Web Uygulaması Güvenliği: İşletmelerin Atladığı 12 Önlem (OWASP ile Anlaşılır Rehber)

Kısaca: Web uygulamalarına yönelik saldırıların büyük çoğunluğu gelişmiş “hacker filmi” senaryoları değil, bilinen ve önlenebilir zayıflıklardır: yetersiz yetki kontrolü, zayıf kimlik doğrulama, güncellenmeyen bileşenler, hatalı yapılandırma, doğrulanmayan kullanıcı girdisi ve kod deposuna ya da herkese açık bir dosyaya bırakılmış gizli anahtarlar. OWASP bu zayıflıkları “Top 10” listesiyle yıllardır sınıflandırır. Bu rehberdeki 12 önlem — HTTPS, güçlü kimlik doğrulama, sunucu tarafı yetkilendirme, girdi doğrulama, güvenli oturum, sır yönetimi, bağımlılık güncelleme, güvenlik başlıkları, dosya yükleme kontrolü, API koruması, kayıt ve izleme, yedekleme ve veri minimizasyonu — çoğu işletme için riskin büyük bölümünü karşılar. Güvenlik tek seferlik bir iş değil; tasarımın, geliştirmenin ve bakımın sürekli parçasıdır.

Son güncelleme: Ekim 2026

“Küçük işletmeyiz, bize kim saldırır?”

Saldırganların çoğu belirli bir işletmeyi hedeflemez; otomatik araçlarla internetteki binlerce siteyi tarar ve açık bulduklarını kullanır. Bu yüzden boyutunuz küçük olsa da şu riskler gerçektir:

• Müşteri verilerinin (iletişim bilgisi, sipariş, kimlik) sızması
• Sitenizin ele geçirilip spam veya zararlı yönlendirme için kullanılması
• Yönetim panelinin ele geçirilip içeriğin değiştirilmesi
• Siteye erişimin engellenmesi veya fidye talebi
• Arama motorlarında “zararlı site” uyarısı ve itibar kaybı

Kişisel veri işliyorsanız ayrıca KVKK kapsamındaki veri güvenliği yükümlülükleriniz vardır. Güvenlik yalnızca teknik değil, hukuki bir konudur.

OWASP Top 10 nedir?

OWASP (Open Worldwide Application Security Project), web uygulaması güvenliğinde yaygın olarak kullanılan bir kâr amacı gütmeyen bir topluluktur. OWASP Top 10, web uygulamalarındaki en kritik güvenlik risklerinin sınıflandırılmış bir listesidir. Listede tekrar eden başlıklar şunlardır: erişim kontrolü bozuklukları, kriptografik hatalar, enjeksiyon, güvensiz tasarım, hatalı güvenlik yapılandırması, savunmasız ve güncel olmayan bileşenler, kimlik doğrulama hataları, yazılım ve veri bütünlüğü hataları, günlükleme ve izleme eksiklikleri ve sunucu taraflı istek sahteciliği. (Liste zaman zaman güncellenir; güncel sürüm için OWASP sayfasına bakın.)

Aşağıdaki 12 önlem, bu risklerin işletmeler için en pratik karşılıklarıdır.

12 temel önlem

1. Her yerde HTTPS (TLS) ve HSTS

Tüm trafik şifreli olmalı; HTTP istekleri HTTPS'e yönlendirilmeli. HSTS başlığı, tarayıcıya siteye yalnızca HTTPS ile bağlanmasını söyler. Sertifikanın süresi dolmadan yenilenmesi için otomatik yenileme ve uyarı kurun.

2. Güçlü kimlik doğrulama

• Parolalar asla düz metin saklanmaz; bcrypt/argon2 gibi güçlü, tuzlanmış (salt) yavaş özet algoritmaları kullanılır.
• İki adımlı doğrulama (MFA), özellikle yönetici hesaplarında zorunlu olmalıdır.
• Deneme sınırlaması (rate limiting): Tekrarlanan hatalı girişlerde gecikme veya geçici kilit.
• “Şifremi unuttum” akışı güvenli olmalı: tek kullanımlık, süreli bağlantılar; kullanıcı var/yok bilgisini sızdırmayan mesajlar.
• Hazır ve test edilmiş kimlik doğrulama çözümlerini tercih edin; bunu sıfırdan yazmaktan kaçının.

