Instagram Takipçi Takip Uygulamaları Güvenli mi? Bir Tanesini Yüklemeden Önce Neleri Kontrol Etmelisin

Herhangi bir uygulama mağazasında "unfollowers" araması yap; birbirinin neredeyse aynısı ekran görüntüleri, dört yıldız ortalamaları ve tek bir ortak noktası olan yüzlerce sonuç çıkar: ilk ekran senden Instagram kullanıcı adını ve şifreni istiyor. Yorumlar ikiye bölünmüş — bir yanda aracı faydalı bulanlar, diğer yanda bir hafta sonra hesabı kilitlenenler — ve hangi gruba katılmak üzere olduğunu anlamanın bariz bir yolu görünmüyor.

Aslında var. Bu kategorideki risk neredeyse tamamen mimari bir mesele: geliştiricilerin iyi insanlar olup olmamasından değil, aracın nerede çalıştığından ve çalışabilmek için senden neye ihtiyaç duyduğundan doğuyor. Bu yazı, bu araçların kaputun altında nasıl çalıştığını, her tasarımın hesabına neler yapıp neler yapamayacağını ve herhangi birini yüklemeden önce ona uygulayabileceğin kısa bir denetimi anlatıyor.

Bu araçlardan birini biz de geliştiriyoruz, o yüzden son bölümü bunu aklında tutarak oku. Ortadaki denetim, bize de uygulanacak şekilde yazıldı; aynı altı soruyu bize de sorabilirsin.

Salt okunur bir Instagram girişi diye bir şey yok

Diğer her şeyin dayandığı gerçek bu — ve çoğu kişinin bilmediği de tam olarak bu.

Instagram'ın üçüncü taraflar için tüketiciye dönük bir izin sistemi yok. "Bu uygulamanın takipçi listemi okumasına izin ver" diye bir tuş, kapsamı sınırlanmış bir token, kişisel hesaplara erişimin bir alt kümesini veren bir OAuth akışı yok. Resmi Graph API var, ama işletme ve içerik üreticisi hesaplarına bir Facebook uygulama incelemesi sürecinin ardından hizmet ediyor, liste yerine toplu metrikler döndürüyor ve seni kimin takipten çıktığını hiçbir zaman açığa çıkarmadı.

Yani bir uygulama takipçi listeni istediğinde tam olarak iki seçeneği oluyor: kendi sunucularında senin bilgilerinle senin yerine giriş yapmak ya da zaten giriş yapmış olduğun bir tarayıcı oturumu üzerinden listeyi okumak. Piyasadaki her şey, pazarlama sayfası ne kadar farklı görünürse görünsün, bu ikisinden biri. Bu tercih tüm risk profilini belirliyor ve genellikle daha ilk ekrandan görülebiliyor.

Sunucu tarafı bir giriş aslında neyi teslim eder

Instagram şifreni bir uygulamanın kendi arayüzüne yazdığında, takipçilerine okuma erişimi vermiş olmuyorsun. Her şeyi vermiş oluyorsun — çünkü Instagram bundan daha dar bir şeyi ifade edemiyor.

Tam hesap kontrolü. Çalışan bir oturumla o sunucu DM'lerini okuyabilir ve gönderebilir, paylaşım yapabilir, gönderi silebilir, takip edebilir, takipten çıkabilir, beğenebilir, yorum yapabilir ve bağlı e-posta adresini ve şifreni değiştirebilir. Mutlaka yapacağı için değil — tasarımda bunu engelleyen hiçbir şey olmadığı için. Sonsuza kadar niyete güveniyorsun ve ayrı olarak hiç vermediğin bir yetkiyi geri alma imkanın yok. Seni koruyan şey teknik bir sınır değil, yalnızca bir söz.

