HTTP Başlıkları: Web Uygulamalarınız İçin Kritik Güvenlik Kalkanı

Senseii · 15 Ağu 2025

Web dünyasında güvenlik, bir yapının temelini oluşturan en kritik unsurlardan biridir. Kullanıcı verilerinin korunması, site bütünlüğünün sağlanması ve siber saldırılara karşı dirençli olmak, modern web uygulamalarının olmazsa olmazıdır. Bu noktada, HTTP başlıkları görünmez bir kalkan görevi görerek tarayıcı ve sunucu arasında iletişimi düzenler, ancak aynı zamanda önemli güvenlik politikalarını da zorunlu kılar. Yanlış yapılandırılmış veya eksik HTTP başlıkları, web sitenizi çeşitli güvenlik açıklarına karşı savunmasız bırakabilir. Bu yazıda, web güvenliğinizi güçlendirmek için kullanabileceğiniz başlıca HTTP güvenlik başlıklarını detaylıca inceleyeceğiz.

HTTP Başlıkları Nedir ve Neden Önemlidir?

HTTP (Köprü Metni Aktarım Protokolü) başlıkları, istemci ve sunucu arasındaki istek ve yanıt mesajlarında ek bilgi taşıyan isim-değer çiftleridir. Bu bilgiler, içerik tipi, kodlama, çerezler, önbellekleme talimatları gibi çeşitli verileri içerebilir. Güvenlik bağlamında ise, bu başlıklar tarayıcıya belirli davranışları kısıtlaması veya belirli güvenlik politikalarını uygulaması talimatını verir. Örneğin, bir başlık tarayıcıya sitenizin sadece HTTPS üzerinden erişilebilir olması gerektiğini söyleyebilirken, diğeri harici kaynaklardan komut dosyası yüklenmesini engelleyebilir.

Önemli Güvenlik Odaklı HTTP Başlıkları:

