İşletme Web Sitelerinin Güvenlik Karnesi 2026: 64 Sitenin Tarama Verileri

Kısaca: 9 Temmuz – 15 Eylül 2026 arasında ücretsiz güvenlik tarama aracımızla taranan 64 işletme sitesinin %92'sinde en az bir HTTP güvenlik başlığı eksikti, %42'sinde sahte e-posta gönderimini engelleyen DMARC kaydı yoktu ve %17'si ziyaretçiyi HTTPS'e zorunlu yönlendirmiyordu. Buna karşılık SSL sertifikası tarafı büyük ölçüde sağlıklıydı: yalnızca bir site eski TLS sürümlerini destekliyordu. Ortalama güvenlik puanı 100 üzerinden 78,6 çıktı.

Web güvenliği hakkında yazılan içeriğin çoğu yurt dışı raporlarına dayanıyor. Türkiye'deki işletme sitelerinin gerçekte ne durumda olduğuna dair elle tutulur veri az. Bu yazı o boşluğu küçük ama gerçek bir örneklemle doldurmayı amaçlıyor: sitemizdeki ücretsiz güvenlik analizi aracını kullanan işletmelerin anonim, toplu sonuçları.

Yöntem: Veri Nereden Geliyor?

Veriler, kendi geliştirdiğim tarama aracının 9 Temmuz – 15 Eylül 2026 tarihleri arasında çalıştırdığı taramalardan derlendi. Aynı site birden çok kez tarandıysa yalnızca en son tarama sayıldı. Test amaçlı yapılan taramalar ve büyük küresel platformlar (arama motorları, sosyal ağlar) veri setinden çıkarıldı. Geriye 64 benzersiz işletme sitesi kaldı; bunların 21'i .tr uzantılı.

Tarama pasif ve saldırgan olmayan kontrollerden oluşuyor: HTTP yanıt başlıkları, SSL/TLS yapılandırması, DNS ve e-posta güvenlik kayıtları, dizin listeleme, bilinen hassas dosya yolları ve alan adı/sertifika süreleri. Hiçbir siteye izinsiz erişim denenmedi.

Bu verinin sınırları: Örneklem rastgele değil. Aracı kendi sitesini merak eden işletmeler kullandı, yani bu kişiler güvenliğe ortalamadan daha ilgili olabilir. Bu yüzden sonuçlar "Türkiye'deki tüm işletme siteleri" için genellenmemeli; gerçek tablonun bundan daha iyi olma ihtimali düşük. Ayrıca bazı kontrolleri güvenilir bulmadığım için rapora almadım; bunları yazının sonunda ayrıca açıklıyorum.

Genel Tablo: Ortalama Puan 78,6

Araç her siteye bulguların ağırlığına göre 100 üzerinden bir puan veriyor. 64 sitenin ortalaması 78,6, ortancası 79 çıktı. Dağılım şöyle:

Sitelerin %48'inde (31 site) en az bir kritik bulgu vardı. Kritik bulguların büyük çoğunluğu tek bir kaynaktan geliyordu: e-posta sahteciliğine karşı korumanın eksikliği.

Bulgu 1: HTTP Güvenlik Başlıkları Neredeyse Hiç Yok (%92)

Güvenlik başlıkları, sunucunun tarayıcıya "bu sayfayı nasıl koruman gerektiğini" söyleyen talimatlardır. Kurulumları birkaç satırlık sunucu ayarıdır ama çoğu sitede hiç yapılmamış. Başlık verisi okunabilen 58 sitede eksiklik oranları:

İki bulgu daha bu tabloyu tamamlıyor. Sitelerin %17'si ziyaretçiyi HTTP'den HTTPS'e zorunlu yönlendirmiyordu; yani sertifika olsa bile şifresiz bağlantı açık kalıyordu. %31'i ise yanıt başlıklarında kullandığı yazılımın sürüm numarasını (ör. PHP sürümü) dışarıya gösteriyordu. Sürüm bilgisi tek başına bir açık değildir ama saldırgana hangi bilinen zafiyetleri deneyeceğini söyler.

Bulgu 2: Her 10 Sitenin 4'ü Adına Sahte E-posta Gönderilebilir (%42)

Raporun en ciddi bulgusu web sitesinde değil, alan adının e-posta ayarlarında. DMARC, bir alan adı adına gönderilen e-postaların gerçekten o işletmeden gelip gelmediğinin nasıl doğrulanacağını tanımlayan DNS kaydıdır. 64 sitenin 27'sinde (%42) DMARC kaydı yoktu.

Pratikte bu şu anlama geliyor: dolandırıcı biri müşterilerinize sizin alan adınızdan görünen bir "fatura" ya da "IBAN değişikliği" e-postası gönderebilir. Alıcının e-posta sağlayıcısı bunun sahte olduğunu anlamak için dayanacağı bir kurala sahip değildir. Bu, doğrudan itibar ve dolandırıcılık riskidir.

