umara Doğrulama ve SIM Swap, GSMA Open Gateway girişimi kapsamındaki CAMARA projesi tarafından standartlaştırılan ve bir bankanın veya uygulamanın mobil operatöre iki soru sormasına olanak tanıyan ağ API'leridir: Bu telefon numarası gerçekten kullanıcının cihazındaki numara mı ve SIM yakın zamanda değişti mi? 26 Eylül 2026 itibarıyla, resmi bir kaynakta onaylayabildiğimiz tek Orta Doğu lansmanı, Ooredoo Qatar ve Vodafone Qatar'ın 26 Kasım 2025 tarihinde her iki API'yi de başlattığı Katar'dır. Bölge genelinde OTP trafiği sağlayan ve operatör ağlarını koruyan BroadNet, API'lerin nasıl çalıştığını ve SMS OTP ile nasıl eşleştirileceğini açıklamaktadır.
Önemli çıkarımlar
- Numara Doğrulama, bir SMS kodu olmadan, kullanıcının yazdığı numaranın kullandığı cihazın numarasıyla eşleştiğini onaylar. Sonuç olarak true veya false döndürür.
- SIM Swap, bir numaranın arkasındaki SIM'in seçtiğiniz bir süre içinde (1 ile 2.400 saat arası, varsayılan 240) değişip değişmediğini söyler veya son değişikliğin tarihini döndürür.
- Onaylanmış Orta Doğu lansmanı Katar'dır: Ooredoo Qatar ve Vodafone Qatar, her iki API'yi de 26 Kasım 2025 tarihinde MWC Doha'da duyurdu.
- BAE, Suudi Arabistan, Kuveyt, Bahreyn, Umman, Ürdün veya Mısır'daki ticari lansmanları resmi bir kaynakta onaylayamadık. Bunlara göre bir tasarım yapmadan önce operatörle görüşün.
- Numara Doğrulama her yerde SMS OTP yerine geçmez: operatör desteği ve standart akışında bir mobil veri bağlantısı gerektirir. Öncelikle çalıştığı yerlerde kullanın ve OTP yöntemine geri dönün.
- Yüksek riskli işlemler için en güçlü yöntem, bir OTP göndermeden önce SIM Swap işlemini gerçekleştirmek ve eğer SIM yakın zamanda değiştiyse OTP işlemini reddetmektir.
GSMA Open Gateway ve CAMARA nedir?
GSMA, Open Gateway'i "mobil operatör ağlarına erişimi kolaylaştıran ortak ağ API'lerinden oluşan küresel bir çerçeve" olarak tanımlamaktadır (GSMA Open Gateway). API tanımlarının kendisi, Ooredoo Qatar duyurusunda "Linux Foundation tarafından yürütülen açık kaynaklı bir proje ve GSMA Open Gateway girişiminin temel bir parçası" olarak nitelendirilen CAMARA'dan gelmektedir. Katılımcı her operatör aynı tanımı uyguladığı için, bir geliştirici tek bir entegrasyon yazabilir ve bunu destekleyen ağlar arasında yeniden kullanabilir.
Aynı duyuruya göre (Kasım 2025), girişim dünya çapında 80'den fazla mobil operatör grubunu, 292 ağı ve mobil bağlantıların %80'inden fazlasını kapsamaktadır. Üyelik, belirli bir ülkedeki canlı bir API ile aynı şey değildir; bu nedenle aşağıdaki kullanılabilirlik tablosu yalnızca onaylanmış lansmanları listeler. Arka plan bilgisi için GSMA Open Gateway hakkındaki yanıtımıza bakın.
Numara Doğrulama API ne işe yarar?
CAMARA tanımına göre (versiyon 2.1.0, sürüm r3.2), Numara Doğrulama "son kullanıcı cihazındaki SIM'e ağ operatörü tarafından o anda tahsis edilen mobil telefon numarasını" doğrular veya getirir. İki uç noktası (endpoint) bulunur:
- /verify, kullanıcının size verdiği telefon numarasını (düz metin veya hashlenmiş olarak) cihazla ilişkili numara ile karşılaştırır ve true veya false yanıtını verir.
- /device-phone-number, operatörün cihazdaki SIM ile ilişkilendirdiği telefon numarasını döndürür.
