24 Eylül 2026'da Utah'ta federal yargıç David Barlow, SB 73 yasasının, web sitelerinin ziyaretçinin gerçek konumunu VPN veya proxy üzerinden bile tanımasını gerektiren kısmını askıya aldı. Mahkemenin ana gerekçesi neredeyse mühendislik terimleriyle ifade edildi: mükemmel IP tabanlı coğrafi konumlandırma şu anda mevcut değil ve yasa tam olarak bunu talep ediyordu. Ekim ayı sonunda, İngiliz Ofcom'un VPN tespiti ile ilgili önerilerini açıklaması bekleniyor. Aşağıda, mahkemenin ne karar verdiğini, bunun Birleşik Krallık'taki tutumdan nasıl farklı olduğunu ve coğrafi olarak bağımlı hizmetlerle, veri toplama ve proxy ile çalışanlar için nelerin değiştiğini inceliyoruz.
Utah'ta Mahkeme Ne Karar Verdi
Dava, Aylo (Pornhub ve diğer yetişkin sitelerinin sahibi) tarafından açıldı, dava Aylo Freesites Ltd v. Utah, No 2:26-cv-00340. Bir düzenleme hedef alındı: 2026 değişiklikleriyle eklenen 78B-3-1002(3) maddesi. Bu madde, Utah'ta fiziksel olarak bulunan bir ziyaretçiyi, konumu VPN veya proxy ile gizli olsa bile, eyalet sakini olarak kabul ediyordu. Böyle bir kullanıcıdan site sorumlu tutuluyordu.
Mahkeme, geçici bir tedbir kararı (preliminary injunction) verdi. Ana gerekçeler:
- Yasada "makul çabalar" ifadesi yok. Resmi olarak, site her kaçırılan kullanıcıdan sorumlu, yani hatasız bir şekilde tüm kullanıcıları coğrafi olarak tanımlamak zorunda. Bu arada, her iki taraf da mükemmel bir coğrafi konumlandırmanın mümkün olmadığında hemfikir oldu.
- Eyalet dışındaki ticaret üzerindeki yük. Eğer VPN üzerinden Utah sakini ile Seattle veya Şanghay sakinini kesin olarak ayırt edemiyorsanız, site tüm dünya ziyaretçilerinin yaşını kontrol etmek zorunda kalırdı. Kararda bir rakam geçiyor: Aylo'nun 28 milyon kullanıcıyı doğrulaması gerekecekti. Mahkeme, bunun muhtemelen ABD Anayasası'nın "uyuyan" ticaret maddesini (dormant Commerce Clause) ihlal ettiğini düşündü.
- Eyaletin, reşit olmayanları korumak için daha az yük getirici yöntemleri var.
Utah, yasanın mükemmeliyet değil, makul önlemler talep ettiğini savundu: muhtemel VPN kullanımı hesaplanabilir ve konum, cihaz ayarlarından ve hesap etkinliğinden çıkarılabilir. Mahkeme, yasayı kabul eden yasama metnini incelediğini, başsavcının nasıl uygulanması gerektiğini değil.
Geçerli Olan Nedir
- Yetişkin sitelerinin, "makul yöntemlerle" yaş kontrolü yapma yükümlülüğü devam ediyor.
- Bu sitelerin, VPN üzerinden kontrolü aşmanın yollarını anlatmalarını yasaklayan düzenleme, Aylo tarafından itiraz edilmedi, bu da geçerli kalıyor.
- 1 Eylül'de yayınlanan ve 8 Ekim'de yürürlüğe girmesi beklenen R152-78B uygulama kuralları, mahkeme kararı geçerli olduğu sürece uygulanamaz.
- Taraflar, Utah yasama oturumunun 2027'de sona ermesini bekleyerek davayı ertelemeyi kabul etti: yasanın yeniden yazılması bekleniyor.
Bağlam: Yetişkin içeriği için yaş kontrolü yasaları, ABD'nin 27 eyaletinde kabul edildi (Ağustos 2026 itibarıyla), ancak yalnızca Utah, web sitelerini VPN üzerinden kullanıcıları hesaplamaya zorlamaya çalıştı. Bu düzenlemenin mahkeme öncesi durumu ve neden siteleri IP üzerinden toplu olarak engellemeye ittiğini, SCREEN Act ve Utah SB 73 üzerine yazdığımız makalede inceledik.
Neden IP, Birinin Nerede Olduğunu Söylemez
Mahkemenin kararı teknik olarak doğrudur ve yetişkin sitelerinin ötesine geçmektedir. IP coğrafi konumlandırması, bir veritabanına dayalı olasılık değerlendirmesidir, ölçüm değil. Site, isteğin geldiği adresi yalnızca görür. Eğer trafik VPN veya proxy üzerinden geliyorsa, bu, ara sunucunun veya başka bir cihazın adresidir.
