Fotoğrafla ilgili soruların çoğu iki cümleye iner: bu fotoğraf ne zaman çekildi, nerede çekildi? EXIF ikisine de cevap verebilir. Ama önce elinizdeki dosyanın hangi kopya olduğunu bilmeniz gerekir; çünkü aynı fotoğrafın çeken telefondaki hâli ile bir mesajlaşma uygulamasından indirilen hâli, bambaşka alanlar taşıyabilir.
EXIF nedir, dosyanın neresinde durur?
EXIF, Japonya merkezli kamera ve görüntüleme ürünleri birliği CIPA'nın yayımladığı DC-008 standardıyla tanımlanan ve görüntü dosyasının içine gömülen bir etiket kümesidir. Standart yaşayan bir metindir: saat dilimi alanları Exif 2.31 ile (14.07.2016), UTF-8 metin desteği Exif 3.0 ile (29.05.2023) geldi; son sürüm Exif 3.1, 30.01.2026'da yayımlandı.
JPEG dosyasında EXIF, dosyanın başındaki APP1 bölümünde durur ve içinde TIFF düzeninde dizinler (IFD, image file directory) bulunur:
- Ana görüntünün temel bilgileri IFD0'dadır: marka (
Make), model (Model), yazılım (Software) ve son değiştirilme zamanı. Diğer dizinlere işaret eden iki gösterici de burada durur,ExifOffset(0x8769) veGPSInfo(0x8825). - Exif IFD'de çekim zamanı, saat dilimi, pozlama, diyafram, ISO, lens ve görüntü boyutları var.
- GPS IFD konumu, yüksekliği, GPS zamanını ve çekim yönünü tutar.
- IFD1, gömülü küçük resimdir (thumbnail).
- MakerNote üreticiye özel bir bloktur ve belgelenmemiş olabilir; standart dışı ek bilgiler taşıyabilir.
JPEG dışındaki biçimler de EXIF taşıyabilir: iPhone'ların “Yüksek Verimlilik” ayarında kaydettiği HEIC, ayrıca TIFF, WebP ve PNG. Değişen yalnızca kapsayıcıdır. Birçok uygulama EXIF'in yanına bir de XMP paketi (Adobe'nin XML tabanlı metadata biçimi) ekler ve düzenleme izleri çoğu zaman orada görünür.
Bir nokta, sonradan yapılan pek çok tartışmayı baştan çözer: EXIF dosyanın içindedir. Tek bir EXIF alanı değişse, görüntü pikselleri aynı kalsa bile dosyanın hash değeri değişir. İki kopyanın aynı dosya olup olmadığını bu yüzden görüntüye bakarak değil, hash değeri karşılaştırmasıyla anlarız.
EXIF'te hangi alanlar bulunur?
Bir telefon fotoğrafında onlarca etiket bulunur; inceleme açısından önemli olanlar şunlardır. Etiket adları ExifTool'un kullandığı adlardır, standarttaki karşılığı farklıysa belirtildi.
| Etiket | Ne kaydeder | Dikkat edilecek nokta |
|---|---|---|
Make, Model | Cihazın üreticisi ve modeli | Serbest metindir; başka bir dosyadan kopyalanabilir |
Software | Dosyayı son işleyen yazılım | Telefonda işletim sistemi sürümü, bilgisayarda düzenleme programı olabilir |
DateTimeOriginal | Görüntünün çekildiği an | Saat dilimi yoktur; cihazın o andaki yerel saatidir |
CreateDate (standartta DateTimeDigitized) | Görüntünün sayısallaştırıldığı an | Telefonda genellikle çekim anıyla aynıdır; taranmış film fotoğrafında tarama anıdır |
ModifyDate (standartta DateTime) | Dosyanın son değiştirildiği an | Fotoğrafı yeniden kaydeden program bu alanı günceller |
SubSecTimeOriginal | Çekim anının saniye altı kısmı | Aynı saniyede çekilmiş seri fotoğrafları sıralamaya yarar |
OffsetTimeOriginal ve diğer OffsetTime* alanları | İlgili tarihin UTC'ye göre farkı (ör. +03:00) | Exif 2.31'den (2016) önceki cihazlarda ve bazı yazılımlarda yoktur |
GPSLatitude, GPSLongitude ve Ref alanları | Enlem ve boylam; yön harfleri ayrı alanda | S ve W değerleri koordinatın eksi olduğunu gösterir |
GPSDateStamp, GPSTimeStamp | Konum ölçümünün tarihi ve saati | Her zaman UTC'dir |
GPSHPositioningError, GPSImgDirection | Tahmini yatay konum hatası; kameranın baktığı yön | Her cihaz yazmaz |
ImageUniqueID, BodySerialNumber, LensModel | Görüntü kimliği, gövde seri numarası, lens | Fotoğraf makinelerinde daha sık görülür |
ExifImageWidth, ExifImageHeight | Kaydedilen görüntünün boyutu | Dosyadaki gerçek boyutla uyuşmaması kırpma ya da taşınmış EXIF belirtisi olabilir |
Fotoğrafın çekildiği tarih nasıl bulunur?
