# Kendi sunucumda yedekleri fidye yazılımına karşı nasıl değiştirilemez yaparım?

> Kendi sunucunuzda yedekleri değiştirilemez yapın: restic ve Borg append-only, Proxmox, Veeam, S3 Object Lock ve ZFS anlık görüntüleri. Kripto, KYC olmadan.

- URL: https://basalthold.com/tr/immutable-backups/
- Son güncelleme: 2026-11-02
- Yayıncı: Basalthold (https://basalthold.com)

Koruduğunuz makineye silme hakkı olmadan yazma erişimi vermenin altı yolu, her birinin hâlâ neyi geçirdiği ve kiralık bir sunucuda her yedeği silen iki şey.

**Hızlı yanıt — Kendi sunucumda yedekleri fidye yazılımına karşı nasıl değiştirilemez yaparım?**

Kendi sunucunuzda yedekleri fidye yazılımına karşı değiştirilemez yapmak için yedekleme istemcisine yazma erişimi verin ama silme hakkı vermeyin: append-only bir restic veya Borg deposu, Veeam hardened deposu ya da başka bir hesap altında ZFS anlık görüntüleri. **Basalthold** sunucuyu $110,99 başına 30 gün için kiralar (2 November 2026 fiyatı), kripto, KYC olmadan.

## Hangi yöntemler denetlediğiniz bir sunucuda yedekleri kilitler?

| Yöntem | Yedeklenen makinenin yapamadığı | Kim hâlâ silebilir | Kontrol edildiği yer |
| --- | --- | --- | --- |
| rest-server ile restic `--append-only` | Mevcut yedekleri silmek veya değiştirmek | Bayrak olmadan bağlanan bir yönetici; sunucudaki root | rest-server README |
| `borg serve --append-only` ile Borg | Taahhüt edilmiş verileri üzerine yazmak veya silmek | Normal modda sonradan bir prune veya compact; root | Borg 1.4.5 docs |
| Proxmox Backup Server, DatastoreBackup rolü | Yedeklerini prune etmek | DatastorePowerUser veya DatastoreAdmin yetkisine sahip kullanıcılar; root | PBS 4.2 docs |
| Veeam hardened deposu | Dosyaları 7 ila 9999 gün boyunca taşımak, değiştirmek veya silmek | Depo sunucusundaki root | Veeam B&R 13 kılavuzu |
| S3 Object Lock, compliance modu | Kilitli bir sürümü tarihinden önce silmek veya değiştirmek | MinIO'ya göre root kullanıcı dahil hiçbir kullanıcı | MinIO ve Kopia docs |
| Başka bir hesap tarafından alınan ZFS anlık görüntüleri | Salt okunur olan bir anlık görüntüyü değiştirin | Bekleyen tüm kilitler kaldırıldıktan sonra, yok etme hakkına sahip bir hesap | OpenZFS man sayfaları |

Belgeler 2 Kasım 2026'da okundu.

## Değiştirilemezlik bir yedekleme için ne anlama gelir?

Bir sunucuyu ele geçiren fidye yazılımı, genellikle sunucuda saklanan yedekleme kimlik bilgilerini de ele geçirir. Bu kimlik bilgileri eski yedekleri silebiliyorsa, saldırgan herhangi bir şeyi şifrelemeden önce onları siler.

Değiştirilemez bir yedek bu kapıyı kapatır. Yedeklenen makine yeni veri ekleyebilir, ancak elinde tuttuğu hiçbir şey eski sürümleri kaldıramaz veya yeniden yazamaz. Bazı yöntemler bunu erişim haklarıyla, diğerleri ise son kullanma tarihi olan bir kilitle uygular.

**Koruduğunuz makine kendi yedeklerini silebiliyorsa, o makineyi ele geçiren de silebilir.**

## restic ve Borg ekleme modunda nasıl çalışır?

restic'in rest-server'ında bir `--append-only` bayrağı vardır. README dosyası, bu modun yeni yedeklere izin verdiğini ancak mevcut yedeklerin silinmesini ve değiştirilmesini engellediğini belirtir. Budamayı (prune) bayrak olmadan ikinci bir örnek üzerinden bir yönetici makinesinden veya doğrudan sunucunun kendisinde yapın.