Content-Security-Policy (CSP): Web güvenliğinin en güçlü ve en karmaşık başlıklarından biridir. XSS (Cross-Site Scripting) saldırılarını ve veri enjeksiyon saldırılarını önlemeye yardımcı olur. CSP, bir web sayfasının hangi kaynaklardan (komut dosyaları, stil sayfaları, görseller, medya vb.) içerik yüklemesine izin verildiğini belirleyerek çalışır. Uygulanması dikkat gerektirse de, doğru yapılandırıldığında ciddi bir güvenlik katmanı sağlar. Tarayıcı, belirlenen politikalara uymayan herhangi bir içeriği yüklemeyi reddeder ve bu durumu raporlayabilir.
Kod:
```
Content-Security-Policy: default-src 'self'; script-src 'self' https://trusted.cdn.com; img-src 'self' data:; style-src 'self' 'unsafe-inline'; report-uri /csp-report-endpoint;
```
Yukarıdaki örnekte, varsayılan olarak yalnızca kendi alan adından ('self') kaynaklara izin verilir. Komut dosyaları kendi alan adından veya 'trusted.cdn.com' adresinden yüklenebilir. Görseller kendi alan adından veya veri URI'lerinden ('data:') yüklenebilir. Stil sayfaları kendi alan adından ve satır içi stillerden ('unsafe-inline') yüklenebilir. Politika ihlalleri '/csp-report-endpoint' adresine bildirilir. 'unsafe-inline' kullanımı genellikle önerilmez ve daha sıkı politikalar tercih edilmelidir, ancak geçiş aşamalarında veya belirli durumlar için kullanılabilir. Daha fazla bilgi için: https://developer.mozilla.org/tr/docs/Web/HTTP/Headers/Content-Security-Policy
Strict-Transport-Security (HSTS): Bu başlık, man-in-the-middle (ortadaki adam) saldırılarını önlemek ve tüm iletişimin HTTPS üzerinden yapılmasını sağlamak için kullanılır. Tarayıcıya, sitenize sonraki tüm ziyaretlerde otomatik olarak HTTPS kullanmasını söyler, HTTP isteklerini otomatik olarak HTTPS'ye yükseltir. Bu, kullanıcıların sitenize HTTP üzerinden yanlışlıkla veya kötü niyetli bir şekilde erişmesini engeller.
Kod:
```
Strict-Transport-Security: max-age=31536000; includeSubDomains; preload
```
Burada max-age, tarayıcının politikayı ne kadar süreyle hatırlayacağını saniye cinsinden belirtir (bir yıl). includeSubDomains alt alan adlarını da kapsar. preload ise sitenizin HSTS preload listesine eklenmek için uygun olduğunu gösterir, bu sayede tarayıcılar sitenizi daha hiç ziyaret etmeden bile HSTS uygulayabilirler. Detaylar için: https://developer.mozilla.org/tr/docs/Web/HTTP/Headers/Strict-Transport-Security
X-Content-Type-Options: Bu başlık, tarayıcının MIME türü koklamasını (sniffing) devre dışı bırakır. Tarayıcılar bazen sunucunun bildirdiği MIME türünü göz ardı edip içeriği kendi tahminlerine göre yorumlamaya çalışır. Bu durum, bir saldırganın zararlı bir komut dosyasını bir resim dosyası gibi göstererek çalıştırmasına olanak tanıyabilir. nosniff değeri ile bu risk engellenir.
Kod:
```
X-Content-Type-Options: nosniff
```
Bu başlık, sunucunun belirttiği Content-Type başlığının değiştirilmeden kabul edilmesini sağlar ve güvenliği artırır. Okumak için: https://developer.mozilla.org/tr/docs/Web/HTTP/Headers/X-Content-Type-Options
X-Frame-Options: Bu başlık, clickjacking saldırılarını önlemek için kullanılır. Bir web sayfasının <frame> veya <iframe> içinde görüntülenip görüntülenemeyeceğini kontrol eder. Üç olası değeri vardır:
* DENY: Sayfanın hiçbir şekilde bir çerçeve içinde görüntülenmesini engeller.
* SAMEORIGIN: Sayfanın yalnızca aynı kökenden gelen bir sayfa içinde bir çerçevede görüntülenmesine izin verir.
* ALLOW-FROM uri: Sayfanın yalnızca belirtilen URI'den gelen bir sayfada görüntülenmesine izin verir (desteklenmesi sınırlıdır, genellikle Content-Security-Policy: frame-ancestors ile değiştirilmiştir).
Kod:
```
X-Frame-Options: SAMEORIGIN
```
Bu başlık, web uygulamanızın başka siteler tarafından kötü niyetli bir şekilde çerçevelenerek kullanıcıların farkında olmadan işlem yapmalarının önüne geçer. İnceleyin: https://developer.mozilla.org/tr/docs/Web/HTTP/Headers/X-Frame-Options
Referrer-Policy: Bu başlık, HTTP isteklerinde Referer başlığının nasıl gönderileceğini kontrol eder. Referer başlığı, kullanıcının bir bağlantıya tıklamadan önce bulunduğu sayfanın URL'sini içerir. Bu bilgi, bazı durumlarda hassas veri sızıntısına neden olabilir veya takip amaçlı kötüye kullanılabilir. Farklı değerleri vardır (örn. no-referrer, no-referrer-when-downgrade, origin, origin-when-cross-origin, same-origin, strict-origin, strict-origin-when-cross-origin, unsafe-url).
Kod:
```
Referrer-Policy: strict-origin-when-cross-origin
```
Bu ayar, aynı kökene yapılan isteklerde tam URL'yi gönderirken, farklı kökene yapılan güvenli (HTTPS'den HTTPS'ye) isteklerde yalnızca kökeni (protokol, host, port) gönderir ve güvenli olmayan isteklerde hiçbir şey göndermez. Böylece gizliliği korurken fonksiyonelliği de sürdürür. Daha fazlası: https://developer.mozilla.org/tr/docs/Web/HTTP/Headers/Referrer-Policy
Permissions-Policy (önceki adıyla Feature-Policy): Bu başlık, tarayıcıya belirli API'leri ve özelliklerini bir belge içinde kısıtlaması talimatını verir. Örneğin, bir web sayfasının kamera, mikrofon, konum sensörü gibi hassas cihaz özelliklerine erişimini kontrol edebilir. Bu, kötü amaçlı iframe'lerin veya üçüncü taraf komut dosyalarının kullanıcıdan izinsiz bu özelliklere erişmesini engelleyerek hem güvenlik hem de gizlilik sağlar.
Kod:
```
Permissions-Policy: geolocation=(self "https://example.com"), camera=(), microphone=()
```
Yukarıdaki örnekte, coğrafi konum bilgisine yalnızca kendi alan adı ve 'example.com' üzerinden erişilebilir; kamera ve mikrofona ise hiçbir şekilde erişilemez. Bu başlık modern tarayıcılarda Feature-Policy'nin yerine geçmiştir. Okumak için: https://developer.mozilla.org/tr/docs/Web/HTTP/Headers/Permissions-Policy
X-XSS-Protection: Bu başlık, tarayıcıdaki yerleşik XSS filtrelerini etkinleştirmek için kullanılırdı. Günümüzde modern tarayıcılar için CSP (Content Security Policy) daha kapsamlı ve güvenli bir çözüm sunmaktadır ve bu başlık büyük ölçüde kullanım dışı kalmıştır. Çoğu durumda bu başlığı kullanmaktan kaçınmak ve bunun yerine CSP'ye odaklanmak daha iyidir. Ancak eski tarayıcı uyumluluğu için hala karşımıza çıkabilir.
Kod:
```
X-XSS-Protection: 1; mode=block
```
Bu kod, XSS filtrelemesini etkinleştirir ve bir saldırı tespit edildiğinde sayfayı yüklemeyi durdurur. Bilgi için: https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/X-XSS-Protection

