Siber GüvenlikWeb Uygulama Güvenliği

Web Uygulama Güvenliği Hizmetleri

Web uygulamanızı bir saldırganın bakış açısıyla, ancak yıkım değil kanıt üreterek değerlendiririz. Otomatik taramayı manuel derin testle birleştirir; enjeksiyon, kırık erişim kontrolü, kimlik doğrulama ve API katmanlarındaki gerçek zafiyetleri yanlış pozitiften ayıklarız. Size süslü bir liste değil; her biri kanıtlanmış (PoC), CVSS ile önceliklendirilmiş ve tekrar edilebilir bulgular veririz. Derin testler ve sızma testi yalnızca yazılı yetkilendirme, tanımlı kapsam ve test penceresiyle yürütülür; vaadimiz "uygulamanız asla hacklenmez" değil, ölçülebilir risk azaltma ve doğrulanmış giderme sözüdür.

Otomatik tarama + manuel derin test ile ayıklanmış, yanlış pozitiften arındırılmış ve PoC ile kanıtlanmış bulgular Her bulgu CVSS ve gerçek iş etkisine göre önceliklendirilir; hangi zafiyeti önce kapatacağınızı bilirsiniz Yetkili kapsam içinde OWASP Top 10'dan API ve iş mantığına, zafiyet değerlendirmesinden sızma testine kadar uçtan uca döngü

Güvenlik Değerlendirmesi Talep Et Ücretsiz Site Taraması

Örnek site güvenlik durumu

Güvenlik skoru
0–100 · önceliklendirme aracı

YüksekCSP başlığı eksik

OrtaSunucu sürümü ifşa

KritikGüncel olmayan eklenti

Farkındalık

Web siteniz gerçekten güvende mi?

Çalışan bir uygulama, güvenli bir uygulama anlamına gelmez. Bir uygulama giriş yapıyor, form kaydediyor ve API isteklerine yanıt veriyor olabilir; buna rağmen bir kullanıcı, sadece kimliğini değiştirerek başkasının verisine erişiyor, bir uç nokta yetki kontrolü yapmadan çalışıyor veya bir girdi doğrudan sorguya karışıyor olabilir. Uygulama zafiyetlerinin çoğu ekranda görünmez; sunucu tarafındaki bir mantık kusuru, dışarıdan bakan bir kullanıcıya sorunsuz görünür. Aşağıdaki belirtiler tek başına kesin kanıt değildir; ancak birden fazlası bir araya geldiğinde yapılandırılmış bir güvenlik değerlendirmesini hak eder. Bu tür kusurları kesin olarak ortaya çıkarmak, ancak yazılı olarak yetkilendirilmiş, kapsamı tanımlı bir test ile mümkündür.

Kimliğe bağlı veri erişimiBir kullanıcının URL veya istekteki kimlik değerini (id) değiştirerek başkasının kaydını görüp göremediğinden emin değilsiniz.

Belirsiz yetki kontrolüBir uç noktaya yalnızca arayüzde buton gizlenerek erişim kısıtlanıyor; sunucu tarafında rol ve yetki kontrolünün yapıldığından emin değilsiniz.

Doğrulanmamış girdiKullanıcıdan gelen değerler sorgulara, komutlara veya şablonlara güvenli biçimde ayrıştırılmadan katılıyor olabilir.

Zayıf oturum yönetimiOturum belirteçleri (token) çıkışta geçersiz kılınmıyor, süresiz kalıyor veya tahmin edilebilir biçimde üretiliyor.

Denetimsiz API uç noktalarıMobil ve tek sayfa uygulamalarını besleyen API uç noktaları, arayüz olmadan doğrudan çağrıldığında nasıl davranıyor bilinmiyor.

İş mantığı boşluklarıSepet tutarı, indirim, adım atlama veya çok kez kullanım gibi akışların kötüye kullanıma karşı test edilip edilmediği belirsiz.

Aşırı veri döndüren yanıtlarAPI yanıtları arayüzde gösterilenden çok daha fazla alan (parola özeti, dahili bayrak, başka kullanıcı verisi) döndürüyor olabilir.

Eksik hız sınırıGiriş, parola sıfırlama ve OTP uç noktalarında hız sınırı olmadığından kaba kuvvet ve kimlik bilgisi doldurma denemeleri engellenmiyor.

Kontrolsüz dosya yüklemeYüklenen dosyaların tipi, boyutu ve depolandığı konum doğrulanmıyor; çalıştırılabilir bir dosyanın yüklenmesi mümkün olabilir.

Sunucu taraflı istek riskiUygulama, kullanıcıdan gelen bir adrese sunucu üzerinden istek atıyor; bu isteğin iç ağ kaynaklarına ulaşıp ulaşamadığı test edilmemiş.

Ayrıntılı hata ifşasıBeklenmedik durumlarda uygulama, yığın izi (stack trace), sorgu veya dosya yolu gibi iç ayrıntıları kullanıcıya gösteriyor.

Eksik loglamaBaşarısız giriş, yetki reddi ve şüpheli işlemler yeterince loglanmadığından bir saldırı sonradan yeniden kurgulanamıyor.

Sık değişen kodUygulama hızlı geliştiriliyor ve her sürümde yeni uç noktalar ekleniyor; bu değişikliklerin güvenlik açısından hiç gözden geçirilmediğini biliyorsunuz.

Çok rollü karmaşık yetkiKullanıcı, editör, yönetici ve kiracı (tenant) gibi çok sayıda rol var; bu rollerin sınırlarının gerçekten uygulandığından emin değilsiniz.

Katmanlı yapı

Web sitesi güvenliği aslında neyi kapsar?

Web uygulama güvenliği tek bir tarama ya da tek bir kontrol değil; isteğin tarayıcıdan çıkıp veritabanına ulaşana kadar geçtiği katmanların her birinde ayrı ayrı ele alınması gereken bir sistemdir. Buna derinlemesine savunma denir: bir katman aşılsa bile bir sonraki katman saldırıyı durdurmaya veya sınırlamaya çalışır. Aşağıdaki katmanların her birinde ayrı bir zafiyet sınıfı yaşar; güçlü bir duruş ancak hepsinin birlikte değerlendirilmesiyle mümkündür. Tek bir katmana (örneğin sadece bir güvenlik duvarına) güvenmek, uygulama mantığındaki kusurları görünmez bırakır.