E-posta tarafındaki diğer rakamlar:

• SPF kaydı olmayan: 12 site (%19). SPF, alan adınız adına hangi sunucuların e-posta gönderebileceğini listeler.
• SPF kaydı "yumuşak" modda olan (~all veya ?all): 31 site (%48). Bu tek başına hata değildir; DMARC ile birlikte kullanıldığında yaygın ve kabul gören bir ayardır. Sorun, DMARC olmadan yumuşak SPF kullanıldığında korumanın fiilen devreye girmemesidir.
• MX kaydı olmayan: 7 site (%11). Bu alan adları kendi adreslerine e-posta alamıyor; işletme büyük ihtimalle kişisel bir e-posta servisi kullanıyor.

Bulgu 3: SSL Tarafı Büyük Ölçüde Sağlıklı

İyi haber de var. SSL/TLS yapılandırması ölçülebilen 61 sitenin yalnızca 6'sında bir sorun çıktı. Eski ve güvensiz TLS 1.0/1.1 protokollerini hâlâ destekleyen tek bir site vardı. Sertifikası 30 günden kısa sürede sona erecek olan site sayısı 4'tü (%6).

Bu tablo, otomatik yenilenen ücretsiz sertifikaların (Let's Encrypt gibi) yaygınlaşmasının doğrudan sonucu. Sertifika artık çoğu barındırma firmasında kendiliğinden kuruluyor ve yenileniyor. Bu yüzden "sitemde kilit simgesi var, güvenliyim" düşüncesi yaygın. Bulgu 1 ve 2, kilit simgesinin güvenliğin yalnızca bir parçası olduğunu gösteriyor.

Bulgu 4: Daha Nadir Ama Ciddi Sorunlar

• Dizin listeleme açık: 4 site (%6). Sunucu, klasör içeriğini herkese açık liste olarak gösteriyordu; yedek dosyalar ve yüklemeler bu yolla ifşa olabilir.
• Alan adı süresi yaklaşan: 3 site (%5). Süresi dolan alan adı, sitenin ve e-postanın bir anda kapanması demektir. Kötü niyetli kişilerce kapılma riski de vardır.
• Hassas dosya erişime açık: 1 site. Yapılandırma dosyası gibi normalde gizli olması gereken bir dosya dışarıdan erişilebiliyordu.

Hangi Altyapılar Kullanılıyor?

İçerik yönetim sistemi tespit edilebilen sitelerin yaklaşık %40'ı WordPress kullanıyordu. Sitelerin yarısından fazlasında Google Analytics veya Tag Manager, yaklaşık yarısında jQuery bulunuyordu. Bu dağılım, güvenlik açısından önemli bir noktayı hatırlatıyor: WordPress'in kendisi güvensiz değildir ama eklenti ve tema güncellemeleri aksatıldığında en çok hedef alınan altyapıdır. WordPress kullanıyorsanız WordPress ile güvenli site kurma rehberindeki adımlar sizin için doğrudan geçerli.

Güncelleme (Ekim 2026): Bu altyapıların neredeyse tamamı PHP üzerinde çalışıyor. Ekim 2026'da duyurulan kritik PHP açığı, eklenti ya da tema güncellemesiyle değil, sunucudaki PHP sürümünün yükseltilmesiyle kapanıyor. Sitenizin etkilenip etkilenmediğini ve ne yapmanız gerektiğini PHP güvenlik açığı (PHP2Shell) rehberinde anlattım.

Bu Sorunlar Neden Bu Kadar Yaygın?

Sahada gördüğüm üç sebep var.

Kimsenin işi değil. Web tasarımcı siteyi teslim eder, barındırma firması sunucuyu çalışır tutar, e-postayı başka biri kurmuştur. Güvenlik başlıkları ve DNS kayıtları bu üçünün arasında kalıyor ve kimse sahiplenmiyor.

Görünmüyor. Eksik bir güvenlik başlığı sitenin görünüşünü değiştirmez, hiçbir ziyaretçi fark etmez. Sorun ancak bir olay yaşandığında ortaya çıkar.

Kilit simgesi yanlış güven veriyor. SSL'in yaygınlaşması, güvenliğin tamamlandığı hissini yaratıyor. Oysa bu rapordaki en yaygın iki sorunun SSL ile ilgisi yok.

Kendi Sitenizde Ne Yapmalısınız?

