WhatsApp dosyaları genellikle birkaç ekran görüntüsüyle gelir ve ilk tartışma da orada başlar: “Bu mesajları ben yazmadım”, “Öncesi kesilmiş”, “Silinen mesajlar da vardı.” Bu soruların cevabı ekran görüntüsünde değil, verinin durduğu yerlerdedir. Ekran görüntüsünün genel zayıflıklarını ekran görüntüsü delil olur mu yazısında, telefon incelemesinin teknik ayrıntısını mobil cihaz incelemesi sayfasında anlattık; burada WhatsApp'a özgü olanlar var.
WhatsApp mesajları nerede saklanır?
Mesajlar konuşmaya katılan her telefonda, uygulamanın yerel SQLite veri tabanında durur; ayrıca varsa yedeklerde ve bağlı cihazlarda kopyası bulunur. WhatsApp'ın sunucusu ise teslim edilmiş mesajın kaydını tutmaz.
| Konum | Ne bulunur | Bilinmesi gereken |
|---|---|---|
| Android telefon | /data/data/com.whatsapp/databases/msgstore.db (mesajlar), wa.db (kişiler) | Uygulamanın korumalı alanındadır, dosya yöneticisiyle görülmez. Uygulama kaldırılınca bu klasör de silinir |
| iPhone | App Group kapsayıcısındaki ChatStorage.sqlite; mesajlar ZWAMESSAGE, ekler ZWAMEDIAITEM tablosunda | Klasör adı rastgele bir UUID'dir; hangi uygulamaya ait olduğu kapsayıcıdaki meta veriden çıkarılır |
| Android yerel yedeği | msgstore.db.crypt* biçiminde şifreli dosyalar | Klasör yolu ve şifreleme sürümü uygulama sürümüne göre değişir |
| Bulut yedeği (Google Drive, iCloud) | Sohbet geçmişi ve medya | Uçtan uca şifreli yedek açıksa, kullanıcının parolası ya da 64 haneli anahtarı olmadan ne WhatsApp ne bulut sağlayıcısı yedeği okuyabilir |
| Bağlı cihazlar (masaüstü, WhatsApp Web) | Eşitlenmiş sohbetler | Silme işlemleri çevrim içi bağlı cihazlara da eşitlenir; açık unutulmuş bir oturum, “ben göndermedim” savunmasında ayrıca incelenir |
| WhatsApp sunucusu | Teslim edilmiş mesaj yok; teslim edilemeyen mesajlar 30 gün sonra silinir | Hesaba ilişkin bazı bilgiler vardır (aşağıda) |
Pratik sonuç: bir yazışmanın en az iki bağımsız kopyası vardır, gönderende ve alıcıda. Biri silinmişse diğeri hâlâ duruyor olabilir; ikisi de duruyorsa karşılaştırılabilir.
Uçtan uca şifreleme: mesajlar WhatsApp'tan istenebilir mi?
Mesaj içeriği için çoğu zaman hayır. WhatsApp'ın kolluk birimlerine yönelik yönergesi şunları söylüyor:
- Uçtan uca şifreleme her zaman açıktır; mesajlar WhatsApp'ın ve üçüncü kişilerin okuyamayacağı biçimde şifrelenir.
- Hizmetin olağan işleyişinde teslim edilmiş mesajlar ve bunlara ait işlem kayıtları saklanmaz; teslim edilemeyen mesajlar 30 gün sonra sunuculardan silinir.
- ABD hukukuna göre celple istenebilecek temel abone kayıtları, varsa ad, hizmet başlangıç tarihi, son görülme tarihi, IP adresi ve e-posta adresini kapsayabilir. Profil fotoğrafı, “hakkında” bilgisi, grup bilgileri ve rehber gibi saklanan içerik için arama kararı gerekir.
- Yurt dışından gelen taleplerde hesap içeriğinin açıklanması için adli yardım talebi ya da istinabe gerekebilir. Resmî bir ceza soruşturması varsa hesap kayıtları resmî süreç beklenirken 90 gün korunabilir. Kolluk dışından gelen taleplere yanıt verilmez.
