Çevrimiçi Ücretsiz Web Sitesi Güvenlik Başlıkları Nasıl Denetlenir (2026 Rehberi)

Tarayıcınız bir web sitesi yüklediğinde görünen sayfa, konuşmanın yalnızca yarısıdır. Arka planda sunucu HTTP güvenlik başlıkları da gönderir — tarayıcıya nasıl davranacağını söyleyen görünmez talimatlar: yalnızca şifreli bağlantı kullanın, bu sayfanın başka sitelerden çerçevelenmesine izin vermeyin, beklenmedik betik kaynaklarını engelleyin. Bunlar, site sahipleri için en ucuz, en etkili savunmalardan biridir ve ziyaretçiler için tamamen görünmezdir. Bu rehber, ücretsiz Güvenlik Başlıkları Denetleyicisi aracımızla herhangi bir sitenin başlıklarının nasıl denetleneceğini, her başlığın basit Türkçe ile ne anlama geldiğini ve sonuçlarla ne yapacağınızı gösterir.

Güvenlik başlıkları nedir?

Her web yanıtı başlıklar taşır — sayfa içeriğinden önce gönderilen küçük anahtar/değer meta veri satırları. Çoğu sıradandır (içerik türü, önbellekleme). Güvenlik başlıkları, o site için tarayıcı davranışını sıkılaştıran alt kümedir. Göndermeleri hiçbir şeye mal olmaz, kullanıcıdan hiçbir eylem gerektirmez ve tüm saldırı sınıflarını azaltır: gizlice dinleme, tıklama korsanlığı, siteler arası betik çalıştırma ve içerik türü karmaşası. Başlıkları eksik bir site mutlaka "hacklenmiş" değildir — ama ücretsiz korumayı kullanmıyordur.

Adım 1: Web sitesinin URL'sini girin

Güvenlik Başlıkları Denetleyicisi aracını açın ve web sitesinin adresini yazın — test olarak example.com iyi çalışır. Herhangi bir herkese açık siteyi denetleyebilirsiniz: kendinizinki, işvereninizinki veya yalnızca merak ettiğiniz bir site. Başlıkları denetlemek sıradan, zararsız bir teşhistir — yalnızca herhangi bir tarayıcının aldığı herkese açık yanıt başlıklarını okuyorsunuz.

Adım 2: Denetimi çalıştırın

Check Headers düğmesine tıklayın. Araç, sitenin yanıt başlıklarını getirir ve önemli güvenlik başlıklarını gözden geçirir. Saniyeler içinde her başlık için bir rapor alırsınız.

Bir uyarı: Birkaç site, siteler arası başlık denetimlerini engeller; bu yüzden bazen tarayıcı tabanlı bir araçla bir site taranamaz. Bu olursa araç size söyler — ve daha derin bir tarama için bilinen securityheaders.com hizmetini de deneyebilirsiniz.

Adım 3: Sonuçları okuyun — yeşil mevcut, kırmızı eksik demektir

Her başlık basit bir karar alır: yeşil, başlığın mevcut olduğu anlamına gelir; kırmızı, eksik olduğu anlamına gelir. Kırmızı görünce paniğe kapılmayın — raporu bir ihlal alarmı değil, yapılacaklar listesi olarak ele alın. Aşağıda her başlığın aslında ne yaptığı anlatılmıştır.

Başlık başlık, basit Türkçe ile

Strict-Transport-Security (HSTS)

Tarayıcıya şunu söyler: "Bu siteyle yalnızca HTTPS üzerinden konuş; biri bağlantıyı zayıflatmaya çalışsa bile." Bağlantının şifresini sessizce kaldırmaya çalışan sslstrip tarzı saldırıları yener. Oturum açma veya ödeme işleyen her site bunu göndermelidir.

Content-Security-Policy (CSP)

Sayfanın betikleri, stilleri ve diğer kaynakları nereden yükleyebileceğini ilan eden bir beyaz listedir. Siteler arası betik çalıştırma (XSS) karşısında mevcut en güçlü savunmadır: saldırgan bir betik etiketi enjekte etse bile tarayıcı, kaynak izinli olmadıkça çalıştırmayı reddeder. Doğru yapılandırılması en zor başlık da budur; bu yüzden birçok sitede yoktur.

X-Frame-Options

Sayfanın başka bir sitede çerçeve veya iframe içinde gömülüp gömülemeyeceğini denetler. DENY veya SAMEORIGIN olarak ayarlanmak tıklama korsanlığını durdurur — tıklamaları çalmak için görünmez kötü amaçlı bir sayfayı meşru sayfanın üzerine (veya altına) yerleştiren saldırılar. (Modern siteler bunun yerine CSP'nin frame-ancestors yönergesini kullanabilir; bu onun yerini alır.)

