OWASP Top 10: Web Uygulama Güvenliği Rehberi [2026]

OWASP Nedir ve Neden Önem Taşır?

OWASP (Open Web Application Security Project), dünya çapında web uygulamalarının güvenliğini geliştirmek amacıyla çalışan, kar amacı gütmeyen bir kuruluştur. Her üç yılda bir, web uygulamalarında en yaygın olarak görülen 10 güvenlik açığını listelemiş ve bu listesini "OWASP Top 10" olarak yayımlamıştır.

Neden bir işletme yöneticisinin OWASP Top 10'u bilmesi gerekir? Çünkü bu 10 kategori, ihlalların yüzde 95'inin kökünü oluşturmaktadır. Başka bir deyişle, eğer bu 10 açığı kapatırsanız, siber saldırıların çoğunu önleyebilirsiniz.

OWASP 2021 sürümü (2024-2025'te halen en güncel ve en yaygın olarak kullanılan versiyon) şu kategorileri içermektedir:

1. Yetkisiz Erişim Kontrolleri (Broken Access Control)
2. Kriptografik Başarısızlıklar (Cryptographic Failures)
3. Enjeksiyon Saldırıları (Injection)
4. Güvensiz Tasarım (Insecure Design)
5. Yanlış Yapılandırma (Security Misconfiguration)
6. Saygısız ve Güvensiz Yazılım Bileşenleri (Vulnerable and Outdated Components)
7. Kimlik Doğrulama ve Oturum Yönetimi Hataları (Authentication Failures)
8. Yazılım ve Veri Bütünlüğü Başarısızlıkları (Software and Data Integrity Failures)
9. Günlüğe Kaydedilmemiş Güvenlik Olayları (Logging and Monitoring Failures)
10. Sunucu Tarafı İstek Sahteciliği (SSRF)

Her biri işletmeyi nasıl riske attığını görelim.

1. Yetkisiz Erişim Kontrolleri (Broken Access Control)

Sorun Nedir?

Bu, OWASP listesinin başına konulan ve en yaygın açık kategorisidir. Yetkisiz erişim kontrolleri, kullanıcının erişim izni olmadığı verilere veya işlemlere erişebilmesi demektir.

Gerçek Dünya Örneği

Bir muhasebe yazılımında, Mali Müdür hesaplarındaki bilgileri görüntüleyebilir. Ama aynı yazılımda, normal bir muhasebeci de URL'de "account_id" parametresini değiştirerek başka hesapları görüntüleyebiliyorsa, bu Yetkisiz Erişim Kontrollü bir açıktır.

Benzer şekilde, bir müşteri portalında kendi profil sayfasının URL'si "/profile/user123" ise, user123 yerine user456 yazarak başka müşterinin bilgilerini görmek mümkün olabilir.

Mali Etki

• Müşteri verilerinin açığa çıkması
• İç mali belgelerin sızması
• Rekabet veren kurumların bu bilgiyi satın alması
• Yasal cezalar: KVKK kapsamında 50.000 lira + hukuki yükümlülük

Korunma Yöntemleri

• Erişim kontrolü matrisini yazılım ön aşamasında tanımlama
• Her veri erişiminden öncede rol ve yetki doğrulaması
• Varsayılan olarak herkesi yasaklama ("deny by default"), sonra izin verme ("allow on demand")
• Düzenli olarak erişim haklarını gözden geçirme

2. Kriptografik Başarısızlıklar (Cryptographic Failures)

Sorun Nedir?

Parola, ödeme bilgisi, kimlik numarası gibi hassas veriler şifrelenmeden ya da zayıf şifreleme ile saklanması.

Gerçek Dünya Örneği

2024'te bir e-ticaret sitesinin veritabanı sızıntısında, müşteri parolaları "123abc" şeklinde saklı bulundu. Parolalar MD5 algoritması ile hash'lenmiş, fakat bu algoritma artık güvenli sayılmıyor ve herhangi bir online araç ile tersine çevrilebiliyor.

Ayrıca, müşteri kredi kartı numaraları şifrelenmeden ve HTTP (değil HTTPS) üzerinden iletiliyordu.

