On-Prem Exchange'in Sonu: Subscription Edition mı, Buluta Göç mü?

Şirket içinde Exchange barındıran işletmeler için takvim doldu: Exchange Server 2016 ve 2019, Ekim 2025 itibarıyla güvenlik güncellemesi almıyor. Bu, Windows 10'un destek bitişiyle aynı gün yaşandı ama iki durum aynı ağırlıkta değil. Ofisteki bir bilgisayar güvenlik duvarının arkasında durur; posta sunucusu ise tanımı gereği internete açıktır — dünyanın her yerinden gelen e-postayı kabul etmek onun işidir. Geçmiş yıllarda Exchange'i hedef alan toplu istismar dalgaları, yamasız posta sunucusunun saldırganlar için nasıl öncelikli hedef olduğunu acı biçimde gösterdi. Desteksiz Exchange çalıştırmak bu yüzden "riskli" değil, savunulamaz bir pozisyondur.

Yol Ayrımı: Artık İki Seçenek Var

Microsoft, Exchange'in kalıcı lisanslı dönemine son verdi; 2016/2019'un devamı niteliğindeki yerinde sürüm Exchange Server Subscription Edition (SE) adıyla ve abonelik modeliyle sunuluyor. Yani karar artık "lisans alıp on yıl kullanayım" ile bulut arasında değil; iki abonelik modeli arasında: aboneliği kendi sunucunuzda mı işleteceksiniz, Microsoft'un veri merkezinde mi?

Seçenek 1: Exchange Online (Microsoft 365)

Posta kutuları Microsoft'un altyapısına taşınır; sunucu bakımı, yama takvimi, disk büyütme ve sürüm göçü dertleri biter. Güvenlik yamaları sizin gece mesainiz olmaktan çıkar. KOBİ ölçeğinde toplam maliyet çoğu zaman yerinde işletmenin altında kalır çünkü hesaba yalnız lisans değil; sunucu donanımı, yedekleme, elektrik-soğutma ve en pahalısı — uzman zamanı — dahildir.

Seçenek 2: Exchange SE ile Yerinde Devam

Veri yerleşimi zorunluluğu, buluta taşınamayan entegrasyonlar veya çok özel uyum gereksinimleri olan yapılarda yerinde Exchange sürdürülebilir. 2019'dan SE'ye geçiş teknik olarak yumuşaktır (yerinde yükseltme mantığında ilerler); 2016'dan gelenler için ara adım gerekir. Ancak bilinçli seçilmelidir: yama disiplini, dışa açık servislerin sıkılaştırılması ve posta yedekleme sorumluluğu tamamen sizde kalır.

Karar Tablosu

Kriter	Exchange Online	Exchange SE (yerinde)
Yama ve güvenlik sorumluluğu	Microsoft'ta	Sizde — dışa açık sunucuda kritik yük
Donanım/altyapı maliyeti	Yok	Sunucu + depolama + yedekleme sürer
Veri yerleşimi kontrolü	Bölge seçimi ile sınırlı	Tam kontrol — gerekçesi olan için ana neden
Kesinti/sürüm göçü yükü	Görünmez, arka planda	Planlı mesai dışı çalışmalar sizde
Ölçek ekonomisi (5-100 kutu)	Güçlü	Zayıf — sabit maliyet az kutuya bölünür
Özel entegrasyon/eski uygulama bağı	Bazen kısıt	Esnek

Göç Kararı Verildiyse: Sağlıklı Sıra

• 1. Posta envanteri: Kutu sayısı ve boyutları, paylaşımlı kutular, dağıtım grupları, uygulamalardan posta atan sistemler (tarayıcı, ERP bildirimleri, web formu) listelenir — göçte en çok unutulan, bu makine hesaplarıdır.
• 2. Alan adı ve kayıtlar: MX geçiş planı yapılır; SPF/DKIM/DMARC kayıtları yeni altyapıya göre baştan doğrulanır — göç günü itibarın sıfırlanmaması bu kayıtlara bağlıdır.
• 3. Kademeli taşıma: Pilot kutularla başlanır; taşıma dalgaları mesai dışına planlanır, eski ve yeni sistemin bir arada yaşadığı dönem yönetilir.
• 4. Eski sunucunun emekliliği: Göç bitince yerinde Exchange düzgün şekilde devreden çıkarılır — kapatıp unutmak değil; dışa açık kalıntı servis bırakmamak güvenliğin parçasıdır.

Posta platformu kararını daha geniş çerçevede tartmak isteyenler için Microsoft 365 – Google Workspace karşılaştırması tamamlayıcı okumadır.

Desteksiz Devam Etmenin Gerçek Anlamı

"Biraz daha idare edelim" seçeneği masada yokmuş gibi davranmıyoruz; sahada karşılığı var ve tablosu net: internete açık, yaması kesilmiş, kurumsal yazışmanın tamamını tutan bir sunucu. Fidye yazılımı vakalarının önemli bölümü posta üzerinden başlar; hedefin kendisi posta sunucusuysa saldırganın işi bir kademe daha kısalır. Bu tabloyu kabul ederek çalışmak bir BT kararı değil, yönetim kurulu düzeyinde bir risk kabulüdür — ve yazılı risk kabulü olmadan sürdürülmemelidir.

Bu Geçişte Yamanlar Bilişim'in Rolü

Exchange projelerinde önce mevcut yapının fotoğrafını çekeriz: sürüm, kutu envanteri, dışa açık servisler, entegrasyonlar. Karar toplantısına iki senaryonun size özel maliyet ve risk tablosu gelir; göç seçilirse taşıma dalgaları, kayıt değişiklikleri ve eski sunucunun güvenli emekliliği tek projede yürütülür. Yerinde kalma gerekçesi olan yapılarda ise SE geçişi ve sıkılaştırma planlanır. E-posta altyapısı, bakım anlaşmalarımızın standart kontrol kalemlerindendir.

SSS