Ağ tabanlı veya SIM tabanlı sessiz kimlik doğrulama yoluyla, "kullanıcı etkileşimi gerektirmeden" çalışır: alınacak, okunacak veya yazılacak bir kod yoktur. Her iki uç noktanın da o kullanıcı için alınan üç bacaklı bir erişim belirtecine (access token) ihtiyacı vardır. Standart akışta (prompt=none ile OpenID Connect yetkilendirme kodu), cihazın mobil ağa bağlı olması gerekir. Eğer uygulamanızın cihazdan gelen bir GSMA TS.43 geçici belirteci varsa, tanım API'nin Wi-Fi dahil her türlü bağlantı üzerinden çalıştığını belirtir. Daha derin bir açıklama için sessiz ağ kimlik doğrulaması hakkındaki yanıtımızı okuyun.
SIM Swap API nasıl çalışır?
CAMARA SIM Swap tanımı (versiyon 2.1.0, sürüm r3.3) size iki ana işlem sunar:
| İşlem | Gönderdiğiniz | Geri aldığınız | Şu durumlarda kullanın |
|---|---|---|---|
| POST /check | Telefon numarası ve saat cinsinden maxAge (1 ile 2.400 arası; varsayılan 240) | swapped: o dönem için true veya false | Riskli bir işlem öncesinde evet/hayır kararına ihtiyacınız vardır |
| POST /retrieve-date | Telefon numarası | latestSimChange: son SIM değişiminin zaman damgası veya değişim olmadıysa aktivasyon tarihi | Değişimin ne kadar yakın zamanda gerçekleştiğine göre risk puanı belirlersiniz |
Canlı sistemlerde iki detay önem arz eder. Eğer yerel düzenlemeler veya operatör politikası SIM geçmişini yeterince uzun süre saklamaya izin vermiyorsa, operatör tarih için null değerini döndürebilir; bu durumda isteğe bağlı olarak kaç günü kapsadığını belirten bir monitoredPeriod bilgisi de sunulabilir. Bunu "izlenen dönem içinde değişim yapılmadı" şeklinde değerlendirin, "hiçbir zaman değişim yapılmadı" şeklinde değil. Ayrıca, operatör politikasının izin verdiğinden daha uzun bir maxAge talep ederseniz, 400 OUT_OF_RANGE hatası almayı bekleyin. SIM değişimi, hesap ele geçirme (account takeover) için yaygın bir rotadır: dolandırıcı, kurbanın numarasını yeni bir SIM'e taşır ve kodları alır. SIM değişim dolandırıcılığı hakkındaki yanıtımız saldırıyı açıklamaktadır.
Numara Doğrulama ve SIM Swap Orta Doğu'da nerede aktif?
Bu tablo, 26 Eylül 2026 itibarıyla yalnızca bir operatör veya GSMA kaynağı üzerinden teyit edebildiğimiz lansmanları listeler.
| Ülke | Operatörler | API'ler | Duyurulan | Kaynak |
|---|---|---|---|---|
| Katar | Ooredoo Katar, Vodafone Katar | SIM Swap, Numara Doğrulama (CAMARA) | 26 Kasım 2025, MWC Doha | Ooredoo Katar basın bülteni |
Katar operatörleri, 2026 yılında daha fazla kimlik doğrulama ve dolandırıcılığı önleme API'si eklemeyi planladıklarını belirttiler. BAE, Suudi Arabistan, Kuveyt, Bahreyn, Umman, Ürdün ve Mısır için, açabildiğimiz resmi bir operatör veya GSMA sayfasında bu iki API'nin ticari lansmanına rastlamadık. Bölgedeki bazı operatörler Open Gateway'e katıldı, ancak katılım sağlamak, bir API'yi ticari olarak sunmakla aynı şey değildir. Bu hizmet üzerine bir yapı kurmadan önce güncel durumu operatörünüze veya mesajlaşma sağlayıcınıza sorun. Katar'ın mesajlaşma kuralları için Katar düzenlemeleri sayfamıza ve Katar kapsama sayfamıza göz atın.
Number Verify, SMS OTP'nin yerini alabilir mi?
Tek başına değil ve henüz bölgenin çoğunda da değil. Her yöntem farklı bir şeyi kanıtlar ve farklı şekillerde yetersiz kalabilir.
