example.com

Açıklama

21 seçici boş DKIM anahtarı döndürüyor; bu durum iptal edilmiş veya wildcard bir DKIM kaydına işaret ediyor.

Etkisi

İmza doğrulaması başarısız olabilir veya sağladığı güvence zayıflar.

Çözüm

E-posta sağlayıcınızdan DKIM anahtarını yenileyin (2048 bit önerilir) ve DNS kaydını güncelleyin.

Teknik detay

Açıklama

http://example.com adresi 200 durum koduyla doğrudan içerik sunuyor; HTTPS'e yönlendirme yok.

Etkisi

Adres çubuğuna alan adını yazan ziyaretçiler şifresiz bağlantı kurar. Aradaki bir saldırgan bu ilk isteği ele geçirip ziyaretçiyi HTTPS'e geçmekten alıkoyabilir (SSL stripping).

Çözüm

Web sunucunuzda tüm HTTP isteklerini 301 ile HTTPS'e yönlendirin. Apache (.htaccess): RewriteEngine On / RewriteCond %{HTTPS} off / RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Teknik detay

Nasıl düzeltilir?

1. Cloudflare > SSL/TLS > Edge Certificates.
2. "Always Use HTTPS" seçeneğini açın.
3. SSL/TLS şifreleme modunun "Full (strict)" olduğundan emin olun.

1. cPanel > Domains bölümünde alan adının yanındaki "Force HTTPS Redirect" anahtarını açın.
2. Alternatif olarak .htaccess dosyasına yönlendirme kuralı ekleyin.

1. Websites & Domains > Hosting Settings.
2. "Permanent SEO-safe 301 redirect from HTTP to HTTPS" kutusunu işaretleyin.

1. hPanel > Websites > Manage > Security > Force HTTPS.
2. Anahtarı açın; sistem yönlendirmeyi otomatik ekler.

1. Apache (.htaccess): RewriteEngine On
2. RewriteCond %{HTTPS} off
3. RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
4. nginx: server bloğunda "return 301 https://$host$request_uri;" kullanın.

Açıklama

Tarayıcıya bu siteye yalnızca HTTPS ile bağlanmasını söyler; ilk isteğin dinlenerek HTTP'ye düşürülmesini (SSL stripping) engeller.

Etkisi

Ziyaretçinin ilk isteği HTTP üzerinden gidebilir; bu istek ele geçirilerek oturum çalınabilir.

Çözüm

Sunucunuza şu başlığı ekleyin: Strict-Transport-Security: max-age=31536000; includeSubDomains

Önerilen kayıt

Teknik detay

Nasıl düzeltilir?

1. Cloudflare > SSL/TLS > Edge Certificates.
2. "HTTP Strict Transport Security (HSTS)" bölümünde Enable HSTS.
3. Max Age: 12 months, Include subdomains: açık, No-Sniff: açık.
4. Uyarı: HSTS açıldıktan sonra alan adınız max-age süresince yalnızca HTTPS ile açılır. Sertifikanız kesintiye uğrarsa site erişilemez olur.

1. public_html içindeki .htaccess dosyasını düzenleyin.
2. Şu satırı ekleyin: Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
3. Dosyayı kaydedip siteyi test edin.

1. Websites & Domains > Apache & nginx Settings.
2. "Additional nginx directives" alanına: add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
3. OK ile uygulayın.

1. Web sunucunuzun yanıtına Strict-Transport-Security başlığını ekleyin.
2. Apache: Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
3. nginx: add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
4. Önce kısa bir max-age (örn. 300) ile test edin, sorun yoksa 31536000 yapın.

Açıklama

Sayfanın hangi kaynaklardan script, stil ve içerik yükleyebileceğini sınırlar. XSS saldırılarının etkisini büyük ölçüde azaltır.

Etkisi

Siteye enjekte edilen bir script hiçbir engelle karşılaşmadan çalışır; XSS açığının etkisi en üst düzeye çıkar.

Çözüm

Sıkı bir politikayla başlayın ve raporlayarak genişletin: Content-Security-Policy: default-src 'self'; object-src 'none'; base-uri 'self'

Önerilen kayıt

Teknik detay

Nasıl düzeltilir?

1. Cloudflare > Rules > Transform Rules > Modify Response Header.
2. "Set static" ile Content-Security-Policy başlığını ekleyin.
3. Politikayı önce Report-Only olarak deneyin.

1. Content-Security-Policy başlığını önce Report-Only modunda ekleyin.
2. Content-Security-Policy-Report-Only: default-src 'self'; report-uri /csp-report
3. Tarayıcı konsolundaki ihlalleri inceleyip gerçekten kullandığınız kaynakları politikaya ekleyin.
4. Sorun kalmadığında başlığı Report-Only olmadan uygulayın.
5. 'unsafe-inline' ve 'unsafe-eval' ifadelerinden kaçının; satır içi scriptler için nonce kullanın.

Açıklama

Sayfanın başka sitelerde çerçeve içine alınmasını engeller; tıklama hırsızlığına (clickjacking) karşı korur.