Mali Etki

• Müşteri hesaplarının hacklenip kullanılması
• Kimlik hırsızlığı
• Para transferleri
• İtibar hasarı (müşteriler başka platforma geçme)

Korunma Yöntemleri

• Tüm hassas veriler için güçlü şifreleme (AES-256)
• Parolalar için bcrypt, Argon2 gibi modern hash fonksiyonları
• Transport güvenliği için TLS 1.3+ (HTTPS)
• Varsayılan olarak şifrelemeyi açık tutma
• Şifreleme anahtarlarını güvenli bir yerde saklama (Hardware Security Module veya Secrets Management)

3. Enjeksiyon Saldırıları (Injection)

Sorun Nedir?

Kullanıcı girişinin kontrol edilmeden doğrudan sorguya (SQL, LDAP, OS command) entegre edilmesi.

Gerçek Dünya Örneği

Bir banka müşteri adı arama formu vardır. Kullanıcı "Ahmet" yazarsa, program kütüphanede saklı müşteri listesinde Ahmet'i arar ve bulduğu sonuçları gösterir.

Ama eğer kötü niyetli bir kişi arama alanına özel karakterler yazarsa, sistem bunları veri tabanı komutlarına dönüştürebilir. Örneğin, arama alanına "Ahmet' OR '1'='1" yazılırsa, sistem bunu bir koşul olarak algılayabilir. "1=1" her zaman doğru olduğu için, tüm müşteri listesi gösterilir. Hatta daha tehlikesi, saldırgan veri tabanı komutlarını manipüle ederek tüm müşteri tablosunu silebilir. Sistemin kullanıcı girdisini doğrudan veritabanı komutu olarak kullanması bu riski yaratır.

Mali Etki

• Tüm veri tabanının ifşa olması
• Veritabanının silinmesi ya da bozulması
• Mali işlemlerin manipüle edilmesi

Korunma Yöntemleri

• Parametrized queries (prepared statements) kullanma
• Giriş doğrulaması ve temizleme
• ORM (Object Relational Mapping) kütüphaneleri
• Veritabanı kullanıcısının sadece gerekli izinleri olması (principle of least privilege)

4. Güvensiz Tasarım (Insecure Design)

Sorun Nedir?

Tasarım aşamasında güvenlik gereksinimlerinin göz ardı edilmesi. Başka bir deyişle, mimarının başından beri açık onu.

Gerçek Dünya Örneği

Bir sosyal medya uygulaması dizayn edilirken, "Parolayı Unut" işlevi eklenmesi ancak güvenlik mekanizması düşünülmemesi. Uygulama, parolayı sıfırlama bağlantısını kullanıcının e-postasına gönderiyor ama bağlantı 30 dakika geçerliliği oluyor - ve bu bağlantı tahmin edilebilir bir format (user123-reset-123456).

Bir saldırgan, bu bağlantıyı tahmin edip, başka kullanıcıların parolasını sıfırlayabiliyor.

Ek Örnek: Rate Limiting Yokluğu

Bir API'ye 10 saniyede 1000 istek gelmesi mümkün olabilir. Saldırgan, brute force (tüm olası parolaları deneme) saldırısını yapabilir.

Mali Etki

• İşletme mantığındaki açıklar
• Tekrarlayan saldırılar
• Sistem kapasitesinin harcanması (DDoS benzeri etkiler)

Korunma Yöntemleri

• Tasarım aşamasından güvenlik gereksinimlerini yazma
• Tehdit modelleme yapmak (Threat Modeling)
• Güvenlik mimarı ataması
• Tasarım gözden geçirme (Design Review)

5. Yanlış Yapılandırma (Security Misconfiguration)

Sorun Nedir?

Yazılım ve sunucular yanlış veya eksik yapılandırılması. Örneğin, varsayılan parolalar kullanılması, hata ayıklama modunun açık bırakılması, gerekli olmayan servislerin çalışması.

