Misafir WiFi Karşılama Ekranı ve KVKK Rıza

Misafir WiFi Karşılama Ekranının İşletme Başarısındaki Kritik Rolü

Bir otelin lobisinde veya alışveriş merkezinin girişinde misafir WiFi ağına bağlanmaya çalışan kullanıcı, karşısına çıkan ilk dijital dokunma noktasıyla işletmenizin teknolojik olgunluk seviyesini değerlendirir. Captive portal olarak adlandırılan bu karşılama ekranı, yalnızca 5651 sayılı Kanun'un zorunlu kıldığı kimlik tespiti ve log kaydı için bir araç değil; aynı zamanda marka imajınızı yansıtan, KVKK uyumluluğunu tesis eden ve kullanıcı deneyimini şekillendiren stratejik bir arayüzdür.

NextLog5651 platformunda yüzlerce işletmeyle yaptığımız çalışmalarda, karşılama ekranının tasarım kalitesi ile kullanıcı tamamlama oranı arasında doğrudan bir ilişki gözlemledik. Kötü tasarlanmış, hukuki metinlerle dolu, mobil uyumsuz bir portal, misafirlerin %40'ından fazlasının kaydı yarıda bırakmasına yol açarken; kullanıcı odaklı, KVKK rıza süreçlerini şeffaf şekilde yöneten bir tasarım, hem yasal uyumluluğu sağlar hem de müşteri memnuniyetini artırır.

Bu yazıda, 5651 sayılı Kanun ve KVKK gerekliliklerini karşılayan, kullanıcı dostu captive portal tasarımının tüm boyutlarını—teknik altyapıdan rıza metni standardına, SMS doğrulama akışından T.C. Kimlik entegrasyonuna—gerçek uygulama örnekleri ve kontrol listeleriyle ele alacağız.

Captive Portal Nedir ve 5651 Sayılı Kanun Çerçevesinde Zorunlu Unsurları

Captive portal, kullanıcıların açık bir WiFi ağına bağlandıklarında internet erişimi kazanmadan önce yönlendirildikleri ara sayfadır. Teknik olarak, kullanıcının cihazı ağa bağlandığında HTTP/HTTPS istekleri portal sunucusu tarafından yakalanır (intercept) ve kimlik doğrulama sayfasına yönlendirilir. Bu mekanizma, IEEE 802.1X standardı veya daha yaygın olarak Layer-3 web redirection yöntemiyle gerçekleştirilir.

5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun'un 6. maddesi, internet erişim sağlayıcılarına ve toplu kullanım sağlayıcılarına (otel, kafe, AVM gibi) belirli trafik bilgilerini kaydetme yükümlülüğü getirir. Bu kapsamda bir captive portal'ın mutlaka içermesi gereken unsurlar:

• Kimlik Tespiti: Ad-soyad, T.C. Kimlik Numarası veya pasaport numarası gibi kullanıcıyı benzersiz şekilde tanımlayan bilgi
• İletişim Bilgisi: Cep telefonu numarası (SMS doğrulama için) veya e-posta adresi
• Zaman Damgası: Bağlantı kurma anının ISO 8601 formatında (YYYY-MM-DD HH:MM:SS) kaydı
• Cihaz Tanımlama: MAC adresi, IP adresi (hem yerel hem genel), cihaz türü (Android/iOS/Windows)
• Konum Bilgisi: Erişim noktası (AP) tanımlayıcısı, işletme şube kodu

BTK'nın 2016 yılında yayımladığı "Toplu Kullanım Sağlayıcılarına İlişkin Usul ve Esaslar Hakkında Yönetmelik" uyarınca, bu kayıtların en az bir yıl süreyle saklanması ve yetkili makamlarca talep edildiğinde 72 saat içinde teslim edilmesi zorunludur. NextLog5651 gibi bulut tabanlı sistemler, bu saklama ve raporlama yükümlülüğünü otomatik olarak yerine getirir; FortiGate, Sophos XG, MikroTik veya SonicWall cihazlarından gelen syslog kayıtlarını merkezi veritabanında şifreli olarak tutar.

Yasal Zorunluluk ile Kullanıcı Deneyimi Dengesini Kurmak

Captive portal tasarımındaki en büyük zorluk, yasal gereklilikleri karşılarken kullanıcıyı bunaltmamaktır. Bir otel misafiri, odaya yerleştikten sonra hızla internete bağlanmak ister; 12 adet zorunlu form alanı ve iki sayfa hukuki metin, bu beklentiyle çelişir. Çözüm, aşamalı bilgi toplama (progressive disclosure) ve akıllı varsayılanlar kullanmaktır:

