Web Site Analizi
OWASP Top 10:2025
Tarama Durumu: Tamamlandı (Güvenli Ön Tarama)
bayrak.store
Hızlı İşler Siber Güvenlik LaboratuvarıWeb Sitesi Genel Performans & Sağlık Özeti
Farklı denetim katmanlarının anlık durum ve problem dökümü.
SEO
İyi
Meta, Başlık & Robots
0 Kritik Engel
Arama motoru indekslenebilirlik ve taranabilirlik politikaları.
AEO
Uyumlu
Doğrudan Yanıtlar
Net Tanımlar Mevcut
Sesli ve yapay zekâ cevap motorlarının doğrudan alıntı performansı.
GEO
Uyumlu
Semantik Varlık Ağı
Varlık İlişkileri İyi
Generative Engine için marka, kurum ve bağlam yapılandırması.
GÜVENLİK
76/100 (B)
Headers, TLS & Secret
0 Kritik, 0 Uyarı
OWASP 2025 standartlarında zafiyet ve sızıntı denetimi.
PERFORMANS
Hızlı
Süre: 0.19 sn
Düşük Gecikme
Sunucu yanıt süresi ve ilk bayt (TTFB) tepki süresi.
ERİŞİLEBİLİRLİK
WCAG AA
Kontrast & Semantik
0 Erişim Engeli
Ekran okuyucu uyumluluğu ve görsel kontrast standartları.
UX
Mobil Hazır
Responsive & Touch
Tam Uyumlu
Mobil görünüm alanı ve parmakla dokunma hedefleri.
İÇERİK
Dengeli
Hiyerarşi & Başlıklar
Yapılandırılmış
H1/H2 başlık düzeni, okunabilirlik ve içerik doygunluğu.
GÜVENLİK SKORU
76
/100
Derece: B
İyi
OWASP ve doğrulanmış açık güvenlik zafiyetleri düşülerek hesaplanmıştır.
KRİTİK ZAFİYET
ACİL
0
Temiz Durum
RCE, SQLi, Secret sızıntısı veya kritik bypass riskleri.
ZARARLI KOD (MALWARE)
TEMİZ
0
Zararlı Kod Yok
Obfuscated script, gizli iframe ve kripto madenci taraması.
SECRET & VIBE CODING
GÜVENLİ
0
Güvenli Mimari
Açıkta kalan API anahtarları ve istemci tarafı yetki açıkları.
DETERMİNİSTİK SKOR MOTORU & KAPSAM
Güvenlik Skoru & Test Kapsamı
TEST COVERAGE
%100
GÜVENLİK SKORU
76 / 100
MATEMATİKSEL HESAPLAMA:
100 - 24 = 76/100
Uygulanabilir: 10
Test Edilen: 5
Geçen (PASS): 5
Başarısız (FAIL): 3
Engellenen (WAF/403): 0
Kapsam Dışı: 1
GÜVENLİK TARİHÇESİ & DEĞİŞİM ANALİZİ
Periyodik Denetim & Trend Takibi
Önceki taramaya (03 October 2026) göre: 0 problem giderildi, 0 yeni güvenlik bulgusu tespit edildi, 3 problem devam ediyor.
0
Düzeltildi
0
Yeni Bulgular
3
Açık Devam Eden
YÖNETİCİ ÖZETİ
Siber Güvenlik Durum Değerlendirmesi
Web sitesi genel hatlarıyla ayakta olmakla birlikte 1 adet yüksek riskli güvenlik yapılandırma eksiği mevcuttur. Güvenlik skoru %76 olarak hesaplanmıştır. Güvenlik başlıkları ve girdi doğrulama adımları tamamlandığında sistem A+ güvenlik seviyesine ulaşacaktır.
