Modern Web Güvenliği Rehberi: OWASP Standartları ve Veri Koruma

1. OWASP Temel Risklerini Kapatma

Modern web projelerinde saldırı yüzeyini daraltmak için kritik OWASP açıklarını kaynağında engelleyin.

A. Enjeksiyon ve XSS Saldırılarını Önleme

• SQL Injection: Dinamik sorgu çalıştırmayın. Parametreli sorgular (Prepared Statements / ORM) kullanın.
• Cross-Site Scripting (XSS): DOM çıktısını bağlama göre encode edin. innerHTML yerine textContent kullanın. Girdi doğrulamasında allowlist kuralı işletin.
• SSRF (Server-Side Request Forgery): Sunucu taraflı isteklerde IP allowlist zorunlu tutun. İç ağ IP bloklarına (10.0.0.0/8, 127.0.0.1, 169.254.169.254) erişimi engelleyin.

2. HTTP Güvenlik Başlıklarını (Security Headers) Yapılandırma

Web sunucusuna (Nginx, Caddy, Apache) veya CDN katmanına aşağıdaki başlıkları ekleyin:

• Content-Security-Policy (CSP): default-src 'self'; script-src 'self' https://trusted.cdn.com; object-src 'none';
• Strict-Transport-Security (HSTS): max-age=63072000; includeSubDomains; preload
• X-Frame-Options: DENY veya SAMEORIGIN ile Clickjacking engeli.
• X-Content-Type-Options: nosniff ile MIME türü saptırmasını durdurun.
• Referrer-Policy: strict-origin-when-cross-origin ile hassas URL parametresi sızıntısını kesin.

3. Kimlik Doğrulama ve Oturum Güvenliği

A. Parola Saklama

MD5/SHA256 kullanmayın. Argon2id veya bcrypt (work factor >= 12) ile hashleyin.

B. Çerez (Cookie) Politikaları

Oturum çerezlerinde şu bayrakları zorunlu kılın:

• Secure: Yalnızca HTTPS üzerinden iletim.
• HttpOnly: JavaScript erişimini engelleme (XSS oturum hırsızlığına karşı).
• SameSite=Lax veya Strict: CSRF saldırılarına karşı koruma.

4. Veri İletimi ve Saklama Güvenliği (At-Rest & In-Transit)

• In-Transit: TLS 1.3 zorunlu kılın. Zayıf şifreleme algoritmalarını (RC4, 3DES) devre dışı bırakın.
• At-Rest: Hassas kullanıcı verilerini (TCKN, kart bilgisi, adres) AES-256-GCM ile şifreleyin. Şifreleme anahtarlarını kaynak kodda değil, KMS (Key Management Service) veya ortam değişkenlerinde saklayın.

Dijital Ajans Notu: Modern web projelerinde güvenlik trendleri, 'Secure by Default' felsefesine dayanır. Güvenliği canlıya çıkış öncesi test adımı değil, mimarinin ilk katmanı yapın.

5. Doğrulama ve Güvenlik Testi Adımları

• Bağımlılık güvenlik taraması yapın: npm audit, pip-audit veya Trivy.
• Zafiyet tarayıcılarını CI/CD boru hattına entegre edin (SAST & DAST).
• Sunucu hata çıktılarını kapatın. Canlı ortamda stack trace göstermeyin; generic hata kodları döndürün.