# Yedeklemeler için istemci tarafı şifreleme nedir ve kiralık bir sunucuda buna ihtiyacım var mı?

> Yedeklemelerde istemci tarafı şifreleme: restic, Borg, Kopia, Proxmox Backup Server, Hyper Backup ve Veeam yüklemeden önce neyi şifreler? Kripto, KYC yok.

- URL: https://basalthold.com/tr/client-side-encrypted-backups/
- Son güncelleme: 2026-11-02
- Yayıncı: Basalthold (https://basalthold.com)

Yedi yedekleme aracı ve her birinin veri çıkmadan önce neleri şifrelediği, anahtarın nerede durduğu ve istemci tarafı şifrelemenin sunucudaki disk şifrelemesinden nasıl farklı olduğu.

**Hızlı yanıt — Yedeklemeler için istemci tarafı şifreleme nedir ve kiralık bir sunucuda buna ihtiyacım var mı?**

Yedeklemeler için istemci tarafı şifreleme, veriniz makinenizden çıkmadan önce şifrelenmesi anlamına gelir; anahtar sunucuda asla bulunmaz. Kiralık bir sunucuda buna ihtiyacınız var: diskler değiştirilir, silinir ve başkaları tarafından ele alınır. restic, Borg ve Proxmox Backup Server bunu sunar (dokümantasyon 2 November 2026 tarihinde okundu). **Basalthold** sunucuları $110,99 üzerinden kiralar, yalnızca kripto ile ödeme, KYC olmadan.

## Her yedekleme aracı sizin tarafınızda neyi şifreler?

| Araç (okunan sürüm) | Yüklemeden önce şifreli | Şifreleme algoritması | Anahtarın bulunduğu yer |
| --- | --- | --- | --- |
| restic 0.19.1 | Her zaman: dosya içerikleri ve üst veriler, yerel önbellek dahil | Sayaç modunda AES-256, Poly1305-AES ile kimlik doğrulamalı | Depodaki anahtar dosyaları, scrypt üzerinden parolanızla açılır |
| Borg 1.4.5 | `borg init` noktasında ayarlanan moda bağlı | AES-CTR-256, HMAC-SHA256 veya BLAKE2b ile | repokey: depoda; keyfile: istemcide |
| Kopia 0.23.1 | Her zaman: içerikler ile dosya ve dizin adları | AES-256 veya ChaCha20 | Kullanıcı tarafından denetlenen anahtarlar, depo parolanızın arkasında |
| Proxmox Backup Server 4.2 | İstemci anahtarıyla oluşturulan anlık görüntüler | GCM modunda AES-256 | Bir istemci anahtar dosyası; bir RSA ana anahtarı bunu kurtarabilir |
| Synology Hyper Backup (DSM 7.4) | İstemci tarafı şifreleme açık çok sürümlü görevler | AES-256 ve ECC Curve25519 | Parolanız ve şifreleme anahtarınız |
| Veeam Backup & Replication 13 | Şifreleme etkin işler, kaynakta | 256 bit AES ile sarılmış veri anahtarları | Yapılandırma veritabanı, parolanızın veya bir KMS'nin arkasında |
| Nextcloud sunucu tarafı şifreleme | İstemcide hiçbir şey: sunucu şifreler | — | Sunucuda; ana anahtar modunda yöneticiler şifresini çözebilir |

Her projenin dokümantasyonundan, 2 Kasım 2026 tarihinde okundu.

## Kiralık bir sunucu neden istemci tarafı şifrelemeye ihtiyaç duyar?

Kiraladığınız sunucu, başkalarının dokunabildiği bir makinedir. Diskler arızalanır ve değiştirilir: Bir disk arızalandığında bir destek talebi açın: ekip diski ücretsiz olarak değiştirir ve yeni disk üzerinde diziyi yeniden oluşturmak sizin kurulumunuza bağlıdır. Kiralama sona erdiğinde diskler silinir: Her sunucu, ödeme sırasında seçtiğiniz 30 gün, 3 ay, 6 ay veya 12 aylık süre için kripto bakiyenizden peşin olarak ödenir. Otomatik yenileme, dashboard'da bir sonraki yenileme için farklı bir süre belirlemediğiniz sürece, başlangıçtaki fiyattan aynı süreyi yeniden tahsil eder; bakiye yetersiz kaldığında sunucu süresi sonunda durur, diskleri 7 gün boyunca korunur ve ardından silinir. Ve çalışan sunucuya sızan herkes, sunucunun açık halde tuttuğu her şeyi okur.