Öncelikli Riskler (1)
- Eksik Content-Security-Policy (CSP) Başlığı (Security Headers)
Doğrulanan Güvenlik Kalkanları (5)
- İstemci Tarafında (HTML/JS) Açıkta Kalan Secret Bulunamadı
- Zararlı Kod veya Şüpheli Betik İmzası Bulunamadı
- Vibe Coding / AI Geliştirme Güvenlik Açığı Kalıbı Bulunamadı
- Kritik Bilinen CVE Zafiyetli Kütüphane Tespit Edilmedi
- SPF E-Posta Güvenlik Doğrulaması Aktif (Anti-Spoofing Korunuyor)
| Öncelik | Güven | Problem & Zafiyet | Geliştirici Müdahalesi | AI Düzeltme |
|---|---|---|---|---|
| HIGH | %98 |
Eksik Content-Security-Policy (CSP) Başlığı
Security Headers · SEC-HDR-001
|
HTTP yanıt başlıklarına kaynak kısıtlayıcı bir Content-Security-Policy ekleyin (örn: default-src 'self'; script-src 'self' https://trusted.cdn.com; object-src 'none';).
|
|
| MEDIUM | %99 |
Eksik HSTS (Strict-Transport-Security) Başlığı
Security Headers · SEC-HDR-002
|
Sunucu yapılandırmasına en az 1 yıllık HSTS başlığı ekleyin.
|
|
| LOW | %99 |
Eksik X-Content-Type-Options Başlığı
Security Headers · SEC-HDR-004
|
X-Content-Type-Options: nosniff başlığını ekleyin.
|
| Kaynak URL | HTTP Yanıt | Formlar | Bulgular | Filtrele |
|---|---|---|---|---|
|
/
https://bayrak.store/
|
403 | Form Yok | 🔴 1 Riskli |
Bilgilendirme Notu: AI crawler izinleri güvenlik problemi veya malware değildir; yapay zekâ cevap motorlarının (ChatGPT, Claude, Perplexity vb.) sitenizi dizine eklemesini belirleyen robots.txt politikalarıdır.
GPTBot (OpenAI)
✓ İzinli
ChatGPT ve SearchGPT model eğitimi ve web indekslemesi.
OAI-SearchBot
✓ İzinli
OpenAI canlı arama motoru anlık sonuç dizinleyicisi.
Google-Extended
✓ İzinli
Google Gemini ve AI Overviews yapay zekâ özellikleri.
ClaudeBot (Anthropic)
✓ İzinli
Claude yapay zekâ asistanı kaynak araştırma botu.
PerplexityBot
✓ İzinli
Perplexity AI cevap motoru web tarama servisi.
FAIL: Sorun Doğrulandı (FAIL)
KAPSAM: RESPONSE
Yüksek Öncelik
%98 (DIRECT)
Security Headers
SEC-HDR-001
Eksik Content-Security-Policy (CSP) Başlığı
https://bayrak.store/
[RESPONSE]
Sorun (Ne bulundu?)
HTTP yanıt başlıklarında "Content-Security-Policy" başlığı tespit edilemedi.
Neden önemli? (Etkisi)
Saldırganlar zararlı scriptleri sayfaya enjekte edip kullanıcı oturumlarını çalabilir.
Teknik Kanıt & Doğrulama
SONUÇ: Sorun Doğrulandı (FAIL)
TEST YÖNTEMİ:
HTTP_PASSIVE_INSPECTIONZAMAN: 2026-10-03 20:50:40
DOĞRULANAN KANIT:
Yanıt başlıklarında "Content-Security-Policy" tespit edilemedi.
Çözüm (Ne yapılmalı?)
HTTP yanıt başlıklarına kaynak kısıtlayıcı bir Content-Security-Policy ekleyin (örn: default-src 'self'; script-src 'self' https://trusted.cdn.com; object-src 'none';).
FAIL: Sorun Doğrulandı (FAIL)
KAPSAM: RESPONSE
Orta Öncelik
%99 (DIRECT)
Security Headers
SEC-HDR-002
Eksik HSTS (Strict-Transport-Security) Başlığı
https://bayrak.store/
[RESPONSE]
Sorun (Ne bulundu?)
Yanıt başlıklarında "Strict-Transport-Security" tespit edilemedi.
Neden önemli? (Etkisi)
Kullanıcı bağlantısı HTTP'ye düşürülerek şifreler veya oturum çerezleri dinlenebilir.
Teknik Kanıt & Doğrulama
SONUÇ: Sorun Doğrulandı (FAIL)
TEST YÖNTEMİ:
HTTP_PASSIVE_INSPECTIONZAMAN: 2026-10-03 20:50:40
DOĞRULANAN KANIT:
Yanıt başlıklarında "Strict-Transport-Security" tespit edilemedi.
