diff --git a/server/ekap-key.mjs b/server/ekap-key.mjs
new file mode 100644
index 0000000..5d82a8d
--- /dev/null
+++ b/server/ekap-key.mjs
@@ -0,0 +1,77 @@
+/**
+ * EKAP imzalama anahtarının çalışma anında keşfi.
+ *
+ * NEDEN: güvenlik başlıkları (X-Ekap-Sec-*) AES anahtarıyla üretiliyor ve EKAP
+ * bu anahtarı dönemsel olarak değiştiriyor. Anahtar sabit kodlu kaldığı sürece
+ * her rotasyonda ihale havuzu tamamen kararıyor ve birinin elle yeni anahtarı
+ * bulup env'e yazması gerekiyor.
+ *
+ * ZİNCİR (canlı EKAP'ta doğrulandı):
+ *   /ekap/search           → <script src="main.<hash>.js">
+ *   main.<hash>.js         → webpack chunk haritası; 2076 özel olarak "common"
+ *                            adıyla yayımlanıyor: y=>(2076===y?"common":y)+"."+{...}
+ *   common.<hash>.js       → r8fact:"<32 baytlık anahtar>"
+ *
+ * Bu yol YALNIZCA yedektir: normal durumda sabit/env anahtar kullanılır,
+ * keşif ancak EKAP kimlik doğrulama hatası verdiğinde denenir.
+ */
+
+const BASE = 'https://ekapv2.kik.gov.tr';
+const UA = 'Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/138.0.0.0 Safari/537.36';
+
+const BASARI_TTL = 60 * 60 * 1000;  // 1 saat
+const HATA_TTL = 5 * 60 * 1000;     // başarısız keşfi 5 dk tekrar deneme
+const MAX_BAYT = 4 * 1024 * 1024;
+
+let onbellek = { anahtar: null, zaman: 0, hataZamani: 0 };
+
+async function metin(url, { timeout = 15000, jsBekle = false } = {}) {
+  const r = await fetch(url, { headers: { 'User-Agent': UA, Accept: '*/*' }, signal: AbortSignal.timeout(timeout) });
+  if (!r.ok) throw new Error(`${url.split('/').pop()} → HTTP ${r.status}`);
+  const t = await r.text();
+  if (t.length > MAX_BAYT) throw new Error('beklenenden büyük dosya');
+  // Bilinmeyen yol SPA fallback ile HTML döndürüyor; JS beklerken HTML almak
+  // parse'ı hatasız ama sonuçsuz bırakır. Kök sayfa zaten HTML — kontrol
+  // yalnızca JS beklenen isteklere uygulanır.
+  if (jsBekle && /^\s*<!doctype html/i.test(t)) throw new Error('JS yerine HTML döndü (SPA fallback)');
+  return t;
+}
+
+/**
+ * Portalın kendi paketinden güncel anahtarı çıkarır.
+ * Bulamazsa null döner — çağıran taraf mevcut anahtarla devam eder.
+ */
+export async function anahtarKesfet({ zorla = false } = {}) {
+  const simdi = Date.now();
+  if (!zorla) {
+    if (onbellek.anahtar && simdi - onbellek.zaman < BASARI_TTL) return onbellek.anahtar;
+    if (simdi - onbellek.hataZamani < HATA_TTL) return null;
+  }
+  try {
+    const kok = await metin(`${BASE}/ekap/search`);
+    const mainAd = /<script[^>]*src="([^"]*main[^"]*\.js)"/.exec(kok)?.[1];
+    if (!mainAd) throw new Error('main.js bulunamadı');
+
+    const main = await metin(`${BASE}/${mainAd.replace(/^\//, '')}`, { jsBekle: true });
+    // 2076 numaralı chunk "common" adıyla yayımlanıyor (webpack özel durumu)
+    const commonHash = /2076\s*:\s*["']([a-f0-9]{8,})["']/.exec(main)?.[1];
+    if (!commonHash) throw new Error('common chunk hash bulunamadı');
+
+    const common = await metin(`${BASE}/common.${commonHash}.js`, { jsBekle: true });
+    const anahtar = /r8fact\s*[:=]\s*["']([^"']{16,64})["']/.exec(common)?.[1];
+    if (!anahtar) throw new Error('r8fact bulunamadı');
+    // AES-256 32 bayt bekler; farklı uzunluk şema değişmiş demektir, körlemesine kullanma.
+    if (anahtar.length !== 32) throw new Error(`beklenmeyen anahtar uzunluğu: ${anahtar.length}`);
+
+    onbellek = { anahtar, zaman: simdi, hataZamani: 0 };
+    return anahtar;
+  } catch (e) {
+    onbellek.hataZamani = simdi;
+    console.warn('[ekap-key] anahtar keşfedilemedi:', e.message);
+    return null;
+  }
+}
+
+export function sonKesfedilen() {
+  return onbellek.anahtar;
+}
diff --git a/server/ekap-v2.mjs b/server/ekap-v2.mjs
index 8523b9c..af949da 100644
--- a/server/ekap-v2.mjs
+++ b/server/ekap-v2.mjs
@@ -11,12 +11,21 @@
  */
 