Kullanıcı kendi hesabı için Ayarlar > Hesap > Hesap bilgilerini iste yolunu kullanabilir; rapor yaklaşık üç gün sonra hazır olur ve mesajları içermez. Resmî yoldan bir IP adresi gelse bile bu en fazla internet aboneliğine götürür, kişiye değil; nedenini IP adresi delil mi yazısında anlattık.
Sohbeti dışa aktarma nasıl yapılır, neyi eksik bırakır?
Dışa aktarma, bir sohbetin metnini ve isteğe bağlı olarak medyasını dosya hâline getirip paylaşma menüsüyle gönderen WhatsApp özelliğidir. Menü adları sürüme göre değişebilir:
- Android: sohbeti açın, Diğer seçenekler (⋮) > Diğer > Sohbeti dışa aktar; ardından medyasız ya da medyalı seçeneği.
- iPhone: sohbette kişi ya da grup adına dokunun > Sohbeti dışa aktar; medya varsa ekleyip eklemeyeceğinizi seçin. Çıktı bir ZIP dosyasıdır.
Dosyada olmayanlar:
- Bütünlük. Çıktı bir metin dosyasıdır. Herhangi bir düzenleyiciyle değiştirilebilir, içinde imza ya da doğrulama değeri yoktur. WhatsApp'ın kendi ifadesiyle yedek değildir, uygulamaya geri yüklenemez.
- Silinmiş mesajlar. “Herkesten silinen” mesajın yerinde en fazla bir “Bu mesaj silindi” satırı kalır.
- Tek seferlik görüntülenen mesajlar. Dışa aktarılmaz; WhatsApp bunu iPhone yardım sayfasında açıkça yazıyor.
- Eski medya. Medyalı seçenekte sohbetin en son medyası eklenir; eski fotoğraf ve sesli mesajlar dosyada olmayabilir. Uzun sohbetlerde dosyanın ilk satırını sohbetin gerçek başlangıcıyla karşılaştırın.
- Karşı tarafın numarası. Adlar dışa aktaranın rehberinden gelir. Rehberde kayıtlı kişi adıyla, kayıtsız kişi numarasıyla görünür.
- Ham zaman. Tarih ve saat, telefonun bölge ve saat ayarına göre biçimlenmiş metindir; saat dilimi yazmaz ve veri tabanındaki zaman damgasının hassasiyetini taşımaz.
- Teslim ve okunma bilgisi, düzenlenen mesajların önceki hâli.
Bu eksiklere rağmen dışa aktarma işe yarar. Sohbeti tarih sırasıyla ve kırpılmadan gösterir, ekran görüntüleri arasındaki boşlukları kapatır ve iki tarafın dışa aktarımları karşılaştırıldığında hangi mesajın bir tarafta eksik olduğu görülebilir. Dışa aktarımı korumak için:
- Dosyayı kendinize e-postayla gönderin. Alıcı sunucunun eklediği
Receivedsatırı, dosyanın en geç o anda var olduğuna dair bağımsız bir izdir; içeriğin doğruluğunu ise kanıtlamaz. - ZIP ya da TXT dosyasının SHA-256 değerini hemen alın; hash hesaplama aracı dosyayı yüklemeden tarayıcıda hesaplar.
- Dosyayı açıp düzeltmeyin, yazım hatası da olsa. Okuma ve not alma işini bir kopyada yapın.
- Telefondaki sohbeti silmeyin. Dışa aktarım cihaz incelemesinin yerini tutmaz.
Ekran görüntüsü, dışa aktarma ve cihaz incelemesi arasındaki fark
Üçü aynı yazışmanın üç farklı kaydıdır ve gösterebildikleri de farklıdır.
