Bağlam
TÜBİTAK BİLGEM'in AB uyumlu bir cüzdanı ve deneme ortamı olduğu ortaya çıktı. Bu bilgi tek bir kaynaktan geliyor ve resmî statüsü bilinmiyor. Ama yön açık: Türkiye'de devlet destekli bir cüzdan ve kişi kimliği (PID (Person Identification Data)Devletin en yüksek güvence seviyesinde verdiği temel kimlik verisi. Tamga bu rolü üstlenmez; Tamga'nın kimlik belgesi PID değildir.) yolu oluşuyor. Analiz özel belgelerde (2026-10-01).
İki yanlış anlamanın netleşmesi gerekiyordu:
- "EUDI WalleteIDAS 2.0'ın tanımladığı Avrupa Dijital Kimlik Cüzdanı; Tamga aynı biçim ve protokolleri kullanır." hukuki bir unvandır. Bir AB üye devletinin sunduğu ya da tanıdığı ve AB kurallarına göre sertifikalanan cüzdan demektir. AB dışındaki bir kuruluşun cüzdanı (Tamga Wallet da, TÜBİTAK cüzdanı da) bugün bu unvanı alamaz, AB Güven İşaretini de kullanamaz. Olabileceği şey AB uyumlu olmaktır: aynı standartları konuşmak ve bunu testle kanıtlamak.
- AB uyumu, yolların alternatifi değil, ortak zeminidir. "AB uyumlu cüzdan + hizmetler" ile "Tamga Network" arasında bir seçim yok. Ağ, AB standartlarının üstüne konan bir katmandır.
Değerlendirilen üç yol:
- Yol 1: yalnız AB uyumlu cüzdan ve hizmetler.
- Yol 2: önce AB benzeri ağır bir ağ ve kurum.
- Yol 3: katmanlı yapı.
Karar
Yol 3: üç katman, her biri tek başına ayakta durabilir.
- Taban: AB uyumu. Belge biçimleri (SD-JWT VC (Selective Disclosure JWT Verifiable Credential)Selective disclosure destekli JSON tabanlı belge biçimi; EUDI Wallet'ta ve Tamga'da çevrimiçi gösterme için kullanılır., ISO mdocISO/IEC 18013-5 mobil belge biçimi, CBOR ile kodlanır; yüz yüze gösterme ve mobil ehliyet için kullanılır.), protokoller (OpenID4VCI (OpenID for Verifiable Credential Issuance)Belge verenin belgeyi cüzdana teslim ettiği protokol./VP, HAIP (High Assurance Interoperability Profile)Yüksek güvenceli kullanım için OpenID4VC seçeneklerini sabitleyen profil; EUDI Wallet'ta da kullanılır.), güven modeli (LOTL (List of Trusted Lists)Ülke güven listelerinin adreslerini, imzacılarını ve tanınma durumlarını gösteren imzalı liste. → ülke listeleri, ETSI (European Telecommunications Standards Institute)Güven listeleri, imzalar ve güven hizmetleri için teknik standartları yazan Avrupa standart kuruluşu. biçimleri) ve kayıt modeli AB standartlarındadır. Ağ hiç büyümese bile bu katman tek başına değerlidir.
- Tamga Network: hafif bir federasyon (federation)Her ülkenin kendi güven listesini işlettiği ve listelerin listesinde birleştiği model; Tamga dış listeleri de gösterebilir..
- Ağ, cüzdanları seçmez, tanır. Yayınlanmış kurallara (ARF (Architecture and Reference Framework)Rolleri, mimariyi, güven modelini ve kuralları anlatan belge seti. Tamga ARF, AB ARF'sinin düzenini izler., rulebook'larBağlayıcı kurallar seti. Tamga Rulebook tüm katılımcıların kurallarını taşır; her belge türünün ondan dallanan kendi rulebook'u vardır.) uyan ve uyum testlerini geçen her cüzdan sağlayıcısı (wallet provider)Cüzdanı sunan ve cüzdan ile anahtar kanıtlarını imzalayan kuruluş. Tamga Wallet ağın ilk cüzdanıdır. listeye girebilir.
- Ağın asıl işi ülke listelerini toplamak ve birbirine tanıtmaktır. Bugün Türkiye listesini Tamga vekâleten işletir. Devlet ya da devletin yetkilendirdiği kurum kendi listesini yayınladığında, Tamga LOTL'u o listenin adresini ve imzacısını gösterir. Cüzdan ve doğrulayıcı (verifier)Gösterilen belgeyi denetleyen taraf: imza, belge verenin güven listesindeki kaydı, durum ve politika. Relying party diye de anılır. için yalnız adres değişir (ADR-0009 devir hedefi). Her Türk devleti için aynısı geçerlidir.
- Ağır bir kurum ilk günden kurulmaz. Bugün Tamga geçici işletmecidir. Bir ya da iki devlet katılmaya istekli olduğunda yönetişim kurumu (konsey ya da vakıf) kurulur, listeler devredilir ve zincir (ADR-0009: en az iki bağımsız işletmeci) gelir.