İstemci (Tarayıcı)Uygulamanın tarayıcıda çalışan kısmı, çıktı kaçışı ve içerik güvenliğinin ilk cephesidir. Doğrulanmamış girdinin sayfaya betik olarak yansıması (XSS), güvensiz DOM işlemleri ve gevşek CSP bu katmanda doğar. Ancak istemci tarafı kontrolleri asla tek güvence değildir; her kontrol sunucu tarafında da uygulanmalıdır, çünkü istemci saldırganın denetimindedir.

Aktarım (TLS)Aktarım katmanı güvenliği, kullanıcı ile uygulama arasındaki trafiği şifreler ve araya girme (MITM) saldırılarını zorlaştırır. Yalnızca güçlü protokol sürümleri (TLS 1.2 ve 1.3), geçerli sertifika zinciri, zorunlu HTTPS ve HSTS gerektirir. API belirteçlerinin ve oturum çerezlerinin yalnızca şifreli kanaldan aktarılması bu katmanın sorumluluğudur.

Giriş Noktaları & APIUygulamanın dış dünyaya açtığı her uç nokta, form ve API rotası bir saldırı yüzeyidir. REST ve GraphQL uç noktaları, arayüz olmadan doğrudan çağrılabildiği için buradaki her parametre girdi doğrulaması, yetkilendirme ve hız sınırı ister. Belgelenmemiş veya unutulmuş uç noktalar, saldırı yüzeyinin en sık gözden kaçan parçasıdır.

Kimlik DoğrulamaKullanıcının iddia ettiği kişi olduğunu doğrulayan katmandır. Zayıf parola politikası, MFA yokluğu, hatalı oturum ve belirteç yönetimi, güvensiz "beni hatırla" ve parola sıfırlama akışları burada yaşar. Kimlik doğrulama kusuru genellikle tek bir hesabı değil, doğrudan yetki katmanının tamamını etkiler.

Yetkilendirme (Erişim Kontrolü)Kimliği doğrulanmış bir kullanıcının neye erişebileceğini belirler ve uygulama güvenliğinin en sık kırılan katmanıdır. Nesne düzeyinde yetki eksikliği (IDOR/BOLA), fonksiyon düzeyinde yetki eksikliği ve çok kiracılı veri sızması buradadır. Her istekte, her nesne için yetki kontrolünün sunucu tarafında yapılması şarttır.

İş MantığıUygulamanın kendine özgü kurallarının (fiyatlandırma, adım sırası, kota, tek kullanım) kötüye kullanıma dayanıp dayanmadığını kapsar. Bu kusurlar teknik bir hata değil, akışın öngörülmeyen biçimde kullanılmasıdır; bu yüzden otomatik araçlar göremez ve yalnızca uygulamayı anlayan manuel test ortaya çıkarır.

Veri KatmanıSorguların, dosya işlemlerinin ve harici çağrıların yürütüldüğü katmandır. SQL/NoSQL enjeksiyonu, komut enjeksiyonu ve güvensiz seri hale getirme burada gerçekleşir. En az yetkili veritabanı kullanıcısı, parametreli sorgular ve girdi doğrulama bu katmanın temel savunmasıdır; bir enjeksiyon bulgusu çoğu zaman doğrudan tam veri erişimine dönüşür.

Loglama & İzlemeDiğer katmanlar önlemeyi amaçlar; loglama ve izleme ise tespit ve sonradan inceleme sağlar. Yetersiz loglanan bir kimlik doğrulama, yetki reddi veya girdi doğrulama hatası, bir saldırının fark edilmesini ve yeniden kurgulanmasını imkânsız kılar. Hassas veriyi loga yazmadan, anlamlı olayları saklamak bu katmanın dengesidir.

İş etkisi

Güvenlik göz ardı edilirse ne olur?

Bir uygulama zafiyetinin bedeli, tek bir hatalı yanıttan çok daha büyüktür. Etkiler teknik olduğu kadar ticaridir; çoğu zaman en pahalı kısım, zafiyetin kendisi değil sızan veriyle gelen yasal yükümlülük ve kaybedilen güvendir. Aşağıdaki sonuçlar birbirini besler: bir kırık erişim kontrolü, veri sızıntısına; veri sızıntısı, yasal ve itibari kayba; hesap ele geçirme ise doğrudan gelir kaybına dönüşür. Yetkili ve yapılandırılmış bir değerlendirmenin maliyeti, bu zincirin tamamının yanında küçük kalır.

Veri sızıntısıEnjeksiyon veya kırık erişim kontrolü, kullanıcı, müşteri ve ödeme verisinin toplu biçimde dışarı çıkmasına yol açar. Sızan veri geri alınamaz ve yasal yükümlülük doğurur.

Hesap ele geçirmeZayıf kimlik doğrulama veya oturum yönetimi, saldırganın başka kullanıcıların ve yöneticilerin hesabına geçmesini sağlar. Tek bir yönetici hesabı, uygulamanın tamamının kontrolü demektir.

Kiracılar arası veri sızmasıÇok kiracılı bir uygulamada zayıf yetki yalıtımı, bir müşterinin başka bir müşterinin verisini görmesine yol açar. Bu, SaaS iş modelinin temelini sarsar.

Uzaktan kod çalıştırmaGüvensiz dosya yükleme, enjeksiyon veya güvensiz seri hale getirme, saldırganın sunucuda komut çalıştırmasına kapı açabilir. Bu, tam ele geçirmenin en ağır biçimidir.

İş mantığı istismarıFiyat manipülasyonu, sınırsız indirim, adım atlama veya kota aşımı gibi kötüye kullanımlar doğrudan gelir kaybı ve dolandırıcılık yaratır. Uygulama "çalışıyor" görünse de para kaybeder.

Yetki yükseltmeSıradan bir kullanıcının yönetici yetkilerine ulaşması, uygulamadaki her kısıtlamayı geçersiz kılar. Saldırgan artık kural koyan taraf olur.

API kötüye kullanımıHız sınırı ve yetkilendirmesi zayıf API'ler, otomatik veri kazıma, kaynak tüketimi ve toplu hesap saldırıları için kullanılır. API çoğu zaman en az korunan ama en çok veri taşıyan yüzeydir.

İç ağ maruziyetiSunucu taraflı istek sahteciliği (SSRF), saldırganın uygulama üzerinden iç ağ kaynaklarına ve bulut meta veri servislerine ulaşmasını sağlayabilir. Dış yüzeydeki bir kusur, iç ağı açığa çıkarır.