X-Content-Type-Options

nosniff değeriyle tarayıcıların bir dosyanın ilan edilen içerik türünü ikinci kez tahmin etmesini engeller. Olmadan tarayıcı, yüklenen bir dosyayı "koklayarak" aslında HTML/JavaScript olduğuna karar verebilir ve çalıştırabilir — dosya yüklemeleri yoluyla saldırıların klasik bir yolu.

Referrer-Policy

Ayrılırken sayfanın URL'sinin ne kadarının HTTP Referer olarak gönderileceğini denetler. Katı bir politika (örneğin strict-origin-when-cross-origin veya no-referrer), dahili URL'lerin, sorgu dizelerindeki oturum belirteçlerinin veya özel yolların üçüncü taraf sitelere sızmasını engeller.

Sizin sitenizse: Eksik başlıklarla ne yapmalı

1. HSTS ve X-Content-Type-Options'a öncelik verin — bunlar neredeyse her sunucuda ve web çerçevesinde tek satırlık eklemelerdir.
2. X-Frame-Options ekleyin (veya CSP frame-ancestors), çerçevelemeye izin vermek için özel bir nedeniniz olmadıkça.
3. Content-Security-Policy'yi dikkatle planlayın. Sayfalarınızın meşru olarak ne yüklediğini öğrenmek için yalnızca rapor modunda bir politikayla başlayın, sonra zorlayın. Yanlış yapılandırılmış bir CSP sitenizi açıkça bozar; bu yüzden önce hazırlık ortamında test edin.
4. Her değişiklikten sonra yeniden tarayın; başlıkların gerçekten gönderildiğini doğrulayın.

Başlıklar sunucu veya uygulama düzeyinde ayarlanır (web sunucusu yapılandırması, çerçeve ara yazılımı veya CDN uç kuralları) — tam adımlar yığınınıza bağlıdır ama her büyük platform bunları belgeler.

Başkasının sitesiyse: Kırmızı nasıl anlaşılmalı

Yalnızca ziyaret ettiğiniz bir sitede eksik başlık, not etmeye değerdir, paniğe kapılmaya değil. Güvenlik başlıkları derinlemesine savunmadır: yoklukları, sitenin tehlikeye girdiği veya verilerinizin orada açıkta olduğu anlamına gelmez. Sitenin işletenlerinin ücretsiz bir koruma katmanını etkinleştirmediği anlamına gelir. Hassas bilgi girdiğiniz siteler için sıkılığı ciddiye alan rakipleri makul şekilde tercih edebilirsiniz — ama kırmızı satırı yanlış davranış kanıtı saymayın.

Başlık denetimleri neyi söyleyemez

Burada da dürüstlük önemlidir. Başlık taraması yapılandırmayı denetler, güvenlik açıklarını değil: SQL enjeksiyonu, bozuk kimlik doğrulama, sızmış sırlar veya eski yazılım bulamaz. Bir site başlıklarda tam puan alabilir ve altta yine de güvensiz olabilir — ve birkaç başlığı eksik bir site yine de iyi mühendislik ürünü olabilir. Bunu, evde sürgü kilit olup olmadığını denetlemek gibi düşünün: yararlı bilgi, tam güvenlik denetimi değil.

Sık sorulan sorular

Bir web sitesinin başlıklarını denetlemek yasal mı?

Evet. Sitenin herkese açık ana sayfasını istiyorsunuz ve her tarayıcının aldığı standart yanıt meta verisini okuyorsunuz. Sayfanın kaynağını görüntülemek türünde bir etkinliktir.

Bazı siteler neden denetlenemiyor?

Birkaç site siteler arası istekleri engeller; bu da tarayıcı tabanlı araçların başlıklarını okumasını engeller. Onlar için securityheaders.com gibi sunucu tarafı bir tarayıcı genellikle çalışır.

Güvenlik başlıkları web sitesini yavaşlatır mı?

Ölçülebilir bir etki yok — yanıtta yalnızca birkaç ek bayttır. Onları atlamanın hiçbir performans nedeni yoktur.

Başlık eklemek sitemi bozar mı?

Çoğu başlığı eklemek düpedüz güvenlidir. Content-Security-Policy istisnadır: önce yalnızca rapor modunda test edin, çünkü çok katı bir politika meşru betikleri engeller ve işlevi bozar.

Şimdi bir sitenin denetimini yapın: Ücretsiz Güvenlik Başlıkları Denetleyicisi · Ücretsiz IP Sorgulama · Ücretsiz Kimlik Avı URL Denetleyicisi