Instagram'ın yakalamak için kurulduğu bir giriş örüntüsü. Normalde tek bir ev ağındaki tek bir telefondan bağlanan hesabın, birden başka bir ülkedeki veri merkezi IP'sinden kimlik doğruluyor. Bu, ele geçirilmiş bir hesabın tam imzası ve Instagram'ın anti-abuse sistemleri de buna göre davranıyor. Hafif sonuç bir güvenlik doğrulaması ve zorunlu şifre sıfırlaması. Yaygın olanı geçici bir eylem engeli. Kötü olanı, tekrarlarda, hesabı tamamen kaybetmek — ve dikkat et, üçü de uygulamanın değil, senin başına geliyor. Uygulama bir sonraki kullanıcıya geçer; kilitlenen hesabın sahibi sensin.

İki faktörlü doğrulama bu kapıyı kapatmıyor. Kalıcı bir oturuma ihtiyaç duyan uygulamalar, kurulum sırasında 2FA doğrulamasını tamamlamanı ister ve sonra ortaya çıkan oturumu ellerinde tutar. İkinci faktör giriş anını korudu; oturumun sonrasında ne yapabileceğini hiçbir şekilde kısıtlamıyor.

Senin adına sessiz aktivite. Bu nişte tekrar eden bir örüntü var: ücretsiz katman "sadece izler", ücretli altyapı ise aynı oturumları sessizce başka müşteriler için takip ve yorum spam'i çalıştırmakta kullanır. Bedelini hesabının itibarı öder ve sen o eylemleri hiç görmezsin.

Er ya da geç sızacak bir kimlik bilgisi veritabanı. Instagram şifren herkesinkinin yanında oturuyor; bir veri ihlalini ya da uygulama el değiştirdiğinde yapılacak sessiz bir satışı bekliyor. O şifreyi başka bir yerde tekrar kullandıysan — ki çoğu insan kullanıyor — patlama yarıçapı Instagram'ın epey ötesine geçiyor.

Bunların hiçbiri geliştiricinin kötü niyetli olmasını gerektirmiyor. Sadece bir kez dikkatsiz olmalarını ya da daha az vicdanlı birine satılmalarını gerektiriyor — ki bu kategoride bu sürekli yaşanıyor. Bu uygulamaların nesilleri Meta tarafından toptan yasaklandı ve haftalar içinde yeni isimler altında yeniden ortaya çıktı.

Diğer yaklaşım: zaten sahip olduğun oturumu okumak

Bir tarayıcı uzantısı bu düzeni tersine çeviriyor. Girişin, her zaman olduğu gibi instagram.com'da gerçekleşiyor. Uzantı senin kendi tarayıcının içinde çalışıyor ve takipçi listesini zaten orada duran oturum üzerinden okuyor — Instagram'ın sana zaten gösterdiği aynı veriler, aynı tarayıcı tarafından, aynı IP'den istenmiş halde.

Teslim edilecek bir şifre yok, yabancı bir giriş yok ve senin yerine hareket edebilecek bir sunucu yok. Instagram seni görüyor: kendi cihazında, kendi takipçilerine bakarken — çünkü kelimenin tam anlamıyla olan şey bu.

Bu, özellikle bu problem için gerçekten daha iyi bir mimari; ama temiz bir sağlık raporu değil. Uzantıların kendine ait riskleri var ve bu yazının dürüst versiyonu onları da söylemek zorunda:

• Uzantı izinleri geniştir. Bir siteye erişimi olan bir uzantı, o sitede açtığın her sayfayı okuyabilir ve değiştirebilir. Kapsam bir hesap ele geçirmesinden dar, ama çoğu kişinin varsaydığından geniştir.
• Uzantılar satılır. Popüler ve zararsız bir uzantı el değiştirir, yeni sahibi de affiliate linkleri enjekte eden ya da gezinme verisini dışarı sızdıran bir güncelleme yayınlar. Bu iyi belgelenmiş bir örüntü ve otomatik güncelleme, işin sessizce olup bitmesi anlamına geliyor.
• Tarayıcı, hesabın için bir sandbox değildir. Bir uzantı instagram.com üzerinde iş görebiliyorsa, orada eylem de gerçekleştirebilir. Seni koruyan şey, bu eylemlerin kendi tarayıcında görünür olması ve kendi elinle de çarpacağın aynı hız limitleriyle sınırlı olması — imkansız olmaları değil.
• Okumak güvenlidir; eylem yapmak ayrı bir sorudur. Kendi takipçi listeni parse etmek sıfıra yakın risk taşır. Yüzlerce takibi ya da takipten çıkmayı otomatikleştirmek taşımaz — bunu hangi araç yaparsa yapsın, hiçbir mimari bunu değiştirmez. Sayılar Instagram takip limitleri yazısında.

