Specoria
Menü
EN Ücretsiz test

İçgörülerAltyapı

Ajan mağazayı doğrularken: Chain of Trust gösterimi alan adınız için ne anlama geliyor

GoDaddy, Infoblox, Google ve Cloudflare 14 Ekim'de yapay zekâ ajanlarının satın almadan önce satıcıyı DNS üzerinden doğruladığı bir gösterim yaptı. Ne gösterildi, ne hâlâ taslak ve bir mağaza bugün hangi hazırlığı yapabilir.

Yazan 7 dk okuma
Taş bir kemerli kapının yanında kağıt bir tarayıcı çerçevesi, elinde anahtar tutan alçı bir el ve onları birleştiren ince bir mor şerit gösteren kolaj.
Ajan satın almadan önce kapıyı çalar ve arkasında gerçekten kimin durduğunu sorar. İllüstrasyon: Specoria · yapay zekâ ile üretildi

Ajan kimliği üzerine yazılanların çoğu, kendi rehberimiz de dahil, tek bir yöne bakıyor: bir alışveriş ajanı mağazanıza kazıyıcı değil meşru bir ajan olduğunu nasıl kanıtlar? Web Bot Auth, imzalı istekler ve kart şirketlerinin ajan programları bu soruyu yanıtlıyor.

14 Ekim 2026'da dört altyapı şirketi öbür yönü gösterdi. Singapur'daki GovWare 2026'da GoDaddy, Infoblox, Google ve Cloudflare, tek kuruş harcamadan önce satıcının kim olduğunu kontrol eden bir alıcı ajanı sergiledi. Satıcı, alan adını gerçekten kendisinin yönettiğini, ajanının kayıtlı olduğunu ve verdiği fiyatın tahsil edeceği fiyat olduğunu kanıtlamak zorundaydı. Şirketler bu düzene "Chain of Trust" (güven zinciri) diyor.

Bu bir prototip; ödemeler test modunda yapıldı ve kullanılan standartların birkaçı hâlâ taslak. Ama bir ajanın bir mağaza hakkında neyi kontrol edebileceğine dair şimdiye kadarki en net kamuya açık tablo bu. Üstelik işin büyük kısmı her mağazanın zaten sahip olduğu bir şeyle başlıyor: alan adı.

Ne gösterildi

Basın bültenine ve openagentcommerce.org'da yayımlanan teknik vaka çalışmasına göre senaryo Madrid'den Singapur'a bir uçak bileti alımıydı. Her biri farklı bir platformda, birbirinden bağımsız çalışan dört ajan yer aldı:

  • Alıcı ajan: Amazon Web Services üzerinde, bir kişi adına çalışıyor.
  • Satıcı ajan: Cloudflare Workers üzerinde; fiyat veriyor ve siparişi alıyor.
  • Onay servisi: Kişinin onayını kaydediyor ve imzalı harcama izinleri düzenliyor.
  • Doğrulayıcı: Google altyapısında; kontrolleri kamuya açık kayıtlardan yeniden yapıyor ve kendi imzalı kararını yayımlıyor.

Kişi satın almayı bir geçiş anahtarıyla (passkey) onayladı. Onay servisi ardından Google'ın Agent Payments Protocol'ü (AP2) kapsamında imzalı yetki belgeleri (mandate) düzenledi: tek satıcı, tek uçuş, tek alıcı hesap ve tek tutarla, sınırlı bir süre için. Alıcı, satıcıyı DNS üzerinden buldu, kimliğini kamuya açık bir kayda karşı kontrol etti ve satın almayı Universal Commerce Protocol (UCP) üzerinden, ödemeyi Stripe test modunda yaparak tamamladı. Her adım yalnızca eklenebilen (append-only) bir kayda yazıldı.

Basın bülteni, gösterimde sahte bir benzer satıcı ve sahte kimlik bilgileri senaryolarının da yer aldığını, zincirin her birini işlem gerçekleşmeden durdurduğunu söylüyor. Vaka çalışması sahte ve kurcalanmış istekleri daha ayrıntılı anlatıyor: tüm sahte ve kurcalanmış istekler reddedilmiş, hiçbiri ödemeye dönüşmemiş. Ayrı bir benzer satıcı testini ise anlatmıyor; yalnızca benzer bir alan adının gerçek alan adına bağlı güvenin hiçbirini devralmadığını not ediyor.

Çalışma Singapur'un Bilgi İletişim Medya Geliştirme İdaresi (IMDA) ile birlikte geliştirildi ve IMDA'nın Mayıs 2026'da yayımladığı Ajan Tabanlı Yapay Zekâ için Model Yönetişim Çerçevesi'nin 1.5 sürümüne dayanıyor.

