Web Sitesi ve Web Uygulaması Güvenlik Değerlendirmesi
Web sitenizin veya web uygulamanızın güvenlik durumunu belirlenen kapsam doğrultusunda inceliyor; tespit edilen riskleri kanıtları, olası etkileri ve çözüm önerileriyle raporluyoruz.
- Yalnızca yazılı izinle ve onaylı kapsamda
- Kanıtı olan, doğrulanmış bulgular
- Önceliklendirilmiş aksiyon planı
Sparlio güvenlik değerlendirmesinde ne yapar?
Sparlio, web sitenizin veya web uygulamanızın güvenlik durumunu yazılı izninizle ve önceden belirlenen kapsamda inceler; doğrulanan riskleri kanıt, olası etki ve çözüm önerisiyle raporlar. Değerlendirme, bir tarama aracından alınan sonuçları listelemekle sınırlı kalmaz: sistemin yapısı ve kullanım amacı anlaşılır, her bulgunun gerçekten geçerli olup olmadığı incelenir ve teknik ekibinizin uygulayabileceği aksiyonlar önceliklendirilir. Hangi sistemlerin inceleneceği, hangi yöntemlerin kullanılacağı ve testlerin hangi zaman aralığında yapılacağı çalışma başlamadan yazılı olarak netleşir.
Neden güvenlik değerlendirmesi yaptırmalısınız?
Web siteleri zaman içinde yeni özellikler, eklentiler, kullanıcı hesapları ve entegrasyonlarla büyür. Bu değişiklikler yeni riskler oluşturabilir ya da bir zamanlar güvenli olan bir yapılandırmayı zamanla zayıflatabilir. Düzenli değerlendirme, olası sorunları büyümeden fark etmenizi, önce neye müdahale etmeniz gerektiğini görmenizi ve teknik ekibinize anlaşılır bir iyileştirme planı sunmanızı sağlar.
- %31
2026 Verizon DBIR’a göre veri ihlallerinin %31’i bir güvenlik açığının istismarıyla başladı; güvenlik açığı istismarı, raporun 19 yıllık tarihinde çalınan kimlik bilgilerini ilk kez geride bıraktı.
Kaynak: Verizon DBIR 2026 - 11.334
2025’te WordPress ekosisteminde raporlanan yeni güvenlik açığı sayısı; %91’i eklentilerde ve %46’sı kamuya duyurulduğunda henüz yamalanmamıştı.
Değerlendirme kapsamında neler incelenebilir?
Her projenin kapsamı, sistemin yapısına ve sizinle üzerinde anlaşılan test planına göre belirlenir. İhtiyaca bağlı olarak aşağıdaki alanlar değerlendirilebilir.
01İnternetten erişilebilen varlıklar
- Belirlenen alan adları ve alt alan adları
- İnternet üzerinden erişilebilen sayfa ve servisler
- Yönetim panelleri ve erişim noktalarının görünürlüğü
- Yanlışlıkla açık bırakılmış dosya, dizin veya test ortamları
02Sunucu ve site yapılandırması
- SSL/TLS yapılandırması
- Temel web güvenliği başlıkları
- Hata ve hata ayıklama mesajlarının dışarıya bilgi verip vermediği
- Kullanılan platform ve bileşenlerin bilinen riskleri
- İçerik yönetim sistemi, eklenti ve yazılım sürümlerine ilişkin gözlemlenebilir güvenlik konuları
03Giriş ve kullanıcı yetkileri
Sağladığınız test hesapları ve izin verilen kapsam içinde
- Giriş ve oturum yönetiminin temel davranışı
- Kullanıcı rollerinin erişim sınırları
- Yetkisiz erişime yol açabilecek durumlar
- Hesap ve parola işlemlerinin güvenliğe etkisi
04Formlar, dosya yükleme alanları ve API’ler
Kapsamda yer alması hâlinde
- Formların ve kullanıcı girdilerinin işlenişi
- Dosya yükleme alanlarının temel kontrolleri
- Belirlenen API uç noktalarının erişim ve yanıt davranışı
- Hata yanıtlarında gereğinden fazla bilgi paylaşımı
Her proje bu maddelerin tamamını kapsamayabilir. Test edilecek bileşenler ve kullanılacak yöntemler, çalışma başlamadan önce yazılı olarak kararlaştırılır.