Çekim tarihi DateTimeOriginal alanındadır ve standart gereği 2026:03:14 18:22:07 biçiminde, tarih kısmında da iki nokta üst üste kullanılarak yazılır. Bilgisayarın dosya listesinde gördüğünüz tarih ise çekim tarihi değildir: o, dosyanın o diske kopyalandığı ya da son değiştirildiği andır ve fotoğraf e-postadan indirildiğinde, buluttan senkronize edildiğinde ya da flaş belleğe kopyalandığında yenilenir.
Saat dilimi: OffsetTimeOriginal ve GPS saati
DateTimeOriginal alanına bakarak saatin hangi dilime göre yazıldığını söyleyemeyiz. Cihaz OffsetTimeOriginal alanını da yazmışsa UTC karşılığı hesaplanabilir. Konum açıksa elimizde üçüncü bir referans olur: GPS ölçümünün UTC saati.
Örnek olarak kurgusal bir telefon fotoğrafının zaman alanlarına bakalım:
DateTimeOriginal 2026:03:14 18:22:07
SubSecTimeOriginal 412
OffsetTimeOriginal +03:00
GPSDateStamp 2026:03:14
GPSTimeStamp 15:22:05Yerel saat 18:22:07, ofset +03:00; UTC karşılığı 15:22:07. GPS ölçümü UTC 15:22:05'te yapılmış. İki saniyelik fark olağandır, çünkü GPSTimeStamp çekimin değil konum ölçümünün zamanıdır ve cihaz son geçerli ölçümü kullanmış olabilir. Üç alan birbirini tutuyor. Aynı fotoğrafta GPS saati 12:40 olsaydı, bu fark ne saat dilimine ne de ölçüm gecikmesine uyar ve alanlardan birinin sonradan değiştirildiği ihtimali incelenirdi.
Ofset alanı yoksa gördüğünüz saat, cihazın o anda ayarlı olduğu yerel saattir ve hangi bölgeye ait olduğu dosyadan bilinmez. Yurt dışında çekilmiş fotoğraflarda ve saati elle kurulan fotoğraf makinelerinde bu fark saatlerce, bazen yıllarca olabilir. Türkiye 2016'dan beri yıl boyunca UTC+3 kullanıyor; daha eski fotoğraflarda yaz ve kış saati ayrıca hesaplanır. Ayrıntısı zaman damgaları ve saat dilimi yazısında.
Telefonda ve bilgisayarda EXIF'e nasıl bakılır?
- iPhone'da Fotoğraflar uygulamasında fotoğrafı açıp yukarı kaydırın ya da bilgi (ⓘ) düğmesine dokunun. Apple'ın kılavuzuna göre burada fotoğrafı çeken cihaz, çekim tarihi ve saati, lens ve pozlama bilgileri ve çekim yeri görünür.
- Android'de Google Fotoğraflar'da fotoğrafı açıp yukarı kaydırmak yeter; tarih, cihaz ve varsa konum listelenir. Yalnız burada görünen konum, Google Fotoğraflar'ın tahmin ettiği bir konum da olabilir ve tahmini konum, fotoğraf paylaşıldığında onunla birlikte gitmez (Google Fotoğraflar Yardım).
- Windows'ta dosyaya sağ tıklayıp Özellikler, Ayrıntılar'ı açın. “Çekim tarihi” satırı EXIF'ten gelir; Genel sekmesindeki oluşturma ve değiştirme tarihleri ise dosya sisteminden.
- Mac'te Önizleme'de Araçlar, Denetçiyi Göster (⌘I); EXIF ve GPS bölümleri bilgi sekmesinde.
- Tarayıcıda çalışan EXIF görüntüleyici dosyayı yüklemeden okur, saat dilimi ile GPS saatini kendisi karşılaştırır.
- Komut satırında
exiftool -a -G1 -s foto.jpgbütün etiketleri, hangi dizinden geldikleriyle birlikte döker. Raporlarda bu tür ham dökümü, aracın sürümüyle birlikte kullanırız.
Fotoğrafın konumu EXIF'ten nasıl okunur?