İtibar ve güven kaybıBir veri ihlali duyurulduğunda müşteriler ve iş ortakları temkinli davranmaya başlar. Özellikle veri işleyen bir üründe güven, geri kazanılması en zor varlıktır.

Yasal yükümlülük ve kurtarma maliyetiSızan kişisel veri, bildirim yükümlülüğü, olası yaptırım ve acil müdahale masraflarını beraberinde getirir. Kriz sonrası fatura, önceden yapılan bir değerlendirmenin çok katıdır.

Yaygın riskler

En sık karşılaşılan web sitesi güvenlik riskleri

Aşağıda web uygulamalarında en sık karşılaşılan risk kategorileri yer alıyor; büyük ölçüde OWASP Top 10 (2021) çerçevesiyle örtüşürler. Her biri için ne olduğunu, neden önemli olduğunu, nasıl fark edilebileceğini ve tipik giderme yönünü özetledik. Bu liste bir teşhis aracı değil, bir farkındalık haritasıdır; uygulamanızda hangilerinin bulunduğunu ve gerçekten istismar edilebilir olup olmadığını kesin olarak söylemek ancak yazılı yetkilendirmeye dayalı, kapsamı tanımlı bir değerlendirmeyle mümkündür.

Kırık erişim kontrolü (IDOR/BOLA)

Nedir?Kullanıcının, kimliği (id) değiştirerek yetkisi olmayan nesnelere veya işlevlere erişebilmesi.

Neden önemli?OWASP Top 10'un en üst sırasındaki risktir; tek bir parametreyle başka kullanıcıların verisi okunabilir veya değiştirilebilir.

Nasıl tespit edilir?Yetkili bir test kapsamında, farklı roldeki hesaplarla aynı uç noktaları çağırıp nesne düzeyinde yetki kontrolünü doğrulayarak.

Giderme yönüHer istekte, her nesne için sunucu tarafında sahiplik ve rol kontrolü uygulamak; kimliği asla istemciye güvenerek kabul etmemek.

SQL / NoSQL enjeksiyonu

Nedir?Kullanıcı girdisinin sorgulara güvensiz biçimde katılmasıyla veri katmanına müdahale.

Neden önemli?Saldırganın verileri okumasına, değiştirmesine, kimlik doğrulamayı atlamasına ve bazen sunucuda komut çalıştırmasına yol açar.

Nasıl tespit edilir?Girdi noktalarını, yetkili kapsam içinde manuel test ve kod incelemesiyle değerlendirerek.

Giderme yönüParametreli sorgular ve hazır ifadeler kullanmak, girdi doğrulamak ve en az yetkili veritabanı kullanıcısıyla çalışmak.

XSS (Siteler arası betik)

Nedir?Doğrulanmamış girdinin sayfaya betik olarak yansıtılması (yansıyan, kalıcı veya DOM tabanlı).

Neden önemli?Ziyaretçi tarayıcısında kod çalıştırarak oturum çalma, işlem yapma ve içerik değiştirme sağlar.

Nasıl tespit edilir?Girdi/çıktı noktalarını test ederek ve içeriğin nasıl işlendiğini inceleyerek.

Giderme yönüBağlama duyarlı çıktı kaçışı, girdi doğrulama ve daraltılmış bir CSP politikası uygulamak.

CSRF (Siteler arası istek sahteciliği)

Nedir?Kullanıcının oturumu üzerinden, onun bilgisi olmadan istem dışı işlem yaptırılması.

Neden önemli?Saldırgan, oturum açmış kullanıcıya para transferi veya ayar değişikliği gibi işlemleri yaptırabilir.

Nasıl tespit edilir?Durum değiştiren isteklerde belirteç kontrolü ve SameSite çerez davranışını inceleyerek.

Giderme yönüCSRF belirteçleri, SameSite çerezleri ve durum değiştiren işlemlerde yeniden doğrulama kullanmak.

SSRF (Sunucu taraflı istek sahteciliği)

Nedir?Uygulamanın, kullanıcı kontrollü bir adrese sunucu üzerinden istek atması.

Neden önemli?Saldırganın iç ağ kaynaklarına, bulut meta veri servislerine ve dahili API'lere ulaşmasını sağlayabilir.

Nasıl tespit edilir?Adres alan parametrelerin iç kaynaklara yönlendirilip yönlendirilemediğini yetkili kapsamda test ederek.

Giderme yönüHedef adresleri izin listesiyle sınırlamak, iç ağ aralıklarını engellemek ve yanıtları filtrelemek.

Kimlik doğrulama zafiyetleri

Nedir?Zayıf parola politikası, MFA yokluğu, hatalı oturum sonlandırma ve güvensiz sıfırlama akışları.

Neden önemli?Parola tek başına ele geçirildiğinde ek katman olmadığından hesaplar doğrudan düşer; kimlik bilgisi doldurma kolaylaşır.

Nasıl tespit edilir?Giriş, kayıt ve sıfırlama akışlarını, oturum belirteci yaşam döngüsüyle birlikte inceleyerek.

Giderme yönüGüçlü parola politikası, MFA, güvenli oturum yönetimi ve giriş/sıfırlama uç noktalarında hız sınırı uygulamak.

Oturum / belirteç yönetimi kusurları

Nedir?Süresiz, tahmin edilebilir veya çıkışta geçersiz kılınmayan oturum ve JWT belirteçleri.

Neden önemli?Ele geçirilen bir belirteç uzun süre geçerli kalırsa, saldırgan erişimini korur ve tespit zorlaşır.

Nasıl tespit edilir?Belirteç üretimini, süresini, iptal davranışını ve JWT imza/doğrulama yapılandırmasını inceleyerek.

Giderme yönüKısa ömürlü belirteçler, güvenli iptal, doğru imza doğrulama ve oturum çerezlerinde güvenlik bayrakları kullanmak.

Fonksiyon düzeyinde yetki eksikliği

Nedir?Yönetici veya ayrıcalıklı işlevlerin, yalnızca arayüzde gizlenerek korunması.

Neden önemli?Uç nokta doğrudan çağrıldığında yetki kontrolü olmadığından sıradan kullanıcı ayrıcalıklı işlem yapabilir.

Nasıl tespit edilir?Ayrıcalıklı uç noktaları düşük yetkili bir hesapla, yetkili kapsam içinde çağırarak.

Giderme yönüHer ayrıcalıklı işlevde sunucu tarafında rol ve yetki kontrolünü zorunlu kılmak; varsayılan olarak reddetmek.

