App Store'da yeni kural 2.5.19: Gizli özellik yasağı feature flag kullanan ekipleri nasıl etkiler?

Apple, 16 Ekim 2026'da App Review Guidelines'ın yeni sürümünü yayımladı. Yalnızca birkaç maddeyi değiştiren bir güncelleme gibi görünüyor ama iki değişiklik doğrudan günlük geliştirme pratiklerine dokunuyor. Gizli, uykudaki veya belgelenmemiş özellikleri yasaklayan yeni 2.5.19 maddesi, uzaktan yapılandırma ve feature flag kullanan ekiplerin dikkat etmesi gereken bir çizgi çiziyor. Kullanıcı içeriğiyle ilgili 1.2 maddesi ise artık yapay zekâyla üretilen rızasız mahrem görüntüleri açıkça kapsıyor.

Bu yazıda neyin değiştiğine, Apple'ın neden şimdi bu adımı attığına ve dürüst çalışan bir ekibin pratikte neyi gözden geçirmesi gerektiğine bakacağız.

Neler değişti?

Apple'ın geliştirici duyurusuna göre güncellemenin başlıca maddeleri şunlar:

• 1.2 (Kullanıcı içeriği): Kullanıcıların içerik oluşturduğu, ürettiği veya paylaştığı uygulamaların karşılaştığı riskler arasında artık "rızasız mahrem görüntüler" de sayılıyor. Kapsamın sosyal medyayı, kullanıcı içeriği platformlarını ve yapay zekâ ile içerik üreten uygulamaları içerdiği açıkça yazıyor. Yeterli önlem almayan ya da uyarıdan sonra ihlali gidermeyen geliştiricilerin Geliştirici Davranış Kuralları'nı ihlal etmiş sayılabileceği belirtiliyor.
• 2.3.14 (Yaratıcı görseller): Ekim başında duyurulan ürün sayfası başlıkları ve arama sonucu görselleri için yeni bir madde. Bu görseller uygulamanın içeriğiyle veya markasıyla ilgili olmalı, tüm yaş gruplarına uygun olmalı; doğrulanamayan iddialar ya da indirimli fiyat bilgisi içermemeli.
• 2.5.19 (Gizli özellikler): Uygulamada gizli, uykuda bekleyen veya belgelenmemiş özellik bulunamaz. Bu tür özellikleri kod karartma (obfuscation) gibi yöntemlerle saklamaya çalışmak, uygulamanın kaldırılması ve geliştirici hesabının kapatılması için gerekçe sayılıyor. Bu kural daha önce 2.3.1 altında dolaylı olarak bulunuyordu; şimdi ayrı ve net bir madde oldu.
• 3.1.1(a): Müzik yayın hizmetlerine özel yetki (entitlement) maddesi, StoreKit External Purchase Link maddesinin içine taşındı. Bağlantıların "izin verilen bir hedefe" gidebileceği netleştirildi.
• 5 (Hukuki): İnsan ticaretini veya çocuk istismarını kolaylaştıran uygulamaların App Store'dan kaldırılacağı ve alternatif dağıtımdan da engelleneceği açıkça yazıldı.

Neden şimdi?

Apple, güncellemeyle birlikte yayımladığı ayrı bir yazıda gerekçeyi açıkça anlatıyor: İnceleme sırasında masum görünen, onaydan sonra "nudification" gibi zararlı yetenekler açan uygulamalar. Bu yönteme sektörde "bait-and-switch" deniyor. Apple'ın verdiği rakamlara göre şirket geçen yıl güvenlik sorunu taşıyan 150 binden fazla uygulamanın kullanıcıya ulaşmasını engellemiş, dolandırıcılık ve kötüye kullanım nedeniyle 193 binden fazla geliştirici hesabını kapatmış.

Arka plan da bu tabloyu destekliyor. 2026 boyunca App Store'daki yapay zekâ destekli "soyma" uygulamaları hakkında birçok rapor yayımlandı ve Temmuz'da San Francisco yetkilileri Apple'dan bu tür sekiz uygulamayı kaldırmasını istedi. Yine Temmuz'da 9to5Mac'in yaptığı bir inceleme, Brezilya'da oyun veya basit bir araç gibi görünen ama Brezilya IP adresinden açıldığında bahis sitesine dönüşen 62 uygulama tespit etti. Bu uygulamaların yönlendirmeyi uzaktan kontrol ettiği bildirildi. Yani sorun yalnızca içerik değil, incelemeden sonra davranışı değişen uygulamalar.