Borg bu modu `authorized_keys` içinde zorunlu bir komutla veya depo yapılandırmasında `append_only = 1` ile uygular. Belgeleri sınırları açıkça sıralar:

- `borg delete` ve `borg prune` yine çalışır; yalnızca veriyi silinmiş olarak işaretler.
- Normal moddaki bir sonraki yazma işlemi bu veriyi kalıcı olarak kaldırır, dolayısıyla otomatik budama bu modu anlamsız kılar.
- Ekleme modundaki bir depoyu budamadan önce `borg check` çalıştırın.
- `rm` dosyalar üzerinde hâlâ çalışır, bu yüzden istemciler depoya yalnızca `borg serve` üzerinden erişmelidir.

Her iki araç [saha dışı yedeklemeler için restic veya Borg](https://basalthold.com/tr/restic-vs-borg/ "Versions, server needs, encryption and append-only mode") sayfasında karşılaştırılıyor.

*Sunucu tarafında ekleme modu*

```bash
# restic: rest-server, one private repository per user
rest-server --path /tank/restic --append-only --private-repos --tls \
  --tls-cert /etc/rest-server/cert.pem --tls-key /etc/rest-server/key.pem

# Borg: in ~backup/.ssh/authorized_keys, one line per client key
command="borg serve --append-only --restrict-to-path /tank/borg/web1",restrict ssh-ed25519 AAAA... web1
```

## Proxmox Backup Server ve Veeam yedekleri nasıl kilitler?

Proxmox Backup Server rollerle çalışır. DatastoreBackup yetkisine sahip bir kullanıcı kendi yedeklerini alıp geri yükleyebilir, ancak budama için DatastorePowerUser gerekir. Çöp toplama da parçaları kaldırmadan önce 24 saat 5 dakika bekler. Bunu, saha dışı sunucunun çektiği bir eşitleme işiyle eşleştirin, böylece ev ortamında saha dışı oturum açma bilgisi bulunmaz. Kurulumun tamamı [kiralık bir sunucuda saha dışı Proxmox Backup Server](https://basalthold.com/tr/proxmox-backup-server-offsite/ "Datastore on ZFS, pull or push sync, encryption") sayfasında.

Veeam'in sağlamlaştırılmış deposu zamana göre çalışır. Dosyalar 7 ile 9999 gün arasında değiştirilemez kalır ve Veeam hizmetlerini kuran kimlik bilgileri hiçbir zaman saklanmamıştır. Kiralık bir makine için adımlar [kiralık bir Linux sunucusunda Veeam sağlamlaştırılmış deposu](https://basalthold.com/tr/veeam-hardened-repository/ "XFS fast clone, single-use credentials, no console") sayfasında.

## Kendi sunucumda S3 Object Lock kullanabilir miyim?

Yalnızca S3 sunucunuz bunu uyguluyorsa, ve en bilinen iki açık kaynak seçeneği farklılık gösteriyor.

- **MinIO** sürümlenmiş bucket'larda nesne kilitlemeyi GOVERNANCE veya COMPLIANCE modunda belgeliyor. COMPLIANCE modunda, root kullanıcı dahil hiçbir kullanıcı kilitli bir sürümü değiştiremez. Ancak MinIO topluluk deposu 25 Nisan 2026'da arşivlendi, artık bakımı yapılmıyor ve yalnızca kaynak kod olarak sunuluyor.
- **Garage** S3 uyumluluk sayfasında Object Lock ve bucket sürümlemeyi eksik olarak listeliyor.

İstemci tarafında Kopia Object Lock'u destekliyor: bucket'ın oluşturulurken etkinleştirilmesi gerekir ve Kopia compliance modunu öneriyor. Diğer tavsiyesi her yerde geçerlidir: silme izinleri olmayan bir erişim anahtarı. Diğer S3 sunucuları [kendi barındırılan S3 için MinIO'ya en iyi alternatifler](https://basalthold.com/tr/minio-alternatives/ "Garage, SeaweedFS, Ceph RGW and RustFS compared") sayfasında karşılaştırılıyor.

## ZFS anlık görüntüleri bir yedeği kendi istemcisinden nasıl korur?

İstemcinin sıradan bir hesap olarak SFTP veya rsync üzerinden yazmasına izin verin, anlık görüntüleri de root alsın. OpenZFS bir anlık görüntüyü bir dosya sisteminin salt okunur kopyası olarak tanımlar. İstemcinin hesabı `zfs allow` aracılığıyla `destroy` hakkı alamaz, dolayısıyla onları kaldıramaz.

