HTTP Header Kontrol | Güvenlik Başlıkları Testi

Güvenlik başlıkları neden önemli?

HTTP yanıt başlıkları tarayıcıya sitenizi nasıl koruması gerektiğini söyler. Doğru yapılandırılmış başlıklar; tıklama korsanlığı (clickjacking), siteler arası betik çalıştırma (XSS) ve HTTPS’ten HTTP’ye düşürme saldırılarının etkisini azaltır. Bu başlıklar sunucu veya .htaccess yapılandırmasıyla birkaç satırda eklenebilir.

HSTS, CSP, X-Content-Type-Options ve Referrer-Policy başlıklarının koruduğu saldırı türleri

HTTP başlık kontrolünde eksik güvenlik başlıkları ve ham başlık listesi

Temel güvenlik başlıkları

Her sitede bulunması önerilen başlıklar:

Strict-Transport-Security (HSTS)

Tarayıcının siteye bir süre boyunca yalnızca HTTPS ile bağlanmasını sağlar. Örnek: max-age=31536000; includeSubDomains.

Content-Security-Policy (CSP)

Hangi kaynaklardan betik, stil ve görsel yüklenebileceğini sınırlar. Önce Report-Only modunda denenmelidir.

X-Content-Type-Options

“nosniff” değeri, tarayıcının dosya türünü tahmin etmesini engeller.

Referrer-Policy ve Permissions-Policy

Başka sitelere giden yönlendiren bilgisini ve kamera, mikrofon gibi tarayıcı özelliklerine erişimi sınırlar.

Sonuç tablosu nasıl okunur?

Araç girdiğiniz adrese tek bir istek gönderir ve yönlendirmeyi izlemez. http:// ile başlayan ya da www’siz bir adres yazarsanız çoğu zaman yönlendirme yanıtının (301) başlıklarını görürsünüz; son adresin başlıkları için yönlendirmenin hedefini girin ya da zinciri yönlendirme kontrol aracıyla izleyin. Tablonun satırları:

Özellik	Ne gösterir
Durum	HTTP yanıt kodu ve sürümü (ör. HTTP/1.1, HTTP/2)
IP adresi	İsteğin gittiği sunucu adresi
İlk bayta kadar süre (TTFB)	Bağlantı kurulması, TLS el sıkışması ve sunucunun ilk yanıtı dahil geçen süre
Toplam süre	Yanıtın tamamının inmesine kadar geçen süre
Başlık satırları	Sunucunun gönderdiği her başlık ve değeri, geliş sırasıyla
Eksik güvenlik başlıkları	Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy ve Permissions-Policy’den yanıtta olmayanlar

Önbellek ve sıkıştırma

Statik dosyalarda uzun süreli Cache-Control ve gzip ya da Brotli sıkıştırma, sayfa hızını doğrudan etkiler. Bu ayarları .htaccess oluşturucu ile hazırlayabilir, etkisini site hız testi ile ölçebilirsiniz.

HTTP başlıkları nasıl kontrol edilir?

URL’yi girin: Kontrol etmek istediğiniz sayfanın tam adresini yazın.
Eksik başlıkları inceleyin: Sonuç tablosunun sonundaki “Eksik güvenlik başlıkları” satırına bakın.
Performans başlıklarını kontrol edin: Sıkıştırma ve önbellek başlıklarının statik dosyalarda doğru olduğundan emin olun.
Düzeltip yeniden test edin: Eksik başlıkları sunucunuza ekleyin ve testi tekrarlayın.

Sık sorulan sorular

Güvenlik başlıkları SEO’yu etkiler mi?

Doğrudan bir sıralama etkeni değildir; ancak HTTPS ve güvenli bir site, kullanıcı güveni ve Google’ın sayfa deneyimi yaklaşımıyla uyumludur.

CSP sitemi bozar mı?

Yanlış yapılandırılmış bir CSP, betiklerin veya stillerin yüklenmesini engelleyebilir. Önce Content-Security-Policy-Report-Only ile test edin.

Server başlığını gizlemeli miyim?

Sürüm numarasını göstermemek, saldırganların bilinen açıkları hedeflemesini biraz zorlaştırır; tek başına bir güvenlik önlemi değildir ama önerilen bir uygulamadır.

Başlıkları nasıl eklerim?

Apache/LiteSpeed sunucularda .htaccess dosyasına Header set satırlarıyla, Nginx’te add_header yönergesiyle eklenir. dticaret hosting’de .htaccess desteklenir.

HSTS’yi includeSubDomains ile açmadan önce neye dikkat etmeliyim?

includeSubDomains, kuralı alan adınızın tüm alt alan adlarına uygular. HTTPS’i olmayan bir alt alan adınız varsa (ör. eski bir yönetim ya da test adresi) tarayıcı o adrese şifresiz bağlanmayı reddeder ve ziyaretçi sertifika hatası görür. Önce tüm alt alan adlarında geçerli sertifika olduğunu doğrulayın. Tarayıcılar HSTS başlığını yalnız HTTPS yanıtında dikkate alır.

X-Frame-Options mı, CSP frame-ancestors mı kullanmalıyım?

CSP’deki frame-ancestors yönergesi, sayfanızın hangi sitelerde çerçeve içinde açılabileceğini daha esnek tanımlar ve yeni yapılandırmalarda önerilen yoldur. X-Frame-Options: SAMEORIGIN eski tarayıcılar için yedek olarak kalabilir. Araç, CSP başlığınız olsa bile X-Frame-Options yoksa onu eksik listesinde gösterir.

HEAD ile GET sonuçları neden farklı olabilir?

HEAD isteğinde sunucu yalnız başlıkları gönderir. Standarda göre başlıkların GET ile aynı olması beklenir, ancak bazı uygulamalar ve önbellek katmanları HEAD isteğine farklı yanıt verir. Tutarsızlık görürseniz GET sonucunu esas alın.

Googlebot seçeneği ne işe yarar?

İstek, Googlebot’un akıllı telefon kullanıcı aracısıyla gönderilir; sunucunuzun arama motoruna farklı başlık (ör. X-Robots-Tag ya da yönlendirme) gönderip göndermediğini görürsünüz. İstek dticaret sunucusundan gittiği için Googlebot’u IP adresiyle doğrulayan güvenlik duvarları bu isteği engelleyebilir.

İlgili araçlar ve hizmetler

Sonuçlara göre bir sonraki adımı kolaylaştıran ilgili araçlarımız ve hizmetlerimiz aşağıda.

Siteniz için hızlı ve güvenli hosting

Web hosting paketleri