Ajan tam olarak neyi kontrol etti

Kağıt fiyat etiketleri ve yırtık bir fiş, mühürlü bir zarfın ve paket yığınının yanında duruyor; tek renkli vurgu mor mum mühürdür.
Etiketteki bir fiyat, ancak son fişte aynen yazıyorsa geçerli kalır. İllüstrasyon: Specoria · yapay zekâ ile üretildi

Vaka çalışması alışılmadık derecede ayrıntılı. Alıcı, ilk sorgusunu göndermeden önce satıcı üzerinde on dört kontrol yaptı: dokuzu kimlik, beşi ticaret üzerine. Sade bir dille alıcının bilmek istedikleri şunlardı:

  • Bu alan adı gerçekten satıcının mı? Satıcı, ajanını gösteren ve DNSSEC ile imzalanmış bir DNS kaydı yayımladı; ayrıca alan adını sunucunun sertifikasına bağlayan DANE kayıtları da vardı.
  • Ajan kayıtlı mı? Satıcının ajanı, DNS'e bağlı çalışan ve kayıtları kamuya açık bir şeffaflık günlüğünde tutulan Agent Name Service'e (ANS) kayıtlıydı.
  • Ajan ne sunuyor ve bu tanım kurcalanmamış mı? Satıcı imzalı bir ajan kartı ve imza anahtarlarını, ödeme altyapısını ve hangi yetki belgesi düzenleyicilerini kabul ettiğini listeleyen bir UCP profili yayımladı.
  • Bu fiyat teklifi gerçek mi? Satıcının verdiği her fiyat imzalıydı; alıcı bunu yeniden hesaplayıp değişiklik olup olmadığını görebiliyordu.

Satıcı da paraya dokunmadan önce her ödeme isteğinde on kontrol yaptı. Bunlardan biri her satıcıyı ilgilendiriyor: yetki belgesindeki satıcı, para birimi ve tutar ödeme toplamıyla birebir eşleşmeliydi. Ödeme adımındaki toplam kişinin onayladığından farklıysa yetki belgesi onu kapsamıyor ve satıcı, türü belli bir hatayla isteği reddediyordu.

Kesin olan ne, olmayan ne

Böyle bir gösterimi bitmiş bir standart gibi okumak kolay. Değil; vaka çalışması da bunu açıkça söylüyor.

  • Bazı parçalar taslak. ANS ve DNS tabanlı keşif yöntemi DNS-AID, IETF'te İnternet Taslağı (Internet-Draft) aşamasında. ANS, bir çalışma grubu standardı değil, GoDaddy öncülüğünde bağımsız bir başvuru. Agent Resources Discovery (ARD) ise 0.91 sürümünde bir topluluk belirtimi.
  • Kayıt, garanti değildir. Vaka çalışmasına göre bir günlük, bir kaydın belli bir anda değiştirilmeden var olduğunu kanıtlar; kaydın içeriğine kefil olmaz. Alan adı, bir ajanı hangi kuruluşun çalıştırdığını gösterir; o kuruluşun dürüst olup olmadığını değil.
  • Güven puanı bir tercih. Gösterimde açık bir Trust Index puanı kullanıldı; vaka çalışması bu puana ne kadar ağırlık verileceğine her kuruluşun kendisinin karar verdiğini vurguluyor.
  • Ürün yok, tarih yok. Bülten kullanıma açılma, fiyat ya da yaygınlaştırma planı vermiyor. Şirketler alan adı kayıt firmalarını, DNS işletmecilerini, ödeme ağlarını ve platformları mimariyi benimsemeye davet ediyor.

Yani burada bir mağazanın bu ay harekete geçmesini gerektiren bir şey yok. Gösterimin ortaya koyduğu şey, kontrollerin nereye düşeceği: alan adınıza, fiyatlarınızın tutarlılığına ve sistemlerinizin ne yapacağını imzalı ve makinece okunur biçimde söyleyip söyleyemediğine.

Bu bir mağaza için ne anlama geliyor

Platformunuz bu mimariyi aynen benimsesin ya da benimsemesin, üç nokta geçerli.