Gerçek Dünya Örneği

• Bir bulut sunucusunun AWS S3 sepeti herkese açık olarak yapılandırılması
• Veritabanı yönetim aracına (phpMyAdmin) root parolasıyla erişilebilmesi
• API'nin geliştirme ortamı bilgileri (debug:true) canlı ortamda da çalışıyor olması
• CORS (Cross-Origin Resource Sharing) poliçesi çok geniş tanımlanması

Mali Etki

• Konfigürasyon bilgisinin sızması (IP adresleri, teknoloji yığını)
• Veri tabanına doğrudan erişim
• Hassas logların görülmesi

Korunma Yöntemleri

• Minimal kurulum (sadece gerekli servisleri çalıştırma)
• Varsayılan parolaları değiştirme
• Hata ayıklama modunu kapatma (canlı ortamda)
• Güvenlik başlıkları ayarlama (Security Headers)
• Düzenli yapılandırma denetimi

6. Saygısız ve Güvensiz Yazılım Bileşenleri (Vulnerable and Outdated Components)

Sorun Nedir?

Bir yazılımın kullandığı kütüphaneler, framework'ler ve bağımlılıklar zaman içinde güvenlik açıklarına sahip olabilir. Eğer bu açıklar zamanında yamama (patch) yapılmazsa, saldırganlar bunları hedef alabilir.

Gerçek Dünya Örneği

Bir e-ticaret sitesi, jQuery 1.6.2 (2011'de yayımlanan) kullanıyor. Bu versiyon bilinen XSS açıklarına sahip. Saldırgan, bu açığı kullanarak müşteri tarayıcılarında kodu çalıştırıp, kredi kartı bilgilerini çalabilir.

Veya bir Node.js uygulaması "lodash" kütüphanesinin eski versiyonunu kullanıyor ve bu sürüm Prototype Pollution açığına sahip.

Mali Etki

• Bilinen saldırılardan hedef olunma
• Yazılım güvenlik taraması başarısız olması
• İş ortağı bırakma

Korunma Yöntemleri

• Bağımlılık envanterini tutma
• Düzenli olarak güncellemeleri denetleme
• Otomatik dependency taraması (npm audit, OWASP Dependency Check)
• EOL (End of Life) olan kütüphaneleri değiştirme
• SBOM (Software Bill of Materials) yayımlamak

7. Kimlik Doğrulama ve Oturum Yönetimi Hataları (Authentication Failures)

Sorun Nedir?

Parolalar zayıf olması, oturum yönetimi eksik olması, çok faktörlü kimlik doğrulama (MFA) olmaması.

Gerçek Dünya Örneği

• Bir bankanın mobil uygulaması, cihaz ID'sinin bir kere doğrulandıktan sonra MFA olmadan otomatik olarak giriş yapması
• Bir sosyal medya uygulaması, parola kurtarma soruları cevabı internet'te aranabilir bilgi olması ("Doğduğunuz şehir nedir?")
• Session token'ının yeterince rasgele değil olması veya uzun olmaması

Mali Etki

• Hesapların ele geçirilmesi
• Kimlik hırsızlığı
• Mali işlemlerin manipülasyonu

Korunma Yöntemleri

• Güçlü parola politikası
• Çok faktörlü kimlik doğrulama (2FA/MFA)
• Session timeout
• Oturum iptali (logout)
• Rate limiting parola denemelerine karşı
• OAuth 2.0 / OpenID Connect gibi modern protokoller

8. Yazılım ve Veri Bütünlüğü Başarısızlıkları (Software and Data Integrity Failures)

Sorun Nedir?

Yazılımın güncellemeleri, kütüphaneler veya yapılandırmaların imzalanması ve doğrulanmaması.

Gerçek Dünya Örneği

• Bir yazılım geliştirici, GitHub hesabının ele geçirilmesi, bir saldırgan yazılım kütüphanesine kötü amaçlı kod ekler
• CDN'den indirilen JavaScript kütüphanesinin SRI (Subresource Integrity) kontrolü yapılmıyor
• CI/CD pipeline'ında yanlışlıkla kötü amaçlı kod merge ediliyor

Mali Etki

• Sağlanan yazılımda arka kapı (backdoor)
• Tüm müşteri uygulamalarının ele geçirilmesi
• Arz zinciri saldırısı (Supply Chain Attack)

Korunma Yöntemleri

• Yazılım imzalama
• SRI (Subresource Integrity) kontrolleri
• CI/CD güvenliği ve kod gözden geçirme (Code Review)
• Bağımlılık imzalama
• SLSA (Supply Chain Levels for Software Artifacts) çerçevesi

9. Günlüğe Kaydedilmemiş Güvenlik Olayları (Logging and Monitoring Failures)

Sorun Nedir?