Önem sırasına göre kısa bir kontrol listesi:

1. DMARC kaydı ekleyin. Başlangıç için izleme modunda (p=none) bir kayıt bile, alan adınız adına kimin e-posta gönderdiğini görmenizi sağlar. Raporlar oturduktan sonra quarantine veya reject moduna geçilir.
2. SPF kaydınızı kontrol edin. Kullandığınız tüm e-posta gönderim servislerini içerdiğinden emin olun.
3. HTTPS yönlendirmesini ve HSTS'i açın. Tek bir sunucu ayarıyla tüm trafiğin şifreli olması garanti altına alınır.
4. Güvenlik başlıklarını ekleyin. X-Frame-Options, X-Content-Type-Options ve Referrer-Policy siteyi bozmadan eklenebilir. Content-Security-Policy ise sitedeki üçüncü taraf scriptlere göre ayarlanmalı, dikkatli test gerektirir.
5. Sürüm bilgisini gizleyin. Sunucu ve PHP sürümünün yanıt başlıklarında görünmesini kapatın.
6. Alan adı ve sertifika sürelerini takvime bağlayın. Otomatik yenilemeyi açın, kredi kartı bilgisinin güncel olduğunu kontrol edin.

Sitenizin bu listede nerede durduğunu görmek için ücretsiz güvenlik analizini çalıştırabilirsiniz; bu rapordaki kontrollerin tamamını birkaç dakikada yapar. Konunun genel çerçevesi için site güvenliği sorgulama rehberine, sertifika tarafı için SSL sertifikası yazısına bakabilirsiniz.

Rapora Neleri Almadım ve Neden?

Bir veri raporunun güvenilirliği, neyi ölçemediğini söylemesine bağlı. Aracın bazı kontrollerini bu rapora bilinçli olarak dahil etmedim:

• Açık yönlendirme (open redirect): Kontrol, sayfa kaynağında yönlendirme parametresi izi arıyor ama açığın gerçekten sömürülebilir olduğunu doğrulamıyor. Yanlış pozitif üretebildiği için oranı yayınlamadım.
• WordPress XML-RPC erişimi: Bazı sitelerin güvenlik duvarları tarama sunucusunu engellediği için sonuç güvenilir değil.
• DKIM: DKIM anahtarı ancak doğru seçici adı bilinirse bulunabiliyor. "Bulunamadı" sonucu "yok" anlamına gelmediği için bu metriği kullanmadım.
• Kara liste, açık port ve alt alan adı taramaları: Sitelerin önemli bir kısmında ölçüm yapılamadı, oranlar temsil edici değil.

Veri seti büyüdükçe bu raporu güncelleyeceğim.

Sıkça Sorulan Sorular

Bu rapordaki veriler nereden geliyor?

Raven Dijital'deki ücretsiz güvenlik tarama aracının 9 Temmuz – 15 Eylül 2026 arasındaki taramalarından. Test taramaları ve büyük küresel platformlar çıkarıldıktan sonra 64 benzersiz işletme sitesi kaldı. Her sitenin yalnızca son taraması sayıldı, hiçbir site adı yayınlanmadı.

İşletme sitelerinde en yaygın güvenlik açığı nedir?

Bu örneklemde en yaygın sorun eksik HTTP güvenlik başlıklarıydı: sitelerin %92'sinde en az biri yoktu. En ciddi sorun ise DMARC kaydının eksikliğiydi (%42); bu, alan adı adına sahte e-posta gönderilmesine zemin hazırlıyor.

SSL sertifikası olan site güvenli midir?

Tek başına değil. Örneklemdeki sitelerin büyük çoğunluğunda SSL sorunsuzdu, ancak aynı sitelerin çoğunda güvenlik başlıkları ve e-posta koruma kayıtları eksikti. SSL bağlantıyı şifreler; sitenin ve alan adının diğer açıklarını kapatmaz.

DMARC kaydı nedir, olmazsa ne olur?

DMARC, alan adınız adına gönderilen e-postaların doğrulanma kuralını tanımlayan bir DNS kaydıdır. Yoksa dolandırıcılar müşterilerinize sizin adınızdan görünen sahte fatura veya ödeme bilgisi e-postaları gönderebilir ve alıcı taraf bunu ayırt edecek bir kurala sahip olmaz.

Güvenlik başlıklarını eklemek siteyi bozar mı?

X-Frame-Options, X-Content-Type-Options, Referrer-Policy ve HSTS genellikle siteyi etkilemeden eklenebilir. Content-Security-Policy ise sitede kullanılan üçüncü taraf scriptlere göre ayarlanmalıdır; yanlış yapılandırılırsa bazı bileşenleri engelleyebilir, bu yüzden test ortamında denenmelidir.

Kendi sitemin durumunu nasıl öğrenebilirim?

ravendijital.com/guvenlik-analizi adresindeki ücretsiz tarama, bu rapordaki kontrollerin tamamını birkaç dakikada yapar ve bulguları önem sırasıyla gösterir. Tarama pasiftir; siteye herhangi bir saldırı ya da izinsiz erişim denemesi yapılmaz.

Güvenlik maddelerinin kurumsal bir sitenin genel teslim listesinde nereye oturduğunu kurumsal web sitesi kontrol listesinde görebilirsiniz.

Raporda çıkan bu eksikleri kendi sitenizde kapatmak için güvenlik paketi sabit fiyatlı bir çözüm sunuyor.