Toplu atama (mass assignment)

Nedir?İstemciden gelen alanların, filtrelenmeden doğrudan modele bağlanması.

Neden önemli?Kullanıcı, isteğe "rol=admin" gibi beklenmeyen bir alan ekleyerek yetkisini yükseltebilir.

Nasıl tespit edilir?Model bağlama davranışını ve kabul edilen alanların açıkça sınırlanıp sınırlanmadığını inceleyerek.

Giderme yönüYalnızca izin verilen alanları açıkça beyaz listeye almak; hassas alanları bağlanabilir yapmamak.

Güvensiz dosya yükleme

Nedir?Yüklenen dosyaların tipinin, boyutunun ve konumunun doğrulanmaması.

Neden önemli?Saldırgan çalıştırılabilir bir dosya yükleyerek doğrudan uzaktan kod çalıştırmaya ulaşabilir.

Nasıl tespit edilir?Yükleme uç noktalarına, yetkili kapsamda farklı dosya tipleriyle kontrollü test yaparak.

Giderme yönüDosya tipini içeriğe göre doğrulamak, yükleme dizininde çalıştırmayı kapatmak ve web kökünden ayırmak.

Eksik hız sınırı

Nedir?Giriş, OTP, parola sıfırlama ve maliyetli uç noktalarda istek sınırının bulunmaması.

Neden önemli?Kaba kuvvet, kimlik bilgisi doldurma ve kaynak tüketen otomatik kötüye kullanıma kapı açar.

Nasıl tespit edilir?Kritik uç noktalara arka arkaya istek göndererek sınır davranışını gözlemleyerek.

Giderme yönüUç nokta ve kullanıcı bazında hız sınırı, hesap kilitleme ve şüpheli davranış tespiti uygulamak.

GraphQL'e özgü riskler

Nedir?İç içe sorgu derinliği, tanıtım (introspection) ifşası ve toplu (batch) kötüye kullanım.

Neden önemli?Kontrolsüz derinlik ve karmaşıklık, hizmet dışı bırakma ve aşırı veri çekmeye yol açabilir.

Nasıl tespit edilir?Şema tanıtımını, sorgu derinliği ve karmaşıklık sınırlarını yetkili kapsamda test ederek.

Giderme yönüTanıtımı üretimde kısıtlamak, sorgu derinliği/karmaşıklık sınırı koymak ve alan düzeyinde yetkilendirme uygulamak.

Güvenlik yanlış yapılandırması

Nedir?Varsayılan hesaplar, gereksiz açık özellikler, ayrıntılı hata sayfaları ve gevşek CORS.

Neden önemli?Küçük görünen yapılandırma hataları, saldırgana kolay bir giriş noktası veya bilgi kazancı sağlar.

Nasıl tespit edilir?Yanıt başlıklarını, hata davranışını, CORS politikasını ve açık yönetim arayüzlerini inceleyerek.

Giderme yönüVarsayılanları sıkılaştırmak, gereksiz özellikleri kapatmak, hataları sadeleştirmek ve CORS'u daraltmak.

Aşırı veri ifşası

Nedir?API yanıtlarının, arayüzde gösterilenden fazla ve hassas alanları döndürmesi.

Neden önemli?Parola özetleri, dahili bayraklar veya başka kullanıcı verisi, istemci filtresine güvenildiği için sızabilir.

Nasıl tespit edilir?API yanıtlarını ham biçimde inceleyerek ve döndürülen alanları beklenenle karşılaştırarak.

Giderme yönüYanıtları açık bir şemayla sınırlamak; hassas alanları sunucu tarafında hiç döndürmemek.

Güvensiz seri hale getirme

Nedir?Güvenilmez veriden nesne yeniden oluşturulurken bütünlüğün doğrulanmaması.

Neden önemli?Uygun koşullarda uzaktan kod çalıştırmaya veya yetki yükseltmeye yol açabilir.

Nasıl tespit edilir?Seri hale getirilmiş veri kabul eden uç noktaları, yetkili kapsamda inceleyerek.

Giderme yönüGüvenilmez kaynaktan nesne yeniden oluşturmaktan kaçınmak, bütünlük imzası ve tip kısıtı uygulamak.

Zafiyetli bağımlılıklar

Nedir?Uygulamanın kullandığı kütüphane ve paketlerin bilinen açıklar taşıyan sürümlerde kalması.

Neden önemli?Bilinen açıklar herkese açıktır ve doğrudan uygulamanın içine taşınır; botlar otomatik istismar eder.

Nasıl tespit edilir?Bağımlılık envanterini bilinen zafiyet kayıtlarıyla karşılaştırarak.

Giderme yönüBağımlılıkları düzenli güncellemek, kullanılmayanları kaldırmak ve bir yazılım bileşen envanteri tutmak.

Yetersiz loglama & izleme

Nedir?Kimlik doğrulama, yetki reddi ve girdi hatalarının anlamlı biçimde loglanmaması.

Neden önemli?Bir saldırı fark edilemez ve olay sonrası yeniden kurgulanamaz; müdahale gecikir.

Nasıl tespit edilir?Kritik olayların loglanıp loglanmadığını ve logların saklanma biçimini inceleyerek.

Giderme yönüAnlamlı güvenlik olaylarını hassas veri yazmadan loglamak, saklamak ve uyarı mekanizmalarına bağlamak.

Güvenlik başlığı & TLS eksiklikleri

Nedir?CSP, HSTS, çerçeveleme koruması eksikliği ve zayıf TLS yapılandırması.

Neden önemli?XSS ve clickjacking etkisi büyür; trafik araya girme ve şifre çözme riskine açılır.

Nasıl tespit edilir?HTTP yanıt başlıklarını ve TLS yapılandırmasını tahribatsız kontrollerle inceleyerek.

Giderme yönüEksik başlıkları eklemek, CSP'yi önce report-only test etmek ve yalnızca TLS 1.2/1.3 desteklemek.

Değerlendirme

Web sitesi güvenliğini nasıl değerlendiriyoruz?

Bir web uygulamasının güvenlik duruşu tek bir teste indirgenemez; birden çok boyutun birlikte değerlendirilmesini gerektirir. Aşağıda değerlendirmeyi yapılandırdığımız ana başlıklar ve her başlıkta baktığımız temel unsurlar yer alıyor. Bu çerçeve, hem neyin kapsandığını hem de bir güvenlik incelemesinin ne kadar geniş olması gerektiğini şeffaf biçimde gösterir. Kimlik doğrulamalı akışları ve istismar denemesi gerektiren unsurları yalnızca yazılı yetkilendirme ve tanımlı bir test penceresi içinde ele alırız.