Konum, GPS dizinindeki GPSLatitude ve GPSLongitude alanlarında üç sayı olarak (derece, dakika, saniye) durur; kuzey veya güney ile doğu veya batı bilgisi ayrı Ref alanlarındadır. Haritaya girmek için ondalık dereceye çevrilir: derece + dakika/60 + saniye/3600.
Örneğin GPSLatitude 41 0 36, GPSLatitudeRef N, GPSLongitude 28 58 48, GPSLongitudeRef E değerleri 41,01 ve 28,98 eder. Ref alanı S ya da W olsaydı ilgili değer eksi işaretli yazılırdı.
Koordinat, telefonun o anda hesapladığı konumdur. Kapalı alanda ve yüksek binaların arasında sapabilir; cihaz yazmışsa GPSHPositioningError tahmini hatayı verir. 0, 0 gibi bir değer çoğu zaman konumun hiç alınamadığını gösterir.
Konum alanı boşsa bundan da bir sonuç çıkmaz. Çoğu zaman sebebi şunlardan biridir:
- Kamera uygulamasına konum izni verilmemiş.
- Android 10 ve sonrasında bir uygulama fotoğrafı sistemin ortak medya deposundan okuyorsa, konum bilgisi varsayılan olarak gizlenir; uygulama ancak kullanıcının vereceği
ACCESS_MEDIA_LOCATIONizniyle özgün konuma ulaşır (Android Developers). Yani bir uygulama üzerinden yüklenen ya da dışa aktarılan kopya, telefondaki özgün dosyada bulunan konumu içermeyebilir. - Paylaşım sırasında konum çıkarılmış ya da dosya yeniden kodlanmış.
- Dosya bir ekran görüntüsü.
Uygulamada gösterilen konum ile dosyadaki konum da farklı olabilir. Google Fotoğraflar'ın yardım sayfası, uygulamada yapılan konum düzenlemelerinin indirilen dosyaya yansımadığını, indirilen kopyada cihazın kaydettiği özgün konumun görüneceğini belirtir.
WhatsApp ve diğer uygulamalar EXIF'i siler mi?
Gönderme biçimine göre değişir. En sistemli veri, 2025'te Perspectives in Legal and Forensic Sciences dergisinde yayımlanan hakemli bir çalışmadan geliyor: farklı Android telefonlar ve iPhone'larla çekilmiş fotoğraflar on bir farklı yoldan aktarılmış, sonra EXIF ve hash değerleri özgünleriyle karşılaştırılmış.
| Aktarım yolu | EXIF | Kaynak |
|---|---|---|
| USB kablosuyla kopyalama | Korundu, hash aynı kaldı | Soni, 2025 |
| E-posta eki | Korundu, hash aynı kaldı | Soni, 2025 |
| WhatsApp, Telegram, Signal: belge (dosya) olarak | Korundu, hash aynı kaldı | Soni, 2025 |
| WhatsApp, Telegram, Signal: sohbette fotoğraf olarak | Tarih, konum, cihaz, yazılım ve küçük resim silindi; hash değişti | Soni, 2025 |
| Instagram, Facebook Messenger, Snapchat | Aynı alanlar silindi; hash değişti | Soni, 2025 |
| X | EXIF işleme sırasında geçici olarak tutulur, fotoğrafı görüntüleyenlere açık değildir | X Yardım Merkezi |
| iPhone'dan Mail, Mesajlar, AirDrop ile paylaşım | Tarih, saat, konum ve cihaz bilgisi de paylaşılır. “En Uyumlu” biçim dosyayı JPEG'e dönüştürebilir; özgün dosyayı düzenleme geçmişiyle gönderen “Tüm Fotoğraf Verileri” yalnızca AirDrop'ta var | Apple iPhone Kılavuzu |
Bu tabloyu iki uyarıyla okumak gerekir. Birincisi, çalışma belirli uygulama sürümleriyle yapıldı; uygulamalar güncellendikçe davranış değişebilir. Önemli bir fotoğrafta tahmin yürütmek yerine, EXIF'i bilinen bir fotoğrafı aynı yoldan kendinize gönderip gelen kopyayı açmak daha güvenilir bir testtir. Bazı e-posta uygulamalarının eki küçültmeyi önerdiğini de hatırlatalım; küçültülmüş ek artık yeniden kodlanmış bir dosyadır.
İkincisi, “uygulama EXIF'i siler” cümlesi alıcıya giden kopya için doğrudur. Platformun kendi sunucusunda özgün dosyanın ya da ondan okunan bilgilerin tutulup tutulmadığı ayrı bir sorudur ve dosyadan cevaplanamaz; ancak platformdan resmî yolla istenen kayıtla netleşir. Mesajlaşma yazışmalarının delil olarak korunması için: WhatsApp yazışmaları ve delil.