Güvenlik olaylarının kaydedilmemesi, kaydedilse bile izlenmemesi. Saldırgan, etkisini anlayamadan sisteme girebilir.

Gerçek Dünya Örneği

• Bir yazılımda, başarısız giriş denemeleri log'a yazılmıyor
• Veri tabanı sorgularının performans etkileri izleniyor ama güvenlik anomalileri değil
• Log dosyaları bir yere saklanmıyor veya anlık siliniyorsa

Mali Etki

• Saldırının fark edilememesi
• Keşfetme ve yanıt süresi artıyor
• Adli inceleme imkansız hale geliyor

Korunma Yöntemleri

• Tüm önemli güvenlik olaylarını log'a yazma
• Merkezi log toplama (SIEM - Security Information and Event Management)
• Anormal davranış tespiti (Anomaly Detection)
• Alert sistemi
• Log integritetini koruma

10. Sunucu Tarafı İstek Sahteciliği (SSRF)

Sorun Nedir?

Sunucu, kullanıcının sağladığı URL'yi kontrolü yaparak, başka sunuculara istekler gönderiyor olabilir. Saldırgan, sunucuyu internal ağlara erişim aracı olarak kullanabilir.

Gerçek Dünya Örneği

Bir dosya yükleme servisi var. Dosyayı URL'den indir seçeneği vardır. Kullanıcı, sistem tarafından erişilemeyecek şekilde korunmuş olan iç ağ adreslerini hedef alabilir. Örneğin, bulut sağlayıcısının metadata servisleri (AWS gibi), sistem yapılandırması bilgilerine erişim sağlayabilir. Eğer uygulama, kullanıcının girdiği URL'yi kontrol etmeden doğrudan sunucuda istekte bulunursa, saldırgan sunucuyu bir köprü olarak kullanarak bu iç hizmetleri arayabilir ve AWS kimlik bilgilerini açığa çıkarabilir.

Mali Etki

• Internal ağa erişim
• Bulut metadata servislerinden kimlik bilgileri çalınması
• İç sunuculara saldırı

Korunma Yöntemleri

• URL giriş doğrulaması
• Internal IP aralıklarına istekleri yasaklama (whitelist yaklaşımı)
• Ağ segmentasyonu
• Proxy konfigürasyonu

OWASP Top 10 ile Başlamak: Adım Adım Rehber

1. Değerlendirme Yapın

Mevcut uygulamalarınızı bu 10 kategori karşısında değerlendirin. Hangileri risk altında?

2. Önceliklendirin

Hangisi işletmenize en çok zarar verebilir? Örneğin, e-ticaret sitesi için Yetkisiz Erişim veya Enjeksiyon kritik; oysa bir haber sitesi için Yanlış Yapılandırma daha yüksek risk olabilir.

3. Remediasyon Planı Yapın

Bulunun zayıflıklar için düzeltme planı yapın. Eğim düzeyi nedir? Yamaların uygulanması kaç gün sürer?

4. Test Edin

Düzeltmelerden sonra, Penetrasyon testi hizmeti ile doğrulayın.

5. Monitör Edin

Üretimde, bu açıkları hedef alan saldırılar için izleme kurun.

Daha kapsamlı bir siber güvenlik stratejisi için Siber Güvenlik ve Yazılım Güvenliği Hizmetleri rehberi incelenmelidir.

Sonraki Adımlar

OWASP Top 10, yazılım güvenliğinin başlangıcıdır. Ancak yalnızca başlangıç. Yazılımınızın güvenliğini sağlamlaştırmak için:

• Geliştirme ekibiniz OWASP öğrenmelidir
• Penetrasyon testleri düzenli aralıklarla yapılmalıdır
• Güvenlik kodlanmış gereksinimlerden başlayarak (Secure SDLC) sağlanmalıdır

Smart Maple, siber güvenlik alanında uzman danışmanlar ve geliştiricilerden oluşan bir ekibe sahiptir. Uygulamalarınızın OWASP standartlarına uygun olduğundan emin olmak için smart-maple.com adresinden bize ulaşın.