Google Fonts ve GDPR: fontları WordPress'te kendiniz barındırın

WordPress siteniz Google Fonts'u Google'ın sunucularından yüklüyorsa, her ziyaretçinin tarayıcısı Google'a bağlanır ve IP adresini açığa çıkarır. Google Fonts ile GDPR (AB Genel Veri Koruma Tüzüğü) meselesinin özü budur: bu adresi Google'a aktarmak için bir hukuki dayanağa ihtiyacınız var ve bir Alman mahkemesi, bunu yapan bir sitenin böyle bir dayanağı olmadığına hükmetti. Temiz çözüm basittir: font dosyalarını kendi sunucunuzda barındırın.

Bu rehberde kararı ve o günden bu yana nelerin değiştiğini, sitenizin hâlâ Google'dan font yükleyip yüklemediğini nasıl kontrol edeceğinizi ve fontları WordPress'te kendi sunucunuzda barındırmanın üç yolunu anlatıyoruz. Şirketiniz AB dışında olsa bile konu sizi ilgilendirebilir: GDPR, AB'deki kişilere mal veya hizmet sunan ya da onların davranışlarını izleyen AB dışı şirketlere de uygulanabilir (GDPR Md. 3(2)).

Münih mahkemesi Google Fonts ve GDPR hakkında ne karar verdi?

Münih I Bölge Mahkemesi (Landgericht München I), 20 Ocak 2022 tarihinde 3 O 17493/20 sayılı dosyada, Google Fonts'u doğrudan Google'ın sunucularından yükleyen bir web sitesiyle ilgili karar verdi. Her sayfa görüntülemesinde ziyaretçinin IP adresi Google'a iletiliyordu. Yayımlanan karara (Almanca) göre mahkeme şu tespitlerde bulundu:

• Ziyaretçinin dinamik IP adresi, web sitesi işletmecisi açısından kişisel veridir.
• Ziyaretçi, bu adresin Google'a aktarılmasına onay vermemişti.
• İşletmecinin meşru bir menfaati yoktu, çünkü fontlar yerel olarak barındırılarak Google'ın sunucularına hiç bağlanmadan da kullanılabilirdi.
• Ziyaretçiye 100 avro tazminat ödenmesine hükmedildi.

Bu, tek bir davada tek bir bölge mahkemesinin verdiği bir karardır; Avrupa Birliği Adalet Divanı'nın bir kararı değildir. Ancak gerekçesini izlemek kolaydır ve etkileri o davanın çok ötesine geçti.

2022'deki ihtarname dalgası

2022'nin sonlarında kararın ardından Almanya'da "Abmahnwelle" olarak bilinen bir toplu ihtarname dalgası başladı. Bu ihtarnameler, Google Fonts'u hâlâ uzaktan yükleyen site sahiplerinden ödeme talep ediyordu. Bunların birçoğu daha sonra hakkın kötüye kullanılması olarak değerlendirildi.

Böyle bir ihtarname alırsanız aceleyle hiçbir ödeme yapmayın, hiçbir şey imzalamayın; bir avukata inceletin. Her durumda sorunun kaynağını giderin ki aynı soru bir daha gündeme gelmesin.

Veri Gizliliği Çerçevesi bu sorunu çözmüyor mu?

Yalnızca kısmen. Avrupa Komisyonu'nun 10 Temmuz 2023 tarihli yeterlilik kararına dayanan AB-ABD Veri Gizliliği Çerçevesi (Data Privacy Framework, DPF), sertifikalı ABD şirketlerine yapılan aktarımlara bir yeterlilik dayanağı sağlar; Google LLC de sertifikalıdır. AB Genel Mahkemesi, 3 Eylül 2025'te DPF'ye karşı açılan davayı (T-553/23 sayılı Latombe / Komisyon davası) reddetti. Karara karşı 31 Ekim 2025'te Adalet Divanı'na temyiz başvurusu yapıldı ve başvuru hâlâ sonuçlanmadı; dolayısıyla durum değişebilir.

Münih kararı DPF'den öncesine aittir. DPF, üçüncü ülke argümanını, yani verilerin yeterli koruma olmadan ABD'ye gittiği endişesini zayıflatır. Diğer argümana ise dokunmaz: IP adresini Google'a göndermek için her şeyden önce bir hukuki dayanağa ihtiyacınız vardır ve fontları kendiniz kolayca barındırabilecekken meşru menfaat ileri sürmek zordur.