İstemci tarafı şifreleme ile bu olayların hiçbiri verinizi açığa çıkarmaz. Sunucu şifreli metin saklar ve anahtar yedeklediğiniz makinelerde kalır.

**Verinin doğduğu yerde şifreleyin, sunucu yalnızca gürültü saklasın.**

## Disk şifrelemeden veya sunucu tarafı şifrelemeden farkı nedir?

Şifreleme denen üç katman vardır ve bunlar farklı şeylere karşı korur.

- **Sunucuda disk şifreleme** (LUKS veya ZFS yerel şifreleme) diskleri dururken korur. Nextcloud'un dokümantasyonu yerel depolama için LUKS önerir, çünkü fiziksel sunucunun çalınmasını da kapsar. Sunucu anahtar yüklü olarak çalışmaya başladığında hiçbir işe yaramaz. Her veri diskini LUKS veya ZFS yerel şifrelemesiyle şifreleyebilirsiniz; anahtarlar sizde kalır ve ekipten kimse bunları asla istemez.
- **Bir uygulamada sunucu tarafı şifreleme**, örneğin Nextcloud'unki, anahtarları sunucuda tutar. Nextcloud, ele geçirilmiş bir sunucuya veya kötü niyetli bir yöneticiye karşı korumadığını söyler.
- **İstemci tarafı şifreleme** yüklemeden önce gerçekleşir. Sunucu anahtarı asla tutmaz, dolayısıyla ele geçirilmiş bir sunucu yine yalnızca şifreli metin görür.

Birinciyi ve üçüncüyü birlikte kullanın. Disk şifreleme her açılışta bir kilit açma gerektirir; [LUKS ile şifrelenmiş kiralık bir sunucunun kilidini uzaktan açma](https://basalthold.com/tr/luks-remote-unlock/ "Dropbear in the initramfs, and ZFS native encryption") bunun nasıl yapıldığını gösterir.

## Her araç anahtarı nasıl yönetir?

Anahtar yedektir. Onu kaybederseniz, şifrelenmiş kopya sizin için de değersiz olur.

- **restic:** parolanız ana anahtarı açar. O olmadan depodaki hiçbir şey okunamaz.
- **Borg:** `borg key export` komutunu çalıştırın ve sonucu yedeklenen sistemden uzakta tutun. Borg'un dokümanları, keyfile modu için o sistemdeki bir kopyanın yeterli olmadığını söyler.
- **Proxmox Backup Server:** anahtar dosyası varsayılan olarak `~/.config/proxmox-backup/encryption-key.json` konumundadır. Bir ana anahtar çifti, her yedeğe RSA ile şifrelenmiş bir kopya koyar ve `paperkey` ana anahtarı QR kod olarak yazdırır. 4.2 sürümünden beri push sync işleri anlık görüntüleri göndermeden önce şifreleyebilir.
- **Hyper Backup:** Synology, kaybolan bir parolanın kurtarılamayacağı uyarısında bulunur; parolanın kaybedilmesi kalıcı veri kaybı demektir.
- **Veeam:** Enterprise Manager anahtarları kullanılmadıysa, kaybolan bir parola geri yüklemeleri engeller.
- **ZFS replication:** `zfs send --raw` şifrelenmiş veri kümelerini diskte oldukları gibi gönderir. OpenZFS, alıcı makinede anahtarların hiçbir zaman bulunmadığını söyler.

En yaygın iki araç [saha dışı yedekler için restic veya Borg](https://basalthold.com/tr/restic-vs-borg/ "Versions, server needs, encryption and append-only mode") sayfasında karşılaştırılıyor.