VPN olmadan bile, doğruluk düşük. MaxMind'in (en büyük coğrafi veritabanlarından biri) verilerine göre, ABD'de 50 km'lik bir mesafede doğru tanımlanan IP adreslerinin oranı yaklaşık %60'dır, %33'ü şehre bağlıdır, ancak 50 km'den fazla hata yapmaktadır, ve %7'sinin şehir düzeyinde verisi yoktur. Şirket ayrıca, gelecekte doğruluk garantisi vermediğini belirtmektedir.
Hata, birkaç katmandan oluşmaktadır:
- Blokların kayıtlı bölgeye bağlanması. Sağlayıcı, bir şehirde alt ağa kaydedebilir, ancak bunu başka bir şehirdeki abonelerine dağıtabilir.
- Mobil NAT. Mobil operatörlerde tek bir kamu IP'si altında birçok abone bulunur ve internet çıkışı genellikle başka bir bölgede bulunan bir düğüm üzerinden gerçekleşir.
- Kurumsal ağlar ve bulutlar. Utah'taki bir çalışan, ofis VPN'iyle Kaliforniya'daki merkez ofisten veya veri merkezinden gelen bir kullanıcı gibi görünür.
- Veritabanlarının güncellenmesindeki gecikme. Alt ağlar, sağlayıcılar ve ülkeler arasında geçiş yapar ve veritabanları bunu haftalarca takip eder.
Bu nedenle, "kesin olarak belirle" talebi, ağın fiziğiyle sınırlıdır. Utah mahkemesi, aslında, bunu VPN ile ilgili kararında ilk kez tespit eden mahkeme oldu.
Birleşik Krallık Farklı Bir Yoldan İlerliyor
Birleşik Krallık'ta, Online Safety Act kapsamında yaş kontrolü 25 Temmuz 2025'te yürürlüğe girdi, cezalar £18 milyon veya dünya gelirinin %10'una kadar çıkabiliyor. Kullanıcıların tepkisi anında oldu: Birleşik Krallık'tan Proton VPN kayıtları, kuralların yürürlüğe girdiği günde %1400 arttı ve uygulama kısa bir süre için Birleşik Krallık App Store'unda ChatGPT'yi geçti.
Yetkililerin tutumu, Amerikalılardan daha temkinli:
- 15 Temmuz 2026'da teknoloji bakanı Liz Kendall, parlamentoda hükümetin VPN'leri yasaklamayacağını ve onlara yaş kontrolü getirmeyeceğini açıkladı.
- Ofcom, yasanın kendisine VPN'leri engelleme hakkı vermediğini açıkça belirtiyor.
- Temmuz 2026 tarihli raporda, düzenleyici, hiçbir yaş kontrolü yönteminin tamamen dolanmayı engellemediğini kabul etti ve uygulama mağazaları ile cihaz düzeyinde kontrolü içeren çok katmanlı bir yaklaşımı önerdi.
- Bu arada, Ofcom'a Ekim 2026'nın sonuna kadar VPN kullanımını tespit etmek ve önlemek için hizmetlerin neler yapabileceği konusunda öneriler yayınlaması talimatı verildi.
Yani, Birleşik Krallık modeli, "mükemmel coğrafi konumlandırma talep etme" değil, "makul önlemler al" şeklindedir. Sektör analizleri, hizmetler için üç durumdan oluşan bir şemayı tanımlıyor: kullanıcı kesinlikle Birleşik Krallık'tan (gereksinimleri uygulayın), kesinlikle Birleşik Krallık'tan değil (yasa dışı) ve "konum doğrulanamaz" — bu gruptaki herkesin yaşını kontrol etmek gibi ayrı bir risk kararı.
Siteler VPN ve Proxy'leri Nasıl Tespit Edecek
Ne Amerikan mahkemesi ne de Birleşik Krallık düzenleyicisi, web sitelerinin şüpheli trafiği işaretlemeye devam etmeyeceğini iptal etmiyor. Tipik sinyal seti:
- Hosting ASN'si. Bulut ve veri merkezi aralıklarından gelen adresler (AWS, Hetzner, OVH, M247 ve benzeri) ilk olarak işaretlenir: sıradan ev kullanıcıları bunlardan gelmez.
- VPN sunucu listeleri. Birçok VPN, sunucu adreslerini yayınlar, diğerleri hizmete bağlanarak kolayca toplanabilir.
- IP üzerindeki kullanıcı yoğunluğu. Kısa bir süre içinde tek bir adresten yüzlerce farklı hesap, çıkış düğümünü ortaya çıkarır.
- Uyumsuzluklar. Tarayıcı saat dilimi, sistem dili, klavye düzeni, ödeme kartı yerel ayarı ile IP ülkesinin karşılaştırılması.
- Davranışsal ve hesap sinyalleri — Utah'ın mahkemede bahsettiği tam olarak budur.