Dürüst özet: sunucu tarafı girişler hesabını bir başkasının eline veriyor; uzantılar tarayıcına bir parça kod koyuyor. İkincisi daha küçük ve çok daha denetlenebilir bir yüzey — ama yine de bir yüzey. Doğru soru "risk var mı" değil, "riski görebiliyor ve sınırlayabiliyor musun".

Bu kategorideki her araç için beş dakikalık bir denetim

Bizimki dahil, herhangi bir şey yüklemeden önce şunu uygula. Altı sorunun tamamı birkaç dakika sürüyor ve hiçbiri için teknik bilgi gerekmiyor.

1. Senden Instagram şifreni istiyor mu? Giriş ekranı instagram.com dışında herhangi bir yerdeyse orada dur. Üçüncü bir tarafın senin giriş bilgilerini elinde tutması için meşru bir sebep yok ve bu takasa değecek bir özellik de yok. Bu tek soru, kategorinin büyük çoğunluğunu eliyor.

2. İş nerede yapılıyor? "Telefonun kapalıyken bile takipçilerini izle" cümlesi, bir sunucunun senin yerine giriş yaptığı anlamına gelir. Bu bir bonus özellik değil, bir itiraf. Yalnızca sen bilgisayarının başındayken çalışan bir araç ise sana işin senin tarayıcında yapıldığını söylüyordur.

3. Açıklamayı değil, izinleri oku. Chrome Web Store'da yüklemeden önce izinler bölümünü genişlet. Bir Instagram aracı instagram.com'a erişim istemeli. Tüm sitelere erişim istiyorsa, nedenini sor. Mobilde, rehberine ya da SMS'lerine erişim isteyen bir takipten çıkanlar uygulaması, ihtiyacı olan hiçbir şeyi istemiyordur.

4. Geliştiriciyi ve yaşı kontrol et. Çalışan bir web sitesi, gerçek bir gizlilik politikası ve bir destek adresi olan, adı belli bir şirket; Gmail iletişimli ve sitesiz bir listelemeden bambaşka bir tekliftir. Yorum tarihlerine de bak: hepsi aynı hafta yazılmış bir beş yıldız duvarı, satın alınmış bir duvardır.

5. Özellikle tek yıldızlı yorumları oku. "Bunu kullandıktan sonra hesabıma eylem engeli geldi" cümlesinin yaşadığı yer orasıdır. En yeniye göre sırala — bir yıl boyunca sorunsuz olup sahiplik değişikliğinden sonra bozulan bir uygulama, ortalamada değil, yorum tonundaki keskin bir değişimde görünür.

6. Veriye ne olduğunu sor. Takipçi listen nerede saklanıyor, ne kadar süreyle ve silebiliyor musun? Bu üç soruyu somut biçimde yanıtlayan bir politika, cevaplar ne olursa olsun iyi bir işarettir. Hiçbir yerde bulunamayan bir politika ise kendi başına bir cevaptır.

Gramlens bu tabloda nerede duruyor — iddia edemeyeceğimiz kısımlar dahil

Biz ikinci kategorideyiz ve bunun somut versiyonu şöyle:

Şifre yok, isteme imkanı da yok. Gramlens bir Chrome uzantısı. Takipçi ve takip listelerini, tarayıcında zaten açık olan instagram.com oturumu üzerinden okuyor. Üründe bir şifre alanı yok ve bizim hiçbir sunucumuz senin yerine Instagram'a kimlik doğrulaması yapmıyor. Bir Gramlens hesabı açıyorsun — o hesap aboneliğin ve kaydettiğin snapshot'ların senkronizasyonu için var; bir Instagram girişi değil.