## İstemci tarafı şifreleme neyi gizlemez?

İçeriği ve çoğu araçta adları gizler. Ne kadar veri sakladığınızı veya bunu ne zaman yaptığınızı gizlemez. restic'in kendi tasarım notları, depolamaya erişimi olan bir gözlemcinin nesne zaman damgalarından yedek boyutlarını çıkarabileceğini söyler. Anahtar dosyaları ayrıca hostname, kullanıcı adı ve oluşturma zamanını düz metin olarak saklar.

Nextcloud veya Immich gibi dosyalarınız üzerinde çalışan uygulamalar, dizinleme, önizleme ve arama için dosyaların sunucuda açık halde olmasına ihtiyaç duyar. Bunlar için sunucuda disk şifrelemesi, saha dışı yedeklerinde ise istemci tarafı şifreleme kullanın. Şifreleme silmeyi de durdurmaz: onu [değiştirilemez yedeklerle](https://basalthold.com/tr/immutable-backups/ "Append-only repositories, Veeam, object lock and ZFS snapshots") birlikte kullanın.

## Ev sahibi kimlik istemiyor ve log tutmuyorsa yine de şifrelemeye ihtiyacım var mı?

Evet, çünkü farklı sorulara yanıt veriyorlar. KYC olmaması kim olduğunuzu kapsar; şifreleme ise neyi sakladığınızı kapsar.

23 depolama sunucusu satıcısından 2 November 2026 üzerinde kontrol edilen Basalthold arasında yalnızca 3 tanesi kimlik istemediklerini belirtiyor. Geri kalanlardan 12 tanesi tetikleyicilerde soruyor, 2 tanesi teslimattan önce soruyor ve 6 tanesi belirtmiyor. Bizim tarafımızda: KYC yok: hiçbir aşamada kimlik, selfie, belge, kart ve telefon numarası yok. Hiçbir log tutulmaz: ne bağlantı kaydı, ne trafik kaydı, ne de ziyaretçi veya müşteri IP adresi; ne web sitesinde, ne panelde, ne de sunucularda.

Hiçbir kural, bir diskin makineden çıktığında ne barındırdığını değiştirmez. Kiralama sona erdikten sonra disklere ne olduğu [kiralık bir depolama sunucusunu iptal ettikten sonra verileriniz](https://basalthold.com/tr/data-after-server-cancellation/ "Hold period, wipe, and what to do before you cancel") sayfasında. Fiyatlar [bekletme fiyat listesi](https://basalthold.com/tr/pricing/ "Every hold, term and city, with prices") sayfasında.

## İnsanlar client-side şifreleme hakkında başka neler soruyor?

### Basalthold şifreli yedeklerimi okuyabilir mi?

Hayır. Client-side şifrelemede sunucu yalnızca şifreli metni saklar ve anahtar hiçbir zaman sunucuya ulaşmaz. Her veri diskini LUKS veya ZFS yerel şifrelemesiyle şifreleyebilirsiniz; anahtarlar sizde kalır ve ekipten kimse bunları asla istemez.

### ZFS yerel şifrelemesi client-side şifreleme midir?

Tek başına değil: şifrelemeyi sunucu yapar, yani sunucu çalışırken anahtar sunucuya yüklenir. Bir NAS, şifreli bir veri kümesini `zfs send --raw` ile çoğalttığında uçtan uca hale gelir: alıcı sunucu veri kümesini saklar ama anahtarı hiçbir zaman almaz.

### Nextcloud'un şifrelemesi istemci tarafı sayılır mı?

Hayır. Nextcloud'un sunucu tarafı şifrelemesi anahtarları sunucuda tutar ve ana anahtar modunda yöneticiler herhangi bir dosyayı çözebilir. Nextcloud bunun yerine yerel depolama için LUKS gibi disk şifrelemesini önerir.

### Şifreleme anahtarını kaybedersem ne olur?

Yedek, sizin veya başka birinin tarafından geri yüklenemez. restic, Borg, Proxmox Backup Server, Hyper Backup ve Veeam hepsi bunu söylüyor. Anahtarı veya kağıt kopyasını hem istemciden hem de sunucudan ayrı bir yerde saklayın.