3. Sunucu tarafında yetkilendirme (erişim kontrolü)

En sık ve en zararlı hatalardan biridir: Kullanıcı sadece arayüzdeki butonu görmüyor diye başkasının verisine erişemeyeceğini sanmak. Her istek sunucuda kontrol edilmelidir:

• Bu kullanıcı, bu kaydı görmeye/değiştirmeye yetkili mi? (Örn. /siparis/1234 adresine başka birinin siparişi için erişebilmek.)
• Rol bazlı yetki (müşteri, çalışan, yönetici) tutarlı uygulanıyor mu?
• Yönetici paneli açıkça korunuyor mu (kimlik doğrulama + gerekirse IP kısıtı)?

4. Girdi doğrulama ve enjeksiyon önleme

Kullanıcıdan gelen her veri — form, adres çubuğu parametresi, dosya adı, API gövdesi — güvenilmez kabul edilmelidir:

• Veritabanı sorgularında parametreli sorgu veya güvenilir bir ORM kullanın; kullanıcı girdisini sorgu metnine doğrudan eklemeyin (SQL enjeksiyonu).
• Çıktıyı ekrana basarken kaçışlayın (XSS). Modern arayüz çerçeveleri bunu varsayılan olarak yapar; ancak “ham HTML bas” özelliklerini dikkatle kullanın.
• Beklenen biçim, uzunluk ve tür için sunucu tarafında doğrulama yapın; tarayıcıdaki doğrulama yalnızca kullanıcı kolaylığıdır.

5. Güvenli oturum ve çerez yönetimi

• Oturum çerezlerinde HttpOnly, Secure ve uygun SameSite ayarlarını kullanın.
• Giriş yapıldığında oturum kimliğini yenileyin; çıkışta oturumu geçersiz kılın.
• Durum değiştiren isteklerde CSRF korumasını (token veya SameSite ile birlikte) uygulayın.
• Oturum sürelerini işin hassasiyetine göre belirleyin.

6. Gizli anahtarların (sırların) yönetimi

API anahtarları, veritabanı şifreleri ve servis hesapları:

• Kod deposuna ve istemci tarafı koda konmamalıdır. Tarayıcıya giden her kod herkes tarafından okunabilir.
• Ortam değişkenleri veya bir sır yönetim servisi ile saklanmalı.
• Gerektiğinde döndürülebilir (rotate) olmalı; sızıntı şüphesinde hemen yenilenmeli.
• Yüksek yetkili anahtarlar (ör. “servis rolü” anahtarları) yalnızca sunucuda kullanılmalı, kullanıcıya hiç gönderilmemelidir.
• Geliştirme, test ve canlı ortamlar ayrı anahtarlar kullanmalıdır.

7. Bağımlılıkları güncel tutun

Modern uygulamalar yüzlerce açık kaynak kütüphaneye dayanır; bunlardaki bilinen açıklar saldırganların en sık kullandığı yollardandır.

• Kullanılan paketlerin düzenli taranması (bağımlılık güvenlik taraması) ve güncellenmesi,
• Kullanılmayan paketlerin kaldırılması,
• Kilit dosyasının (lockfile) tutulması ve güncellemelerin testten geçirilerek yayına alınması.

Bu, bakımın en önemli önleyici parçasıdır; ayrıntıları yazılım bakım ve destek rehberimizde bulabilirsiniz.

8. Güvenlik başlıkları

Sunucunun gönderdiği birkaç başlık, tarayıcı tarafında önemli koruma sağlar:

Güvenlik başlıklarını MDN'nin güvenlik rehberinden inceleyebilirsiniz. Doğru ayarlanmış CSP, uygulamanın kullandığı gerçek kaynaklara göre özelleştirilmelidir.

9. Dosya yükleme güvenliği

Kullanıcı dosya yükleyebiliyorsa (profil resmi, belge, CV):

• Dosya türünü ve boyutunu sunucuda doğrulayın; yalnızca uzantıya güvenmeyin.
• Dosyaları web kök dizininin dışında veya ayrı bir depolama servisinde saklayın; çalıştırılabilir olmasını engelleyin.
• Rastgele dosya adları verin; orijinal adı yalnızca gösterim için tutun.
• Gerekirse zararlı yazılım taraması yapın.