Kimlik Doğrulama & Oturum

Parola politikası ve MFA
Oturum ve belirteç yaşam döngüsü
JWT imza ve doğrulama yapılandırması
Parola sıfırlama ve "beni hatırla" akışları
Giriş uç noktalarında hız sınırı

Yetkilendirme & Erişim Kontrolü

Nesne düzeyi yetki (IDOR/BOLA)
Fonksiyon düzeyi yetki
Çok kiracılı veri yalıtımı
Rol ve ayrıcalık sınırları
Varsayılan reddetme davranışı

Girdi Doğrulama & Enjeksiyon

SQL/NoSQL enjeksiyonu
Komut ve şablon enjeksiyonu
Yansıyan/kalıcı/DOM XSS
SSRF ve açık yönlendirme
Güvensiz seri hale getirme

API Güvenliği

REST uç nokta yetkilendirmesi
GraphQL derinlik ve tanıtım kontrolü
Toplu atama (mass assignment)
Aşırı veri ifşası
Hız sınırı ve kota

İş Mantığı

Akış sırası ve adım atlama
Fiyat, indirim ve kota kötüye kullanımı
Tek kullanımlık işlem denetimi
Yarış durumu (race condition)
İş kuralı doğrulamasının sunucu tarafında olması

Yapılandırma & Bağımlılık

Güvenlik başlıkları ve CORS
TLS ve çerez bayrakları
Hata ve bilgi ifşası
Zafiyetli bağımlılıklar
Varsayılan ve gereksiz açık özellikler

Loglama & İzleme

Kimlik doğrulama ve yetki olaylarının loglanması
Hassas verinin loglanmaması
Log saklama ve bütünlük
Uyarı ve bildirim mekanizmaları
Olay sonrası inceleme hazırlığı

Sonuç: İstismar zincirlerini, kanıt görüntülerini (PoC) ve gerçek iş etkisini içeren derinlemesine bir sızma testi raporu.

Senaryo: "Bir saldırgan gerçekten nereye kadar gidebilir, yetkili biçimde görmek istiyorum" diyen ekipler için.

İncele

Yol gösterici

Hangi hizmete ihtiyacım var?

Doğru hizmet, olgunluk düzeyinize ve sorunuzun türüne göre değişir. Aşağıdaki hızlı eşleştirme, durumunuzu bir cümleyle tanımlayıp size en uygun başlangıç noktasını bulmanıza yardımcı olur. Emin değilseniz web uygulama güvenlik değerlendirmesi neredeyse her zaman doğru ilk adımdır; çünkü hangi odaklı teste ihtiyacınız olduğunu da o netleştirir. Her hizmette, istismar gerektiren kısımlar yalnızca yazılı yetkilendirme ve tanımlı kapsamla yürütülür.

Durumunuz	Önerilen hizmet
"Uygulamam güvenli mi bilmiyorum"	Web Uygulama Güvenlik Değerlendirmesi	Git
"Bilinen zafiyetleri genişçe görmek istiyorum"	Zafiyet Değerlendirmesi	Git
"API'm doğrudan çağrıldığında güvenli mi?"	API Güvenlik Değerlendirmesi	Git
"Giriş ve oturum akışım dayanıklı mı?"	Kimlik Doğrulama Güvenlik Testi	Git
"Bir kullanıcı başkasının verisine erişebilir mi?"	Yetkilendirme Testi	Git
"Tanınan bir çerçeveye göre değerlendirilmek istiyorum"	OWASP Top 10 Değerlendirmesi	Git
"Gerçek istismar edilebilirliği yetkili biçimde görmek istiyorum"	Sızma Testi (Pentest)	Git

Süreç

Güvenlik sürecimiz

1Yetkilendirme & KapsamTest edilecek uygulamaları, uç noktaları, rolleri ve sınırları YAZILI olarak netleştirir; yazılı yetkilendirme, tanımlı kapsam ve bir test penceresi üzerinde anlaşırız. Kapsam dışı hiçbir şeye dokunmayız ve anonim/yetkisiz test yapmayız.

2KeşifUygulamanın teknoloji yığınını, uç noktalarını, rollerini ve saldırı yüzeyini haritalarız. Belgelenmemiş ve unutulmuş uç noktaları da bu aşamada ortaya çıkarırız.

3DeğerlendirmeOtomatik tarama ve manuel derin testi birleştirerek enjeksiyon, erişim kontrolü, kimlik doğrulama, API ve iş mantığı katmanlarını kapsam içinde inceleriz.

4Doğrulama & PoCHer bulguyu manuel olarak doğrular; yetkili kapsam içinde, üretime zarar vermeden tekrar edilebilir bir kanıt (PoC) üretiriz. Yanlış pozitifleri bu aşamada eleriz.

5Risk SınıflandırmaHer doğrulanmış bulguyu CVSS ve gerçek iş etkisine göre kritik, yüksek, orta, düşük ve bilgilendirici olarak sınıflandırırız.

6Giderme PlanıÖnce neyin kapatılacağını belirleyen, bağımlılıkları ve olası yan etkileri gözeten bir yol haritası çıkarırız; her bulgu için somut düzeltme yönü veririz.

KritikKritik — Yetkili kapsamda doğrulanmış, doğrudan tam ele geçirmeye, uzaktan kod çalıştırmaya veya toplu veri sızıntısına yol açan bulgular. Derhal ele alınması gerekir.

YüksekYüksek — Ciddi etkisi olan, istismarı görece kolay veya olası; kısa vadede öncelikli olarak kapatılması gereken bulgular.

OrtaOrta — Belirli koşullarda istismar edilebilen veya etkisi sınırlı; planlı biçimde giderilmesi gereken bulgular.

DüşükDüşük — Tek başına düşük riskli, ancak diğer bulgularla zincirlendiğinde saldırı yüzeyini genişleten bulgular.

BilgiBilgilendirici — Doğrudan bir zafiyet olmayan, iyileştirme veya sertleştirme fırsatı işaret eden gözlemler.

Çıktı

Ne teslim alırsınız?

