Bir Sitenin Güvenilir Olduğu Nasıl Anlaşılır? 9 Kontrol

Taramayı bizim yapmamızı istiyorsanız: bu yazı kontrolleri kendi gözünüzle nasıl yapacağınızı anlatıyor. Alan adını yazıp saniyeler içinde sonuç almak isterseniz site güvenliği sorgulama aracımızı kullanın: alan adı yaşı, oltalama listeleri, firma bilgileri ve SSL kontrolü otomatik yapılır.

Tarayıcınızda küçük bir kilit simgesi görmek, sitenizin güvenli olduğu anlamına gelmez. SSL sertifikası sadece veri iletiminin şifreli olduğunu gösterir; sunucunuzun dışarıdan görünen zafiyetleri, açık portları veya unutulmuş alt alan adlarınız hakkında hiçbir şey söylemez. Bu yazıda, müşteri projelerinde kullandığımız pasif analiz yöntemleriyle site güvenliğini gerçekten sorgulamanın yollarını açıklıyoruz.

1. SSL/TLS Sertifika Kontrolü Yeterli mi?

İlk adım basit: sertifikanızın güncelliğini ve şifreleme protokolünüzün (TLS 1.2/1.3) doğru yapılandırıldığını kontrol edin. Eski protokoller (TLS 1.0/1.1) hâlâ aktifse, bu hem güvenlik hem de Google'ın güven sinyalleri açısından bir zafiyettir. Ancak SSL, güvenlik sorgulamasının sadece ilk adımıdır, tek başına yeterli değildir.

2. Dışarıdan Görünen Açık Servisler ve Portlar

Sunucunuzda ihtiyacınız olmayan bir port açık mı, eski bir yönetim paneli dışarıya sızıyor mu? Bunlar saldırganların ilk baktığı yerlerdir. Bu tür açık servisleri, Shodan gibi herkese açık tarama veritabanlarından pasif olarak görebilirsiniz. Doğru yapılandırılmış bir sunucu ve BT altyapısı, bu servisleri en baştan kapatarak saldırı yüzeyini daraltır. Hız ve altyapı optimizasyonunun SEO'ya etkileri için sunucu optimizasyonu ve teknik seo rehberimizi inceleyin.

3. Unutulmuş Alt Alan Adları

Çoğu işletme, yıllar önce test amaçlı açtığı bir alt alan adının (staging.siteniz.com gibi) hâlâ dışarıdan erişilebilir ve unutulmuş olduğunu bilmez. Crt.sh üzerindeki sertifika şeffaflık kayıtları bu unutulmuş alt alan adlarını ortaya çıkarır ve müşteri analizlerinde en sık karşılaştığımız risk kalemidir.

4. Bilinen Güvenlik Açıkları (CVE) Taraması

Sunucunuzda çalışan yazılımların (CMS, sunucu yazılımı, eklentiler) güncel sürüm olup olmadığı, CIRCL CVE veritabanı gibi kaynaklarla bilinen güvenlik açıklarına karşı taranarak kontrol edilir. Hangi zafiyet türlerinin en sık istismar edildiğini görmek için OWASP Top 10 listesine göz atmanızı öneririz, güncel olmayan tek bir eklenti bile tüm sitenizin kapısı olabilir.

5. Sunucu ve Barındırma Altyapısının Rolü

Paylaşımlı ucuz hosting ile izole, Docker tabanlı bir sunucu mimarisi arasında güvenlik açısından ciddi fark vardır. Konteyner izolasyonu, düzenli yedekleme ve güvenlik duvarı kuralları gibi konuları Docker konteyner yönetimi ve güvenlik standartları yazımızda detaylı ele aldık.

6. Pasif Analiz mi, Aktif Sızma Testi mi?

Sitenizin dışarıya ne gösterdiğini görmek için pasif tarama (SSL Labs, Shodan, crt.sh gibi herkese açık kayıtları okuma) yeterlidir ve tamamen yasaldır. Doğrudan sunucunuza istek gönderen aktif port taraması ise izinsiz yapıldığında Türkiye'de TCK 243-244 kapsamında yasal risk taşır, bu yüzden güvenlik ön analizlerimizde sadece pasif yöntemler kullanıyoruz.

7. Güvenlik ile Teknik SEO Arasındaki Bağlantı

Güvenlik sadece bir risk yönetimi meselesi değildir. Yavaş, güvenilirliği düşük bir sunucu Core Web Vitals performansınızı da doğrudan etkiler; Google, güvenlik ve hız sinyallerini birlikte değerlendirir. Bu ikisi ayrı hizmet kalemleri gibi görünse de aslında aynı teknik SEO çalışmasının parçasıdır.

8. Bu Analizin Sınırları

Dürüst olmak gerekirse: pasif tarama her şeyi göstermez. Uygulama katmanındaki mantık hataları, yetkilendirme açıkları veya sosyal mühendislik riskleri gibi konular kapsam dışıdır ve ayrı, kapsamlı bir sızma testi (penetrasyon testi) gerektirir. Pasif analiz, düzenli bir ilk-uyarı sistemi olarak düşünülmeli, tek başına nihai bir güvenlik sertifikası değildir.

9. HTTP Güvenlik Başlıkları: Tarayıcının Görmediği Katman

SSL bağlantıyı şifreler ama sunucunun tarayıcıya "bu sayfayı nasıl işle" dediği kurallar ayrı bir katmandır ve hiçbir görsel karşılığı yoktur, bu yüzden çoğu site sahibi eksikliğinden haberdar bile olmaz. Content-Security-Policy (CSP) başlığı olmayan bir sitede üçüncü taraf bir script'in sayfaya sızması teknik olarak mümkündür; Strict-Transport-Security (HSTS) eksikse bir ziyaretçi yanlışlıkla http:// ile girdiğinde şifresiz bağlantıya düşebilir; X-Frame-Options eksikse site farkında olmadan bir clickjacking saldırısının parçası hâline gelebilir. Bu başlıkların kontrolü, güvenlik analizi aracımızın pasif tarama katmanlarından biridir.