| SMS OTP | Numara Doğrulama | SIM Değişim kontrolü | |
|---|---|---|---|
| Neyi kanıtlar | Kullanıcının o numaraya mesaj alabileceğini | Kullanılan cihazın o numaraya ait SIM'e sahip olduğunu | Numaraya tanımlı SIM'in yakın zamanda değişip değişmediğini |
| Kullanıcı çabası | Kodu okuyun ve yazın (veya otomatik doldurun) | Yok | Yok |
| Operatör API desteği gereklidir | Hayır; tüm ağlarda çalışır | Evet | Evet |
| Bağlantı | Sinyal alan herhangi bir telefon | Standart akışta mobil veri; TS.43 token içeren herhangi bir bağlantı | Cihaz üzerinde bulunmaz; sunucudan sunucuya bir kontroldür |
| Zayıf nokta | Kodlar, SIM değişimi sonrası ele geçirilebilir veya oltalama yoluyla çalınabilir | Operatörün henüz başlatmadığı yerlerde kullanılamaz | Tek başına kullanıcıyı doğrulamaz |
| En iyi rol | Evrensel geri dönüş yöntemi ve ikinci faktör | Mümkün olan yerlerde ilk tercih | Yüksek riskli bir işlemde herhangi bir OTP öncesinde risk sinyali |
Pratik tasarım kademeli bir yapıdadır: Kullanıcının operatörünün desteklediği yerlerde Numara Doğrulama yöntemini deneyin, diğer her yerde SMS veya WhatsApp OTP yöntemine geri dönün ve yüksek riskli işlemler için OTP öncesine bir SIM Swap kontrolü ekleyin. Sessiz ağ kimlik doğrulaması ve sessiz ağ kimlik doğrulaması ile SMS OTP karşılaştırması hakkındaki yazılarımız ilk adım hakkında daha derinlemesine bilgi sunmaktadır.
Bir OTP göndermeden önce ne zaman SIM Swap sorgulaması yapmalısınız?
Çalınan bir numaranın dolandırıcıya para veya kontrol sağlayabileceği her türlü işlemden önce. Basit bir karar akışı:
- İşlemi sınıflandırın. Düşük risk: Bilinen bir cihazda rutin oturum açma. Yüksek risk: Şifre sıfırlama, yeni alıcı, telefon numarası veya e-posta değişikliği, büyük transfer, yeni bir cihazda ilk oturum açma.
- Operatörün desteklediği yüksek riskli işlemler için, risk politikanıza uygun kısa bir maxAge ile (örneğin 24 veya 72 saat) POST /check çağrısı yapın.
- Eğer swapped değeri true ise, OTP'yi o numaraya göndermeyin. Bir üst adım olarak: kayıtlı cihaz üzerinden uygulama içi onay, geri arama veya şube ya da görüntülü kontrol gerçekleştirin.
- Eğer swapped değeri false ise, OTP'yi SMS veya WhatsApp üzerinden, kanallar arasında otomatik yedekleme (fallback) ile her zamanki gibi gönderin.
- Eğer API söz konusu pazarda mevcut değilse veya null dönerse, mevcut kurallarınıza ek olarak bir HLR sorgulaması veya telefon itibarı puanı gibi numara zekası (number intelligence) özelliklerine geçiş yapın.
- Kontrol sonucunu işlemle birlikte kaydedin; böylece dolandırıcılık analistleri bir OTP'nin neden gönderildiğini veya neden gönderilmediğini görebilir.
Bir OTP, birinin bir numaraya mesaj alabileceğini kanıtlar. Bir SIM Swap kontrolü, o kişinin hâlâ müşteri olma ihtimalinin olup olmadığını size söyler. Yüksek riskli işlemler için her iki cevaba da ihtiyacınız vardır.
Bankalar SIM Swap ile OTP'yi nasıl birleştiriyor?
| Olay | Ağ kontrolü | Kontrol bir uyarı verirse | Aksi takdirde |
|---|---|---|---|
| Şifre sıfırlama | Sıfırlama OTP'si gönderilmeden önce SIM Swap /check | OTP'yi engelleyin; uygulama içi veya şube içi onay gerektirin | OTP gönderin |
| Yeni alıcı veya yüksek tutarlı transfer | SIM Swap /check, kısa maxAge | İnceleme için işlemi bekletin | İşlem OTP'sini gönderin |
| Yeni bir müşterinin sisteme dahil edilmesi | /verify Numara Doğrulama | SMS OTP yöntemine geri dön | OTP adımını atla |
| Kayıtlı telefon numarasının değiştirilmesi | Eski numara üzerinde SIM Swap /retrieve-date | Manuel inceleme | Hem eski hem de yeni numaralar üzerinden onaylayın |
BroadNet OTP platform, bu akıştaki kodları SMS, WhatsApp ve ses yoluyla birbirleri arasında yedekleme (fallback) özelliğiyle iletir; MyOTP ise bunu hazır bir doğrulama ürünü olarak paketler.
Maliyeti nedir?
Fiyatlandırma, her bir operatör veya kanal ortağı tarafından belirlenir ve ticari olarak kararlaştırılır. Kontrol ettiğimiz resmi kaynakların hiçbiri her iki API için de bir Orta Doğu fiyat listesi yayınlamamaktadır, bu nedenle bir fiyat belirtmiyoruz. Maliyetleri karşılaştırırken, kontrolün ne kadar tasarruf sağladığını da hesaba katın: Şifre sıfırlama OTP işlemi öncesinde yapılan bir SIM Swap kontrolü, fazladan bir API çağrısıdır ve engellenen bir hesap ele geçirme vakası çok daha değerlidir.