Bu nedenle fontları kendi sunucunuzda barındırmak temiz çözüm olmaya devam ediyor. Bu yöntem aynı zamanda tasarım yoluyla veri korumanın (GDPR Md. 25) ders kitabı örneğidir: veri sunucunuzdan hiç çıkmaz.

Sitenizin Google Fonts yükleyip yüklemediğini nasıl kontrol edersiniz?

Tarayıcının geliştirici araçlarını kullanın

1. Sitenizi gizli bir pencerede açın.
2. Geliştirici araçlarını açın (F12 veya Mac'te Cmd+Option+I) ve Network (Ağ) sekmesine geçin.
3. Disable cache (Önbelleği devre dışı bırak) kutusunu işaretleyin ve sayfayı yeniden yükleyin.
4. Filtre kutusuna önce fonts.googleapis.com, ardından fonts.gstatic.com yazın.

Bu alan adlarından birine giden her istek, sayfanın Google Fonts yüklediği anlamına gelir: fonts.googleapis.com CSS dosyasını, fonts.gstatic.com ise font dosyalarının kendisini sunar.

Bunu farklı sayfa türlerinde tekrarlayın: ana sayfa, bir blog yazısı, iletişim sayfası, mağaza ve ödeme sayfası, giriş sayfası. Kaydırıcılar (slider), form oluşturucular, harita eklentileri veya çerez bildirimleri bazen kendi fontlarını yalnızca göründükleri sayfalarda yükler.

Sayfa kaynağında ve tema dosyalarında arayın

Sayfa kaynağını açın (Ctrl+U veya Mac'te Cmd+Option+U) ve aynı iki alan adını arayın. Bu yöntem <link> etiketlerini ve preconnect tanımlarını bulur; ancak CSS dosyalarının içinden içe aktarılan ya da JavaScript ile yüklenen fontları yakalamaz. Bu yüzden güvenilir test yine Network sekmesidir.

Sunucuda komut satırı erişiminiz varsa bu alan adlarının geçtiği tema ve eklenti dosyalarını da listeleyebilirsiniz:

grep -rl -e "fonts.googleapis.com" -e "fonts.gstatic.com" wp-content/themes wp-content/plugins

Sayfa oluşturucular font seçimlerini çoğu zaman veritabanında saklar; bu yüzden burada hiçbir sonuç çıkmaması sitenin temiz olduğunu kanıtlamaz.

WordPress'te Google Fonts'u kendi sunucunuzda barındırma

En az emek gerektirenden en çok emek gerektirene doğru üç yol var. Hangisini seçerseniz seçin, ardından Network sekmesi kontrolünü tekrarlayın.

1. seçenek: Tema, sayfa oluşturucu veya Yazı tipi kütüphanesi

Artık birçok tema ve sayfa oluşturucu, Google Fonts'u yerel olarak yükleyen bir ayar sunuyor. Ayarın adı üründen ürüne değişir (İngilizce arayüzlerde örneğin "load fonts locally" veya "self-host fonts"); bu yüzden temanın özelleştirme ekranına (Customizer) ve sayfa oluşturucunun performans veya gizlilik ayarlarına göz atın.

Blok tema kullanıyorsanız WordPress 6.5 ve sonraki sürümlerdeki Yazı tipi kütüphanesi (Font Library) bu işi sizin yerinize yapar. Site Düzenleyici'de önce Stiller'i, ardından Tipografi'yi açın ve fontlarınızı buradan yönetin. Google Fonts koleksiyonuna ilk kez göz attığınızda WordPress'in Google'a bağlanmasına izin verirsiniz; kurduğunuz fontlar ise indirilip sitenizde saklanır ve ziyaretçiler onları oradan yükler (Learn WordPress).

2. seçenek: Yerel font eklentisi

WordPress.org dizinindeki birçok eklenti Google Fonts isteklerini tespit eder, dosyaları sunucunuza indirir ve bağlantıları yeniden yazar. Dizinde "local Google Fonts" araması yapın. Eklentiyi diğer tüm eklentiler kadar özenle seçin; nelere dikkat etmeniz gerektiğini güvenlik açığı bulunan WordPress eklentileri rehberimizde anlatıyoruz.

3. seçenek: Alt temada elle @font-face

Bu yol, ek bir eklentiye gerek kalmadan tam kontrol sağlar:

1. Font ailesini indirin ve yalnızca kullandığınız stilleri ve kalınlıkları tutun. Web için en kompakt biçim WOFF2 dosyalarıdır.
2. Dosyaları, fontun lisans dosyasıyla birlikte alt temanızdaki bir fonts klasörüne kopyalayın.
3. Alt temanızın yüklediği bir stil dosyasına, genellikle style.css dosyasına, @font-face kuralları ekleyin.
4. Temanın uzaktaki kopyayı yüklemesini durdurun.

