Defaults.Exposed › Düzeltmeler

Alan adı güvenliğinizi düzeltin — ücretsiz, adım adım kılavuzlar

Notlandırdığımız her sorunu düzeltmek için sade Türkçe kılavuzlar — SPF, DKIM, DMARC, DNSSEC, TLS, sertifikalar ve HTTP güvenlik başlıkları. Her biri, ne olduğunu, işletmenize neye mal olabileceğini ve sağlayıcınızda tam olarak nasıl kurulacağını açıklar.

• Ad sunucusu kurulumu (çeşitlilik ve SOA)
  Ad sunucularınız, tüm internete web sitenizi ve e-postanızı nerede bulacağını söyleyen dizindir. Hepsi tek bir ağda oturuyorsa ve o ağ çökerse, işletmeniz tamamen aynı anda internetten kayboluyor — site yok, e-posta yok, hiçbir şey yok — ve o sunuculardaki özensiz saat ayarı, yaptığınız değişikliklerin günlerce takılı kalmasına neden olabilir.
• CAA kayıtları
  CAA kaydı, alan adı ayarlarınızda yer alan ve web siteniz için 'asma kilit' güvenlik sertifikası düzenlemesine hangi sertifika şirketlerinin izinli olduğunu belirten kısa bir talimattır. Açıkken başka hiçbir şirket sizin adınıza geçerli sertifika sessizce oluşturamaz.
• Çapraz kaynak izolasyon başlıkları (COOP / CORP / COEP)
  Diğer web sitelerinin sizinkiyle nasıl etkileşim kurmasına izin verildiğini kontrol eden üç isteğe bağlı tarayıcı talimatı — açılır pencerede açma, resimlerini ve komut dosyalarını yerleştirme veya kaynaklarını kendi sayfalarına çekme. Bunlar temel bir zorunluluk değil modern sertleştirmedir ve puanlamamızda yalnızca bilgilendiricidir: eksikliği notunuzu düşürmez. Ama ikisi güvenli olan, kimlik avı ve bant genişliği hırsızlığı açığını kapatır ve dikkatli bir alıcının BT ekibi mevcut olduklarında fark eder.
• CDN / WAF ve barındırma
  Web sitenizin arkasındaki tesisatın iki okuması: saldırıları filtreleyen ve trafik artışlarını emen koruyucu bir kalkanın (Cloudflare gibi WAF'lı CDN) arkasında mısınız ve DNS'nizi, web sitenizi ve e-postanızı gerçekte kimin çalıştırdığının haritası. Her ikisi de puanlamamızda yalnızca bilgilendiricidir — notunuzu hareket ettirmezler — ama kaynak sunucunuzun saldırı ve kesintiye ne kadar açık olduğunu ve sağlayıcılarınızın ne kadar iç içe geçtiğini tanımlarlar. Önde bir kalkan ve mantıklı şekilde bölünmüş sağlayıcı seti, dayanıklı işletmelerin göründüğü şeydir.
• DKIM
  DKIM, işletmenizin gönderdiği her e-postanın üzerindeki görünmez, kurcalamaya karşı korumalı mühürdür. Alıcı posta sağlayıcısının e-postanın gerçekten sizden geldiğini ve değiştirilmeden ulaştığını doğrulamasını sağlar. Bu olmadan postalarınız taklit edilmesi daha kolay, değiştirilmesi daha kolay ve spam'e düşme ya da doğrudan reddedilme olasılığı çok daha yüksek hale gelir.
• DMARC (E-posta Sahteciliği Koruması)
  DMARC, dünyanın posta sağlayıcılarına işletmenizin adını taklit eden e-postaları BLOKE etmelerini söyleyen tek ayardır. SPF ve DKIM kilitleri kontrol eder; DMARC, bir sahtecilik kontrolü başarısız olduğunda ne olacağına karar verir — çöpe atılsın mı, işaretlensin mi, yoksa geçirilsin mi. Yanlış ayarlanırsa alan adınız tamamen taklit edilebilir; doğru ayarlanırsa kimliğe bürünme gelen kutusunda durur.
• DNSSEC
  DNSSEC, alan adınızın adres defterine yapıştırılmış dijital bir mühürdür. İnternete, 'Bu alan adı nerede yaşıyor?' sorusunun yanıtının gerçekten sizden geldiğini ve yolda kurcalanmadığını kanıtlamasını sağlar. Bu olmadan yanıt taklit edilebilir — ve ziyaretçileriniz sessizce başka bir yere gönderilebilir.
• HSTS (Strict-Transport-Security)
  HSTS, web sitenizin her tarayıcıya verdiği tek satırlık talimattır: 'Her zaman güvenli, şifreli bağlantıyla gel — güvensiz olanla asla.' Bu olmadan, paylaşımlı Wi-Fi'da asma kilidiniz sessizce devre dışı bırakılabilir ve sitenize ilk ziyaret tehlikeye atılır.
• HTTPS ve zorunlu güvenli yönlendirme
  HTTPS, tarayıcı çubuğundaki asma kilittir — web siteniz ve müşterileriniz arasında aktarılan her şeyi şifreler; aktarım sırasında okunmasını veya kurcalanmasını engeller. Zorunlu güvenli yönlendirme, ziyaretçilerin adresinizi 'https://' olmadan yazsalar bile otomatik olarak bu şifreli sürüme yönlendirilmelerini sağlar. Bu ikili, bir web sitesinin güvenli sayılabilmesi için gereken tek en temel şeydir.
• İçerik Güvenliği Politikası (CSP)
