Web uygulama güvenliği, sade anlatımıyla

Content-Security-Policy (CSP): nedir ve nasıl eklenir

Enjekte edilen script'lerin çalışmasını durduran header.

HTTP Strict Transport Security (HSTS) açıklaması

Her bağlantıyı — ilkini bile — HTTPS kullanmaya zorla.

Clickjacking ve X-Frame-Options: sayfalarını iframe'lerden uzak tut

Tek bir header, saldırganların uygulamanı bir iframe içinde katmanlamasını durdurur.

Yapılandırma Hataları

.env dosyalarının açığa çıkması: saldırganlar secret'larını nasıl bulur

Erişilebilir tek bir .env, tüm stack'ini teslim edebilir.

CORS yanlış yapılandırması: joker ve yansıtma tuzakları

Her origin'e izin ver, her site API'ni okuyabilir.

Production'daki source map'ler kaynak kodunu sızdırır

Yayınlanan .map dosyaları orijinal kaynağını teslim eder.

Açıkta kalan .git dizini: göz önünde saklanan kaynak kodu sızıntısı

Erişilebilir bir /.git, tüm kod tabanını ve commit geçmişini teslim eder.

Açıkta kalan veritabanı yedekleri: /backup.sql erişilebilir olduğunda ne olur

Erişilebilir bir .sql dump'ı, tüm veritabanını eksiksiz teslim etmek demektir.

Açıkta Kalan Secret'lar

İstemci tarafı JavaScript'te açığa çıkan API key'leri

Bundle'ındaki her şey herkese açıktır. Öyle davran.

DNS ve E-posta Güvenliği

Subdomain takeover: nasıl olur ve nasıl önlenir

Sarkan bir CNAME, alan adında açık bir kapıdır.

SPF ve DMARC: alan adının e-posta spoofing'ini durdur

Saldırganların senin adına dünyaya e-posta atmasını durdur.

Cookie Güvenliği

Secure, HttpOnly ve SameSite cookie flag'leri

Oturum cookie'lerinin çalınmasını önleyen üç flag.

Yönlendirme Zinciri

Siten neden bir HTTP→HTTPS yönlendirmesine ihtiyaç duyar

Güvensiz kapıyı açık bırakma.

Veritabanı Güvenliği

Supabase Row Level Security (RLS): tablolarını kilitle

Anon key'in herkese açık. Onunla verilerin arasındaki tek şey RLS.

Firebase Security Rules: veritabanını açık bırakmayı bırak

Firebase config'in tasarım gereği herkese açık. Verileri kimin göreceğine kuralların karar verir.

Güvenlik Başlıkları

MIME koklama ve X-Content-Type-Options: nosniff açıklaması

Tarayıcıların içerik türlerini tahmin etmesini ve yüklenen dosyaları betik olarak çalıştırmasını engelleyen bir başlık.

Dosya, Yol ve Kaynak Yönetimi

Açık dizin indeksleri: dosya sunucun her şeyi listelediğinde

İçeriğini listeleyen bir dosya sunucusu, saldırganlara bedava bir envanter sunar.

Hata Yönetimi ve Dayanıklılık

Production'da ayrıntılı hata sayfaları ve stack trace'ler

Bir stack trace, saldırganlara tam olarak nereye nişan alacaklarını söyler.

API Güvenliği

Herkese açık GraphQL introspection: neden sorun ve nasıl kapatılır

Tek bir sorgu tüm şemanı döndürür. Production'da kapat.

HTTP Protokolü ve Sunucu Tarafı İstekler