Çözüm (Ne yapılmalı?)
Sunucu yapılandırmasına en az 1 yıllık HSTS başlığı ekleyin.
FAIL: Sorun Doğrulandı (FAIL)
KAPSAM: RESPONSE
Düşük Öncelik
%99 (DIRECT)
Security Headers
SEC-HDR-004
Eksik X-Content-Type-Options Başlığı
https://bayrak.store/
[RESPONSE]
Sorun (Ne bulundu?)
X-Content-Type-Options: nosniff başlığı yanıtta bulunamadı.
Neden önemli? (Etkisi)
Zararlı içerik barındıran dosyalar (örn: resim süsü verilmiş JS) tarayıcıda yürütülebilir.
Teknik Kanıt & Doğrulama
SONUÇ: Sorun Doğrulandı (FAIL)
TEST YÖNTEMİ:
HTTP_PASSIVE_INSPECTIONZAMAN: 2026-10-03 20:50:40
DOĞRULANAN KANIT:
X-Content-Type-Options: nosniff eksik.
Çözüm (Ne yapılmalı?)
X-Content-Type-Options: nosniff başlığını ekleyin.
PASS: Doğrulandı (Kural Karşılandı)
KAPSAM: ASSET
Bilgi
%98 (DIRECT)
Secret Leaks
SEC-KEY-001
İstemci Tarafında (HTML/JS) Açıkta Kalan Secret Bulunamadı
https://bayrak.store/
[ASSET]
Sorun (Ne bulundu?)
İstemci tarafı kaynak kodları tarandı; açıkta kalmış API anahtarı veya şifre sızıntısı tespit edilmedi.
Neden önemli? (Etkisi)
Temiz durum
Teknik Kanıt & Doğrulama
SONUÇ: Doğrulandı (Kural Karşılandı)
TEST YÖNTEMİ:
HTTP_PASSIVE_INSPECTIONZAMAN: 2026-10-03 20:50:40
DOĞRULANAN KANIT:
Genel HTML ve JS varlıkları temiz.
Çözüm (Ne yapılmalı?)
Kod depolarında secret scanning araçlarını aktif tutmaya devam edin.
NOT_TESTED: Test Edilmedi (Kapsam Dışı)
KAPSAM: ASSET
Bilgi
Secret Leaks
SEC-KEY-002
Sunucu Tarafı (Backend / .env) Secret Denetimi
https://bayrak.store/
[ASSET]
Sorun (Ne bulundu?)
Sunucu tarafı kaynak kodları ve .env dosyası pasif web taramasında taranamamıştır.
Neden önemli? (Etkisi)
Bilgi / Denetlenemedi
Teknik Kanıt & Doğrulama
SONUÇ: Test Edilmedi (Kapsam Dışı)
TEST YÖNTEMİ:
HTTP_PASSIVE_INSPECTIONZAMAN: 2026-10-03 20:50:40
DOĞRULANAN KANIT:
Kapsam Sınırı: Yalnızca istemci tarafı (HTML/JS/CSS) taranmıştır.
Çözüm (Ne yapılmalı?)
Sunucu ortam değişkenlerini ve backend kod depolarını GitGuardian, TruffleHog veya SAST araçlarıyla tarayın.
PASS: Doğrulandı (Kural Karşılandı)
KAPSAM: ASSET
Bilgi
%95 (DIRECT)
Malware Detection
SEC-MAL-000
Zararlı Kod veya Şüpheli Betik İmzası Bulunamadı
https://bayrak.store/
[ASSET]
Sorun (Ne bulundu?)
Taranan istemci tarafı kaynaklarda (HTML/JS) bilinen açık zararlı yazılım veya kripto madenci imzasına rastlanmadı.
Neden önemli? (Etkisi)
Bu test kapsamında doğrulandı
Teknik Kanıt & Doğrulama
SONUÇ: Doğrulandı (Kural Karşılandı)
TEST YÖNTEMİ:
HTTP_PASSIVE_INSPECTIONZAMAN: 2026-10-03 20:50:40
DOĞRULANAN KANIT:
Taranan HTML ve istemci betiklerinde bilinen zararlı imza (miner, spam, şüpheli iframe) tespit edilmedi. Sunucu tarafı PHP kaynak kodu uzaktan erişilemediği için incelenememiştir.
