Güvenlik taraması
Glimana haftada bir sitenize, bir saldırganın tarayıcısının dışarıdan bakacağı gibi bakar: sertifika, güvenlik başlıkları, asla herkese açık olmaması gereken dosyalar, bilinen açığı olan eski yazılımlar, e-posta ve DNS kayıtları. Sonuçta bir A+–F notu, 33 kontrolün her birinin sonucu ve her sorun için nasıl düzeltileceği gelir.
Yan menüden açın: Veri › Güvenlik. Bütün ücretli planlarda (Pro, Stüdyo, Ajans) vardır.
Kimin için çalışır
Tarama sitenin kendisine istek gönderir (örneğin /.env dosyası açık mı diye sorar); bu yüzden yalnız sahibi doğrulanmış sitelerde çalışır: Glimana'da DNS, HTML dosyası ya da meta etiketi doğrulaması veya Google Search Console'da Sahip ya da Tam kullanıcı yetkisi. Search Console'da kısıtlı ya da yalnız okuma yetkisi yetmez. Doğrulanmamış sitede Güvenlik sayfası bunu söyler ve hiçbir istek gönderilmez.
Ne zaman çalışır
- İlk kez, sitenin ilk taramasından hemen sonra.
- Ardından her pazar 04:00'te (İstanbul saati).
- İstediğinizde, Güvenlik sayfasındaki Yeniden tara ile: saatte site başına en çok 2, çalışma alanı başına en çok 6 tarama. Yeniden taramak için Tarama ve testler izni gerekir.
Bir tarama bir ile dört dakika sürer ve birkaç düzine sıradan istek gönderir.
33 kontrol
| Grup | Ne kontrol edilir |
|---|---|
| Sertifika ve HTTPS | Sertifikanın geçerliliği ve bitişi, anahtar gücü, eski TLS sürümleri, zayıf şifreleme, TLS 1.3, HSTS |
| Açıkta kalan dosyalar | .env, .git, yedek ve veritabanı dökümleri, hata ayıklama sayfaları ve kütükleri, dizin listeleme |
| Güncel olmayan yazılım | İçerik yönetim sistemi sürümü, bilinen açığı olan WordPress eklentileri, bilinen açığı olan JavaScript kütüphaneleri |
| Güvenlik başlıkları | Content-Security-Policy (eksik ya da zayıf), tıklama hırsızlığı koruması, nosniff, Referrer-Policy, Permissions-Policy |
| Çerezler ve siteler arası erişim | Secure / HttpOnly / SameSite çerez bayrakları, kimlik bilgisiyle her kökene izin veren CORS, Subresource Integrity |
| Bilgi sızıntıları | Başlıklarda sunucu ve çatı sürümleri, generator etiketi, kod basan hata sayfaları, security.txt |
| E-posta ve DNS | SPF, DMARC, sahipsiz CNAME kayıtları (alt alan adı ele geçirme), CAA, DNSSEC |
Her kontrolün Rehberler altında kendi rehberi vardır (anahtarlar sec_ ile başlar); Güvenlik sayfasında Düzeltme rehberi olarak bağlanır.
Ne yapmaz
Tarama yalnız okur. Şifre denemez, parametrelerle oynamaz, dizin taraması yapmaz. Açıkta kalan dosyalar yaklaşık 20 sabit yolda, yalnız ilk 2 KB okunarak kontrol edilir; bir dosya ancak içeriği eşleşirse açık sayılır (yumuşak 404 sayılmaz). Bir şey bulduğunda durur: .git nesnelerini asla indirmez, bir .env dosyasının içeriğini asla saklamaz — kanıtta yalnız gördüğü anahtarların adları yer alır.
Not
Puan 100'den başlar; kalan her kontrol önemine göre düşürür: kritik 30, yüksek 15, orta 7, düşük 3, bilgi 0.
| Not | Puan |
|---|---|
| A+ | 100 |
| A | 90–99 |
| B | 75–89 |
| C | 60–74 |
| D | 40–59 |
| F | 40'ın altı |
Tek bir kritik bulgu, gerisi ne kadar iyi olursa olsun notu en çok D yapar: herkese açık bir yapılandırma dosyası iyi başlıklarla dengelenmez. Ölçülemeyen kontroller iki yönde de hesaba girmez. Güvenlik notu sitenin sağlık skorundan ayrıdır; sağlığı yalnız kritik ve yüksek bulgular, o da az miktarda düşürür.
Sonuçları okumak
- Kritik, Yüksek, Orta, Düşük, Bilgi — kontrol bu önemle kaldı; satırda kanıt, nasıl düzeltileceği ve soruna bağlantı yazar. Sorunlar her grupta en üstte listelenir.
- Henüz çalışmıyor — kontrol çalışamadı; nedeni yazar (örneğin açık verisi henüz yükleniyordu). Hazır hâle geldiğinde bir sonraki taramada çalışacağını söyler.
- Ölçülemedi — site, kontrolün kullanabileceği bir yanıt vermedi (örneğin istek zaman aşımına uğradı).
- Uygulanmaz — kontrol bu site için geçerli değil (örneğin WordPress olmayan sitede WordPress eklenti kontrolleri).
- Geçti — yapılacak bir şey yok.
Kalan kontroller Sorunlar sayfasında da (kategori Güvenlik) görünür ve göreve dönüşür; böylece her şey gibi önceliklendirilir ve doğrulanır.
Uyarılar
Bir tarama yeni ya da kötüleşmiş kritik veya yüksek bir sorun bulduğunda Glimana hemen bir uyarı oluşturur; tek cümlelik düzeltme ve Güvenlik sayfasına bağlantıyla. Uyarı bildirim kanallarınıza, planınızda e-posta uyarısı varsa e-postayla da gider.
Veri kaynakları
- WordPress eklenti açıkları: Wordfence Intelligence (© Defiant Inc.), her gün yenilenir.
- JavaScript kütüphane açıkları: retire.js veritabanı (Apache-2.0), her hafta yenilenir.
- Derin TLS testi: testssl.sh (GPL-2.0), tarayıcımızda ayrı bir program olarak çalışır.
API ve yapay zekâ asistanları
Aynı sonuç salt okunur olarak GET /api/v1/sites/{site}/security ve MCP aracı get_security_scan ile de alınır; bkz. API ve MCP.