Modern Web Güvenliği ve OWASP Tehdit Modeli

Modern web siteleri karmaşık API ve istemci mimarileri kullanır. Güvenlik açıkları veri sızıntılarına yol açar. Dijital ajans ve geliştirme ekipleri OWASP Top 10 standartlarını temel almalıdır. Bu rehber, kritik açıkları kapatma adımlarını içerir.

Adım 1: Girdi Doğrulama ve SQL Injection / XSS Önleme

Kullanıcı girdisine asla güvenilmez. Parametreli sorgular ve bağlama duyarlı çıktı kodlama zorunludur.

SQL Injection: ORM veya Prepared Statements kullan. Ham SQL birleştirmeyi engelle.
XSS (Cross-Site Scripting): HTML çıktılarında veriyi encode et. DOM manipülasyonunda textContent veya modern reaktif kütüphaneleri tercih et, innerHTML kullanma.
Content Security Policy (CSP): Güvenilmeyen script yürütmesini engellemek için HTTP başlığı tanımla.

UYARI: Güvenlik filtrelerini regex ile elle yazmak bypass açıklarına yol açar. Platformun yerleşik doğrulama mekanizmalarını veya test edilmiş kütüphaneleri kullan.

Adım 2: Kimlik Doğrulama ve Oturum Güvenliği

Oturum yönetimi zafiyetleri hesap ele geçirme riskini doğurur.

Parola Depolama: Parolaları salt ekleyerek Argon2id veya bcrypt ile hashle. MD5/SHA256 tek başına yetersizdir.
Cookie Güvenliği: Hassas oturum çerezlerine HttpOnly, Secure ve SameSite=Strict bayraklarını ata.
Rate Limiting: Giriş ve parola sıfırlama uç noktalarına IP/kullanıcı bazlı istek limiti koy.

Adım 3: Kritik HTTP Güvenlik Başlıklarını Yapılandırma

Sunucu yanıt başlıkları tarayıcı düzeyinde saldırıları engeller. Nginx, Apache veya Edge CDN katmanında şu başlıkları zorunlu kıl:

Strict-Transport-Security (HSTS): max-age=31536000; includeSubDomains; preload
X-Content-Type-Options: nosniff
X-Frame-Options: DENY
Referrer-Policy: strict-origin-when-cross-origin
Content-Security-Policy: default-src 'self'; script-src 'self'

Adım 4: Veri Koruma ve Şifreleme Trendleri

Veri sızıntılarını önlemek için durağan ve hareket halindeki veri korunmalıdır.

Transit Veri: TLS 1.3 zorunlu tut. Eski TLS 1.0/1.1 protokollerini devre dışı bırak.
Durağan Veri: Hassas sütunları (TCKN, kart token, PII) AES-256-GCM ile uygulama seviyesinde şifrele.
Key Management: Şifreleme anahtarlarını kod deposunda tutma; ortam değişkeni (env) veya Vault benzeri anahtar yönetim servisleri kullan.

Adım 5: Dijital Ajans ve Geliştirme Süreçlerinde Güvenlik Otomasyonu

Güvenlik süreçleri CI/CD hattına entegre edilmelidir.

SAST / DAST: Kod tarama ve dinamik güvenlik testlerini derleme adımına bağla.
Bağımlılık Taraması: npm audit, Snyk veya Dependabot ile zafiyet barındıran paketleri otomatik tespit et.
Loglama ve İzleme: Güvenlik hatalarını merkezi sisteme yaz; ancak loglara şifre, token ve PII sızmasını engelle.