76
B
Genel Güvenlik Skoru: %76 (İyi)
Sistem, OWASP Top 10 standartlarında kamuya açık yüzeyler taranarak puanlanmıştır.
0 Kritik
1 Yüksek
0 Secret
5 Doğrulandı
1. Web Sağlık & Performans Matrisi
SEOİyi
Meta & Robots
İndekslenebilir
AEOUyumlu
Cevap Motoru
Doğrudan Yanıtlar
GEOUyumlu
Semantik Ağ
AI Varlık Bağlantısı
GÜVENLİK76/100
OWASP 2025
0 Kritik Zafiyet
PERFORMANSHızlı
0.16 sn
Düşük Gecikme
ERİŞİLEBİLİRLİKWCAG
Kontrast & DOM
Semantik Uyum
UXMobil
Responsive
Tam Uyumlu
İÇERİKDengeli
Hiyerarşi
Başlık Düzeni İyi
2. Öncelikli Müdahale Matrisi
| Öncelik |
Güven |
Problem & Zafiyet |
Önerilen Geliştirici Müdahalesi |
|
HIGH
|
%98 |
Eksik Content-Security-Policy (CSP) Başlığı
Security Headers · SEC-HDR-001
|
HTTP yanıt başlıklarına kaynak kısıtlayıcı bir Content-Security-Policy ekleyin (örn: default-src 'self'; script-src 'self' https://trusted.cdn.com; object-src 'none';). |
|
MEDIUM
|
%99 |
Eksik HSTS (Strict-Transport-Security) Başlığı
Security Headers · SEC-HDR-002
|
Sunucu yapılandırmasına en az 1 yıllık HSTS başlığı ekleyin. |
|
LOW
|
%99 |
Eksik X-Content-Type-Options Başlığı
Security Headers · SEC-HDR-004
|
X-Content-Type-Options: nosniff başlığını ekleyin. |
3. Güvenlik Denetim Bulguları & Kanıtlar
Eksik Content-Security-Policy (CSP) Başlığı
CONFIRMED
HIGH
CWE-1021 / CWE-79
Sorun:
HTTP yanıt başlıklarında "Content-Security-Policy" başlığı tespit edilemedi.
Neden Önemli:
Saldırganlar zararlı scriptleri sayfaya enjekte edip kullanıcı oturumlarını çalabilir.
Kanıt:
Yanıt başlıklarında "Content-Security-Policy" tespit edilemedi.
Çözüm Reçetesi: HTTP yanıt başlıklarına kaynak kısıtlayıcı bir Content-Security-Policy ekleyin (örn: default-src 'self'; script-src 'self' https://trusted.cdn.com; object-src 'none';).
Eksik HSTS (Strict-Transport-Security) Başlığı
CONFIRMED
MEDIUM
CWE-319
Sorun:
Yanıt başlıklarında "Strict-Transport-Security" tespit edilemedi.
Neden Önemli:
Kullanıcı bağlantısı HTTP'ye düşürülerek şifreler veya oturum çerezleri dinlenebilir.
Kanıt:
Yanıt başlıklarında "Strict-Transport-Security" tespit edilemedi.
Çözüm Reçetesi: Sunucu yapılandırmasına en az 1 yıllık HSTS başlığı ekleyin.
Eksik X-Content-Type-Options Başlığı
CONFIRMED
LOW
CWE-16
Sorun:
X-Content-Type-Options: nosniff başlığı yanıtta bulunamadı.
Neden Önemli:
Zararlı içerik barındıran dosyalar (örn: resim süsü verilmiş JS) tarayıcıda yürütülebilir.
Kanıt:
X-Content-Type-Options: nosniff eksik.
Çözüm Reçetesi: X-Content-Type-Options: nosniff başlığını ekleyin.
İstemci Tarafında (HTML/JS) Açıkta Kalan Secret Bulunamadı
CONFIRMED
NONE
CWE-798
Sorun:
İstemci tarafı kaynak kodları tarandı; açıkta kalmış API anahtarı veya şifre sızıntısı tespit edilmedi.
Neden Önemli:
Temiz durum
Kanıt:
Genel HTML ve JS varlıkları temiz.
Çözüm Reçetesi: Kod depolarında secret scanning araçlarını aktif tutmaya devam edin.
Sunucu Tarafı (Backend / .env) Secret Denetimi
NOT_TESTED
NONE
CWE-798
Sorun:
Sunucu tarafı kaynak kodları ve .env dosyası pasif web taramasında taranamamıştır.
Neden Önemli:
Bilgi / Denetlenemedi
Kanıt:
Kapsam Sınırı: Yalnızca istemci tarafı (HTML/JS/CSS) taranmıştır.
Çözüm Reçetesi: Sunucu ortam değişkenlerini ve backend kod depolarını GitGuardian, TruffleHog veya SAST araçlarıyla tarayın.
Zararlı Kod veya Şüpheli Betik İmzası Bulunamadı
CONFIRMED
NONE
CWE-506
Sorun:
Web sitesi genel kodlarında bilinen zararlı yazılım, kripto madenci veya SEO spam enjeksiyonuna rastlanmadı.
Neden Önemli:
Temiz durum
Kanıt:
Sayfa kaynak kodu temiz.
Çözüm Reçetesi: Periyodik otomatik taramalarla durumu koruyun.
Vibe Coding / AI Geliştirme Güvenlik Açığı Kalıbı Bulunamadı
CONFIRMED
NONE
CWE-285
Sorun:
İstemci tarafı kodlarında yapay zekâ kodlaması kaynaklı yetkilendirme bypass veya güvensiz DOM sink kalıbı görülmedi.
Neden Önemli:
Temiz durum
Kanıt:
Vibe Coding risk kalıpları negatif.
Çözüm Reçetesi: Sunucu tarafı doğrulamalarını her API çağrısında sürdürün.
Kritik Bilinen CVE Zafiyetli Kütüphane Tespit Edilmedi
CONFIRMED
NONE
CWE-1395
Sorun:
Kritik Bilinen CVE Zafiyetli Kütüphane Tespit Edilmedi
Neden Önemli:
Temiz durum
Kanıt:
İstemci tarafı script paketleri temiz.
Çözüm Reçetesi: Bağımlılıkları düzenli olarak npm audit / composer audit ile kontrol edin.
SPF E-Posta Güvenlik Doğrulaması Aktif (Anti-Spoofing Korunuyor)
CONFIRMED
NONE
CWE-358
Sorun:
SPF E-Posta Güvenlik Doğrulaması Aktif (Anti-Spoofing Korunuyor)
Neden Önemli:
Başarılı koruma
Kanıt:
Doğrulanan DNS kaydı: bayrak.store
Çözüm Reçetesi: Kayıtları düzenli olarak izleyin.
Tarama Kapsamı & Teknik Sınırlar (Scope & Boundaries)
✓ Kapsama Dahil Olanlar:
- HTTP response başlıkları (CSP, HSTS, TLS) ve çerez bayrakları
- İstemci tarafı HTML/JS kodlarındaki açık API anahtarları
- Zararlı kod (malware), obfuscated script ve DNS güvenlik kayıtları
✗ Kapsam Dışı Olanlar:
- Sunucu dosya sistemi (.env, PHP kaynak kodları)
- Veritabanı tabloları ve dahili SQL sorguları
- Brute-force parola denemeleri veya tahribatlı exploit testleri
* Bu rapor, web uygulamasının kamuya açık yüzeylerinin otomatik ön taramasıdır. Arka uç (.env ve DB) kontrolleri yalnızca yetkili kaynak kod analiziyle doğrulanabilir.