Yönetici özeti ve genel uygulama güvenliği duruşu değerlendirmesi
Önem derecesine göre sınıflandırılmış, kanıtlı ve PoC ile desteklenmiş bulgu listesi
Her bulgu için etki açıklaması ve adım adım (geliştiriciye yönelik) çözüm önerisi
CVSS temelli önceliklendirilmiş giderme yol haritası
OWASP Top 10 (2021) kategorileriyle eşleştirme (ilgili değerlendirmelerde)
Yeniden test (retest) için kontrol listesi ve doğrulama kapsamı
Test kapsamı, yetkilendirme ve test penceresini belgeleyen kapsam kaydı
Teknik olmayan paydaşlar için sadeleştirilmiş özet
İsteğe bağlı aktarım görüşmesi ve geliştirici soru-cevap desteği

Ücretsiz

Ücretsiz web sitesi güvenlik taraması

Başlamadan önce uygulamanızın dış yüzeyini hızlıca görmek isterseniz, ücretsiz ve saldırgan olmayan bir tarama sunuyoruz. Bu tarama yalnızca dışarıdan, kimlik doğrulaması gerektirmeyen halka açık göstergelere bakar; uygulamanızın içine girmez, verilerinizi değiştirmez ve hiçbir istismar denemesi yapmaz. Amaç kapsamlı bir değerlendirme değil; öncelikli sinyalleri erkenden görünür kılmak ve size bir başlangıç yönü vermektir.

Neyi kontrol eder

güvenlik başlıkları
TLS yapılandırması
çerez bayrakları (Secure, HttpOnly, SameSite)
sunucu ve teknoloji ifşası
temel CORS davranışı
açıkta kalan yaygın yollar

Neyi kontrol etmez

kimlik doğrulamalı alanlar
iş mantığı zafiyetleri
enjeksiyon testleri
API yetkilendirme testleri

Sitenizin güvenlik skorunu ölçün

Sonuç olarak bir güvenlik skoru ve öncelikli sinyallerin kısa bir listesini alırsınız; bu, yazılı olarak yetkilendirilmiş bir derin değerlendirmeye geçip geçmemenize karar vermenize yardımcı olur.

Ücretsiz Tarama

Ölçüm

Web sitesi güvenlik skoru

Ücretsiz tarama ve değerlendirme çıktısını anlaşılır kılmak için uygulama güvenliği duruşunu kategorilere ayırıp örnek bir skorla gösteriyoruz. Aşağıdaki sayılar gerçek bir uygulamaya ait değildir; skorun nasıl okunacağını göstermek için temsilîdir.

64/100 · örnek

Enjeksiyon70

Kırık Erişim Kontrolü50

Kimlik Doğrulama60

API Güvenliği55

Güvenlik Yanlış Yapılandırması68

Girdi Doğrulama72

Loglama58

Güvenlik tek bir sayıya indirgenemez; skor bir garanti değil, önceliklendirme aracıdır. Yüksek bir toplam skor bile tek bir kritik erişim kontrolü bulgusunun önemini ortadan kaldırmaz; skoru her zaman bulguların ayrıntısıyla birlikte okuyun.

Önce / Sonra

Sertleştirme öncesi ve sonrası

Güvenlik garanti değil, ölçülebilir risk azaltmadır. Örnek bir dönüşüm:

Önce

nesne düzeyi yetki eksik
girdi doğrulaması boşluklu
API aşırı veri döndürüyor
hız sınırı yok
zafiyetli bağımlılıklar
yetersiz güvenlik loglaması

Sonra

her nesnede sunucu taraflı yetki kontrolü
bağlama duyarlı girdi doğrulama ve çıktı kaçışı
şemayla sınırlı API yanıtları
uç nokta bazında hız sınırı
güncel ve envanterlenmiş bağımlılıklar
anlamlı güvenlik olayları loglanıyor

Kimler için?

Web sitesi güvenliğine kimlerin ihtiyacı var?

SaaS UygulamalarıÇok kiracılı yapıda veri yalıtımı, API güvenliği ve kimlik doğrulama öne çıkar. Bir kiracının başka bir kiracının verisini görmesi, iş modelinin temelini sarsar ve doğrudan müşteri kaybına yol açar.

E-TicaretÖdeme akışı, sepet ve indirim mantığı yüksek değerli hedeftir. İş mantığı istismarı (fiyat manipülasyonu, kupon kötüye kullanımı) ve kart verisi hırsızlığı hem gelir hem yasal yükümlülük riski doğurur.

API Sağlayıcılarıİş ortaklarını ve istemcileri API ile besleyen ürünlerde uç nokta yetkilendirmesi, aşırı veri ifşası ve hız sınırı kritiktir. API çoğu zaman en çok veri taşıyan ama en az korunan yüzeydir.

Fintech & Yüksek Riskli UygulamalarPara ve kişisel finansal veri taşıdıkları için hedefin merkezindedir. Güçlü kimlik doğrulama, sıkı yetkilendirme ve kapsamlı loglama vazgeçilmezdir; bir kusurun bedeli çok yüksektir.

AjanslarOnlarca müşteri uygulamasını geliştirir ve yönetirler; tek bir zayıf halka tüm portföyü riske atabilir. Tekrarlanabilir, yetkili değerlendirme akışı ve net raporlama onlar için kritiktir.

Üyelik / Portal UygulamalarıKullanıcı hesapları ve kişisel veri yoğunluğu, kimlik bilgisi doldurma ve hesap ele geçirme saldırılarını çeker. Güçlü kimlik doğrulama ve nesne düzeyi yetki kontrolü vazgeçilmezdir.

Tek Sayfa & Mobil Arka UçlarıArayüz mantığı istemcide çalıştığından, tüm güvenliğin sunucu tarafındaki API katmanına dayanması gerekir. İstemci kontrollerine güvenmek en sık yapılan hatadır.

Kurumsal İç Uygulamalarİç kullanım "güvenli" sanılsa da yetki yükseltme ve iç ağ maruziyeti ciddi risktir. Erişim kontrolü ve loglama, bir olayı sınırlamak ve incelemek için kritiktir.

Güvenlik & SEO

Güvenlik sorunları SEO'nuzu nasıl etkiler?

Uygulama güvenliği ve organik değer çoğu üründe birbirine bağlıdır. Bir güvenlik olayı yalnızca veriyi değil, arama görünürlüğünü ve güveni de doğrudan etkiler; tersine, sağlıklı bir güvenlik duruşu marka değerinizi korur. Aşağıdaki noktalar, bir uygulama zafiyetinin görünürlük ve itibar tarafında nasıl karşımıza çıktığını özetliyor.