Bir kilit (hold) ikinci bir kilit ekler. Bir anlık görüntüde kilit varken, biri kilidi kaldırana kadar üzerindeki `zfs destroy` EBUSY ile başarısız olur.

**Root tarafından, istemcinin yazdığı bir veri kümesi üzerinde alınan anlık görüntüler, herhangi bir rsync veya SFTP hedefini sürümlenmiş ve ekleme modunda bir hedefe dönüştürür.**

*Kilitli, root tarafından çalıştırılan gecelik anlık görüntü*

```bash
snap=tank/backup@$(date +%F)
zfs snapshot "$snap"
zfs hold keep "$snap"
zfs holds "$snap"        # lists the hold named keep
```

## Kiralık bir sunucuda değiştirilemez yedekleri hâlâ ne siler?

İki şey, ve her ikisi de yedekleme yazılımının dışında yer alır.

- **Yedekleme sunucusundaki root.** Yukarıdaki her yöntem sonunda root'a boyun eğer. Root'u, yedeklediğiniz makinelerde hiç bulunmayan bir anahtarda tutun ve SSH'i yönetici adresinizle sınırlayın.
- **Kiralama işleminin kendisi.** Her sunucu, ödeme sırasında seçtiğiniz 30 gün, 3 ay, 6 ay veya 12 aylık süre için kripto bakiyenizden peşin olarak ödenir. Otomatik yenileme, dashboard'da bir sonraki yenileme için farklı bir süre belirlemediğiniz sürece, başlangıçtaki fiyattan aynı süreyi yeniden tahsil eder; bakiye yetersiz kaldığında sunucu süresi sonunda durur, diskleri 7 gün boyunca korunur ve ardından silinir. Yeniden başlatma, yeniden kurulum ve iptal talepleri dashboard'da yapılır ve ekip tarafından işlenir; yeniden kurulum, veri diskleri dahil tüm diskleri siler. Ödenen süreden daha uzun bir kilit hiçbir şeyi korumaz.

Bir depolama sunucusu kendi başına bir yedek değildir: verilerinizin bir kopyasını başka hiçbir yerde tutmuyoruz, bu nedenle başka bir yerde ikinci bir kopya bulundurmak sizin sorumluluğunuzda kalır. Kilitli sürümler ayrıca erken budanamaz, bu yüzden havuz tutulan her sürüm kadar büyür. **Basalthold'nın 2 November 2026 üzerine yaptığı ankette, KYC olmadan kripto kabul eden hosting sağlayıcılarında 72 TB veya daha büyük depolama sunucularının ayda TB başına medyan $4.86 maliyetinde olduğu bulundu.** Hold 100 ham olarak $3.77/TB maliyetindedir. 12 aya kadar süreler [kilit fiyat listesi](https://basalthold.com/tr/pricing/ "Every hold, term and city, with prices") sayfasında.

## İnsanlar değiştirilemez yedekler hakkında başka neler soruyor?

### Ekleme modundaki bir depo, değiştirilemez bir depoyla aynı şey mi?

Yakın, ama aynı değil. Ekleme modu, istemcinin veriyi silmesini veya yeniden yazmasını engeller. Veeam'in sağlamlaştırılmış deposundaki ya da compliance modundaki S3 Object Lock'taki gibi bir zaman kilidi, tarih gelene kadar yöneticileri de durdurur.

### RAID veya bir ZFS aynası yedekleri değiştirilemez yapar mı?

Hayır. Yedeklilik, silmeler dahil her değişikliği tüm sürücülere kopyalar. Değiştirilemezlik, yedeklenen makinenin kaldıramadığı sürümleri gerektirir: anlık görüntüler, ekleme modundaki depolar veya zaman kilitleri.

### Bilgisayarımdaki fidye yazılımı sunucudaki bir ZFS anlık görüntüsüne ulaşabilir mi?

Yedekleme hesabı üzerinden ulaşamaz, yeter ki o hesabın veri kümesi üzerinde yok etme hakkı olmasın. Anlık görüntü salt okunurdur. Onu yalnızca sunucudaki root veya yok etme yetkisini devrettiğiniz bir hesap kaldırabilir.