Çalışma süreci nasıl ilerler?
Ön görüşme ve kapsam belirleme
İncelenecek web sitesi veya uygulamayı, sistemin kullanım amacını ve değerlendirmeden beklentilerinizi konuşuruz. Alan adları, alt alan adları, test ortamları, kullanıcı hesapları ve kapsam dışında tutulacak sistemler belirlenir.
Yetki ve test planı
Çalışma başlamadan önce sistem sahibinin yazılı izni alınır; test yöntemleri, zaman aralığı ve sistem üzerindeki sınırlar netleştirilir. Üçüncü taraf servisler veya başka kurumlara ait sistemler, ayrıca izin verilmedikçe kapsama alınmaz.
Güvenlik değerlendirmesi
Belirlenen sistemler, onaylanan kapsam ve zaman aralığında incelenir. Beklenmeyen bir hizmet etkisi veya sistem kararlılığı riski fark edilirse ilgili kontrol durdurulur ve size bilgi verilir.
Bulguların doğrulanması
Sonuçlar kanıt, olası etki ve önem bakımından gözden geçirilir. Yeterli dayanağı olmayan veya yanlış alarm olma ihtimali bulunan sonuçlar, doğrulanmış bulgu olarak rapora girmez.
Raporlama ve aksiyon planı
Bulgular teknik ekiplerin anlayabileceği biçimde açıklanır; her bulgu için önerilen çözüm ve öncelik sırası sunulur. Rapor, yöneticilerin genel durumu görmesine ve teknik ekibin düzeltme adımlarını uygulamasına yardımcı olacak şekilde hazırlanır.
Düzeltme sonrası kontrol
Düzeltmeleriniz tamamlandıktan sonra ilgili bulguların yeniden kontrol edilmesini talep edebilirsiniz. Bu kontrolün kapsamı ve zamanlaması teklif aşamasında belirlenir.
Değerlendirme sonunda nasıl bir rapor alırsınız?
Rapor, üzerinde anlaşılan kapsam doğrultusunda hazırlanır ve şu bölümleri içerir:
- Yönetici özeti ve genel değerlendirme
- Test edilen alan adları, uygulamalar ve bileşenler
- Kapsam dışında bırakılan varlıklar
- Tespit edilen bulguların açıklaması
- Bulguların önem ve öncelik düzeyi
- Kanıt ve olası etki
- Önerilen çözüm adımları
- Önceliklendirilmiş aksiyon planı
- Varsa düzeltme sonrası kontrol sonucu
Yetki, kapsam ve veri güvenliği
Sparlio, güvenlik değerlendirmelerini yalnızca sahibi olduğunuz veya yazılı olarak test etme yetkisi verdiğiniz sistemlerde yürütür. Türk Ceza Kanununun 243. ve 244. maddeleri, bir bilişim sistemine hukuka aykırı olarak girmeyi ve sistemi engellemeyi ya da bozmayı suç olarak tanımlar; bu nedenle çalışma, sistem sahibinin yazılı onayı ve imzalı bir kapsam belgesi olmadan başlamaz.
Hizmet kesintisine yol açabilecek testler, yük testleri veya sistem üzerinde değişiklik oluşturabilecek işlemler, ayrıca yazılı olarak kararlaştırılmadıkça uygulanmaz. Üçüncü taraf servisler ve altyapılar, ilgili yetki alınmadığı sürece kapsam dışında tutulur.
Erişim bilgileri yalnızca ihtiyaç duyulan ölçüde ve güvenli bir yöntemle paylaşılmalıdır; parola, API anahtarı veya benzeri gizli bilgileri web sitesi talep formu üzerinden göndermeyin. Kişisel verilere yalnızca bir bulguyu doğrulamak için gereken ölçüde erişilir ve bu veriler kopyalanmaz. Bulgular ve raporlar, yasal yükümlülükler saklı kalmak kaydıyla yalnızca yetkilendirdiğiniz kişilerle paylaşılır.
Hangi ilkelerle çalışırız?
- 01Araç çıktısını değil, doğrulanmış bulguyu raporlarız; dayanağı olmayan sonuç rapora girmez
- 02Yalnızca yazılı izinle, onaylanan kapsam ve zaman aralığında çalışırız
- 03Hizmet kesintisi riski taşıyan testleri, yazılı olarak kararlaştırılmadıkça uygulamayız
- 04Web sitesi geliştiren bir ekip olarak çözümleri, ekibinizin uygulayabileceği adımlarla yazarız
Son bir yılda web güvenliğinde neler değişti?
