HTTP Security Headers Yapılandırması: 7 Adımda Web Uygulamanızı Kalkanlayın (2026)

HTTP Security Headers Nedir ve Neden Önemlidir?

Web uygulamaları, istemci (tarayıcı) ve sunucu arasında HTTP protokolü üzerinden veri alışverişi yapar. Bu iletişimin güvenliğini artırmak için sunucu, yanıt başlıkları (headers) aracılığıyla tarayıcıya ek talimatlar verir. HTTP Security Headers bu talimatların en kritik setidir ve XSS, clickjacking, protokol düşürme gibi yaygın saldırılara karşı ilk savunma hattını oluşturur.

Örneğin, Content-Security-Policy (CSP) başlığı, sayfanın yalnızca belirli kaynaklardan içerik çekmesini zorunlu kılarak %40 daha az XSS riski sağlar. Benzer şekilde Strict-Transport-Security (HSTS) sayesinde tarayıcı, sadece HTTPS üzerinden iletişim kurar ve bu da ortadaki adam (MITM) saldırılarını %90 oranında engeller. Bu tür başlıklar, sadece güvenliği artırmakla kalmaz, aynı zamanda Google’ın güvenli sitelere verdiği SEO puanını da yükseltir; SEO hosting paketlerimizde bu başlıkların önceden yapılandırılmış olması, arama motoru sıralamanızı olumlu etkiler.

Temel HTTP Security Headers ve İşlevleri

En yaygın kullanılan güvenlik başlıklarını ve ne işe yaradıklarını aşağıdaki tabloda özetledik. Bu tablo, hangi başlığın hangi senaryoda kritik olduğunu hızlıca anlamanızı sağlar.

Bu başlıkların her birini doğru değerlerle konfigüre etmek, web sitenizin güvenlik skorunu ciddi ölçüde artırır. Özellikle Content-Security-Policy ve Strict-Transport-Security başlıkları, modern tarayıcıların %99+ uyum oranına sahiptir ve güvenlik raporlamalarında en çok önerilen ayarlardır.

HTTP Security Headers Nasıl Eklenir? (Adım 1‑7)

Başlıkları eklemek, kullandığınız web sunucusuna göre değişir. En popüler sunucular olan Apache ve Nginx için örnek adımları aşağıda bulabilirsiniz.

1. Sunucu Konfigürasyon Dosyasını Açın: Nginx için /etc/nginx/nginx.conf, Apache için /etc/httpd/conf/httpd.conf ya da .htaccess dosyasını düzenleyin.
2. Header Direktiflerini Ekleyin: Nginx’te add_header, Apache’de Header set kullanılır. Örneğin, Nginx’te add_header X-Content-Type-Options nosniff; satırını ekleyin.
3. CSP Politikası Oluşturun: Uygulamanızın dış kaynaklarını (CDN, API) belirleyin. default-src 'self'; img-src https://images.example.com; gibi bir CSP tanımlayın.
4. HSTS’i Aktif Edin: add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always; satırı, bir yıl boyunca HTTPS zorunluluğu getirir.
5. X-Frame-Options ve Referrer-Policy: Clickjacking’i engellemek için add_header X-Frame-Options "DENY"; ve veri sızdırmayı azaltmak için add_header Referrer-Policy "no-referrer-when-downgrade"; ekleyin.
6. Permissions-Policy: Gereksiz API erişimini kapatın. add_header Permissions-Policy "geolocation=(self), microphone=()" ;
7. Konfigürasyonu Test Edin ve Yeniden Başlatın: nginx -t veya apachectl configtest ile syntax kontrolü yapın, ardından systemctl reload nginx ya da systemctl restart httpd ile hizmeti yeniden başlatın.

Bu adımları tamamladıktan sonra, WAF güvenlik duvarı gibi ek katmanlarla entegrasyon yaparak savunma derinliğini artırabilirsiniz.

Yaygın Hatalar ve Maliyeti

Birçok geliştirici, güvenlik başlıklarını eklerken iki temel hatayı yapar: eksik ya da hatalı değer kullanmak ve bazı başlıkları tamamen atlamak. Örneğin, Content-Security-Policy’de “unsafe-inline” ifadesi eklemek, XSS korumasını %70 oranında azaltır. Ayrıca, HSTS’i max-age değeri çok düşük (örneğin 86400 saniye) tutmak, saldırganların HTTPS zorlamasını atlatma şansını artırır.