Site erişimi instagram.com ile sınırlı. Uzantının istediği şey bu ve istediği tek şey bu. Yüklemeden önce Chrome Web Store listelemesinde bunu doğrulayabilirsin — yukarıdaki üçüncü adımın bütün amacı zaten bu.

Parse ettiğin listeler saklanıyor ve onları silebiliyorsun. Snapshot'lar Gramlens hesabına senkronize olur, böylece geçmiş bir tarayıcı yeniden kurulumundan sağ çıkar; saklama süresi planına bağlı. Silme işlemi uygulamanın içinde ve istediğin an yapabilirsin.

Sen yokken hiçbir şey çalışmaz. Parse işlemleri ve eylem kuyrukları, açık bir Instagram sekmesinin content script'inde yaşıyor. Sekmeyi kapat, her şey durur. Bu gerçek bir kısıtlama — gece boyu izleme yok, telefon uygulaması yok — ve senin yerine hareket eden bir sunucunun olmamasıyla tamamen aynı özelliğin sonucu.

İddia edemeyeceğimiz şey. Otomatik aktivite — takipler, takipten çıkmalar, yorumlar, takipçi kaldırmaları — bunu hangi araç gerçekleştirirse gerçekleştirsin Instagram'ın Kullanım Koşulları'na aykırı; tempo ayarı ise kuralları değiştirmeden yalnızca engel yeme olasılığını düşürüyor. Kendi limitlerimiz varsayılan olarak muhafazakâr (20 saniyelik bir tabanla rastgeleleştirilmiş aralıklar, zorunlu molalar, Instagram bir challenge döndürdüğü ilk anda hard-stop — hepsi Actions rehberinde belgeli), ama "muhafazakâr", "güvenli" demek değil ve herhangi bir araç için sana bunun tersini söyleyen herkes bir şey satıyordur.

İzleyicilerin kendisi — seni kimin takipten çıktığı, kimin seni geri takip etmediği — hiçbir otomasyon içermiyor. Zaten görebildiğin listeleri okuyorlar. Bu, ürünün esasen hiçbir hesap riski taşımayan kısmı ve aylık kota dahilinde ücretsiz; takipten çıkanlar izleyicisi sayfası her görünümün neye ihtiyaç duyduğunu anlatıyor.

Bir uygulamaya şifreni zaten verdiysen

Bugün, bu sırayla yapmaya değer:

1. Instagram şifreni değiştir. Bu, uygulamanınki dahil mevcut tüm oturumları geçersiz kılar.
2. Aktif oturumları kontrol et. Ayarlar → Hesap Merkezi → Şifre ve güvenlik → Nerelerde oturum açtın. Tanımadığın her şeyden çıkış yap.
3. İki faktörlü doğrulamayı aç (henüz açık değilse), böylece bir dahaki sefere sızmış bir şifre tek başına yeterli olmasın.
4. Yetkilendirilmiş uygulamaları gözden geçir. Ayarlar → Web sitesi izinleri → Uygulamalar ve web siteleri; kullanmadıklarını kaldır.
5. O şifreyi tekrar kullandığın her yerde değiştir. Gerçek maruziyetin genellikle en büyük kısmı budur ve insanların atladığı kısım da tam olarak burasıdır.
6. Uygulamanın hesabı varsa sil ve verini silmelerini iste. AB ve Birleşik Krallık'ta buna yasal hakkın var; başka yerlerde nazik bir ricanın var.

Sık sorulan sorular

Instagram takipçi takip uygulamaları şifre çalar mı?

Bazıları doğrudan çalıyor; daha yaygın sorun ise tasarımın kendisinin şifreni ellerinde tutmalarını zorunlu kılması — yani tek bir veri ihlali, tek bir kötü işe alım ya da tek bir sahiplik değişikliği, çalışan bir ürünü bir kimlik bilgisi sızıntısına çeviriyor. Kategorinin riski öncelikle kötü niyet değil: sunucu tarafı girişler, hırsızlığı tek bir hata mesafesine getiriyor.

