GİB İşleminde Java Güvenlik Uyarısı: Engeli Aşmadan Önce Kontrol Edin

Java uyarısı, kartın bozulduğu anlamına gelmez

Bir mali müşavirlik ofisinde imza işlemi durduğunda ekrandaki her uyarı “e-imza hatası” diye tarif edilebiliyor. Oysa Application Blocked by Java Security mesajı, kartın fiziksel olarak arızalı olduğunu söylemez. Java’nın çalıştırılmak istenen uygulama hakkında bir güvenlik kontrolü yaptığını gösterir. Önce bu kontrolün neden devreye girdiğini anlamak gerekir.

Ben bu ekranda doğrudan güvenlik seviyesini düşürmeyi önermiyorum. Hangi portaldayız, hangi istemci açılıyor ve mesajın devamında ne yazıyor? Bu üç bilgi olmadan verilen çözüm, çalışan başka bir uygulamayı etkileyebilir veya güvenilmeyen bir dosyanın çalışmasına izin verebilir. Bu rehber özellikle Java tabanlı akışı olan uygulamalar içindir; her GİB işleminin Java gerektirdiğini varsaymaz.

Uyarının tam metni ve yayıncısı ne söylüyor?

Oracle’ın açıklamaları, imzasız uygulama, süresi dolmuş veya güvenilmeyen uygulama imzalama sertifikası ve bazı uygulama tanım sorunları arasında ayrım yapar. Buradaki yayıncı sertifikası, kartınızdaki kişisel e-imza sertifikasıyla aynı şey değildir; bu uyarı tek başına e-imzanızı yenilemeniz gerektiğini göstermez. Uyarıdaki uygulama adı, kaynak adresi ve yayıncı bilgisini okuyun; kişisel bilgileri kapatarak ekran görüntüsü alın.

Örneğin bir portalı açtıktan sonra dosya indirildiyse, indirdiğiniz dosyanın kaynağıyla tarayıcıda görünen ana sayfa aynı adres olmayabilir. Güncel resmi kurulum kılavuzuyla karşılaştırmadan bu farklılığı normal kabul etmeyin. Bilinmeyen yayıncı uyarısını yalnızca işlemi yetiştirmek için onaylamak yerine, resmi destek kanalından doğrulayın.

Tarayıcı, Java eklentisi ve harici istemciyi ayırın

Eski anlatımlarda tarayıcının içinde çalışan Java eklentileri bulunabilir. Oracle, Chrome’un bu eklentiyi çalıştıran NPAPI desteğini kaldırdığını açıklar. Harici Web Start uygulaması ise tarayıcı içindeki eklentiyle aynı değildir. Dosyanın tarayıcıdan indirilmesi, işlemin tarayıcı içinde yürütüldüğü anlamına gelmez.

Bu ayrım pratikte önemlidir: Chrome’u kapatıp açmak eksik bir harici istemciyi kurmaz. Dosya yanlış uygulamayla açılıyorsa sadece istisna listesiyle uğraşmak da sorunu çözmez. Önce kullanılan resmi portalın o işlem için önerdiği istemciyi belirleyin. Java, Web Start veya başka bir imza uygulaması gereksinimini, yıllar önce hazırlanmış ekran görüntüsünden değil güncel kurulum yönergesinden öğrenin. Benzer uyarıyı e-reçete imzalarken alıyorsanız Medula ve AHBS kurulum rehberindeki uygulamaya özgü kontrolleri izleyin; GİB için kullanılan paketin orada da uygun olduğunu varsaymayın.

Bir başka karışıklık da “Java kuruluysa JNLP açılır” düşüncesidir. Oracle, Web Start ve javaws aracını JDK 11’den kaldırdığını belgeliyor. Dolayısıyla yalnızca yeni bir JDK yüklemek, eski Web Start akışını sağlamaz. Kurulacak paketi işlem yaptığınız uygulamanın desteklediği bileşenlere göre seçin; rastgele eski sürüme dönmeyin.

GİB İmzalama Aracı akışında nerede takılıyorsunuz?

Önce GİB e-Fatura Portalında mı, başka bir GİB uygulamasında mı yoksa özel entegratör ekranında mı olduğunuzu belirleyin. Birinin kurulum tarifini diğerine taşımayın. GİB’in e-Fatura Portalı sayfası resmi girişe yönlendiriyor; kılavuz dizininde ise İmzalama Aracı Kullanım Kılavuzu v1.2 yer alıyor. 24 Eylül 2026 kontrolünde bağlantılı belgenin tarihi Kasım 2019’du. Bu ayrıntı, ekrandaki eski tarayıcı örneklerini bugüne ait zorunlu ayarlar gibi kullanmamak için önemli.

Kılavuzdaki akışta EFaturaWebSocket.jnlp dosyasıyla harici imzalama aracı başlatılıyor ve imzalama sırasında açık tutuluyor. “İmza socket sunucusuna erişilemedi” mesajı, aracın çalışmaması veya tarayıcının araca ulaşamamasıyla ilgili ayrı bir kontrol gerektiriyor. Bu mesajı doğrudan Java istisna listesine adres ekleme talimatı olarak okumayın.