SINIRLAMA: Yalnızca kamuya açık istemci varlıkları taranmıştır; sunucu tarafı dosyalar kapsam dışıdır.
Çözüm (Ne yapılmalı?)
Periyodik otomatik taramalarla durumu koruyun.
PASS: Doğrulandı (Kural Karşılandı)
KAPSAM: URL
Bilgi
%92 (STRONG)
Vibe Coding Security
SEC-AI-000
Vibe Coding / AI Geliştirme Güvenlik Açığı Kalıbı Bulunamadı
https://bayrak.store/
[URL]
Sorun (Ne bulundu?)
İstemci tarafı kodlarında yapay zekâ kodlaması kaynaklı yetkilendirme bypass veya güvensiz DOM sink kalıbı görülmedi.
Neden önemli? (Etkisi)
Temiz durum
Teknik Kanıt & Doğrulama
SONUÇ: Doğrulandı (Kural Karşılandı)
TEST YÖNTEMİ:
HTTP_PASSIVE_INSPECTIONZAMAN: 2026-10-03 20:50:40
DOĞRULANAN KANIT:
Vibe Coding risk kalıpları negatif.
Çözüm (Ne yapılmalı?)
Sunucu tarafı doğrulamalarını her API çağrısında sürdürün.
PASS: Doğrulandı (Kural Karşılandı)
KAPSAM: ASSET
Bilgi
%93 (STRONG)
Supply Chain Security
SEC-DEP-000
Kritik Bilinen CVE Zafiyetli Kütüphane Tespit Edilmedi
https://bayrak.store/
[ASSET]
Sorun (Ne bulundu?)
Kritik Bilinen CVE Zafiyetli Kütüphane Tespit Edilmedi
Neden önemli? (Etkisi)
Temiz durum
Teknik Kanıt & Doğrulama
SONUÇ: Doğrulandı (Kural Karşılandı)
TEST YÖNTEMİ:
HTTP_PASSIVE_INSPECTIONZAMAN: 2026-10-03 20:50:40
DOĞRULANAN KANIT:
İstemci tarafı script paketleri temiz.
Çözüm (Ne yapılmalı?)
Bağımlılıkları düzenli olarak npm audit / composer audit ile kontrol edin.
PASS: Doğrulandı (Kural Karşılandı)
KAPSAM: DNS
Bilgi
%100 (DIRECT)
DNS Security
SEC-DNS-001
SPF E-Posta Güvenlik Doğrulaması Aktif (Anti-Spoofing Korunuyor)
dns://bayrak.store
[DNS]
Sorun (Ne bulundu?)
SPF E-Posta Güvenlik Doğrulaması Aktif (Anti-Spoofing Korunuyor)
Neden önemli? (Etkisi)
Başarılı koruma
Teknik Kanıt & Doğrulama
SONUÇ: Doğrulandı (Kural Karşılandı)
TEST YÖNTEMİ:
HTTP_PASSIVE_INSPECTIONZAMAN: 2026-10-03 20:50:40
DOĞRULANAN KANIT:
Doğrulanan DNS kaydı: bayrak.store
Çözüm (Ne yapılmalı?)
Kayıtları düzenli olarak izleyin.
INCONCLUSIVE: Kesinleştirilemedi (Kanıt Yetersiz)
KAPSAM: URL
Bilgi
%100 (DIRECT)
Kaynak Kod Güvenliği (SAST)
SEC-SRC-001
Sunucu Tarafı Kaynak Kodu (PHP/ASP) Güvenlik Analizi
https://bayrak.store/
[URL]
Sorun (Ne bulundu?)
Uzaktan yapılan bu taramada sunucu tarafı kaynak kodu erişilebilir olmadığı için kaynak kodu güvenlik analizi doğrulanamadı.
Neden önemli? (Etkisi)
Kaynak kodu tarafı doğrulanamadı.