EXIF değiştirilebilir mi?
Evet, hem de uzmanlık gerektirmeden. ExifTool'un etiket tablolarında bu alanların neredeyse tamamı “yazılabilir” olarak işaretlidir; tarih, cihaz adı ya da konum birkaç saniyede değiştirilebilir, silinebilir ya da başka bir fotoğraftan kopyalanabilir. Bunun için ayrı bir program da gerekmez: Apple'ın kılavuzuna göre iPhone'un Fotoğraflar uygulamasında bilgi ekranındaki Ayarla (Adjust) seçeneğiyle tarih, saat ve konum, tek fotoğrafta ya da toplu olarak değiştirilebilir ve istenirse özgün değerlere geri dönülebilir. Windows'ta Özellikler penceresinin Ayrıntılar sekmesi de alanları düzenlemeye ve temizlemeye izin verir.
Bunun iki sonucu var. Değiştirilmiş bir EXIF gördüğümüzde kötü niyet olduğunu söyleyemeyiz; kullanıcı yanlış ayarlı bir saati düzeltmiş olabilir. Tutarlı görünen bir EXIF de dosyanın özgün olduğunu kanıtlamaz. Bizce EXIF'i “dosya kendisi hakkında bunu söylüyor” diye okumak gerekir; söylenenin ne kadar inandırıcı olduğunu şu karşılaştırmalar belirler:
DateTimeOriginal,ModifyDateveSoftwarebirlikte: çekimden günler sonra bir masaüstü programının adı görünüyorsa dosya o programda kaydedilmiştir.- Yerel saat, ofset ve GPS saati üçgeni.
- Gömülü küçük resim ile ana görüntü. Bazı düzenleme akışları küçük resmi güncellemez.
- XMP'deki
xmp:CreatorToolvexmpMM:Historykayıtları. - Kodlama izi. JPEG başlığındaki sıkıştırma tabloları üreticiye ve yazılıma göre değişir;
Modelbir telefonu söylerken tablolar bir düzenleme programınınkine benziyorsa bu bir bulgudur. - Komşu dosyalar: aynı telefondaki
IMG_4821veIMG_4822gibi ardışık dosyaların saatleri sıralı olmalıdır. - Dosyanın dışı: bulut yükleme kaydı, fotoğrafın eklendiği mesajın ya da e-postanın zamanı. Bunlar dosyanın o andan önce var olduğunu gösterir.
EXIF'i hiç olmayan bir fotoğraf “silinmiş, demek ki bir şey saklanıyor” diye okunmamalıdır. Yukarıda sayılan paylaşım yollarının çoğu EXIF'i kendiliğinden kaldırır. Sorulması gereken, bu kopyanın hangi yoldan geldiği ve özgününe ulaşılıp ulaşılamayacağıdır.
Delil olabilecek bir fotoğrafta nelere dikkat edilmeli?
- Özgün dosyayı saklayın: çeken cihazdaki dosyayı ya da buluttan “orijinal” olarak indirilmiş kopyayı. Döndürmek, kırpmak ya da filtre uygulamak dosyayı yeniden yazar.
- Fotoğraf olarak iletmeyin. Göndermeniz gerekiyorsa belge (dosya) olarak gönderin ya da doğrudan kabloyla kopyalayın.
- Dosyanın SHA-256 değerini hash hesaplama aracıyla alın, size hangi yoldan ve ne zaman geldiğini de not edin.
- Aynı günün diğer fotoğraflarını atmayın. Tarih tartışılırsa karşılaştırma bunlarla yapılır.
- Ekran görüntüsüyle yetinmeyin, çünkü özgün fotoğrafın EXIF'ini taşımaz.
Tarih ya da konum bir uyuşmazlığın merkezindeyse EXIF okumak yetmez; dosyanın biçim yapısı, aynı cihazın diğer dosyaları ve dış kayıtlar birlikte değerlendirilir. Bu incelemeyi nasıl yaptığımızı görüntü, video ve doküman metadata incelemesi sayfasında anlattık; Word ve PDF belgelerindeki karşılıkları için PDF ve Word metadata yazısına bakabilirsiniz. Hazırlayacağımız teknik rapor hukuk davasında uzman görüşü, ceza dosyasında bilimsel mütalaa olarak sunulabilir; mahkemeyi bağlamaz, diğer delillerle birlikte değerlendirilir. Fotoğrafın hukuki değerlendirmesi avukata ve mahkemeye aittir.