10. API ve entegrasyon güvenliği

Mobil uygulama, panel veya üçüncü taraf entegrasyonları API'ler üzerinden konuşur. API'de de her istek için kimlik doğrulama ve yetkilendirme yapın; ayrıca:

• Hız sınırlaması ile kötüye kullanımı sınırlayın.
• CORS'u gerçekten ihtiyaç duyulan kaynaklarla sınırlayın; “her yere açık” bırakmayın.
• Hata mesajlarında teknik ayrıntı (veritabanı yapısı, dosya yolları) sızdırmayın.
• Webhook'ları imza doğrulamasıyla koruyun.

11. Günlük kaydı (log), izleme ve uyarı

Saldırı veya hata olduğunda ne olduğunu anlayabilmek için:

• Giriş denemeleri, yetki hataları, kritik işlemler (silme, ödeme, yetki değişikliği) kayıt altına alınmalı.
• Günlüklerde parola, kart numarası gibi hassas veri bulunmamalı.
• Olağan dışı davranışlarda (çok sayıda hatalı giriş, ani hata artışı) uyarı üretilmeli.
• Günlükler yeterli süre saklanmalı ve yetkisiz değiştirilememelidir.

12. Yedekleme ve veri minimizasyonu

• Düzenli ve geri yüklemesi test edilmiş yedekler, fidye saldırısı veya veri bozulması durumunda hayat kurtarır.
• Veri minimizasyonu: Gerçekten ihtiyaç duymadığınız veriyi toplamayın ve saklamayın; saklamadığınız veri sızmaz.
• Hassas verileri (kişisel veri, kimlik, sağlık vb.) saklarken şifreleme ve erişim kısıtlaması uygulayın.
• Veri saklama sürelerini tanımlayın.

Yapay zekâ özellikleri eklediyseniz

Chatbot, asistan veya doküman analizi gibi yapay zekâ özellikleri yeni riskler getirir: kullanıcı girdisiyle modeli yönlendirme (prompt injection), hassas verilerin yanıtlara sızması, aşırı yetkili araç/eylem erişimi. OWASP bu konuda ayrı bir LLM Top 10 listesi yayınlar. Ayrıntılar için yapay zekâ chatbot rehberimize ve RAG sistemi yazımıza bakabilirsiniz.

Yazılım firmanıza sorabileceğiniz 8 güvenlik sorusu

1. Kimlik doğrulama ve yetkilendirmeyi nasıl tasarlıyorsunuz? MFA yönetici paneli için sağlanıyor mu?
2. Kullanıcı girdisini nasıl doğruluyor ve enjeksiyona karşı nasıl önlem alıyorsunuz?
3. Gizli anahtarlar nerede ve nasıl saklanıyor? Ortamlar ayrı mı?
4. Bağımlılıkları nasıl takip ediyor ve güncelliyorsunuz?
5. Hangi güvenlik başlıklarını ve HTTPS ayarlarını uyguluyorsunuz?
6. Yedekleme sıklığı ve geri yükleme testi nasıl?
7. Günlük kaydı ve izleme nasıl çalışıyor? Güvenlik olayında kim, ne kadar sürede haberdar oluyor?
8. Yayın öncesi güvenlik testi (tarama, kod incelemesi, gerekiyorsa sızma testi) yapılıyor mu?

Firma seçerken bu sorulara net cevap alamıyorsanız yazılım firması seçerken sorulacak 15 soruyu da gözden geçirin.

Bir güvenlik olayı olursa: ilk 24 saatlik plan

Önlem almak kadar, olay anında ne yapılacağını önceden bilmek de önemlidir:

1. Sakin kalın ve yetkili kişileri bilgilendirin. Kim karar veriyor, kim teknik müdahale yapıyor?
2. Kapsamı sınırlayın. Etkilenen hesapları/sistemi izole edin; gerekirse siteyi geçici olarak bakıma alın.
3. Kanıtı koruyun. Günlükleri ve sistem durumunu silmeden önce saklayın; temizlik, nedeni anlamadan yapılırsa tekrarlar.
4. Anahtarları ve parolaları değiştirin. Sızmış olabilecek tüm sırları yenileyin; oturumları sonlandırın.
5. Açığı kapatın. Kök nedeni bulun ve düzeltin; yedekten temiz bir sürüme dönmek gerekebilir.
6. Hukuki yükümlülükleri değerlendirin. Kişisel veri ihlalinde Kurul'a ve ilgili kişilere bildirim süreleri vardır (Kurul kararlarında 72 saat öngörülür); hukuk danışmanınıza başvurun.
7. Öğrenin. Olay sonrası değerlendirme yapıp önlemleri güncelleyin.