| Ekran görüntüsü | Dışa aktarma | Cihaz incelemesi | |
|---|---|---|---|
| Ne kaydeder | Ekranın resmini | Sohbetin metnini, isteğe bağlı son medyayı | Veri tabanı satırlarını, zaman alanlarını, ekleri, ilgili sistem kayıtlarını |
| Karşı tarafın numarası | Ayrıca alınmazsa yok | Rehberde kayıtlıysa yalnızca ad | Hesap ve numara alanlarıyla |
| Zaman | Ekranın gösterdiği kadar | Biçimlenmiş metin, saat dilimsiz | Ham zaman damgası, birimi doğrulanarak |
| Silinmiş mesaj | Yok | Yok | Cihaza bağlı olarak iz aranabilir |
| Değiştirilebilirlik | Kolay | Kolay (düz metin) | Hash değeri alınmış edinim kopyası üzerinden denetlenebilir |
| Kim yapabilir | Herkes | Hesap sahibi | Uzman; karşı tarafın cihazı yalnızca resmî yoldan |
Uygulamada üçünü birlikte öneririz: dışa aktarımı hemen alıp hash'ini kaydetmek, numaranın göründüğü kişi bilgisi ekranını saklamak ve telefonu inceleme için olduğu gibi bırakmak. Yargıtay'ın ceza dosyalarında, ifade tutanağına yalnızca özet olarak geçirilmiş WhatsApp yazışmalarının tarih ve saatleriyle, ayrıntılı diyaloglar ve ekran görüntüleriyle, denetime elverişli biçimde tutanağa bağlanmasını aradığı kararları vardır. Özet ya da seçilmiş parçalar, tartışmaya açık kalır.
Ceza dosyasında telefon incelemesi çoğu zaman CMK m.134 kapsamında alınan yedek üzerinden yapılır ve bu yedeğin bir kopyası şüpheliye ya da vekiline verilir (m.134/4). Bizim incelediğimiz materyal çoğu kez bu kopya ile ona eşlik eden çıkarım raporudur. CMK m.134, Anayasa Mahkemesinin 12.02.2026 tarihli, E.2023/128, K.2026/36 sayılı kararıyla iptal edilmiştir (RG 25.05.2026); iptal 25.02.2027'de yürürlüğe girecektir ve yerine gelecek düzenleme takip edilmelidir.
Silinen WhatsApp mesajları geri getirilebilir mi?
Bazen; ama önceden söz verilemez. Sonuç silme yöntemine, cihaza, işletim sistemi ve uygulama sürümüne ve geçen süreye bağlıdır. WhatsApp'ın kendisi silinen mesajları geri getiremediğini, mesajın ancak bir yedeğe girmişse geri alınabileceğini belirtiyor.
| İşlem | Ne olur | Nereye bakılır |
|---|---|---|
| Benden sil | Mesaj yalnızca silen kişinin telefonundan kalkar; beş saniye içinde geri alınabilir | Karşı tarafın telefonu, silen cihazın veri tabanı izleri, yedekler |
| Herkesten sil | Gönderimden sonraki iki gün içinde istenebilir. Mesajın yerinde “Bu mesaj silindi” yazar; silme başarısız olursa gönderene bildirim gelmez | Alıcının bildirimleri; iPhone'da fotoğraflara kaydedilmiş medya; yedekler; veri tabanı izleri |
| Düzenleme | Gönderimden sonraki 15 dakika içinde metin değiştirilebilir | Önceki metnin izi için veri tabanı ve bildirimler; bulunacağı kesin değildir |
| Kaybolan mesajlar | 24 saat, 7 gün ya da 90 gün sonra mesaj sohbetten kalkar | Süre dolmadan alınmış yedek ya da dışa aktarım; alıntılanmış, iletilmiş ya da saklanmış kopyalar |
| Sohbeti ya da uygulamayı silmek | Toplu kayıp; Android'de uygulama kaldırılınca uygulamanın veri klasörü de silinir | Yedekler, karşı tarafın telefonu |
Telefon tarafında belirleyici olan SQLite'ın çalışma biçimidir. WAL kipinde çalışan bir SQLite veri tabanı değişiklikleri önce ana dosyanın yanındaki -wal dosyasına yazar; son bağlantı kapanırken bu kayıtlar ana dosyaya aktarılır ve -wal dosyası silinir. Silinen satırların içeriği bir süre veri tabanının boş sayfalarında da kalabilir. Bir adli yazılım üreticisinin testinde Android'de silinen mesajların çoğu WAL'den kurtarılmış, test edilen iOS örneğinde ise silinmiş kayıt izi bulunamamıştır. Android'de kullanıcı bildirim geçmişini açtıysa kısa bir süre için bildirim metinleri de kaynak olabilir; bu özellik varsayılan olarak kapalıdır.