Inter fontunun iki kalınlığı için en basit örnek:

@font-face {
  font-family: "Inter";
  font-style: normal;
  font-weight: 400;
  font-display: swap;
  src: url("fonts/inter-400.woff2") format("woff2");
}
@font-face {
  font-family: "Inter";
  font-style: normal;
  font-weight: 700;
  font-display: swap;
  src: url("fonts/inter-700.woff2") format("woff2");
}
body {
  font-family: "Inter", system-ui, sans-serif;
}

url() yolu CSS dosyasının konumuna göredir; yani fonts/, style.css dosyasının yanındaki klasör anlamına gelir.

Uzaktaki kopyayı devre dışı bırakmak için, varsa temanın kendi seçeneğini kullanın. Yoksa sayfa kaynağında fonts.googleapis.com için eklenen <link> etiketini bulun: id değeri themename-fonts-css gibi görünür ve stil dosyasının tanıtıcısı (handle), bu id'nin sonundaki -css kısmı atılmış hâlidir. Ardından alt temanın functions.php dosyasına şunu ekleyin:

add_action( 'wp_enqueue_scripts', function () {
    wp_dequeue_style( 'themename-fonts' ); // gerçek tanıtıcıyla (handle) değiştirin
}, 20 );

fonts.gstatic.com için eklenmiş preconnect tanımlarını da kaldırın: preconnect, oradan hiçbir font indirilmese bile Google'ın sunucusuyla bağlantı açar.

Lisans hakkında: Google Fonts deposuna göre koleksiyondaki fontların çoğu SIL Open Font License 1.1, bir kısmı ise Apache 2 lisansı veya Ubuntu Font License ile sunulur. OFL fontları kullanmanıza, gömmenize ve yeniden dağıtmanıza izin verir; dolayısıyla kendi sunucunuzda barındırmakta sakınca yoktur. Başka kaynaklardan gelen fontların koşulları farklı olabilir, bu yüzden lisansı her zaman okuyun.

Diğer üçüncü taraf isteklerini de kontrol edin

Aynı mantık, bir sayfanın başka bir şirketin sunucusundan yüklediği her şey için geçerlidir: sayfa açılır açılmaz ziyaretçinin IP adresi oraya gider. Network sekmesi hâlâ açıkken şunlara bakın:

• Google Maps ve diğer gömülü haritalar
• gömülü YouTube veya Vimeo videoları
• herkese açık CDN'lerden gelen betikler, stil dosyaları veya ikon fontları
• reCAPTCHA ve benzeri bot kontrolleri
• yorumlardaki Gravatar görselleri (Ayarlar → Tartışma → Avatarlar)
• canlı sohbet bileşenleri ve analiz araçları

Her biri için karar verin: kendi sunucunuzda mı barındıracaksınız (betikler, stil dosyaları, ikon fontları), yalnızca bir tıklamadan sonra mı yükleyeceksiniz (bir yer tutucunun arkasındaki haritalar ve videolar), yoksa gerektiği yerde onay mı isteyeceksiniz? Geriye kalanları gizlilik bildiriminizde açıklayın.

Harici betikler aynı zamanda bir güvenlik meselesidir, çünkü sayfalarınıza tam erişimle çalışırlar. Bu tarafı WordPress güvenlik kontrol listemizde ele alıyoruz.

Sık sorulan sorular

Kendi sunucumda barındırdığım fontlar için onay almam gerekir mi?

Kendi sunucunuzdan sunulan fontlar, görselleriniz ve stil dosyalarınız gibi çalışır: Google'a hiçbir ziyaretçi verisi gitmez, dolayısıyla Münih davasındaki sorun ortaya çıkmaz.

Fontları Google'dan yüklemeye devam etmek için DPF yeterli mi?

DPF yürürlükte kaldığı sürece ABD'ye aktarım için bir yeterlilik dayanağı sağlar. Ancak IP adresini Google'a göndermenize gerçekten gerek olup olmadığı sorusunu yanıtlamaz. Fontları kendiniz barındırırsanız iki sorudan da kurtulursunuz.

Fontları kendim barındırırsam sitem yavaşlar mı?

Genellikle hayır. Tarayıcının artık Google'ın alan adlarına ayrı bir bağlantı kurması gerekmez ve yalnızca gerçekten kullandığınız kalınlıkları sunarsınız.

Bu makale genel bilgi niteliğindedir, hukuki danışmanlık değildir.