Bir takipçi takip aracı hesabımı yasaklatır mı?

Engelletebilir, ki bu yasaklanmaktan çok daha yaygın. Bir veri merkezinden yapılan girişler güvenlik doğrulamalarını tetikler; bir sunucudan çalıştırılan otomatik eylemler eylem engellerini tetikler. Tekrarlanan ihlaller tırmanır ve tırmanmanın faturası uygulamaya değil, senin hesabına çıkar. Kendi listelerini kendi tarayıcından pasif biçimde okumak ise bunu tetikleyen şey değildir; Instagram açısından bu, senin sayfayı kaydırmandan farksız.

Instagram için bir Chrome uzantısı kullanmak güvenli mi?

Giriş bilgilerini teslim etmekten güvenli, ama risksiz değil. Site erişimi olan bir uzantı o sitedeki sayfaları okuyabilir ve değiştirebilir; ayrıca uzantılar el değiştirebilir ve bir güncellemeden sonra farklı davranabilir. Hangi site erişimini istediğine, kimin yayınladığına ve son yorumların tonunun değişip değişmediğine bak — her şeyde olduğu gibi aynı denetim.

İki faktörlü doğrulama beni bu uygulamalardan korur mu?

Onlar için doğrulamayı bir kez tamamladıktan sonra hayır. 2FA giriş olayını korur; kalıcı erişime ihtiyaç duyan uygulamalar kurulum sırasında bunu geçmeni ister ve sonra ortaya çıkan oturumu ellerinde tutar. Yine de sahip olmaya değer — sızmış bir şifrenin tek başına yetmesini engeller — ama bilerek içeri aldığın bir uygulamaya karşı bir savunma değildir.

Bir araç şifrem olmadan takipçilerimi nasıl görebiliyor?

Zaten giriş yapmış olduğun bir tarayıcının içinde çalışarak. Oturum çerezi zaten orada, veri zaten sana render ediliyor ve uzantı, senin kendi sayfa yüklemenin ürettiği aynı yanıtları okuyor. Uzantıların yalnızca sen bilgisayarının başındayken ve bir sekme açıkken çalışmasının sebebi de bu — kısıtlama ile güvenlik özelliği burada aynı şeyin iki yüzü.

Şifre yerine sadece bir "oturum token'ı" isteyen uygulamalar ne olacak?

Bir açıdan daha iyi — şifreni değiştirerek onu geçersiz kılabilirsin — ve diğer çoğu açıdan birebir aynı. Bir oturum token'ı hâlâ tam hesap kontrolü veriyor ve hâlâ bir yerlerdeki bir sunucunun, tanıdık olmayan bir IP'den senin yerine hareket ettiği anlamına geliyor. Sana bir çerez yapıştırmanı söyleyen bulut otomasyon platformları da, yalnızca giriş ekranı farklı olan aynı mimari.

---

Buradaki hiçbir şey hukuki ya da güvenlik tavsiyesi değildir ve bu kategorideki hiçbir araç Instagram tarafında bir sonucu garanti edemez. Otomatik eylemler, bunları hangi araç gerçekleştirirse gerçekleştirsin Instagram'ın Kullanım Koşulları'na aykırıdır. Gramlens, Instagram ya da Meta ile bağlantılı değildir.

TL;DR. Instagram'ın üçüncü taraflar için salt okunur bir izni yok, yani her takipçi takip aracı ya kendi sunucularında senin yerine giriş yapıyor ya da zaten açık olan bir oturumu okuyor. İlk tasarım tam hesap kontrolü veriyor, Instagram'ın ele geçirilme tespitini tetikliyor ve şifreni er ya da geç sızacak bir veritabanına koyuyor. İkincisi daha dar bir yüzey, ama yine de denetlenmeye değer. Herhangi bir şey yüklemeden önce: senden Instagram şifreni instagram.com dışında bir yerde istiyorsa, değerlendirme orada biter.