- Ekim 2026
Let’s Encrypt varsayılan sertifika süresini 64 güne indiriyor
Let’s Encrypt, 10 Şubat 2027’den itibaren sertifikaların varsayılan geçerlilik süresini 64 güne indireceğini duyurdu; 2028’de 45 güne inilmesi planlanıyor. Yenilemeyi sabit gün sayısına bağlayan sistemlerin gözden geçirilmesi gerekiyor.
Kaynak: Let’s Encrypt - Eylül 2026
Chrome, HTTP bağlantılarından önce varsayılan olarak uyarıyor
22 Eylül 2026’da yayımlanan Chrome 154, güvenli olmayan (http) bağlantıyla açılan sitelerde kullanıcıdan varsayılan olarak onay istiyor. HTTPS ile açılamayan sayfalar ziyaretçilerin karşısına bu uyarıyla çıkabilir.
Kaynak: Chrome for Developers - Haziran 2026
USOM bildirimleri Siber Güvenlik Başkanlığına taşındı
USOM’un güvenlik bildirimleri, CVE ve ihbar süreçleri ile zararlı bağlantı listeleri artık siberguvenlik.gov.tr üzerinden sunuluyor; zararlı bağlantı listelerinin .txt dosyası olarak paylaşımı 1 Haziran 2026’da sona erdi. Bu listeleri otomatik çeken sistemlerin API servislerine geçmesi gerekiyor.
Kaynak: USOM
Tüm değişiklikler (6)
- Mart 2026
SSL/TLS sertifikalarının azami süresi 200 güne indi
CA/Browser Forum kararıyla 15 Mart 2026’dan itibaren herkese açık TLS sertifikaları en fazla 200 gün geçerli olabiliyor; bu süre 15 Mart 2027’de 100, 15 Mart 2029’da 47 güne inecek. Sertifika yenilemenin otomatik ve izlenir olması bu yüzden daha da önemli hâle geldi.
Kaynak: CA/Browser Forum - Ocak 2026
KVKK veri ihlali ilanlarını 60 günle sınırladı
Kurulun 25 Aralık 2025 tarihli ve 2025/2451 sayılı kararıyla veri ihlali bildirimleri Kurumun internet sitesinde en fazla 60 gün ilan ediliyor; daha önce bir süre sınırı yoktu. İhlalin Kurula bildirilmesi yükümlülüğü sürüyor.
Kaynak: KVKK - 2025
OWASP Top 10’un 2025 sürümü yayımlandı
Web uygulaması risklerinin en çok başvurulan listesi 2021’den bu yana ilk kez güncellendi: “Yazılım Tedarik Zinciri Hataları” ve “İstisnai Durumların Yanlış Ele Alınması” yeni kategoriler; “Erişim Kontrolü Hataları” ilk sırada kaldı.
Kaynak: OWASP
Bulguları kim düzeltir?
Raporu kendi teknik ekibiniz uygulayabilir. İsterseniz düzeltmeleri Sparlio’nun web geliştirme ekibi de üstlenebilir; bu durumda düzeltme sonrası kontrolün kapsamı ayrıca planlanır.
Web geliştirme hizmetini inceleyinGüvenlik değerlendirmesi hakkında sık sorulanlar
Güvenlik değerlendirmesi, bir web sitesi veya web uygulamasındaki güvenlik risklerinin önceden belirlenen kapsam doğrultusunda incelenmesidir. Sparlio, tespit edilen ve kanıtları değerlendirilen konuları olası etkileri ve çözüm önerileriyle birlikte raporlar.
Sistem sahibinin yazılı olarak yetkilendirdiği web siteleri ve web uygulamaları değerlendirilebilir. Alan adları, alt alan adları, test ortamları, kullanıcı hesapları ve varsa API’ler çalışma öncesinde kapsam içinde tanımlanır.
Her değerlendirme için yönetici hesabı gerekmez. Dışarıdan erişilebilen alanların incelenmesine genellikle hesap bilgisi kullanılmadan başlanır. Kullanıcı rolleri veya giriş gerektiren özellikler kapsamdaysa, kapsamla sınırlı test hesapları istenebilir.