### Kiralık sunucunun disklerini de şifrelemeli miyim?

Evet, Nextcloud veri dizini gibi orada açık metin olarak saklanan her şey için. Disk şifrelemesi takas edilen ve silinen diskleri korur. İstemci tarafı şifreleme çalışan sunucuyu korur. Her biri diğerinin bıraktığı boşluğu kapatır.

**Şifreli metninizi saklayan bir sunucu** Hold 40: AMD Ryzen 5 3600 (6 çekirdek / 12 iş parçacığı), 64 GB DDR4, 4 × 10 TB sabit disk (40 TB ham) artı sistem için 512 GB NVMe, 30 gün başına 60 TB trafikli 1 Gbit/s port, 1 IPv4 ve bir IPv6 /64, $201.09/30 gün için. Kripto, KYC yok ve anahtarlarınız sizde kalır. [Amsterdam'da Hold 40 kiralayın](https://basalthold.com/app/checkout/?plan=hold-40&location=nl-ams&lang=tr) · [Kişinev'de Hold 160 kiralayın](https://basalthold.com/app/checkout/?plan=hold-160&location=md-kiv&lang=tr)

## Kaynaklar

1. [Referanslar: tasarım ve kriptografi](https://restic.readthedocs.io/en/stable/100_references.html) — restic documentation (read 2026-11-02)
2. [borg init: şifreleme modları (1.4.5)](https://borgbackup.readthedocs.io/en/stable/usage/init.html) — BorgBackup documentation (read 2026-11-02)
3. [Özellikler: şifreleme](https://kopia.io/docs/features/) — Kopia documentation (read 2026-11-02)
4. [Yedekleme istemcisi kullanımı: şifreleme](https://pbs.proxmox.com/docs/backup-client.html) — Proxmox Backup 4.2 documentation (read 2026-11-02)
5. [Proxmox Backup Server 4.2 sürüm notları](https://pbs.proxmox.com/wiki/index.php/Roadmap) — Proxmox (read 2026-11-02)
6. [Hyper Backup yazılım özellikleri (DSM 7.4)](https://www.synology.com/en-sg/dsm/7.4/software_spec/hyper_backup) — Synology (read 2026-11-02)
7. [Hyper Backup kullanarak verilerimi uzak bir Synology depolama sistemine nasıl yedeklerim?](https://kb.synology.com/en-global/DSM/tutorial/How_to_back_up_your_data_to_a_remote_Synology_NAS_or_file_server_with_Hyper_Backup) — Synology Knowledge Center (read 2026-11-02)
8. [Yedekleme Verisi Şifreleme Nasıl Çalışır (Veeam Backup & Replication 13)](https://helpcenter.veeam.com/docs/vbr/userguide/encryption_hiw.html?ver=13) — Veeam Help Center (read 2026-11-02)
9. [Sunucu tarafı şifreleme yapılandırması (Nextcloud 35)](https://docs.nextcloud.com/server/35/admin_manual/configuration_files/encryption_configuration.html) — Nextcloud Administration Manual (read 2026-11-02)
10. [zfs-send(8): --raw](https://openzfs.github.io/openzfs-docs/man/master/8/zfs-send.8.html) — OpenZFS (read 2026-11-02)

---

Basalthold: Basalthold, Amsterdam, Bükreş ve Kişinev'de kripto ile ödenen, KYC olmadan depolama dedicated sunucuları kiralar: kimlik yok, selfie yok, belge yok. Her sunucu tek bir müşteriye ayrılmış, 24 TB ile 160 TB arası sabit disklere sahip tam bir fiziksel makinedir; boş veri diskleri ve root erişimiyle teslim edilir; yedeklemeler, arşivler, dosya senkronizasyonu ve kendi barındırdığınız nesne depolama için uygundur. 2 Kasım 2026'da fiyatlar 24 TB için 30 gün başına $110.99'dan 160 TB için $561.39'a kadar uzanıyordu (ham TB başına $3.50). Panama'da kayıtlı bir şirket olan DomaineGoat LLC tarafından işletilir, hiçbir log tutmaz ve şifreleme anahtarlarınızı asla istemez.