Önemli olan, bu yöntemlerin hepsinin olasılık sunduğudur, kanıt değil. Yanlış pozitif sonuçlar kaçınılmazdır: kurumsal VPN kullanan çalışanlar, mobil operatör aboneleri, gezginler ve iş için coğrafi erişim gerektiren otomatik sistemler hedef alınır.
Coğrafi Olarak Çalışan İşletmeler İçin Ne Anlama Geliyor
Karar, yetişkin sitelerini kapsıyor, ancak sonuçları daha geniş. IP üzerinden coğrafi konumlandırma, fiyatlandırma, içerik lisanslama, dolandırıcılık önleme, reklam doğrulama ve sonuç izleme gibi alanlarda kullanılıyor. Birkaç pratik çıkarım.
Eğer bir hizmet sahibiyseniz
- Gereksinimlere uyum sağlamayı tek bir coğrafi veritabanına dayandırmayın. VPN olmadan bile, ABD'deki her üç adresten biri yanlış bir şehre bağlı olabilir. Hukuki sonuçları olan çözümler için, aldığınız "makul önlemler" hakkında bir kayıt bulundurmalısınız.
- Üçüncü bir "bilmiyorum" durumu ekleyin. İkili "bizim bölge / değil" durumu, mobil ve kurumsal trafiğe kötü uyum sağlar.
- Birden fazla kaynağı karşılaştırın. Farklı veritabanları aynı adres için farklı sonuçlar verebilir. IPQS, Scamalytics, IPinfo ve diğer kontrol araçlarının nasıl farklılık gösterdiğini, gerçek adresler üzerinde karşılaştırdık.
Eğer verileri topluyor veya bölgeler üzerinden reklam kontrolü yapıyorsanız
- Veri merkezi adresleri ilk olarak engellenecek. Yaş kontrolü yasaları ve düzenleyici öneriler, web sitelerini hotsing ASN'lerini tamamen engellemeye yönlendiriyor. Yerel bir kullanıcının gözünden siteyi görmek için ülke ve şehir seçimi ile konut proxy'leri uygundur: adres, gerekli bölgedeki ev sağlayıcısına aittir.
- Mobil adresler engellemelere karşı daha dayanıklıdır, ancak şehir doğruluğu daha düşüktür. Operatörün NAT'ı nedeniyle, site birçok abone için tek bir adresi görür, bu nedenle onu engellemek maliyetlidir. Eğer önemli olan bölgeyse, kesin şehir değilse, mobil proxy'ler güvenilir bir seçenektir.
- IP'nizin birkaç veritabanında nerede "durduğunu" kontrol edin. Site, kontrol aracınızın kullandığı veritabanından farklı bir veritabanı kullanıyor olabilir ve farklı bir bölge görebilir. Büyük ölçekli veri toplamadan önce test istekleri gönderin ve hedef sitenin hangi yerel versiyonunu sunduğunu karşılaştırın.
- Tarayıcı parmak izini IP ile uyumlu tutun. Saat dilimi, dil ve yerel ayar, çıkış ülkesine uygun olmalıdır: uyumsuzluklar, IP'den daha sık tespit edilir.
Sonraki Adımlar
Takip edilmesi gereken en yakın olaylar:
- Ekim 2026'nın sonu — Ofcom'un VPN tespiti ile ilgili önerileri. Ana soru: bunlarda belirli teknik yöntemler olacak mı yoksa "makul önlemler" formülü mü kalacak.
- Utah yasama oturumu 2027 — yasa muhtemelen makul çabalarla ilgili bir düzenleme ile yeniden yazılacak. O zaman tartışma, "mükemmelin talep edilip edilemeyeceği" yerine "makul olanın ne olduğu" üzerine kayacak.
- Diğer eyaletler — EFF, benzer girişimleri itiraz edeceğini açıkladı, ancak yaş kontrolü yasaları sosyal medyaya da yayılmaya devam ediyor.
Sonuç
Utah'taki mahkeme, ağ mühendislerinin uzun zamandır bildiği bir gerçeği pekiştirdi: IP, bir konum ipucu olup, kanıt değildir. Yasama organları, web sitelerinden makul önlemler talep edebilir, ancak mükemmel coğrafi konumlandırma talep edemez. Bu, işletmeler için iki şeyi ifade eder. Hizmet sahiplerinin, hata payı ile birlikte coğrafi mantık oluşturmaları ve "bilmiyorum" üçüncü durumunu eklemeleri gerekir. Ayrıca, yerel sonuçlara dürüst erişim isteyenlerin, adres kalitesini daha sıkı bir şekilde takip etmeleri gerekecek: düzenleyicilerin baskısı altında, web siteleri veri merkezlerini daha sık engelleyecek ve öncelikle konut ve mobil IP'lere güvenecektir.