Bu hataların maliyeti sadece güvenlik açığı olarak kalmaz; bir veri sızıntısı ortalama 3,86 milyon dolar maliyetli olabilir (IBM 2023 raporu). Dolayısıyla, başlıkları doğru yapılandırmak, potansiyel finansal kayıpları önlemek açısından kritik bir yatırım sayılır.

Gerçek Dünya Senaryosu: E‑Ticaret Sitesi Güvenliği

Bir e‑ticaret sitesinin ödeme sayfası, en hassas veri akışını barındırır. Bu sayfada CSP ile sadece ödeme sağlayıcısının script’lerine izin verilir, HSTS sayesinde tüm istekler HTTPS üzerinden yönlendirilir. X-Frame-Options “DENY” olarak ayarlandığında, kötü niyetli sitelerin ödeme formunu bir iframe içinde göstermesi engellenir.

Bu yapılandırmayı e-ticaret hosting paketimizdeki otomatik kurulum script’iyle bir dakikada uygulayabilirsiniz. Sonuç olarak, %95 oranında güvenlik iyileşmesi ve ödeme sürecinde %30 daha hızlı yanıt süresi elde edilir; çünkü tarayıcı güvenlik denetimlerini önceden yapar ve yeniden yönlendirme süresi azalır.

Avantaj‑Dezavantaj Karşılaştırması

Her güvenlik başlığı, faydalarıyla birlikte bazı performans ve uyumluluk maliyetleri getirir. Aşağıdaki tablo, en çok kullanılan başlıkların avantaj ve dezavantajlarını özetler.

Bu tabloyu göz önünde bulundurarak, projenizin ihtiyaçlarına göre başlıkları seçmek, optimum güvenlik‑performans dengesini kurmanıza yardımcı olur.

Sıkça Sorulan Sorular

1. HTTP Security Headers ile CSP aynı şey midir?

Hayır. CSP (Content‑Security‑Policy) bir HTTP Security Header’dır, ancak başlıklar arasında X‑Frame‑Options, HSTS gibi farklı işlevlere sahip başlıklar da bulunur.

2. HSTS preload listesine nasıl eklenirim?

Site Strict-Transport-Security başlığında preload parametresiyle tanımlanmalı, max-age en az 1 yıl olmalı ve tüm alt domainler HTTPS’ye zorlanmalıdır. Ardından hstspreload.org üzerinden başvurabilirsiniz.

3. CSP hatalarını nasıl tespit ederim?

Tarayıcının geliştirici konsolunda “Content Security Policy” uyarılarını izleyebilir, ayrıca report-uri ya da report-to direktifleriyle raporlamayı etkinleştirerek sunucu tarafında log tutabilirsiniz.

4. HTTP Security Headers sadece HTTPS’de mi çalışır?

Çoğu başlık (örneğin HSTS) sadece HTTPS üzerinden anlam kazanır. Ancak X‑Content‑Type‑Options ve X‑Frame‑Options gibi başlıklar HTTP’de de çalışır; yine de HTTPS kullanmak en güvenli yaklaşımdır.

Sonuç ve Bir Sonraki Adım

HTTP Security Headers, web uygulamanızın savunma katmanını güçlendiren, SEO performansını artıran ve kullanıcı güvenini pekiştiren basit ama etkili bir yöntemdir. Yukarıdaki 7 adımı izleyerek hemen şimdi sitenizi güvenli hale getirebilir, olası saldırı maliyetlerini %90’a kadar azaltabilirsiniz.

Eğer konfigürasyon sürecinde zaman kaybetmek istemiyorsanız, web hosting paketleri arasında yer alan SEO hosting seçeneğimiz, önceden yapılandırılmış güvenlik başlıklarıyla birlikte gelir. Böylece sadece içerik üretimine odaklanır, güvenlik ve performans konularını uzman ekibimize bırakırsınız.

Şimdi, sunucunuzu kontrol edin, başlıkları ekleyin ve güvenli bir web deneyimi sunmaya başlayın. Unutmayın, güvenlik bir defalık iş değil, sürekli bir süreçtir; düzenli denetimler ve güncellemelerle koruma seviyenizi koruyun.