Web Uygulaması Güvenliği: En İyi Uygulamalar

Web uygulamalarına yönelik siber saldırılar her geçen gün artmaktadır. Güvenli kod yazımı, veritabanı koruması ve kullanıcı verilerinin güvenliği, modern web geliştirmenin vazgeçilmez unsurlarıdır. Bu rehberde, web uygulamalarınızı güvenli hale getirmek için uygulamanız gereken temel stratejileri ve teknik detayları ele alacağız.

Web Güvenliğinin Temel Prensipleri

Güvenli web uygulaması geliştirme, sadece sonradan eklenen özellikler değil, geliştirme sürecinin her aşamasında göz önünde bulundurulması gereken temel bir yaklaşımdır.

"Güvenlik bir özellik değil, bir süreçtir. En güçlü şifreleme bile kötü yazılmış kodla işe yaramaz."

— OWASP Security Expert

CIA Üçlüsü: Güvenliğin Temelleri

• Confidentiality (Gizlilik): Verilerin yetkisiz erişime karşı korunması
• Integrity (Bütünlük): Verilerin değiştirilmemesi ve doğruluğu
• Availability (Erişilebilirlik): Sistemin sürekli erişilebilir olması

OWASP Top 10 Güvenlik Açıkları (2023)

OWASP (Open Web Application Security Project), web uygulamalarında en yaygın güvenlik açıklarını listeler. 2023 güncel listesi:

SQL Injection Saldırılarını Önleme

SQL Injection, web uygulamalarında en yaygın ve tehlikeli güvenlik açıklarından biridir. Veritabanı sorgularının güvenli şekilde yazılması kritik önemdedir.

Güvenli Kod Örnekleri

// GÜVENSİZ - SQL Injection açığı var
$query = "SELECT * FROM users WHERE email = '$email' AND password = '$password'";
$result = mysqli_query($connection, $query);

// GÜVENLİ - Prepared statement kullanımı
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = ? AND password = ?");
$stmt->execute([$email, password_hash($password, PASSWORD_DEFAULT)]);

Korunma Yöntemleri

• Prepared Statements: Parametreli sorgular kullanın
• Input Validation: Girdi doğrulama ve sanitizasyon
• Least Privilege: Minimum veritabanı yetkileri
• Error Handling: Detaylı hata mesajlarını gizleyin

Cross-Site Scripting (XSS) Koruması

XSS saldırıları, kötü niyetli JavaScript kodunun web sayfalarına enjekte edilmesiyle gerçekleşir. Üç ana türü vardır:

XSS Korunma Stratejileri

Kimlik Doğrulama ve Yetkilendirme

Güçlü kimlik doğrulama sistemi, web uygulaması güvenliğinin temelidir. Modern güvenlik standartlarına uygun çözümler uygulanmalıdır.

Güvenli Şifre Yönetimi

Multi-Factor Authentication (MFA)

Çok faktörlü kimlik doğrulama, güvenliği önemli ölçüde artırır:

Güvenli HTTP Headers

Web uygulaması güvenliğini artırmak için kullanılması gereken HTTP başlıkları:

// Content Security Policy
header("Content-Security-Policy: default-src 'self'; script-src 'self' 'unsafe-inline'");

// XSS Koruması
header("X-XSS-Protection: 1; mode=block");

// Content Type Sniffing Koruması
header("X-Content-Type-Options: nosniff");

// Clickjacking Koruması
header("X-Frame-Options: DENY");

// HSTS (HTTPS Zorunluluğu)
header("Strict-Transport-Security: max-age=31536000; includeSubDomains");

// Referrer Policy
header("Referrer-Policy: strict-origin-when-cross-origin");

API Güvenliği

Modern web uygulamalarında API güvenliği kritik önem taşır:

API Authentication & Authorization

• JWT Tokens: Stateless authentication
• OAuth 2.0: Üçüncü parti entegrasyonlar
• API Keys: Basit servis erişimi
• Rate Limiting: DoS saldırılarına karşı koruma

Sonuç ve Öneriler

Web uygulaması güvenliği, sürekli dikkat gerektiren bir alandır. Güvenlik açıkları sürekli geliştiği için, güncel kalmanız önemlidir.