Teknik Kanıt & Doğrulama
SONUÇ: Kesinleştirilemedi (Kanıt Yetersiz)
TEST YÖNTEMİ:
HTTP_PASSIVE_INSPECTIONZAMAN: 2026-10-03 20:50:40
DOĞRULANAN KANIT:
Uzaktan yapılan bu taramada sunucu tarafı kaynak kodu erişilebilir olmadığı için kaynak kodu güvenlik analizi doğrulanamadı.
SINIRLAMA: Uzaktan tarama sınırları gereği sunucu kaynak koduna erişim sağlanamamıştır.
Çözüm (Ne yapılmalı?)
Kapsamlı statik analiz (SAST) için kaynak kod deposunu doğrudan platforma yükleyin.
Tarama Kapsamı & Teknik Sınırlar (Scope & Boundaries)
Bu rapor, web uygulamasının internet üzerinden erişilebilen kamuya açık yüzeylerinin Otomatik Güvenlik Ön Taraması sonuçlarını içerir.
✓ Kapsama Dahil Olanlar
Taranan Açık Kaynaklar
- HTTP & TLS Katmanı: Response başlıkları (CSP, HSTS, X-Frame-Options), TLS sürümü ve çerez güvenlik bayrakları (SameSite/HttpOnly/Secure).
- İstemci Tarafı Kodlar: Kamuya açık HTML DOM, JavaScript bundle'ları, CSS dosyaları, inline scriptler ve asenkron betikler.
- Açık Secret & API Key Sızıntıları: Frontend kodlarında veya betiklerde yanlışlıkla ifşa edilen üçüncü parti servis anahtarları (OpenAI, AWS, Stripe vb.).
- Zararlı Kod (Malware): Obfuscated JavaScript, kripto para madenci imzaları, phishing izleri ve gizli iframe yönlendirmeleri.
- Genel Servis & Ağ Kayıtları: robots.txt, sitemap.xml, DNS SPF & DMARC kayıtları, source map (.map) ifşaları.
- Altyapı İmzaları: CMS versiyon izleri (WordPress, Laravel vb.) ve bilinen açık JS kütüphane CVE'leri.
✗ Kapsam Dışı Olanlar
Erişilemeyen Sunucu Tarafı
- Sunucu Dosya Sistemi: Arka uç kaynak kodları (PHP, Python, Node.js), konfigürasyon dosyaları (.htaccess, nginx.conf, web.config).
- Ortam Değişkenleri: Sunucu ortamında tanımlı
.envdosyaları ve gizli işletim sistemi parametreleri. - Veritabanı Katmanı: SQL/NoSQL veritabanı tabloları, dahili veriler, veritabanı bağlantı havuzları ve kullanıcı kimlik tabloları.
- İç Ağ & Mikroservisler: Güvenlik duvarı (WAF/Firewall) arkasındaki iç servisler ve kamuya kapalı private API'ler.
- Tahribatlı Testler: DoS/DDoS, brute-force parola kırma denemeleri, veri değiştirici aktif exploit veya payload çalıştırma.
Yetki ve Sınır Bildirimi: Bu denetim, web sitesinin internet üzerinden erişilebilen kamuya açık kaynaklarıyla sınırlı bir "Otomatik Güvenlik Ön Taraması"dır. Sunucu tarafı (.env, backend veritabanı veya sunucu içi kaynak kod) riskler, yalnızca tam yetkili kaynak kod incelemesi (SAST) veya yetkili penetrasyon testleriyle doğrulanabilir. İstemci tarafında zafiyet bulunmaması, arka uçta hiçbir risk bulunmadığı anlamına gelmez.
Tüm Zafiyetler İçin Hazır AI Güvenlik Paketi
ChatGPT, Claude, Cursor veya Antigravity gibi yapay zekâ kodlama araçlarına doğrudan aktarabileceğiniz proje özeti, kabul kriterleri ve dosya bazlı düzeltme talimatlarını tek tıkla indirin.
AI Security Package (.md) İndirWeb Sitenizin Güvenliğini Sağlamlaştırmaya Hazır Mısınız?
Raporunuzdaki zafiyetleri uzman danışmanlarımızla birlikte kapatarak sitenizi ve müşteri verilerinizi siber saldırılara karşı tam güvenceye alın.