Etkisi

Site saldırganın sayfasında görünmez bir çerçeve içine alınıp kullanıcıya istemediği işlemler yaptırılabilir (clickjacking).

Çözüm

X-Frame-Options: SAMEORIGIN başlığını veya CSP frame-ancestors yönergesini ekleyin.

Önerilen kayıt

Teknik detay

Açıklama

Sunucu şu protokolleri kabul ediyor: TLS 1.0, TLS 1.1. TLS 1.0 ve 1.1, 2021'de tüm büyük tarayıcılar tarafından kullanımdan kaldırıldı.

Etkisi

PCI DSS uyumluluğu bozulur; POODLE ve BEAST türü saldırılara zemin hazırlar.

Çözüm

Sunucu yapılandırmasında yalnızca TLS 1.2 ve 1.3 sürümlerine izin verin. Apache: SSLProtocol -all +TLSv1.2 +TLSv1.3 — nginx: ssl_protocols TLSv1.2 TLSv1.3;

Teknik detay

Açıklama

Ad sunucularının tamamı cloudflare.com altında. Bu yaygın ve çoğu durumda kabul edilebilir bir yapıdır, ancak sağlayıcı genelinde bir kesinti yaşandığında yedek kalmaz.

Etkisi

Sağlayıcı kaynaklı kesintide alan adı çözümlenemez.

Çözüm

Kritik hizmetler için ikincil bir DNS sağlayıcısı ekleyerek çeşitlilik sağlayabilirsiniz.

Teknik detay

Açıklama

CAA kaydı, alan adınız için hangi sertifika otoritelerinin sertifika üretebileceğini sınırlar. Kayıt yoksa herhangi bir otorite sertifika verebilir.

Etkisi

Yetkisiz sertifika üretimi riski artar; hatalı doğrulama yapan bir otorite alan adınız için sertifika çıkarabilir.

Çözüm

Kullandığınız sertifika sağlayıcısını CAA kaydıyla belirtin. Örnek: @ CAA 0 issue "letsencrypt.org"

Önerilen kayıt

Teknik detay

Nasıl düzeltilir?

1. DNS > Records > Add record > Type: CAA.
2. Name: @, Tag: issue, Value: letsencrypt.org (kullandığınız otoriteyi yazın).
3. Joker sertifika kullanıyorsanız ikinci bir kayıt: Tag issuewild.
4. Bildirim için üçüncü kayıt: Tag iodef, Value mailto:guvenlik@alanadiniz.com

1. DNS panelinizde kök alan için CAA kaydı ekleyin.
2. 0 issue "letsencrypt.org" — yalnızca Let's Encrypt sertifika verebilir.
3. 0 issuewild "letsencrypt.org" — joker sertifikalar için.
4. 0 iodef "mailto:guvenlik@alanadiniz.com" — kural dışı talepler size bildirilir.
5. Kullandığınız tüm sertifika otoritelerini eklemeyi unutmayın, aksi halde yenileme başarısız olur.

Açıklama

rua (toplu rapor adresi) tanımlı değil; kimin alan adınız adına gönderim yaptığını göremezsiniz.

Etkisi

Alan adınız adına yapılan gönderimleri göremezsiniz; politikayı sıkılaştırmak için gereken veri oluşmaz.

Çözüm

Kayda rua=mailto:dmarc@example.com ekleyin.

Teknik detay

Açıklama

Tarayıcının içerik türünü tahmin etmesini (MIME sniffing) engeller; yüklenen dosyaların script olarak çalıştırılmasını önler.

Etkisi

Tarayıcı dosya türünü tahmin edebilir; yüklenen bir görsel script olarak çalıştırılabilir.

Çözüm

X-Content-Type-Options: nosniff başlığını ekleyin.

Önerilen kayıt

Teknik detay

Açıklama

Başka sitelere geçişte hangi adres bilgisinin gönderileceğini belirler; sorgu parametrelerindeki gizli bilgilerin sızmasını önler.

Etkisi

Kullanıcı başka bir siteye geçtiğinde tam adres (sorgu parametreleri dahil) karşı tarafa gönderilir.

Çözüm

Referrer-Policy: strict-origin-when-cross-origin başlığını ekleyin.

Önerilen kayıt

Teknik detay

Açıklama

Kamera, mikrofon, konum gibi tarayıcı yeteneklerine erişimi kısıtlar.

Etkisi

Sayfaya gömülen üçüncü taraf içerikler kamera, mikrofon ve konum izinlerini talep edebilir.

Çözüm

Permissions-Policy: geolocation=(), microphone=(), camera=() başlığını ekleyin.

Önerilen kayıt

Teknik detay

Açıklama

Güven zinciri tamam: üst bölgede DS kaydı, bölgede DNSKEY kaydı mevcut ve doğrulayan çözümleyici AD bitini döndürüyor.

Etkisi

DNS yanıtları kriptografik olarak doğrulanabiliyor.

Teknik detay