10. E-posta Güvenliği: SPF, DMARC ve DKIM Kayıtları

Bu üç DNS kaydı, alan adınız adına başkalarının sahte e-posta göndermesini engeller. Eksik olduklarında, bir saldırganın sizin alan adınızı kullanarak (örneğin [email protected] görünümünde) müşterilerinize phishing e-postası göndermesi teknik olarak mümkün hâle gelir, siz bundan haberdar bile olmayabilirsiniz. Site güvenliği genelde sadece sunucu ve SSL üzerinden düşünülür, ama alan adınızın e-posta tarafı da aynı güven zincirinin parçasıdır.

Web Sitesi Güvenlik Taraması Nasıl Yapılır ve Neden Düzenli Yapılmalı?

Web sitesi sahiplerinin en sık yaptığı yanılgı, sitenin çalışıyor olmasını güvenlikle karıştırmaktır. Oysa bir saldırgan sitenize sızmak için onun düzgün çalışmasını beklemez, tam tersine en ufak boşluğu arar. Yukarıda anlatılan on kontrolü düzenli aralıklarla tekrarlamak, yani bir güvenlik taraması alışkanlığı edinmek, bu boşlukları bir saldırgandan önce sizin görmenizi sağlayan tek pratik yöntemdir.

Pratikte sıralama şudur: önce SSL ve sertifika zinciri, sonra dışarıya açık servisler, ardından bilinen açıklar (CVE) ve unutulmuş alt alan adları, en son da HTTP güvenlik başlıkları ile e-posta kayıtları. Bu sırayı takip ettiğinizde en kritik riskler en başta ortaya çıkar.

Bunu Kendiniz mi Yapmalısınız, Otomatikleştirmeli misiniz?

Yukarıda anlatılan kontrollerin her birini ayrı ayrı, farklı araçlarla manuel yapmak teknik bilgi ve zaman ister. Bu yüzden tüm bu süreci tek bir yerde toplayan, sitenize doğrudan bağlanmadan sadece kamuya açık kaynakları analiz eden bir ücretsiz güvenlik analizi aracı geliştirdik. Sitenizin adresini girmeniz yeterli; birkaç saniye içinde SSL durumu, açık servisler, bilinen açıklar ve güvenlik başlıkları tek bir raporda karşınıza çıkıyor.

Gerçek Bir Örnek Üzerinden

Bilgi Özalit projesi, güvenlik ve sunucu altyapısının tasarımla birlikte nasıl planlandığına iyi bir örnektir: SSL yapılandırması, sunucu izolasyonu ve düzenli izleme, siteyle birlikte tek bir bütün olarak kurgulanmıştır, sonradan eklenen bir 'ek hizmet' değil.

Sonuç: Sorgulamadan Emin Olamazsınız

Sitenizin güvenli olduğunu varsaymak yerine sorgulamak, hem ziyaretçi güvenini hem de Google'daki görünürlüğünüzü korumanın en ucuz yoludur. Sitenizin şu anki durumunu görmek isterseniz ücretsiz güvenlik analizi aracımızla anında test edebilirsiniz.

Sıkça Sorulan Sorular

Site güvenliği sorgulama ücretsiz mi yapılabilir?
Evet, SSL Labs, crt.sh gibi pasif araçlarla ve ücretsiz güvenlik analizi aracımızla temel bir sorgulama tamamen ücretsizdir.

Web sitesi güvenlik taraması nasıl yapılır?
Sırasıyla SSL/TLS sertifikası, dışarıya açık servisler ve portlar, bilinen güvenlik açıkları (CVE), unutulmuş alt alan adları, HTTP güvenlik başlıkları ve e-posta kayıtları (SPF/DMARC/DKIM) kontrol edilir. Bu adımların tamamını tek seferde çalıştırmak için ücretsiz güvenlik analizi aracımızı kullanabilirsiniz.

SSL sertifikam var, bu yeterli mi?
Hayır. SSL sadece veri iletimini şifreler; sunucu zafiyetleri, açık servisler ve unutulmuş alt alan adları ayrı bir risk kategorisidir.

Pasif tarama ile aktif tarama arasındaki fark nedir?
Pasif tarama, herkese açık kayıtları okur; sunucunuza doğrudan istek göndermez. Aktif tarama (port taraması gibi) izinsiz yapıldığında Türkiye'de yasal risk taşır.

HTTP güvenlik başlıkları eksik olursa ne olur?
CSP, HSTS ve X-Frame-Options gibi başlıkların eksikliği; script enjeksiyonu, şifresiz bağlantıya düşme ve clickjacking gibi risklere kapı açar.

SPF, DMARC, DKIM olmazsa ne kaybederim?
Alan adınız adına sahte e-posta gönderilmesini engelleyemezsiniz; bu da müşterilerinize yönelik phishing riski ve kurumsal itibar kaybı anlamına gelir.

Bu yazı, müşteri projelerinde web sitesi güvenliği ve sunucu altyapısı kurulumu yapan Resul Öztaş tarafından hazırlanmıştır.

Bu kontrollerin gerçek işletme sitelerinde ne kadar sık atlandığını 64 işletme sitesinin tarama verilerini derlediğim güvenlik raporunda bulabilirsiniz: sitelerin %92'sinde en az bir güvenlik başlığı, %42'sinde DMARC kaydı eksikti.

Taramada çıkan maddeleri sizin yerinize kapatmamı isterseniz güvenlik paketi (9.500 TL, 3 iş günü) bunun için var.