Ağ API'leri operatörler için ne anlama geliyor?
Operatörler için Numara Doğrulama ve SIM Swap, ağın halihazırda sahip olduğu verileri bankalar ve uygulamalar için ücretli, onay tabanlı bir hizmete dönüştürür; bu hizmetleri satın alan dolandırıcılık önleme ekipleri aynı zamanda A2P mesajlaşma hizmetlerini de satın alır. BroadNet, 2003 yılından beri operatörlerle çalışmaktadır ve 60'tan fazla operatör güvenlik duvarı kurulumuna sahiptir; operatör çözümlerimiz ve SMS güvenlik duvarımız, bu API'ların yanında yer alan mesajlaşma gelirlerini korur.
Sıkça sorulan sorular
CAMARA Numara Doğrulama API nedir?
Kullanıcının verdiği telefon numarasının kullandığı cihazın numarasıyla eşleşip eşleşmediğini onaylayan, true veya false döndüren ya da cihazın numarasını ileten standart bir operatör API işlemidir. Sessiz ağ veya SIM tabanlı kimlik doğrulama kullandığı için yazılması gereken bir kod yoktur.
SIM Swap API nasıl çalışır?
Bir telefon numarası gönderirsiniz. /check işlemi, maxAge ile belirlediğiniz süre boyunca (1 ile 2.400 saat arası, varsayılan 240) true veya false yanıtını verir; /retrieve-date ise son SIM değişikliğinin zaman damgasını veya eğer bir değişiklik yoksa aktivasyon tarihini döndürür.
Hangi Orta Doğu operatörleri bu API hizmetlerini sunmaktadır?
26 Eylül 2026 itibarıyla, resmi bir kaynaktan teyit edebildiğimiz lansman Katar'dadır: Ooredoo Qatar ve Vodafone Qatar, 26 Kasım 2025 tarihinde SIM Swap ve Numara Doğrulama hizmetlerini başlatmıştır. Diğer ülkelerdeki operatörlere güvenmeden önce onlarla iletişime geçin.
Number Verify, SMS OTP yerine geçebilir mi?
Yalnızca kullanıcının operatörünün desteklediği ve bağlantının izin verdiği durumlarda. Öncelikle mevcut olduğu yerlerde kullanın ve diğer tüm yerlerde SMS veya WhatsApp OTP yöntemini yedek plan olarak tutun.
Numara Doğrulama Wi-Fi üzerinden çalışır mı?
Standart akışta cihazın mobil ağa bağlı olması gerekir. CAMARA tanımına göre, uygulama cihazdan GSMA TS.43 geçici bir token kullandığında, Wi-Fi dahil her türlü bağlantı üzerinden çalışır.
Her OTP işleminden önce SIM Swap kontrolü yapmalı mıyım?
Hayır. Şifre sıfırlama, yeni alıcı ekleme, numara değişikliği ve yüksek tutarlı transferler gibi yüksek riskli işlemlerden önce kullanın. Bilinen bir cihaz üzerinden yapılan rutin girişlerde, ek kontrol kararı nadiren değiştirir.
Operatör SIM swap tarihini paylaşamazsa ne olur?
Sonuç null dönebilir ve isteğe bağlı olarak gün cinsinden bir monitoredPeriod içerebilir. Bunu, izleme süresi içinde herhangi bir SIM swap işlemi yapılmadığı şeklinde değerlendirin ve kendi risk kurallarınıza başvurun.
SIM Swap API maliyeti nedir?
Fiyatlar her bir operatör veya kanal ortağı tarafından belirlenir. Kontrol ettiğimiz resmi kaynaklar, her iki API için de Orta Doğu fiyatlarını yayınlamamaktadır.
Kaynaklar
- Ooredoo Qatar, Katar mobil operatörleri GSMA Open Gateway girişimi aracılığıyla dolandırıcılık karşıtı API'leri hayata geçiriyor, 26 Kasım 2025, erişim tarihi 26 Eylül 2026.
- CAMARA, Numara Doğrulama API tanımı, sürüm r3.2, erişim tarihi 26 Eylül 2026.
- CAMARA, SIM Swap API tanımı, sürüm r3.3, erişim tarihi 26 Eylül 2026.
- CAMARA proje sayfaları, Numara Doğrulama ve SIM Swap, erişim tarihi 26 Eylül 2026.
- GSMA, GSMA Open Gateway, erişim tarihi 26 Eylül 2026.