  İçerik Güvenliği Politikası, web sitenizin her ziyaretçinin tarayıcısına verdiği, tam olarak hangi kodun çalışmasına izin verildiğini söyleyen güvenlik kuralıdır. Bu olmadan sayfaya kötü niyetli herhangi bir şey bulaştığında — yorum kutusu, hacklenmiş eklenti veya üçüncü taraf komut dosyası aracılığıyla — tarayıcı asma kilit hâlâ açıkken müşterilerinizin kart numaralarını ve şifrelerini yazarken sessizce toplayan kod dahil her şeyi serbestçe çalıştırır.
• IPv6 desteği
  IPv6, eskisinin (IPv4) yer tükenmesiyle getirilen internetin adresleme sisteminin daha yeni, çok daha büyük versiyonudur. IPv6 desteği eklemek, web sitenizin ve e-postanızın modern ağ üzerinden de ulaşılabilir olduğu anlamına gelir. Puanlamamızda bu yalnızca bilgilendiricidir — olmadan notunuzu düşürmez — ama gerçek dünya erişim meselesidir: mobil ve yurt dışındaki müşterilerin giderek büyüyen bir dilimi yalnızca IPv6 ağlarından bağlanıyor ve yalnızca siz destekliyorsanız sorunsuz ulaşıyorlar. Düzeltme ücretsizdir ve DNS ve barındırma kurulumunuzda yaşar.
• MIME algılama koruması (X-Content-Type-Options)
  Tarayıcıların bir dosyanın gerçekte ne olduğunu tahmin etmesini durduran tek satırlık bir başlıktır. Bu olmadan, sitenize birinin yüklediği — ya da kendi sayfalarınızdaki — bir dosya tarayıcı tarafından yanlış okunarak kod olarak çalıştırılabilir; bu da bazı saldırıların zararsız görünen bir yüklemeyi müşterilerinizin oturumlarını çalmak için kullanmasının tam da bu şekilde gerçekleştiği anlamına gelir.
• Modern şifreleme (TLS sürümü ve şifreler)
  TLS, ziyaretçileriniz ile web siteniz arasındaki veriyi karıştıran kilittir. Bu kilidi güvenilir yapan iki şey vardır: modern bir TLS sürümü kullanmak (eski, kırık olanları değil) ve güçlü şifreler kullanmak (asıl karıştırma tarifi). Bu sayfa her ikisini kapsar — artı notunuzu etkilemeyen ama bilinmesi gereken birkaç ilgili ayar.
• MX Kayıtları (Posta Kurulumu)
  MX kaydı, dünyanın geri kalanına alan adınıza gönderilen e-postayı nereye teslim edeceğini söyleyen işarettir. Kayıt eksik veya hatalıysa işletmenize gönderilen her mesaj — müşteri soruları, şifre sıfırlama talepleri, faturalar, sözleşmeler — gönderene geri döner. MX yoksa gelen kutusu da yok.
• Referrer-Policy
  Referrer-Policy, web sitenizin her ziyaretçinin tarayıcısına verdiği, başka bir siteye bağlantıya tıkladıklarında web adresinizin ne kadarının onlarla birlikte gittiğini kontrol eden tek satırlık talimattır. Bu olmadan, her sayfanın tam adresi — arama terimleri, hesap numaraları, sıfırlama bağlantıları, dahili sayfa yolları ve tüm bunlar — ziyaret ettikleri bir sonraki siteye, reklamcılara, analitik firmalarına ve bir bağlantının gösterdiği her yere sessizce teslim edilir.
• SPF (Sender Policy Framework)
  SPF, alan adı ayarlarınızda yer alan ve hangi e-posta hizmetlerinin işletmeniz adına posta göndermeye yetkili olduğunu listeleyen bir kayıttır. Bu kayıt olmadan dünyanın herhangi bir yerindeki biri sizden geliyormuş gibi görünen e-posta gönderebilir; üstelik kendi gerçek postalarınız müşterilerin spam klasörüne düşme riskiyle karşı karşıya kalır.
• Ters DNS (PTR)
  Ters DNS, işletme e-postanızı gönderen sunucunun kimlik kartıdır. Gmail veya Microsoft 365 gibi alıcı sağlayıcılar gönderen adresin arkasında kimin olduğunu arayıp adı doğrulandığında postanız meşru görünür. Kimlik kartı yoksa — ya da ad ile numara uyuşmuyorsa — son derece gerçek faturalarınız ve teklifleriniz şüpheli olarak değerlendirilir; sessizce spam'e atılır veya reddedilir.
• Tıklama korsanlığı koruması (X-Frame-Options)
  Diğer web sitelerinin sitenizi kendi içlerinde gizlice yüklemesine izin vermeyen tek satırlık bir talimattır. Bu olmadan, dolandırıcı gerçek, oturum açılmış sayfalarınızı sahte sayfanın arkasına gizleyerek müşterilerinizi hiç yapmak istemedikleri şeyleri — bir ödemeyi onaylama, şifre değiştirme, erişim izni verme — tıklatabilir.
• TLS sertifika sağlığı
  SSL/TLS sertifikanız, bir ziyaretçinin gerçekten sizin web sitenizle — bir taklitçiyle değil — konuştuğunu kanıtlayan ve tarayıcıdaki asma kilidi sağlayan dijital kimlik kartınızdır. Bu kontrol söz konusu sertifikanın geçerli ve güvenilir, sona ermek üzere olmayan, ve güçlü modern kriptografi ile oluşturulmuş olup olmadığını inceler.