• İlk ekranda yalnızca kritik alanlar: Cep telefonu + SMS kodu (T.C. Kimlik doğrulama opsiyonel olarak ikinci adımda)
• KVKK rıza metinleri katlanabilir (collapsible) bölümler halinde, özet bilgiyle sunulur
• Daha önce aynı ağa bağlanan kullanıcılar için "Hoş geldiniz, [Ad]" ile tek tıklamalı yeniden bağlanma
• Mobil cihazlarda ekran boyutuna uygun, büyük dokunma alanlarıyla optimize edilmiş arayüz

KVKK Uyumlu Rıza Metni Standardı: Açık Rıza ve Aydınlatma Yükümlülüğü

6698 sayılı Kişisel Verilerin Korunması Kanunu, captive portal üzerinden toplanan her türlü kişisel verinin işlenmesi için açık rıza ve aydınlatma yükümlülüğü getirir. Kişisel Verileri Koruma Kurulu'nun (KVKK) 2019/10 sayılı kararı, "önceden işaretlenmiş onay kutuları"nın geçersiz olduğunu vurgular; kullanıcı bilinçli bir eylemle (checkbox işaretleme) rıza vermelidir.

Aydınlatma Metni Zorunlu İçeriği (KVKK Madde 10)

Captive portal'da, kullanıcıya sunulan aydınlatma metni aşağıdaki unsurları içermelidir:

Açık Rıza Onay Kutucukları: Teknik ve Hukuki Standart

KVKK uyumlu bir captive portal'da, rıza toplama mekanizması şu özelliklere sahip olmalıdır:

• Varsayılan Durum: Tüm onay kutuları (checkbox) başlangıçta işaretsiz (unchecked) olmalı. HTML'de checked attribute kullanımı yasaktır.
• Ayrıştırılmış Rızalar: Zorunlu (5651 loglama) ve isteğe bağlı (pazarlama, analiz) rızalar ayrı kutucuklarla toplanmalı. Örnek: "İnternet erişimi için gerekli bilgilerin işlenmesini kabul ediyorum" (zorunlu) + "Kampanya ve duyurular için iletişim bilgilerimin kullanılmasını kabul ediyorum" (isteğe bağlı).
• Açık ve Anlaşılır Dil: Hukuki jargon yerine sade Türkçe. "Kişisel verilerinizin işlenmesine muvafakat ediyorum" yerine "Cep telefonu numaranızı WiFi bağlantısı kaydı için kullanacağız".
• Erişilebilir Detay: Aydınlatma metninin tamamına "Detaylı bilgi" linki veya modal pencere ile ulaşım. Ekran okuyucu (screen reader) uyumlu ARIA etiketleri.
• Kayıt ve İspat: Kullanıcının hangi tarih-saatte, hangi IP adresinden, hangi metne rıza verdiği veritabanına kaydedilmeli. NextLog5651, her rıza kaydını SHA-256 hash ile imzalayarak değiştirilemezlik sağlar.

Gerçek bir uygulama örneği: Opera PMS entegrasyonlu bir otelde, misafir check-in sırasında oda numarası ve soyad bilgisi otomatik olarak captive portal'a aktarılır. Misafir WiFi'ye bağlandığında, portal "Hoş geldiniz Sayın [Soyad]" mesajıyla açılır ve yalnızca cep telefonu + SMS doğrulama ister. Arka planda, PMS'ten gelen T.C. Kimlik Numarası zaten log kaydına eklenir; böylece kullanıcı deneyimi hızlanır, yasal uyumluluk korunur.

SMS ve T.C. Kimlik Doğrulama Yöntemleri: Teknik Uygulama

Captive portal'da kimlik doğrulama, hem 5651 gerekliliklerini karşılar hem de kötü niyetli kullanımı (spam, abuse) engeller. İki yaygın yöntem:

1. SMS Tabanlı Doğrulama (OTP - One-Time Password)

Kullanıcı cep telefonu numarasını girer; sistem 6 haneli bir kod üretir ve SMS ile gönderir. Kullanıcı kodu portala girdiğinde, numara doğrulanmış sayılır ve internet erişimi açılır. Teknik akış:

• Numara Formatı Kontrolü: Türkiye için +90 5XX XXX XX XX formatı, regex ile doğrulama. Uluslararası misafirler için ITU-T E.164 standardı desteği.
• SMS Gateway Entegrasyonu: NextLog5651, Netgsm, İleti Merkezi, Twilio gibi sağlayıcılarla RESTful API üzerinden entegre çalışır. Ortalama teslimat süresi 3-8 saniye.
• Kod Geçerlilik Süresi: OTP, güvenlik için 5 dakika sonra geçersiz olmalı. Veritabanında created_at + INTERVAL 5 MINUTE kontrolü.
• Rate Limiting: Aynı numaraya dakikada en fazla 3 SMS, saatte en fazla 10 SMS gönderilebilir (brute-force koruması).
• Maliyet Optimizasyonu: Bir otelde, aynı numaranın 24 saat içinde tekrar bağlanması durumunda SMS göndermeden "otomatik tanıma" ile erişim verilebilir (cookie veya MAC adresi bazlı).

