarayı yalnız kurum kaydında şifreli tutun.
5. Doğrulama adresini duyurun. Kurum web sitesinde ve belgede aynı doğrulama adresini gösterin; işverenlerin adresi kendileri yazarak açmasını önerin.
6. Standart kullanın. Kapalı bir biçim yerine Open Badges 3.0 gibi açık bir standart, belgenin başka kurumlarda ve cüzdanlarda da doğrulanabilmesini sağlar.

Doğrulayanlar ve belge sahipleri ne yapabilir?

Altyapının işe yaraması için belgeyi kontrol eden tarafın da alışkanlık değiştirmesi gerekir. İşe alım ve kamu kurumlarında belge kontrolü şu sırayla yapılabilir: belgeyi doğrulama adresinde kontrol etmek, kurum adını ve belge bilgilerini karşılaştırmak, gerekiyorsa kimlik teyidi yapmak ve sonucu kaydetmek. Adımların ayrıntısı Sertifika nasıl doğrulanır? yazısındadır.

Belge sahipleri de belgeyi bir dosya olarak değil, doğrulama bağlantısıyla paylaşarak katkı sağlar. Bağlantıyla paylaşılan belge, alıcının kontrol etmesini kolaylaştırır ve belgenin güncel durumunu gösterir (Dijital cüzdan).

Teknik doğrulama neyi çözmez?

İmzalı belge, belgenin gerçek ve değiştirilmemiş olduğunu kanıtlar. Eğitimin gerçekten verildiğini, içeriğin yeterli olduğunu veya ölçmenin doğru yapıldığını ise kurumun kalite güvencesi süreçleri sağlar. YÖK'ün SEM programları için getirdiği ortak kalite ölçütleri ve Mikro Yeterlilikler Usul ve Esasları'nın madde 11'i bu tarafı düzenler (ayrıntı). İki taraf birbirini tamamlar: kalite güvencesi belgenin neyi temsil ettiğini, imza ise belgenin gerçekten o kurumdan geldiğini güvence altına alır.

DijiUni bu beş bileşeni üniversiteler için tek altyapıda sunar; sorun ve çözüm eşlemesi kaynaklarıyla Neden DijiUni? sayfasındadır. Bir belgeyi şimdi kontrol etmek için doğrulama sayfasını kullanabilirsiniz.