Web sitesi güvenliği çoğu zaman sonradan eklenmesi beklenen bir eklenti gibi düşünülür. Oysa güvenlik, tasarım aşamasında verilen kararların toplamıdır: ne toplayacağınıza, nerede saklayacağınıza ve kimin erişeceğine ilk günden karar vermezseniz, sonradan yamalanan boşluklar birikir.
1. En az veri ilkesi
Güvenliğin ilk kuralı, toplamadığınız verinin sızdırılamayacağıdır. Her formda şu soruyu sorun: bu alanın toplandığı yerde gerçekten gerekiyor mu? KVKK açısından da doğru olan budur — amaç için gerekli olmayan veri toplanmaz. Kişisel veri azaldıkça hem yasal risk hem saklama sorumluluğu azalır.
HTTPS ve HSTS
HTTPS artık temel gerekliliktir; ama yalnızca sertifika takmak yetmez. HSTS başlığı, tarayıcıya bu siteye asla şifresiz bağlanmama talimatını verir. Karışık içerik (HTTPS sayfada HTTP kaynak) uyarıları, kullanıcı güvenini sessizce eritir; sayfa kaynaklarından biri bile güvenli olmayan bağlantıyla gelirse tüm sayfa "güvenli değil" damgası yiyebilir.
Form güvenliği
- İstemci tarafı doğrulama kolaylık içindir; gerçek denetim sunucu tarafındadır. Tarayıcıda geçen bir değer sunucuda tekrar kontrol edilmeden kabul edilmez.
- Spam koruması (gizli alan, hız sınırlama, bot denetimi) formların yakıtına dönmeden engeller.
- Rıza metinleri net ve ayrı olmalı: hangi veri, hangi amaçla, ne kadar süre saklanacak.
Yetkilendirme ve erişim
Yönetim panellerinde roller tanımlayın: içerik düzenleyen, veriyi gören ve sistem ayarlarını değiştiren kişi aynı yetkide olmak zorunda değil. Güçlü şifre kuralları ve iki adımlı doğrulama, en sık ihmal edilen ama en ucuz korumadır.
Bağımlılık ve yedekleme disiplini
Eski CMS ve eklentiler, en yaygın giriş kapısıdır. Kullanmadığınız bileşeni kaldırın, kullandığınızı güncel tutun. Statik site ve modern barındırma yaklaşımı burada avantaj sağlar: sunucuda çalışacak az kod, az saldırı yüzeyi demektir. Ayrıca düzenli yedekleme ve geri alma denemesi şart — yedeği test edilmemiş yedek, yedek sayılmaz.
Barındırma katmanı
WAF ve DDoS koruması gibi barındırma katmanı önlemleri, uygulama koduna dokunmadan saldırı yüzeyini daraltır. Cloudflare gibi bir katmanın arkasında çalışmak, Türkiye'deki küçük sitelerin en pratik güvenlik başlangıcıdır.
Bu ilkeleri her projede standart olarak uyguluyoruz: veri toplama disiplininden barındırma katmanına kadar güvenlik, hizmetlerimizin başından sonuna kadar taşınan bir özelliktir. Ödeme alanı olan e-ticaret projelerinde bu ilkeler özellikle kritiktir; o tabloyu e-ticaret web tasarımı rehberimizde görebilirsiniz.
PROJENİZE ÖZEL BİR ÖNERİ Mİ İSTİYORSUNUZ?
Kapsamınızı anlatın; çalışan bir demo önerisiyle, genellikle aynı iş günü içinde dönelim. Beğenmeden ödeme yapmazsınız.
iletisim@eliyte.comSık sorulan sorular
HTTPS yeterli mi?
Değil; HTTPS aktarımdaki veriyi korur ama form doğrulaması, yetkilendirme ve güncellik gibi diğer katmanları kapsamaz. HTTPS gerek koşul, yeterli değil.
Formdan gelen verileri nasıl güvenle saklarım?
Önce soruyu tersinden sorun: bu veri gerçekten saklanmak zorunda mı? Gerekliyse şifreli saklama, erişim rolleri ve düzenli yedekleme üçlüsü; saklama süresi tanımlı olsun, süre dolunca silin.
En sık görülen web güvenlik açıkları nelerdir?
Güncellenmeyen bileşenler, zayıf yetkilendirme, form enjeksiyonları ve yedekli olmayan alanlar. Bunların ortak paydası disiplin eksikliği; gelişmiş saldırı tekniği değil.
Küçük bir site de hedef olur mu?
Evet; otomatik taramalar boyut seçmez. Küçük siteler çoğunlukla bakımsızlıktan kolay hedef olur; temel ilkeler uygulandığında bu hedef kitlesi büyük ölçüde dışlanır.