  • Alan adınız, makineler için kimliğinizin parçası oluyor. Bu modelde alıcı yalnızca alan adından yola çıkıyor. Alan adının DNS'i imzasızsa, özensiz yönetiliyorsa ya da şirketten ayrılmış birinin kontrolündeyse üstüne kurulan her şey zayıflar. Oltalama saldırılarında insanlara karşı zaten kullanılan benzer alan adları, imzalı DNS'in ve kayıt sistemlerinin gerçek mağazadan ayırmak için tasarlandığı şeyin ta kendisi.
  • Fiyat teklifi bir sözdür. Ajanın gördüğü fiyat, kişinin onayladığı tutarla eşleşmek zorundaysa ödeme adımındaki her sürpriz satın almayı bozar. Son adımda eklenen bir kargo ücreti, feed ile sayfa arasında farklı bir fiyat ya da yalnızca üye girişinden sonra uygulanan bir indirim, biraz canı sıkılmış bir alışverişçiye değil reddedilmiş bir siparişe dönüşür. Feed, sayfa ve yapısal verinin neden aynı fiyatı söylemesi gerektiğini yazmıştık; imzalı teklifler bu tutarlılığı zorunlu kılıyor.
  • İşin çoğu platformunuza düşecek. İmzalı ajan kartları, UCP profilleri ve ANS kayıtları yayımlamak, bir e-ticaret platformunun binlerce mağaza için tek seferde yapacağı türden bir iş; tıpkı bugün TLS sertifikalarını yönettiği gibi. Hazır altyapı kullanan bağımsız mağazalar büyük ölçüde sağlayıcılarının neyi desteklediğine bağlı kalacak.

Şimdi ne yapmalı

Bu adımların hiçbiri taslakların standart olmasını beklemiyor ve her biri ajanlar kadar insanlar için de işe yarıyor.

  1. Alan adınızı kimin yönettiğini bilin. Hangi kayıt firması hesabında durduğunu, kimlerin erişimi olduğunu, iki adımlı girişin açık olup olmadığını ve yenilemenin otomatik olup olmadığını kontrol edin. Süresi dolmuş ya da ele geçirilmiş bir alan adı, hiçbir protokolün onaramayacağı tek arızadır.
  2. DNSSEC'i sorun. Pek çok DNS sağlayıcısı bunu bir ayar olarak sunuyor. Sağlayıcınıza alan adınız için kullanılabilir olup olmadığını ve açmanın ne gerektirdiğini sorun. Yanlış yapılandırılmış bir DNSSEC değişikliği siteyi erişilemez hale getirebilir; bu yüzden işi DNS'inizi yöneten kişiyle birlikte yapın.
  3. Her yerde tek bir asıl alan adı kullanın. Feed'inizdeki ürün bağlantıları, yapısal verinizdeki adresler ve ödeme adımınızın çalıştığı adres aynı alan adını ya da açıkça size ait alt alan adlarını göstermeli. Karışık alan adlarını herhangi bir doğrulayıcının birbirine bağlaması daha zordur.
  4. Benzer alan adlarını takip edin. Ara sıra alan adınızın ve markanızın yakın yazım hatalarını aratın. Biri mağazanızı taklit ediyorsa ICANN'in UDRP'si gibi bir uyuşmazlık süreci tam da bunun için var; vaka çalışması da onu anıyor.
  5. Ürün sayfası ile ödeme arasındaki sürprizleri kaldırın. Kargo ücretini ve son fiyatı olabildiğince erken gösterin; feed'inizi, sayfanızı ve yapısal verinizi eşit tutun. İmzalı teklifler gelse de gelmese de ilk fark yaratacak adım büyük olasılıkla bu.
  6. Platformunuza UCP'yi ve ajan kimliğini sorun. Shopify, WooCommerce, ikas, Ticimax, IdeaSoft ya da T-Soft kullanıyorsanız UCP profillerinin, imzalı ajan kartlarının ya da ANS gibi kayıt sistemlerinin yol haritasında olup olmadığını ve sizin neyi yapılandırmanız gerekeceğini sorun.

Sonuç

Chain of Trust gösterimi, taslak standartlara dayanan, ürünü ya da tarihi olmayan bir prototip. Onu okumaya değer kılan, doğruladığı yön: ajanlar yalnızca mağazalara kendilerini tanıtmayacak, satın almadan önce mağazaları da kontrol edecek; alan adından başlayıp ödeme toplamında biten bir zincirle. İyi yönetilen bir alan adı, tek bir asıl adres ve ürün sayfasından son adıma kadar değişmeyen fiyatlar, bu modelin ödüllendirdiği hazırlığın şimdiden yapıldığı anlamına geliyor.

Specoria bu hazırlığın bir mağazanın bugün kontrol edebildiği kısmını ölçer: feed'inizin, sayfanızın ve yapısal verinizin aynı şeyi söyleyip söylemediğini, ödeme adımınızın her aşamada neyi ortaya çıkardığını ve gerçek bir tarayıcı ajanının sepete giderken nerede durduğunu. Ücretsiz hazırlık testiyle başlayabilirsiniz.

Kaynaklar