Gerçek veri: 250 odalı bir otelde, günde ortalama 180 benzersiz cep telefonu kaydedilir; aylık SMS maliyeti yaklaşık 270 TL (birim fiyat 0,05 TL varsayımıyla). Otomatik tanıma özelliği, bu maliyeti %40 azaltabilir.

2. T.C. Kimlik Numarası Doğrulama (NVI Entegrasyonu)

Daha yüksek güvenlik gerektiren ortamlarda (kamu kurumları, üniversite kampüsleri), kullanıcıdan T.C. Kimlik Numarası + Ad-Soyad-Doğum Yılı bilgileri alınır ve Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü (NVI) SOAP web servisi üzerinden gerçek zamanlı doğrulanır. Teknik detaylar:

• NVI Web Servisi: https://tckimlik.nvi.gov.tr/Service/KPSPublic.asmx adresinde yayınlanan TCKimlikNoDogrula metodu kullanılır. Parametreler: TCKimlikNo (11 hane), Ad, Soyad, DogumYili.
• Yanıt İşleme: Servis, boolean (true/false) döner. True ise kullanıcı gerçek, false ise hatalı bilgi girilmiş demektir. Captive portal, false durumunda "Bilgileriniz doğrulanamadı, lütfen kontrol edin" uyarısı verir.
• Hata Yönetimi: NVI servisi bazen yavaş yanıt verir veya timeout olur (özellikle yoğun saatlerde). Portal, 5 saniyelik timeout sonrası "Doğrulama servisi şu anda yanıt vermiyor, lütfen daha sonra tekrar deneyin" mesajı göstermeli ve kullanıcıyı bloke etmemeli (fallback: yalnızca T.C. Kimlik formatını kontrol et, 11 hane, ilk hane 0 olamaz, son hane çift/tek kuralı).
• KVKK Hassas Veri: T.C. Kimlik Numarası, KVKK'da "özel nitelikli kişisel veri" kategorisine girmez ancak kimlik hırsızlığı riski taşır. Veritabanında AES-256 ile şifreli saklanmalı, log dosyalarında maskelenmeli (ör. 123****5678).

MikroTik RouterOS tabanlı bir kampüs ağında, captive portal Hotspot özelliği ile entegre çalışır. Kullanıcı bilgileri RADIUS sunucusuna (FreeRADIUS) iletilir; RADIUS, NVI doğrulaması yapar ve Access-Accept/Reject yanıtı döner. Bu yapı, merkezi yönetim ve raporlama avantajı sağlar.

Kullanıcı Dostu Captive Portal Tasarım İlkeleri

Yasal uyumluluğu sağladıktan sonra, portal tasarımının kullanılabilirlik (usability) standartlarına uygun olması gerekir. Aşağıdaki tablo, iyi ve kötü tasarım örneklerini karşılaştırır:

Gerçek Dünya Örneği: AVM Misafir WiFi Portali

İstanbul'da 120 mağazalı bir alışveriş merkezinde, günde 8.000-12.000 benzersiz cihaz WiFi'ye bağlanır. NextLog5651 ile tasarlanan captive portal:

• Hızlı Bağlantı Modu: İlk ekranda yalnızca "Cep Telefonu" alanı ve "SMS Gönder" butonu. Kullanıcı %85 oranında bu adımda tamamlıyor (ortalama 18 saniye).
• Sosyal Medya Girişi: Facebook/Google OAuth entegrasyonu ile tek tıklamalı giriş seçeneği (KVKK rızası yine alınır). Bu özellik, genç demografide tercih ediliyor (%30 kullanım).
• Dinamik İçerik: Portal, AVM'nin kampanya yönetim sistemine (CMS) bağlı; güncel indirim kuponları ve etkinlik duyuruları gösterir. Kullanıcı, "Kampanyalardan haberdar olmak istiyorum" kutucuğunu işaretlerse, e-posta listesine eklenir.
• Çoklu SSID Desteği: "AVM_Misafir" (genel), "AVM_Premium" (sadakat kartı sahipleri için, daha yüksek bant genişliği), "AVM_Magaza" (kiracı personeli için) SSID'leri aynı portal üzerinden yönetilir; her biri farklı VLAN'a yönlendirilir.
• Analiz ve Raporlama: SonicWall NSa 2700 cihazından gelen syslog kayıtları, NextLog5651 panelinde görselleştirilir: saatlik bağlantı grafiği, en çok kullanılan cihaz türleri (iOS %62, Android %35, diğer %3), ortalama oturum süresi (47 dakika).

Firewall ve PMS Entegrasyonları: Teknik Mimari

Captive portal, ağ altyapısıyla sıkı entegre çalışmalıdır. NextLog5651, aşağıdaki cihaz ve sistemlerle standart protokoller üzerinden bağlantı kurar:

Firewall/Router Ent