- Ürün ve hizmetler.
- Tamga Wallet: ağın ilk ve referans cüzdanıdır, ama ağa kilitli değildir; her AB uyumlu ortamda çalışır. Ulusal kimlik cüzdanı iddiası taşımaz. Artıları takma ad (pseudonym)Cüzdanın her web sitesi için ayrı türettiği kararlı hesap kimliği; iki site aynı kişiyi eşleştiremez., sıfır bilgi ispatı (ZK (Zero-Knowledge proof)Bir bilginin doğru olduğunu, bilginin kendisini göstermeden kanıtlayan ispat; örneğin doğum tarihi olmadan "18 yaşından büyük".), bilet ve Türk dünyası belgeleridir.
- Hizmetler (Kurum Konsolu, Tamga Verify, kurumların kendi kaydı, deneme ortamı, entegrasyon ve SDK desteği, danışmanlık, geçici kimlik servisi) standartlar üzerine sunulur. Kurum, belgesini kişinin seçtiği uyumlu cüzdana verir; doğrulama hangi uyumlu cüzdandan gelirse gelsin çalışır.
- Hizmetler ayrı bir yazılım değildir: çalışan servislerin kurumlara sunulan hâlidir. Ayrım marka, sözleşme ve sorumluluk düzeyindedir.
Değişmezler
| Kod | Kural |
|---|---|
| PO1 | Tamga belge, protokol ve güven listesi biçimleri AB standartlarından ayrılmaz; Tamga'ya özgü her ek, standart bir uzantı noktasıyla yapılır ve standart istemcileri bozmaz. |
| PO2 | Tamga Network bir cüzdanı adına göre değil, yayınlanmış kurallara ve uyum testlerine göre tanır; kurallara uyan cüzdan sağlayıcısı listeye girebilir. |
| PO3 | Tamga'nın vekâleten üstlendiği devlet rolleri (liste işletmecisi, kayıt birimi, kök CA, geçici kimlik sağlayıcı) devredilebilir tasarlanır; devirde belge, cüzdan ve doğrulayıcı tarafında yalnız adres ve imzacı değişir. |
| PO4 | Kamuya açık metinlerde Tamga Wallet "EUDI Wallet" ya da "ulusal cüzdan" olarak sunulmaz; doğru ifade "AB uyumlu cüzdan"dır ve uyum test sonuçlarıyla desteklenir. |
Gerekçe / alternatifler
| Seçenek | Sonuç | Neden |
|---|---|---|
| Yol 1: yalnız AB uyumlu cüzdan + hizmetler | ret (ana yön olarak) | En hızlı gelir, ama ayırt edici özellik az ve devlet cüzdanı gelince küçülür. Yol 3 bunu zaten içeriyor. |
| Yol 2: önce ağır ağ ve kurum | ret | Devletler gelmezse yıllarca gelirsiz kalır; erken kurum maliyeti yüksek. |
| Yol 3: katmanlı | kabul | Mimariyle birebir; hizmetler ve cüzdan hemen gelir getirir, ağ zamanla büyür, devlet cüzdanı ve listeleri gelince değer kaybolmaz, aksine federasyon değeri artar. |
Bilinen gerilim: AB rolleri bilinçli ayırır. Listeyi yöneten kurumun hizmet satması çıkar çatışması sayılır. Bugün tek ekip yeterlidir, ama ileride ağ yönetişimi (konsey ya da vakıf) ile hizmet şirketi ayrışmalıdır. Kamuya açık anlatımda bu ayrım şimdiden adlarla ve belgelerle gösterilir.
Sonuçlar
- Federasyon kapısı. Dış imzacılı ülke listeleri, ETSI biçimini okuma ve dış cüzdan sağlayıcılarını tanıma ayrı bir ADR ile açılır (ADR-0036).
- AB kimliği. AB kimlik (PID) ve ehliyet (mDL (mobile Driving Licence)Cüzdanda mdoc biçiminde (ISO/IEC 18013-5) tutulan sürücü belgesi.) türlerinin doğrulanması yapılır (ADR-0036).
- Cüzdan ve konsol. Cüzdana "paylaştığım kurumlar" ekranı eklenir; Kurum Konsolu'na doğrulayıcı kurumların kendi kaydı (tasarım şimdi, yapım mağazadan sonra) gelir.
- Kamuya açık anlatım. Site, whitepaper ve sunumlar üç katmana göre düzenlenir. ARF ve geliştirici belgeleri bu konumlanmaya göre sadeleştirilir.
Durum
Accepted — 2026-10-01 (proje yönetimi onayı; birebir alıntı özel onay kaydında). Üçüncü katman ("ürün ve hizmetler") ADR-0037 ile değişti: Tamga Network yalnızca ağdır, hizmet satmaz; ticari hizmetler ağın dışındadır. PO1–PO4 geçerlidir.