API Güvenlik Stratejisi: Zero Trust, Rate Limiting ve CORS Mimarisi [2026]

API'ler Modern Yazılımın Omurgasıdır

Günümüzde, yazılım artık tek parça bir uygulama değildir. Bir finans uygulaması:

• Kredi kontrol için external API'ye bağlı
• SMS gönderimi için dış hizmet API'sine bağlı
• Coğrafi konum için harita API'sine bağlı
• Ödeme işlemek için ödeme geçidi API'sine bağlı

Tüm bu etkileşimler, API'ler aracılığıyla gerçekleşir. Bu nedenle, API güvenliği, tüm yazılımın güvenliğine doğrudan etki etmektedir.

İstatistiksel olarak, 2024'te saldırıların yüzde 49'u API'leri hedef almıştır. Bunu 2023'de yüzde 23 idi. Yani, API saldırıları iki yılda 2 katına çıkmıştır.

API Saldırılarının Maliyeti

API saldırılarından kaynaklanabilecek zararlar:

• Veri İhlali: 4.8 milyon dolarlık ortalama maliyet (Verizon raporu)
• Hizmet Kesintisi: Finans sektöründe saatlik 10 milyon dolar kayıp
• Rate Limit Bypass: Sınırsız API çağrısı, sunucu kapasite çökmesi
• Token Çalınması: Düzinelerce müşteri hesabının ele geçirilmesi
• Man-in-the-Middle Saldırısı: API trafiğinin dinlenmesi, verinin çalınması

API Kimlik Doğrulaması: OAuth 2.0

OAuth 2.0, API'ye erişim yetkisinin verilmesinde günümüzün standart protokolüdür. Authorization Code Flow (web uygulamaları için), Client Credentials Flow (server-to-server iletişim için) ve Device Flow gibi farklı akışları destekler. Token yönetimi açısından access token'lar kısa ömürlü (15 dakika), refresh token'lar uzun ömürlü (7-90 gün) tutulmalı ve secure httpOnly cookie'lerde saklanmalıdır. Zero Trust mimarisinde OAuth 2.0, her API çağrısında kimlik doğrulamasının temelini oluşturur.

OAuth 2.0, JWT ve PKCE implementasyonu hakkında detaylı bilgi için API Güvenlik ve Authentication rehberimize bakın.

JWT: Token Yapısı

JSON Web Token (JWT), Header, Payload ve Signature olmak üzere üç bölümden oluşan stateless token formatıdır. API'ler arasında güvenli bilgi aktarımı sağlar. Güvenlik stratejisi açısından önemli olan, JWT'nin RS256 (asymmetric) algoritma ile imzalanması, token ömrünün kısa tutulması ve payload'da hassas bilgi saklanmamasıdır. Zero Trust mimarisinde JWT, her service-to-service iletişiminde kimlik doğrulamanın taşıyıcısıdır.

JWT signing, rotation ve best practices implementasyonu hakkında detaylı bilgi için API Güvenlik ve Authentication rehberimize bakın.

API Rate Limiting ve Throttling

Rate limiting, API'nin kötüye kullanılmasını (abuse) önlemektedir.

Saldırı Senaryoları

Brute Force: Saldırgan, başarılı olmakadına binlerce kez giriş dener.

API Scraping: Saldırgan, tüm müşteri verilerini otomatik indir.

DDoS: Saldırgan, API'yi milyonlarca istek ile çökertememeyi hedefler.

Rate Limiting Stratejileri

Token-Based Bucket (Token Bucket Algorithm)

API'ye bir "kova" atanır. Her istek, kovadan bir token kullanır. Kova, belirli bir hızda dolar.

Örnek:

• Kova kapasitesi: 100 token
• Dolu olma hızı: 10 token/saniye
• Müşteri, 100 istek yapar (1 saniye içinde tüm tokenleri kullanır)
• İstenen 101. istek için beklemelidir (token doygunluğu için)

Sliding Window

Son X dakika içinde kaç istek yapıldığını say.

Örnek:

• Son 1 dakikada maksimum 60 istek
• Saat 10:00:10'da 30 istek yapmışsa, saat 10:01:10'da yeni istek yapabileceği reset olur

Leaky Bucket

API istekleri sırayla işlenir. Hızlı gelen istekler sırada beklemelidir.

Rate Limiting HTTP Status Codes

• 429 Too Many Requests: Limit aşıldı
• 429 Retry-After Header: Ne kadar beklemelidir

Örnek Cevap: Sistem çok sayıda istek algıladığında, müşteriye "429 Too Many Requests" hatası döner. Cevabında, kaç saniye beklendikten sonra tekrar deneyebileceği, maksimum limit kaç olduğu ve sıradaki ne zaman reset olacağı bilgileri yer alır. Bu sayede müşteri ne kadar beklemelidir öğrenir.

CORS (Cross-Origin Resource Sharing) Güvenliği

Tarayıcı, default olarak, siteler arası (cross-origin) istek yapmayı engeller (Same-Origin Policy). CORS, belirli koşullar altında bu engeli kaldırır.

Güvensiz CORS Yapılandırması

Eğer API, herhangi bir internet sitesinden gelen istekleri kabul etmek üzere yapılandırılırsa, başka bir sitenin kötü amaçlı kod tarafından kullanıcının tarayıcısında API çağrısı yapılabilir. Bu, çok risklidir.