Canlı ortamda çalışma, sistem sahibinin açık yazılı izni ve üzerinde anlaşılan test planı doğrultusunda yürütülür. Uygun olduğunda önce test veya staging ortamının kullanılması önerilir. Canlı ortamda uygulanacak kontrollerin kapsamı ve zamanlaması önceden belirlenir.
Değerlendirme sırasında sistemin kararlılığı gözetilir. Hizmet kesintisi veya yüksek yük riski taşıyan işlemler, ayrıca yazılı olarak kararlaştırılmadıkça uygulanmaz. Beklenmeyen bir risk fark edilirse ilgili kontrol durdurulur ve müşteri bilgilendirilir.
Süre; incelenecek alan adı ve uygulama sayısına, uygulamanın kapsamına, giriş gerektiren bölümlere ve sağlanacak bilgilere göre değişir. Süre ve takvim, kapsam netleştikten sonra paylaşılır.
Ücret; incelenecek alan adı ve uygulama sayısına, giriş gerektiren bölümlere, API’lere ve düzeltme sonrası kontrol ihtiyacına göre belirlenir. Kapsam netleştikten sonra teklifte yazılı olarak verilir.
Rapor; incelenen kapsamı, bulguların önem düzeyini, kanıtları, olası etkileri ve önerilen çözüm adımlarını içerir. Bulgular teknik ekiplerin uygulayabileceği şekilde açıklanır ve öncelik sırasına göre sunulur.
Hayır. Değerlendirme, kararlaştırılan kapsam ve çalışma süresi içinde gözlemlenen durumu ortaya koyar. Hiçbir tekil inceleme, tüm olası risklerin bulunacağını veya sistemin tamamen güvenli olduğunu garanti etmez.
Hayır. Bu hizmet tek başına resmi bir sertifikasyon veya mevzuata uygunluk belgesi sağlamaz. Belirli bir standart veya düzenlemeye yönelik çalışma gerekiyorsa, ilgili gereklilikler ayrıca tanımlanmalı ve kapsam buna göre belirlenmelidir.
Hayır. Sparlio’nun güvenlik değerlendirmesi, TSE onaylı sızma testi firması gerektiren çalışmaların (örneğin e-ticaret güven damgası) veya BDDK, SPK ve TCMB düzenlemelerinin öngördüğü zorunlu sızma testlerinin yerine geçmez. Böyle bir yükümlülüğünüz varsa, gerekli belgeye sahip bir firmayla çalışmanız gerekir.
Hayır. 7545 sayılı Siber Güvenlik Kanunu, kamu kurumlarının ve kritik altyapıların siber güvenlik hizmetlerini Siber Güvenlik Başkanlığınca yetkilendirilmiş ve belgelendirilmiş uzman ve şirketlerden almasını öngörür. Sparlio bu kapsamda yetkilendirilmiş bir şirket olmadığı için bu hizmet kamu kurumlarına ve kritik altyapı işletmecilerine sunulmaz.
Evet. Düzeltmeler tamamlandıktan sonra, ilgili bulguların giderilip giderilmediğini görmek için düzeltme sonrası kontrol talep edilebilir. Bu kontrolün kapsamı ve zamanlaması teklif aşamasında belirlenir.
İlk aşamada web sitesi adresi, kurumunuzdaki yetkili irtibat kişisi ve değerlendirmeden beklentiniz yeterlidir. Test hesapları veya diğer erişim bilgileri gerekiyorsa, kapsam ve yetki netleştikten sonra güvenli bir paylaşım yöntemi belirlenir.
İstanbul merkezli çalışıyoruz; Beylikdüzü, Silivri, Avcılar, Bakırköy, Esenyurt'tan Kartal, Pendik, Maltepe, Üsküdar ve Kadıköy'e kadar tüm ilçelerde ve Türkiye genelinde projelerinizi hayata geçiriyoruz.
Bunları da yapıyoruz.
Kapsamı birlikte netleştirelim.
Web siteniz veya uygulamanız için değerlendirme talebinizi iletin; kapsamı ve çalışma planını birlikte belirleyelim.
Parola, API anahtarı veya benzeri gizli bilgileri talep formu üzerinden göndermeyin; gerekirse kapsam netleştikten sonra güvenli bir paylaşım yöntemi belirlenir.
Son güncelleme: 5 Kasım 2026