Diğer Önemli Hususlar:

Set-Cookie Başlığı ve Güvenli Çerezler: Çerezler, web uygulamalarında oturum yönetimi ve kullanıcı takibi için vazgeçilmezdir. Ancak, yanlış yapılandırıldıklarında güvenlik açıkları yaratabilirler. Set-Cookie başlığı aracılığıyla çerezleri güvenli hale getirmek için şu nitelikleri kullanmak kritik öneme sahiptir:
* Secure: Çerezin yalnızca HTTPS üzerinden gönderilmesini sağlar.
* HttpOnly: Çerezin istemci tarafı komut dosyaları (JavaScript) tarafından erişilmesini engeller, XSS saldırılarına karşı koruma sağlar.
* SameSite: CSRF (Cross-Site Request Forgery) saldırılarına karşı koruma sağlar. Strict, Lax ve None değerleri bulunur. Lax en yaygın ve dengeli seçimdir.
Kod:
```
Set-Cookie: sessionid=abcdef12345; Secure; HttpOnly; SameSite=Lax
```
Cache-Control, Pragma, Expires: Hassas bilgileri içeren sayfalarda önbelleğe almayı devre dışı bırakmak veya kontrol etmek önemlidir. Bu başlıklar, tarayıcıların ve proxy sunucularının içerikleri ne kadar süreyle saklayacağını belirler. Özellikle oturum verileri veya kişisel bilgiler içeren sayfalarda no-store veya no-cache kullanmak, bilgilerin aracı sistemlerde veya kullanıcı tarayıcısında kalmamasını sağlar.
Kod:
```
Cache-Control: no-store, no-cache, must-revalidate, proxy-revalidate
Pragma: no-cache
Expires: 0
```

"Web güvenliği bir varış noktası değil, sürekli bir yolculuktur. HTTP başlıkları bu yolculukta sizin en güçlü müttefiklerinizden biridir; ancak tek başına yeterli değildir. Bunları derinlemesine güvenlik stratejinizin bir parçası olarak görmeli ve düzenli olarak gözden geçirmelisiniz." - Siber Güvenlik Uzmanı Fatih Yılmaz

Sonuç:

HTTP güvenlik başlıkları, web uygulamanızın savunmasını güçlendirmek için temel ve etkili bir yöntemdir. Content-Security-Policy, Strict-Transport-Security, X-Content-Type-Options, X-Frame-Options, Referrer-Policy ve Permissions-Policy gibi başlıkları doğru bir şekilde uygulamak, XSS, CSRF, Clickjacking, MIME koklama ve diğer yaygın web zafiyetlerine karşı önemli bir koruma sağlar. Ayrıca, çerezlerin Secure, HttpOnly ve SameSite nitelikleriyle güvenli bir şekilde ayarlanması ve hassas verilerin önbelleğe alınmasının kontrol edilmesi de büyük önem taşır. Bu başlıkları düzenli olarak gözden geçirmek, uygulamanızın ve kullanıcılarınızın verilerinin güvenliğini sağlamak için hayati bir adımdır. Unutmayın, web güvenliği katmanlı bir yaklaşımdır ve HTTP başlıkları bu katmanlardan sadece biridir, ancak başlangıç için oldukça güçlü bir adımdır. Gelecekteki siber tehditlere karşı hazır olmak için bu kalkanları doğru bir şekilde kurmak ve sürdürmek, her web geliştiricisinin ve yöneticisinin önceliği olmalıdır. Bu başlıkların her biri, web kalkanınızın vazgeçilmez bir parçasıdır.