### Yedekler ne kadar süre kilitli kalmalı?

Bir ihlalin fark edilmeden geçebileceği süreden daha uzun, ödediğiniz süreden daha kısa. Veeam 7 ile 9999 gün arasına izin verir. 30 günlük bir kiralamada 30 günlük bir kilit hiç pay bırakmaz, bu yüzden daha uzun süre kiralayın.

### Basalthold sunucum silinirse bir kopya tutar mı?

Bir depolama sunucusu kendi başına bir yedek değildir: verilerinizin bir kopyasını başka hiçbir yerde tutmuyoruz, bu nedenle başka bir yerde ikinci bir kopya bulundurmak sizin sorumluluğunuzda kalır. Başka bir yerde ikinci, bağımsız bir kopya tutun.

**İstemcilerinizin eski yedeklerini silemediği bir sunucu** Hold 100: Intel Xeon Silver 4210R (10 çekirdek / 20 iş parçacığı), 128 GB DDR4 ECC, 10 × 10 TB sabit disk (100 TB ham kapasite) ve sistem için yansıtılmış 2 × 480 GB SSD, 1 Gbit/s port ile 30 günde 120 TB trafik, 1 IPv4 ve bir IPv6 /64, $377.05/30 gün için veya 12 ay boyunca $3,167.22. Kripto, KYC yok. [Hold 100 12 ay boyunca kirala](https://basalthold.com/app/checkout/?plan=hold-100&term=12m&location=nl-ams&lang=tr) · [Kişinev'de Hold 24 kirala](https://basalthold.com/app/checkout/?plan=hold-24&location=md-kiv&lang=tr)

## Kaynaklar

1. [rest-server README (--append-only)](https://github.com/restic/rest-server) — restic on GitHub (read 2026-11-02)
2. [Ek notlar: ekleme modu (Borg 1.4.5)](https://borgbackup.readthedocs.io/en/stable/usage/notes.html) — BorgBackup documentation (read 2026-11-02)
3. [Kullanıcı yönetimi: roller](https://pbs.proxmox.com/docs/user-management.html) — Proxmox Backup 4.2 documentation (read 2026-11-02)
4. [Bakım görevleri: çöp toplama](https://pbs.proxmox.com/docs/maintenance.html) — Proxmox Backup 4.2 documentation (read 2026-11-02)
5. [Sağlamlaştırılmış Depo ve Değiştirilemezlik Nasıl Çalışır (Veeam Backup & Replication 13)](https://helpcenter.veeam.com/docs/vbr/userguide/hardened_repository_immutability.html?ver=13) — Veeam Help Center (read 2026-11-02)
6. [Nesne kilitleme ve saklama](https://docs.min.io/community/minio-object-store/administration/object-management/object-retention.html) — MinIO documentation (read 2026-11-02)
7. [minio/minio deposu (25 Nisan 2026'da arşivlendi)](https://github.com/minio/minio) — MinIO on GitHub (read 2026-11-02)
8. [S3 uyumluluk durumu](https://garagehq.deuxfleurs.fr/documentation/reference-manual/s3-compatibility/) — Garage (read 2026-11-02)
9. [Fidye yazılımı koruması](https://kopia.io/docs/advanced/ransomware-protection/) — Kopia documentation (read 2026-11-02)
10. [zfsconcepts(7), zfs-allow(8) ve zfs-hold(8)](https://openzfs.github.io/openzfs-docs/man/master/8/zfs-hold.8.html) — OpenZFS (read 2026-11-02)

---

Basalthold: Basalthold, Amsterdam, Bükreş ve Kişinev'de kripto ile ödenen, KYC olmadan depolama dedicated sunucuları kiralar: kimlik yok, selfie yok, belge yok. Her sunucu tek bir müşteriye ayrılmış, 24 TB ile 160 TB arası sabit disklere sahip tam bir fiziksel makinedir; boş veri diskleri ve root erişimiyle teslim edilir; yedeklemeler, arşivler, dosya senkronizasyonu ve kendi barındırdığınız nesne depolama için uygundur. 2 Kasım 2026'da fiyatlar 24 TB için 30 gün başına $110.99'dan 160 TB için $561.39'a kadar uzanıyordu (ham TB başına $3.50). Panama'da kayıtlı bir şirket olan DomaineGoat LLC tarafından işletilir, hiçbir log tutmaz ve şifreleme anahtarlarınızı asla istemez.