Feature flag kullanan ekipler için ne anlama geliyor?

Burada asıl soru şu: Remote Config, LaunchDarkly gibi araçlarla özellikleri kademeli açan, A/B testi yapan, sunucu tarafından yönetilen arayüzler kullanan meşru ekipler risk altında mı?

Apple'ın metni feature flag'leri yasaklamıyor ve böyle bir şey okumak abartı olur. Ama madde metnindeki "uykudaki" (dormant) ve "belgelenmemiş" kelimeleri önemli. Apple'ın açıklaması da sorunu, incelemeye gönderilen sürümde bulunmayan özelliklerin onaydan sonra eklenmesi olarak tanımlıyor. Benim okumam şu: Kodda var olan ama inceleme ekibinin hiç göremediği ve kimseye anlatılmamış bir özellik artık açık bir risk. Bu davranışın arkasında kötü niyet olmasa da durum değişmiyor.

Pratikte şunları gözden geçirmenizi öneririm:

1. Review Notes alanını ciddiye alın

2.3.1(a) zaten tüm yeni özelliklerin App Store Connect'teki Notes for Review alanında ayrıntılı anlatılmasını ve inceleme için erişilebilir olmasını istiyor; genel açıklamaların reddedileceği yazıyor. Flag arkasında bekleyen bir özelliği gönderiyorsanız ne olduğunu, nasıl açılacağını ve gerekirse test hesabını buraya yazın.

2. "Kapalı ama binary'de" özellikleri envanterleyin

Birçok ekipte aylardır kapalı duran, unutulmuş deneyler vardır. Bunları listeleyin; kullanılmayacaksa koddan temizleyin, kullanılacaksa inceleme notlarında belgeleyin. Bu, hem uyum hem de kod sağlığı açısından iyi bir alışkanlık.

3. Bölgeye göre farklılaşan davranışları belgeleyin

Brezilya örneği, ülkeye göre tamamen farklı bir deneyim sunmanın nasıl kötüye kullanılabileceğini gösterdi. Yasal zorunluluklar ya da yerel ödeme yöntemleri nedeniyle bölgeye göre davranış değiştiriyorsanız (örneğin Türkiye'ye özel bir ödeme akışı), bunu açıkça belirtmek iyi olur.

4. Sunucu tarafından yönetilen arayüzlerde sınırı bilin

İçeriği ve düzeni sunucudan değiştirmek bir şey, uygulamanın temel işlevini incelemeden sonra değiştirmek başka bir şey. Yeni bir yetenek ekliyorsanız, bunu yeni bir sürümle incelemeye göndermek en güvenli yol.

Yapay zekâ özelliği olan uygulamalar için

Görsel üreten veya düzenleyen bir özelliğiniz varsa, 1.2 artık sizi açıkça kapsıyor. Madde zaten şu dört şeyi istiyordu: sakıncalı içeriği filtreleme yöntemi, şikâyet mekanizması ve zamanında yanıt, kötüye kullanan kullanıcıları engelleme imkânı ve yayımlanmış iletişim bilgisi. Apple'ın açıklamasına göre rızasız mahrem görüntüleri proaktif olarak önlemek ve kaldırmak gerekiyor. Yani yalnızca şikâyet gelince müdahale etmek yeterli görülmeyebilir.

Üçüncü taraf bir görüntü modeli API'si kullanıyorsanız, sağlayıcının güvenlik filtrelerine körü körüne güvenmek yerine kendi tarafınızda da kontroller (gerçek kişilerin fotoğraflarıyla ilgili kısıtlar, çıktı moderasyonu, kayıt tutma) eklemeyi düşünün. Sorumluluk Apple'ın gözünde uygulamayı yayımlayan geliştiricide.

Sonuç

Bu güncelleme, dürüst çalışan ekiplerin günlük işini kökten değiştirmiyor. Ama App Review'un artık "inceleme anındaki uygulama" ile "onaydan sonraki uygulama" arasındaki farka daha fazla dikkat edeceğini açıkça gösteriyor. Şeffaf olmak en ucuz sigorta: özelliklerinizi belgeleyin, unutulmuş flag'leri temizleyin, yapay zekâ özelliklerinize moderasyonu en baştan ekleyin. Apple yönergelerin çevirilerinin bir ay içinde yayımlanacağını söylüyor. Ekibinizdeki herkesin İngilizce metni okumasını beklemeden bu değişiklikleri sprint planlamasında bir kez konuşmanızı öneririm.