Güvenli CORS Yapılandırması

API, sadece belirli güvenilir sitelerden gelen istekleri kabul etmelidir. Hangi siteler erişebilir, hangi işlemleri yapabilir bunlar belirtilmelidir. Örneğin, sadece şirketin kendi web sitesi, sadece okuma (GET) ve yazma (POST) işlemleri yapabilir. Bağlantı bilgileri için gerekli başlıklar belirtilmelidir. Bu şekilde, başka sitelerden gelen istekler otomatik olarak engellenir.

Zero Trust Architecture

Zero Trust, tüm ağ bağlantısını (internal bile) varsayılan olarak güvenmeyerek doğrulama yapmak anlamına gelir.

Zero Trust İlkeleri

1. Verify Explicitly

Her istek, kimlik doğrulama ve yetkilendirmeden geçmeli.

Örnek: Microservice A, microservice B'ye istek yapar. B, A'nın kimlik bilgilerini doğrulayıp, yetkisini kontrol eder.

2. Use Least Privilege

Her hizmet, sadece gerekli verilere erişebilmeli.

Örnek:

• Ödeme microservice: Kredi kartı bilgilerine erişebilir
• Kargo microservice: Adres bilgilerine erişebilir
• Ancak ödeme service'i, adres bilgisine erişememeli

3. Assume Breach

Saldırganın sisteme girdiğini varsay ve yayılmasını minimize et.

Örnek:

• Microservices arasında encryption
• Segmentasyon (ağ bölümlendirmesi)
• Anomaly detection (anormal davranış tespiti)

Zero Trust Uygulaması

Service Mesh (Istio, Linkerd)

Microservices arasındaki iletişimi kontrolü altına alan bir yazılım katmanı.

Faydaları:

• Automatic mTLS (mutual TLS)
• Authorization policies
• Traffic management
• Observability

API Gateway

Tüm dış isteklerin geçtiği bir kapı. Burada:

• Authentication doğrulanır
• Rate limiting uygulanır
• Requestler kaydedilir (logging)
• Şüpheli trafik engellenir

API Güvenliği Kontrol Listesi

Kimlik Doğrulama ve Yetkilendirme

• OAuth 2.0 veya OpenID Connect kullanılıyor mu?
• Token imzalı ve doğrulanıyor mu?
• Token ömrü kısa mı (15 dakika)?
• Refresh token mekanizması var mı?
• Her endpoint, yetkilendirme kontrol ediyor mu?
• Erişim seviyeleri (roles) tanımlanmış mı?

Veri Güvenliği

• API, HTTPS/TLS kullanıyor mu?
• Sensitive veriler şifreli mi?
• API responses'da sadece gerekli alanlar dönüyor mu?
• Şifreleme anahtarları güvenli saklı mı?

Rate Limiting ve Abuse Prevention

• Rate limiting uygulanıyor mu?
• Endpoint başına farklı rate limit var mı?
• İşaretli hizmetler (authenticated) daha yüksek limit mi?
• DDoS koruması var mı?
• Bot detection var mı?

Logging ve Monitoring

• Tüm API çağrıları log'a yazılıyor mu?
• Başarısız erişim denemeleri kaydediliyor mu?
• Anomali tespiti yapılıyor mu?
• Alert sistemi var mı?
• Log'lar saklanıyor mu (audit trail)?

API Versioning ve Deprecation

• API versiyonlar arasında uyumluluk var mı?
• Eski versiyonlar desteği ne kadar?
• Müşteriler deprecation önceden haberdar ediliyor mu?

CORS ve Cross-Site Güvenliği

• CORS politikaları sınırlandırılmış mı?
• Wildcard (*) kullanılmıyor mu?
• CSRF token'ı var mı (state-changing operations için)?

Input Validation ve Output Encoding

• API, girdileri doğruluyor mu?
• SQL injection, injection saldırıları kontrol ediliyor mu?
• Çıkış, uygun şekilde encode ediliyor mu?

API Güvenliğine Başlamak

1. Audit

Mevcut API'lerinizin güvenliğini değerlendirin:

• OAuth 2.0 uygulanmış mı?
• Rate limiting var mı?
• Logging mevcutta mı?

2. Modernizasyon

Eski JWT implementasyonlarını güncelleyin:

• RS256 imzalama (HS256 değil)
• Token rotation
• Refresh token mekanizması

3. Monitoring

İyi bir monitoring sistemi kurun:

• API çağrı hacmi
• Başarılı/başarısız oranı
• Response time'ları
• Anormal davranış

4. Training

Geliştirici ekibinizi eğitin:

• OAuth 2.0 flow'ları
• JWT best practices
• API güvenlik testleri

API'lerin Tüm Güvenliği

API güvenliği, yalnızca authentication değildir. Tüm yazılım güvenlik çerçevesinin bir parçasıdır. Siber Güvenlik ve Yazılım Güvenliği Hizmetleri rehberi, daha geniş bir perspektif sunmaktadır.

Ayrıca, OWASP Top 10 yazısında, API saldırılarının en yaygın 10 türü ele alınmaktadır.

Smart Maple, API güvenliğinin tasarımdan dağıtıma kadar her aşamasında danışmanlık sunmaktadır. API'lerinizin güvenliğini değerlendirmek için smart-maple.com adresinden iletişim kurun.