• Dosya açılmadan Java güvenlik uyarısı geliyorsa önce yayıncı, dosya kaynağı ve uygun başlatıcıyı doğrulayın.
• Araç açıkken bağlantı mesajı geliyorsa doğru aracın çalıştığını kontrol edin; yerel iletişim engelini kurumunuzun bilgi işlem birimiyle inceleyin.
• Bağlantı kuruluyor fakat sertifika seçilemiyorsa kart ve ara yazılım kontrolüne geçin. Güvenlik duvarını veya tarayıcı korumasını topluca kapatmayın.

Ayar değiştirmeden önce bu sırayla ilerleyin

İlk kontrol kaynak doğrulaması, ikinci kontrol bilgisayar ve uygulama bilgisidir. Kurum tarafından yönetilen bir bilgisayarda kurulum değişikliklerini bilgi işlem birimiyle yürütün. Özellikle birden fazla muhasebe uygulamasının bulunduğu cihazda “bütün Java sürümlerini kaldır” önerisi, etkisi anlaşılmadan uygulanmamalı.

Bilgisayarın tarihini ve saatini kontrol edin. Ardından imza uygulamasının adı ve sürümünü resmi kılavuzla karşılaştırın. Kart uygulamasının sertifikayı okuyabildiğini ayrıca test edin. Kart da görünmüyorsa bilgisayarda e-imza görünmeme rehberine dönün; Java uyarısı ile kart okuma problemini aynı değişiklikle çözmeye çalışmayın.

• Portalın resmi adresini ve işlem adını doğrulayın.
• Uyarıdaki kaynak, yayıncı ve hata metnini kaydedin.
• Kurulu istemciyi resmi yönergedeki istemciyle karşılaştırın.
• Kart, sertifika ve işletim sistemi kontrollerini ayrı yürütün.
• Her değişiklikten sonra sonucu not edin; aynı anda birçok ayarı değiştirmeyin.

İstisna listesi ne zaman gündeme gelir?

Oracle’ın burada kaynak gösterilen istisna listesi yönergesi Java 7 ve 8’in uygulama çalıştırma mekanizması içindir; her Java dağıtımında aynı ekran bulunduğunu varsaymayın. Bu ayar, normalde engellenebilecek belirli uygulamaların çalıştırılmasına izin verebilir. Genel bir “siteyi güvenli yapma” işlemi değildir. Resmi uygulamanın yönergesi gerçekten bunu gerektiriyorsa, adres ve kapsam uygulama desteğiyle doğrulanmalıdır.

Sona eğik çizgi eklemek de çözümü garanti etmez; adresin kapsadığı yol ve alt dizinler açısından anlam taşır. Rastgele HTTP adresleri, bütün bir alan adına gereksiz geniş izinler veya arama sonucundan kopyalanan adresler eklemeyin. Oracle, yalnızca güvenilen uygulamalar için bu mekanizmayı değerlendirmeyi ve riskin farkında olmayı söyler. Resmi güncel paket varsa öncelikle onunla ilerlemek gerekir.

Belirtiye göre bir sonraki kontrol

Birbirine benzeyen hata pencerelerinin aynı nedeni olmayabilir. Aşağıdaki ayrım, destek talebini doğru ekibe yönlendirmeye yarar. Buradaki adımlar bir güvenlik uyarısını yok saymak için değil, uyarının kaynağını belirlemek için kullanılmalıdır.

Sorunu aktarırken gizli bilgileri ayırın

Hata ekranında belge içeriği, vergi numarası veya başka bir kişisel bilgi bulunabilir. Teknik destek talebinde yalnızca gereken bölümü paylaşın. PIN, PUK ve portal parolası teşhis notunun parçası değildir. Uzaktan bağlantı gerekiyorsa bağlantıyı kimin kurduğunu doğrulayın ve yapılan işlemleri izleyin.

E-imza ile mali mühür farkını doğru belirtmek de destek görüşmesini kolaylaştırır. Kullanılan aracın adı bilinmeden önerilen paketler, sorunu daha karmaşık hale getirebilir. İşletim sistemi, kart sağlayıcısı, istemci sürümü ve hatanın çıktığı işlem birlikte iletildiğinde destek ekibi aynı soruları baştan sormak zorunda kalmaz.

Bu bilgileri teknik destek formundan iletebilirsiniz. Talebe örneğin “Dosya açılıyor, araç penceresi görünüyor; portalda bağlantı uyarısı çıkıyor” diye başlayın. Bu kısa ayrım, yalnızca “Java çalışmıyor” demekten daha kullanışlıdır. Belgeyi imzalayacak kişinin PIN’i kendisinin girmesi gerekir; destek için paylaşmasını istemeyin.

Kurulum kaydını iş akışının parçası yapın

Teknik sorun çözüldüğünde hangi paketle ve hangi uygulamayla çalıştığını kısa bir notta tutmanızı öneriyorum. Sonraki bilgisayar değişiminde eski bir kurulum videosundan başlamak yerine bu kaydı ve güncel resmi yönergeyi karşılaştırabilirsiniz. Bu not kullanıcı parolalarını içermemeli; yalnızca sistemin bakım bilgisini tutmalıdır.

Erzurum merkezde kurulum ve teknik destek için e-dönüşüm hizmetlerimizi inceleyebilirsiniz. Önce sorunun Java güvenlik kontrolü mü, kart okuma mı yoksa uygulama kurulumu mu olduğunu ayırırız. Çözüm sonrasında yalnızca uyarının kaybolmasına bakmayın; doğru kullanıcı ve belgeyle yürüttüğünüz işlemin portalda tamamlandığını da kontrol edin.