Web Güvenlik Kontrol Listesi: Kapsamlı Güvenlik Rehberi

OWASP Top 10

1. Broken Access Control: Yetkilendirme kontrolleri eksik. Kullanıcılar, yetkileri olmayan kaynaklara erişebilir.

2. Cryptographic Failures: Hassas veriler şifrelenmemiş veya zayıf şifreleme kullanılmış.

3. Injection: SQL, NoSQL, OS, LDAP injection. Kullanıcı girdisi doğrudan sorguya eklenirse.

4. Insecure Design: Güvenlik açığı olan tasarım. Threat modeling yapılmamış.

5. Security Misconfiguration: Varsayılan ayarlar, açık debug modu, eksik güvenlik başlıkları.

6. Vulnerable Components: Güvenlik açığı olan third-party kütüphaneler. Güncel olmayan bağımlılıklar.

7. Authentication Failures: Zayıf parola politikası, session yönetimi hataları, brute force koruması yok.

8. Software and Data Integrity Failures: CI/CD pipeline güvenliği, dependency integrity, insecure deserialization.

9. Security Logging Failures: Yetersiz logging, monitoring yok, incident response planı yok.

10. SSRF (Server-Side Request Forgery): Sunucu, saldırganın kontrol ettiği URL'ye istek yapar.

Güvenlik Başlıkları (Security Headers)

CSP savunmayı güçlendirir; unsafe-inline korumayı zayıflatabilir. Gereken betikler için nonce veya hash kullanın.

Strict-Transport-Security (HSTS): Tarayıcıya sadece HTTPS üzerinden bağlanmasını söyler. max-age=31536000; includeSubDomains; preload.

X-Content-Type-Options: nosniff değeri ile MIME type sniffing'i devre dışı bırakır.

X-Frame-Options: DENY veya SAMEORIGIN. Sayfanın iframe içinde gösterilmesini engeller (clickjacking).

Referrer-Policy: strict-origin-when-cross-origin. Referrer bilgisini kontrol eder.

Permissions-Policy: Kamera, mikrofon, geolocation gibi tarayıcı özelliklerini kontrol eder.

Authentication ve Authorization

Parola politikası: Minimum 8 karakter, büyük/küçük harf, rakam, özel karakter. Parola hash'leme (bcrypt, Argon2).

Multi-factor authentication (MFA): 2FA veya MFA zorunlu. TOTP (Google Authenticator), SMS, hardware key (YubiKey).

Session yönetimi: Secure, HttpOnly, SameSite cookie'ler. Session timeout, concurrent session limit.

JWT: Kısa ömürlü access token (15 dk) + uzun ömürlü refresh token (7 gün). Token rotation.

OAuth 2.0 / OpenID Connect: Üçüncü parti authentication. Google, GitHub, Apple ile login.

RBAC: Role-Based Access Control. Kullanıcı rolleri ve izinler. Least privilege principle.

Input Validation ve Sanitization

Server-side validation: Tüm girdileri sunucu tarafında doğrulayın. Client-side validation yeterli değildir.

SQL injection önleme: Parameterized queries / prepared statements kullanın. ORM'ler (Prisma, SQLAlchemy) otomatik koruma sağlar.

XSS önleme: Output encoding. React/Vue otomatik escaping. innerHTML yerine textContent.

CSRF önleme: CSRF token'ları. SameSite cookie attribute. Double submit cookie pattern.

File upload güvenliği: Dosya tipi ve boyut kontrolü. Upload dizininde execution izni vermeyin. Virus scanning.

Güvenlik İzleme ve Yanıt

Logging: Tüm authentication, authorization ve hata olaylarını loglayın. Centralized logging (ELK, Loki).

Monitoring: Anormal aktivite tespiti. Failed login attempts, unusual traffic patterns, error rate spikes.

Incident response plan: Güvenlik olaylarına nasıl yanıt verileceğini planlayın. Runbook'lar, escalation paths.

Vulnerability scanning: Düzenli güvenlik taraması. OWASP ZAP, Burp Suite, Snyk.

Penetration testing: Yılda en az bir kez profesyonel penetration test. Bulgu raporu ve düzeltme planı.

Güvenlik Kontrol Listesi

✓ HTTPS tüm sayfalarda aktif

✓ Security headers (CSP, HSTS, X-Content-Type-Options, X-Frame-Options) yapılandırılmış

✓ Input validation tüm endpoint'lerde uygulanmış

✓ SQL injection koruması (parameterized queries)

✓ XSS koruması (output encoding, CSP)

✓ CSRF koruması (tokens, SameSite cookies)

✓ Authentication (MFA, strong password policy)

✓ Authorization (RBAC, least privilege)

✓ Dependency security (npm audit, Snyk)

✓ Logging ve monitoring aktif

✓ Backup ve disaster recovery planı

✓ Incident response planı

• MDN: Content Security Policy