Ele geçirilen bir uygulama, ziyaretçilere zararlı içerik sunarak arama motoru güvenlik uyarılarını tetikler.
Enjekte edilen spam sayfalar ve gizli bağlantılar, alan adınızın arama itibarını zedeler.
Bir veri ihlali duyurusu, marka aramalarında olumsuz içeriğin öne çıkmasına yol açar.
Kesinti ve hata veren uygulama, kullanıcı deneyimi sinyallerini ve dönüşümü düşürür.
Zararlı yönlendirmeler, ziyaretçileri sahte sitelere göndererek trafiği ve güveni kaçırır.
Yavaş veya kötüye kullanılan API'ler, kullanıcı tarafı performansını ve sayfa deneyimini bozar.
Search Console'da güvenlik sorunu uyarıları belirdiğinde dizinleme ve görünürlük geriler.
Bir kez zararlı işaretlenen alan adının arama motoru itibarı yavaş toparlanır.

Anlamlı güvenlik loglaması, bir olayı sonradan yeniden kurgulamayı ve kapsamını belirlemeyi mümkün kılar.
Yeniden test döngüsü, kapatıldığı bildirilen bulguların gerçekten giderildiğini doğrular.
Tanımlı bir olay müdahale sırası, panikle atılan ve durumu kötüleştiren adımları önler.
Belirteç ve kimlik bilgisi iptal yeteneği, bir sızıntı anında erişimi hızla kesmenizi sağlar.
Güvenliğin geliştirme sürecine yerleştirilmesi, her yeni sürümde aynı kusurların tekrarını azaltır.

İş sürekliliği

Önleme tek başına yeterli değildir

Güvenlik yalnızca zafiyeti bulmak değil; bir olay yaşandığında hızlı, kontrollü ve kanıtı koruyarak toparlanabilmektir. İş sürekliliği, önleme başarısız olduğunda hasarı sınırlayan hazırlıkla ilgilidir. Aşağıdaki unsurlar, bir uygulama olayını felakete dönüşmeden yönetmenizi sağlar.

Neden Yazılım.pro

Bizi farklı kılan nedir?

Web geliştirme bilgisiGüvenlik açıklarını yalnızca dışarıdan taramakla kalmayız; kodun ve uygulama mantığının nasıl yazıldığını bildiğimiz için gerçek istismar edilebilirliği ve doğru düzeltmeyi değerlendirebiliriz.

Manuel derinlikOtomatik araçların göremediği iş mantığı, erişim kontrolü ve zincirleme kusurları manuel testle ortaya çıkarır; her bulguyu PoC ile kanıtlarız.

API ve modern yığın hâkimiyetiREST, GraphQL, JWT/OAuth2 ve tek sayfa/mobil arka uçlarının nasıl çalıştığını bildiğimiz için arayüzün gizlediği yüzeyi doğru test ederiz.

Yetkili ve şeffaf kapsamNe yapacağımızı ve neyi yapmayacağımızı yazılı olarak belirleriz; derin test ve istismar yalnızca yazılı yetkilendirme, tanımlı kapsam ve test penceresiyle yürütülür. Anonim/yetkisiz test yapmayız.

Geliştiriciye yönelik gidermeBulguyu soyut bırakmayız; her biri için geliştiricinin doğrudan uygulayabileceği somut düzeltme yönü ve kök neden veririz.

Gerçekçi vaatKimseye "%100 güvenli" veya "asla hacklenmezsiniz" demeyiz; ölçülebilir risk azaltma, doğrulanmış giderme ve dürüst bir duruş sözü veririz.

RaporlamaRaporlarımız hem geliştirici ekip hem karar vericiler için okunabilir; her bulgu kanıt, etki, PoC ve çözümle birlikte gelir.

Yeniden test desteğiTek seferlik işten sonra ortadan kaybolmayız; düzeltmeleri doğrulayan yeniden test ve sonraki adımlar için yanınızda kalırız.

SSS

Web sitesi güvenliği hakkında sık sorulanlar

Çalışan bir uygulamanın güvenlik değerlendirmesine ihtiyacı var mı?

Evet. Çalışıyor olması güvenli olduğu anlamına gelmez. Uygulama zafiyetlerinin çoğu ekranda görünmez; sunucu tarafındaki bir erişim kontrolü veya enjeksiyon kusuru, dışarıdan sorunsuz görünen bir uygulamada yaşayabilir. Bu kusurları ancak yapılandırılmış, yetkili bir değerlendirme ortaya çıkarır.

Testlerinizi yetki almadan yapabilir misiniz?

Hayır. Sızma testi ve derin güvenlik testleri yalnızca yazılı yetkilendirme, tanımlı kapsam ve üzerinde anlaşılmış bir test penceresiyle yürütülür. Anonim veya yetkisiz test yapmayız; kapsam dışı hiçbir varlığa dokunmayız. Ücretsiz tarama ise yalnızca dışarıdan görünen halka açık göstergeleri okuyan, saldırgan olmayan bir kontroldür.

Zafiyet değerlendirmesi ile sızma testi arasındaki fark nedir?

Zafiyet değerlendirmesi genişlik odaklıdır: mümkün olduğunca çok zafiyeti bulur ve manuel doğrulamayla ayıklar, ancak kontrollü doğrulama dışında derin istismar yapmaz. Sızma testi ise derinlik odaklıdır: bulunan zafiyetleri, yalnızca yetkili kapsam içinde kontrollü biçimde istismar ederek gerçek etkiyi ve zincirleme yolları kanıtla gösterir. Çoğu ekip önce zafiyet değerlendirmesiyle başlar.

Yüzde yüz güvenli olabilir miyim?

Hayır ve böyle bir vaat teknik olarak dürüst değildir. Güvenlik; risk azaltma, doğrulama ve sürekli iyileştirmenin bir döngüsüdür. Biz ölçülebilir risk azaltma, kanıtlı bulgu ve doğrulanmış giderme sözü veririz; sihirli bir garanti değil.

Otomatik tarayıcı kullansam yeterli olmaz mı?

Olmaz. Otomatik tarayıcılar yüzeyi hızlı tarar ama yanlış pozitif üretir ve erişim kontrolü ile iş mantığı kusurlarını göremez; çünkü bu kusurlar uygulamanın anlamını bilmeyi gerektirir. Biz otomatik taramayı manuel derin testle birleştirir, her bulguyu PoC ile kanıtlar ve önceliklendiririz.

OWASP Top 10 nedir ve testleriniz onu kapsar mı?