Güvenlikte en sık yapılan 7 hata

1. Güvenliği “yayın öncesi son iş” olarak görmek
2. Yetki kontrolünü yalnızca arayüzde yapmak
3. Yönetici paneline tek parola ile erişim bırakmak
4. API anahtarlarını istemci koduna veya depoya koymak
5. Güncellemeleri “bir şey bozulur” korkusuyla ertelemek
6. Yedek almak ama geri yüklemeyi hiç denememek
7. Test ve canlı ortamda aynı parola/anahtarları kullanmak

Aktaş Digital güvenliği nasıl ele alıyor?

Geliştirdiğimiz web uygulamalarında kimlik doğrulama, rol bazlı yetkilendirme, girdi doğrulama, güvenli oturum yönetimi, güvenlik başlıkları, sır yönetimi ve yedekleme gibi temel önlemleri tasarımın ve geliştirmenin parçası olarak ele alıyoruz; yayın sonrası güncelleme ve izleme için destek planları sunuyoruz. Web uygulamaları, SaaS platform geliştirme, CRM ve ERP gibi müşteri ve işletme verisi işleyen projelerde bu özellikle önemlidir.

Mevcut sitenizin dış görünen teknik durumuna hızlı bir ilk bakış için ücretsiz Website Analizi aracımızı kullanabilirsiniz; ancak bu araç kapsamlı bir güvenlik testi yerine geçmez. Projeniz için güvenlik gereksinimlerini konuşmak isterseniz teklif formumuzdan yazabilirsiniz.

Sık Sorulan Sorular

Güvenlik için yalnızca SSL sertifikası yeterli mi?

Hayır. SSL/TLS, tarayıcı ile sunucu arasındaki veriyi şifreler; ama uygulamanın içindeki zayıflıkları (yetkilendirme, enjeksiyon, zayıf parola, güncel olmayan bileşenler) çözmez. HTTPS gereklidir ama tek başına yeterli değildir.

Penetrasyon (sızma) testi gerekli mi?

Kişisel veri işleyen, ödeme alan veya kritik iş yapan sistemlerde yayın öncesi ve belirli aralıklarla önerilir. Küçük bir tanıtım sitesi için temel önlemler ve otomatik taramalar çoğu zaman yeterli olur. Kapsamı sistemin kritikliğine göre belirleyin.

WordPress veya hazır sistemler daha mı güvensiz?

Her iki yaklaşım da güvenli veya güvensiz olabilir. Önemli olan güncellemelerin yapılması, eklenti sayısının sınırlı ve güvenilir tutulması, güçlü kimlik doğrulama ve düzenli yedeklemedir. Özel yazılımda da aynı disiplin gereklidir.

Müşteri verilerini sızdırırsam sorumluluğum ne olur?

Kişisel veri sızıntılarında KVKK kapsamında bildirim ve idari yaptırım gibi yükümlülükler doğabilir. Detaylar durumunuza göre değiştiği için bir hukuk danışmanına başvurun ve önleyici güvenlik önlemlerini belgeleyin.

Güvenlik açığı olup olmadığını nasıl anlarım?

Düzenli bağımlılık taramaları, kod incelemesi, otomatik güvenlik tarayıcıları ve gerekiyorsa uzman sızma testi kullanın. Ayrıca günlük kayıtlarında olağan dışı hareketleri izleyin.

Güvenlik bütçesini nasıl belirlemeliyim?

Korunan verinin ve sistemin kritikliğine göre. Temel önlemler (HTTPS, güçlü kimlik doğrulama, güncelleme, yedekleme) neredeyse her proje için ucuz ve vazgeçilmezdir; ek testler ve izleme riske göre artar.

Sonuç

Web uygulaması güvenliği, “büyük bir bütçe” değil, temel önlemleri tutarlı biçimde uygulama disiplinidir. HTTPS, güçlü kimlik doğrulama, sunucu tarafı yetkilendirme, girdi doğrulama, sır yönetimi, güncellemeler, güvenlik başlıkları, kayıt ve yedekleme riskinizin büyük bölümünü kapatır. Bugün yapabileceğiniz ilk iş: yönetici hesaplarınız için iki adımlı doğrulamayı açmak ve sisteminizdeki gizli anahtarların nerede durduğunu listelemek.