HTTP Güvenlik Başlıkları
Sunucunun gönderdiği güvenlik başlıklarını denetler. Güvenlik doğrudan bir sıralama etkeni olmasa da HTTPS, HSTS ve karışık içerik sorunları taramayı ve güveni etkiler.
- Üye girişi gerekirÜyelik ücretsiz
- Pro paketinde açıkGünde 100 analiz hakkı
- Geçmişe kaydedilirHesabınızdan erişilir
Bu araç neye bakar?
Google'ın sayfanızı tarayıp indekslemesini belirleyen her şey: etiketler, yönlendirmeler, robots, sitemap ve sunucu yanıtları.
- HSTS, CSP, X-Content-Type-Options, Referrer-Policy
- HTTPS yönlendirmesi çalışıyor mu
- Sunucu ve teknoloji sızıntısı yapan başlıklar
Bu araç ne ölçer?
Güvenlik başlıkları, sunucunun her yanıtla birlikte gönderdiği kısa talimatlardır. Tarayıcıya “bu siteye hep https ile gel”, “dosya türünü tahmin etme”, “beni başka sitenin çerçevesine koyma” gibi şeyler söylerler. Sayfanın içeriğini değiştirmezler; sayfanın nasıl davranacağını sınırlarlar.
Bunlar doğrudan bir sıralama etkeni değildir. Ama tarayıcıda çıkan “güvenli değil” uyarısı ziyaretçiyi geri döndürür, karışık içerik sayfayı bozar, https'e yönlenmeyen bir alan adı ise aynı içeriği iki ayrı adreste sunar. Üçü de arama performansına dokunur.
Araç alan adınızı bir kez çağırır ve altı yaygın başlığı denetler. Ayrıca sitenin http sürümünü ayrıca yoklar: gerçekten https'e yönleniyor mu? Son olarak sunucunun sürüm bilgisi sızdırıp sızdırmadığına bakar.
Nasıl kullanılır?
- 1
Alan adınızı girin
Tek bir sayfa değil, sitenin tamamı için geçerli bir ölçüm. Başlıklar genelde sunucu ya da CDN düzeyinde tanımlanır.
- 2
Kırmızı iki başlıkla başlayın
HSTS ve X-Content-Type-Options kritik işaretlidir. İkisi de tek satırla eklenir ve hiçbir şeyi bozmaz.
- 3
http → https yönlendirmesini doğrulayın
Eski bağlantılar ve elle yazılan adresler hâlâ http ile gelir. Yönlendirme yoksa iki ayrı siteniz var demektir.
- 4
CSP'yi en sona bırakın
Content-Security-Policy en güçlü ama en riskli başlıktır. Önce rapor kipinde yayına alın, sonra zorlayıcı yapın.
Ne zaman kullanmalı?
- Yeni bir siteyi canlıya almadan önceki teknik kontrol listesinde.
- Bir güvenlik denetiminden ya da müşteri sorusundan sonra mevcut durumu belgelemek için.
- Sunucu ya da CDN değiştirdikten sonra başlıkların yeni ortama taşındığını doğrulamak için.
- Tarayıcı konsolunda karışık içerik uyarısı görüyorsanız HSTS'in durumunu görmek için.
Sonucu okuma
HSTS yok
Ziyaretçinin ilk isteği http ile gidebilir. max-age=31536000 ile bir yıl boyunca tarayıcı doğrudan https'e gider.
X-Content-Type-Options yok
nosniff olmalı. Tarayıcının dosya türünü tahmin etmesi, yüklenen bir dosyanın betik gibi çalıştırılmasına yol açabilir.
CSP tanımsız
Sayfaya hangi kaynaktan betik yükleneceği sınırsız. Üçüncü taraf bir betiğin ele geçirilmesi doğrudan sizi vurur.
X-Frame-Options yok
Sayfanız başka bir sitenin çerçevesine konabilir. SAMEORIGIN, tıklama hırsızlığını kapatır.
Sunucu sürümü sızıyor
Server ve X-Powered-By başlıkları hangi yazılımın hangi sürümünü kullandığınızı söyler. Saldırgan için hazır bir harita.
HTTP Güvenlik Başlıkları hakkında sık sorulanlar
Doğrudan bir sıralama etkeni değiller. HTTPS ise hafif bir sıralama sinyalidir ve Google bunu açıkça söyledi. Asıl etki dolaylı: tarayıcı uyarısı gören ziyaretçi geri döner, karışık içerik yüzünden bozulan sayfa kötü değerlendirilir.
Var, dikkat isteyen tek başlık odur. Tarayıcı max-age süresince siteye yalnızca https ile gelir; sertifikanız süresi dolar ya da bir alt alan adı https desteklemezse site erişilemez olur. Küçük bir max-age ile başlayın, her şey çalışınca bir yıla çıkarın.
Tüm alt alan adlarınız https ile çalışıyorsa evet. Çalışmayan tek bir alt alan adı varsa eklemeyin: eklediğiniz anda o alt alan adı hiçbir tarayıcıda açılmaz ve geri almak max-age süresinin dolmasını bekler.
Sunucu yapılandırmasından (Nginx, Apache), uygulama katmanından ya da CDN panelinden. Next.js kullanıyorsanız next.config dosyasındaki headers bölümü en pratik yerdir; başlıklar tüm yollara tek seferde uygulanır.
Bununla birlikte kullanın
Aynı kategorideki diğer araçlar. Birlikte çalıştırdığınızda resmin tamamını görürsünüz.
Araç sorunu buldu, sıra düzeltmede
Teknik SEO, içerik ve AI görünürlük çalışmalarını baştan sona yürütüyoruz. Sitenizi inceleyip ne yapılması gerektiğini net bir listeyle paylaşalım.
Pazartesi – Cumartesi 09:00 – 18:00