ASP.NET Core’da IData Protection Nedir?

Merhaba,

Modern web uygulamalarında hassas verilerin korunması kritik bir gereksinimdir. Kullanıcı kimlik bilgileri, token’lar, cookie içerikleri veya URL parametreleri gibi veriler, yetkisiz kişilere geçtiğinde ciddi güvenlik açıklarına yol açabilir. ASP.NET Core, bu ihtiyacı karşılamak için yerleşik olarak IData Protection API sunar.

Bu yazıda; IData Protection’ın ne olduğunu, hangi problemleri çözdüğünü, nasıl yapılandırıldığını ve pratik kullanım örneklerini ele alacağım.

IData Protection Nedir?

IData Protection, ASP.NET Core’un sağladığı şifreleme (encryption) ve şifre çözme (decryption) mekanizmasını temsil eden bir API’dir.

Temel amaçları şunlardır:

1. Veriyi uygulama dışından okunamaz hale getirmek.

2. Karmaşık anahtar yönetimini geliştiriciden soyutlamak.

3. Güvenli, test edilmiş ve standartlara uygun bir kriptografik çözüm sunmaktır.

Ne Zaman Kullanılır?

IData Protection aşağıdaki senaryolarda sıklıkla tercih edilir:

1. Cookie içeriklerinin korunması.

2. URL veya QueryString içindeki hassas verilerin gizlenmesi.

3. E-posta doğrulama ve şifre sıfırlama linklerinin güvenliği.

ASP.NET Core, Authentication, Anti-Forgery Token, TempData gibi mekanizmalarda zaten IData Protection’ı dahili olarak kullanır.

IData Protection Nasıl Çalışır?

Genel akış şu şekildedir:

1. IDataProtectionProvider oluşturulur

2. Provider üzerinden bir IDataProtector elde edilir

3. Veriler Protect() ile şifrelenir

4. Aynı protector ile Unprotect() edilerek çözülür

Önemli nokta:

Aynı purpose string kullanılmadan şifre çözme yapılamaz.

Örnek

public class SampleService
{
    private readonly IDataProtector _dataProtector;

    public SampleService(IDataProtectionProvider provider)
    {
        // "Purpose string" belirleniyor
        _dataProtector = provider.CreateProtector("SampleService.Protection");
    }

    public string Encrypt(string input) => _dataProtector.Protect(input);

    public string Decrypt(string protectedData) => _dataProtector.Unprotect(protectedData);
}

Purpose String Neden Önemli?

CreateProtector("purpose") ifadesindeki "purpose", anahtar türetme sürecinin bir parçasıdır. Temel amacı şunlardır:

1. Aynı uygulama içindeki farklı veri alanlarını birbirinden ayrıştırmak.

2. Yanlış protector ile veri çözme girişimlerini engellemek.

3. Daha güvenli bir anahtar hiyerarşisi oluşturmak.

Örneğin; User.EmailConfirmation ile şifrelenen bir veri, User.PasswordReset protector'ı ile çözülemez.

Anahtar Yönetimi ve Yapılandırma

Varsayılan olarak ASP.NET Core, anahtarları dosya sisteminde saklar ve otomatik olarak anahtar döndürme (key rotation) yapar.

Varsayılan Konumlar

1. Windows: %LOCALAPPDATA%\ASP.NET\DataProtection-Keys

2. Linux: /var/lib/aspnet/DataProtection-Keys

Key Yapılandırmasını Özelleştirme

Özellikle ölçeklenebilir (load-balanced) veya konteynerize (Docker) ortamlarda anahtarların ortak bir merkezde tutulması gerekir.

builder.Services.AddDataProtection()
    .PersistKeysToFileSystem(new DirectoryInfo(@"C:\keys"))
    .SetApplicationName("MyApp")
    .SetDefaultKeyLifetime(TimeSpan.FromDays(30));

<?xml version="1.0" encoding="utf-8"?>
<key id="f3c1e2a1-8a2e-4b2c-b8e5-9d9c12345678" version="1">
  <creationDate>2026-01-20T10:15:30Z</creationDate>
  <activationDate>2026-01-20T10:15:30Z</activationDate>
  <expirationDate>2026-04-20T10:15:30Z</expirationDate>
  <descriptor>
    <encryptedSecret>
      <!-- Şifrelenmiş anahtar verisi -->
    </encryptedSecret>
  </descriptor>
</key>