OWASP Top 10, web uygulamalarındaki en yaygın ve kritik risk kategorilerini derleyen, sektörce tanınan bir çerçevedir (güncel sürüm 2021). OWASP Top 10 Değerlendirmesi hizmetimiz uygulamayı bu kategoriler boyunca yapılandırılmış biçimde inceler; diğer değerlendirmelerimiz de bulguları bu çerçeveyle eşleştirir.

IDOR / BOLA nedir, neden bu kadar önemli?

IDOR (nesne düzeyinde yetki eksikliği) ve API tarafındaki karşılığı BOLA, bir kullanıcının istekteki kimliği değiştirerek yetkisi olmayan verilere erişebilmesidir. OWASP'ın en üst sırasındaki risktir çünkü tek bir parametreyle başka kullanıcıların verisi toplu biçimde okunabilir. Çözüm, her istekte her nesne için sunucu tarafında yetki kontrolüdür.

API testiniz REST dışında GraphQL'i de kapsıyor mu?

Evet. API Güvenlik Değerlendirmesi hem REST hem GraphQL uç noktalarını kapsar. GraphQL için ayrıca tanıtım (introspection) ifşası, sorgu derinliği/karmaşıklık sınırları ve toplu (batch) kötüye kullanım gibi kendine özgü riskleri; her ikisinde de nesne düzeyi yetki, aşırı veri ifşası, toplu atama ve hız sınırını değerlendiririz.

Testler üretim ortamıma zarar verir mi?

Amacımız zarar vermemektir. Ücretsiz tarama tahribatsızdır. Derin test ve istismar denemeleri yalnızca yazılı yetkilendirme ve üzerinde anlaşılmış bir test penceresinde yürütülür; mümkünse üretime yakın bir hazırlık (staging) ortamı tercih ederiz. Yıkıcı olabilecek denemeleri kapsamda açıkça belirler ve kontrollü biçimde yaparız.

Bulgular için kanıt (PoC) veriyor musunuz?

Evet. Her doğrulanmış bulgu için, yetkili kapsam içinde üretilmiş, tekrar edilebilir bir kavram kanıtı (PoC) sunarız. Bu, geliştirici ekibin bulguyu doğrulamasını, önemini anlamasını ve düzeltmeyi test etmesini kolaylaştırır. Bulguları tahminle değil kanıtla teslim ederiz.

Düzeltmeden sonra yeniden test ediyor musunuz?

Evet. Düzeltmelerinizi uyguladıktan sonra, kapatıldığı bildirilen bulguların gerçekten giderildiğini yeniden test (retest) ile doğrularız. Ayrıca düzeltmenin yeni bir sorun yaratmadığını kontrol ederiz; kapsam ve koşulları baştan birlikte belirleriz.

Bulguları geliştiricilerim mi uygulayacak, siz mi?

Değerlendirme ve raporu biz sunarız; her bulgu geliştiricinin doğrudan uygulayabileceği somut düzeltme yönü içerir. Düzeltmeleri kendi ekibiniz uygulayabilir; süreç boyunca soru-cevap desteği veririz. Rapor, hem teknik ekip hem karar vericiler için okunabilir biçimde hazırlanır.

CVSS nedir ve neden kullanıyorsunuz?

CVSS, bir zafiyetin ciddiyetini standart ve karşılaştırılabilir bir puanla ifade eden yaygın bir çerçevedir. Her bulguyu CVSS ve gerçek iş etkisiyle birlikte sınıflandırırız; böylece hangi zafiyeti önce kapatacağınızı nesnel bir temele dayandırırsınız. Skor tek başına yeterli değildir, iş etkisiyle birlikte okunur.

Hangi hizmetle başlamalıyım?

Emin değilseniz Web Uygulama Güvenlik Değerlendirmesi neredeyse her zaman doğru ilk adımdır; katmanları bütünsel görür ve hangi odaklı teste ihtiyacınız olduğunu netleştirir. Belirli bir sorunuz varsa (API, kimlik doğrulama, yetkilendirme) ilgili odaklı testle; gerçek istismar edilebilirliği görmek istiyorsanız yetkili bir sızma testiyle ilerleyebilirsiniz.

Sonraki adım

İlgili rehberler ve hizmetler

Web Sitesi Güvenliği Nedir?
Rehber

Web Sitesi Zafiyet Değerlendirmesi
Web Sitesi Güvenliği WordPress Güvenlik Denetimi
WordPress Güvenliği Sunucu Güvenlik Denetimi
Sunucu Güvenliği Zafiyet İzleme
Yönetilen Güvenlik

Web sitenizin güvenliğini bugün değerlendirin

Sorunu tespit edelim, önceliklendirelim, giderelim ve sürekli izleme ile koruyalım — abartılı vaat değil, ölçülebilir risk azaltma.

Güvenlik Değerlendirmesi Talep Et Ücretsiz Site Taraması

Web Uygulama Güvenliği Hizmetleri

Web siteniz gerçekten güvende mi?

Web sitesi güvenliği aslında neyi kapsar?

Güvenlik göz ardı edilirse ne olur?

En sık karşılaşılan web sitesi güvenlik riskleri

Web sitesi güvenliğini nasıl değerlendiriyoruz?

Kimlik Doğrulama & Oturum

Yetkilendirme & Erişim Kontrolü

Girdi Doğrulama & Enjeksiyon

API Güvenliği

İş Mantığı

Yapılandırma & Bağımlılık

Loglama & İzleme

Web sitesi güvenliği hizmetlerimiz

Web Uygulama Güvenlik Değerlendirmesi

Zafiyet Değerlendirmesi

API Güvenlik Değerlendirmesi

Kimlik Doğrulama Güvenlik Testi

Yetkilendirme Testi

OWASP Top 10 Değerlendirmesi

Sızma Testi (Pentest)

Hangi hizmete ihtiyacım var?

Güvenlik sürecimiz

Tipik olarak neler tespit ederiz?

Nesne düzeyinde yetki eksikliği — IDOR (örnek bulgu)

Kimlik doğrulamalı uç noktada SQL enjeksiyonu (örnek bulgu)

API yanıtında aşırı veri ifşası (örnek bulgu)

Giriş uç noktasında hız sınırı yokluğu (örnek bulgu)

Yansıyan XSS (örnek bulgu)

JWT belirteci çıkışta geçersiz kılınmıyor (örnek bulgu)

Ayrıntılı hata mesajı ifşası (örnek bulgu)

Güvenlik başlıklarının eksikliği (örnek bulgu)

Önem derecesi modeli