 import crypto from 'node:crypto';
+import { anahtarKesfet } from './ekap-key.mjs';
 
 const BASE = 'https://ekapv2.kik.gov.tr';
 const DEFAULT_KEY = 'pfS7Xdn3YVkOzs3V79XUc91SD47mQD0g';
 
+// EKAP anahtarı döndürdüğünde portalın kendi paketinden keşfedilen değer.
+// Yalnızca kimlik doğrulama hatasından sonra dolar; normalde null kalır.
+let kesfedilenAnahtar = null;
+
+function aktifAnahtar() {
+  return kesfedilenAnahtar || process.env.EKAP_R8FACT_KEY || DEFAULT_KEY;
+}
+
 function aesKey() {
-  return Buffer.from(process.env.EKAP_R8FACT_KEY || DEFAULT_KEY, 'utf8');
+  return Buffer.from(aktifAnahtar(), 'utf8');
 }
 
 function aesB64(plain, iv) {
@@ -51,6 +60,7 @@ const sleep = (ms) => new Promise((r) => setTimeout(r, ms));
 
 export async function ekapPost(path, body, { retries = 2, timeout = 30000 } = {}) {
   let lastErr;
+  let anahtarDenendi = false;
   for (let i = 0; i <= retries; i++) {
     try {
       const res = await fetch(BASE + path, {
@@ -61,8 +71,20 @@ export async function ekapPost(path, body, { retries = 2, timeout = 30000 } = {}
       });
       const raw = await res.text();
       if (!res.ok) {
-        // 401/1202 = timestamp kayması → yeni başlıkla tekrar dene
-        if ((res.status === 401 || res.status >= 500) && i < retries) {
+        // 401/1202 = timestamp kayması → yeni başlıkla tekrar dene.
+        // Anahtar rotasyonu da buradan geçiyor ve EKAP bunu bazen 401,
+        // bazen 500 ile bildiriyor (imza çözülemeyince şifre çözme katmanı
+        // patlıyor) — bu yüzden 5xx de anahtar yenilemeyi tetikliyor.
+        if ((res.status === 401 || res.status === 403 || res.status >= 500) && i < retries) {
+          if (!anahtarDenendi) {
+            anahtarDenendi = true;  // istek başına bir kez: gerçek sunucu
+            // hatasında her denemede portalden üç dosya indirmeyelim
+            const yeni = await anahtarKesfet();
+            if (yeni && yeni !== aktifAnahtar()) {
+              console.warn('[ekap] imzalama anahtarı değişmiş — portalden yeni anahtar alındı');
+              kesfedilenAnahtar = yeni;
+            }
+          }
           await sleep(500 * (i + 1));
           continue;
         }