Uygulamayı silip yeniden kurmayın, yedekten geri yüklemeyin, telefonu güncellemeyin. Geri yükleme mevcut sohbet geçmişinin yerini alır; uygulamayı kullanmaya devam etmek de silinmiş kayıtların izini zamanla yok eder. Önce telefonun ve varsa yedeğin kopyasını aldırın.
Aradığımız mesajı bulamazsak raporda “bu incelemede bulunamadı” yazarız; “hiç gönderilmedi” değil.
Karşı taraf “bu yazışmalar benim değil” derse ne incelenir?
Önce numaranın, sonra mesajların o numaradan gelip gelmediğinin gösterilmesi gerekir. Yargıtay 2. Hukuk Dairesi, davalının kendisine ait olmadığını savunduğu WhatsApp ekran görüntüleriyle kurulan bir boşanma hükmünü bozarken, yazışmaların davalının “eli ürünü” olduğunun ve hukuka uygun ele geçirildiğinin ispatlanması gerektiğini, bu ispatlanamadığından ekran görüntülerinin hükme esas alınamayacağını belirtmiştir (E.2023/3675, K.2024/9976, T.16.12.2024).
Teknik olarak bu ispata katkı sunabilecek kayıtlar:
- Numara. Rehberdeki ad değil, kişi bilgisi ekranındaki ve veri tabanındaki numara. Hattın abonesi resmî yoldan öğrenilebilir; abone ile telefonu kullanan kişinin aynı olması gerekmez.
- İki uç. Gönderenin ve alıcının telefonundaki kayıtlar birbiriyle karşılaştırılır: aynı mesaj her iki veri tabanında ilgili zaman alanlarıyla birlikte bulunuyor mu?
- Bağlam. Yazışmanın içindeki fotoğraf, konum, sesli mesaj ve belgelerin, taraflardan birinin cihazındaki başka kayıtlarla örtüşüp örtüşmediği.
- Oturumlar. Hesaba bağlı cihazlar. Açık bırakılmış bir masaüstü oturumundan gönderilen mesaj, telefonun sahibi tarafından yazılmamış olabilir.
Bulgu dili buna göre kurulur: “mesajlar, bu numaraya ait hesaptan gönderilmiş olmakla tutarlıdır” ya da “bu materyalle belirlenemez”. Kimin yazdığı sorusu, cihaz ve kullanım kayıtları birlikte değerlendirilmeden cevaplanmaz.
Hukuki değerlendirme kime aittir?
Yazışmanın delil olarak ne ölçüde kullanılacağına mahkeme karar verir; stratejiyi avukatınız belirler. Teknik incelemede dikkate aldığımız çerçeve kısaca şudur: HMK m.199 elektronik ortamdaki verileri belge sayar; hukuka aykırı elde edilen deliller hukuk yargılamasında dikkate alınamaz (HMK m.189/2), ceza yargılamasında reddolunur (CMK m.206/2-a; Anayasa m.38). Bir yazışmanın hangi durumda hukuka aykırı elde edilmiş sayılacağı hukuki bir değerlendirmedir ve bizim işimiz değildir. Başkasının telefonuna ya da hesabına erişim yöntemi sunmayız; yalnızca hukuka uygun elde edilmiş cihaz, yedek ve dışa aktarımlarla çalışırız.
İnceleme sonucu hukuk yargılamasında uzman görüşü (HMK m.293), ceza yargılamasında bilimsel mütalaa (CMK m.67/6) olarak dosyaya sunulabilir. Uzman görüşü mahkemeyi bağlamaz; Yargıtay'a göre tarafın belgeye dayalı beyanı niteliğindedir (9. HD, E.2022/2237, K.2022/3385). Hangisinin ne zaman işe yaradığını uzman görüşü ile bilirkişi raporu farkı yazısında anlatıyoruz.