Güvenlik başlıkları: HSTS, CSP ve diğerleri

Bu rehberde ne yapacağız?

HTTP güvenlik başlıkları, tarayıcıya sitenizin nasıl işleneceğini söyleyerek XSS, tıklama hırsızlığı (clickjacking) ve protokol düşürme saldırılarının etkisini azaltır. Bu rehberde Nginx ve Apache için HSTS, CSP ve diğer temel güvenlik başlıklarını ekleyeceğiz; riskli olanları (HSTS ve CSP) kademeli devreye alacağız. Tahmini süre 30-45 dakikadır.

Bu başlıklar sitenizin çalışmasını etkileyebileceği için özellikle CSP’yi önce yalnızca raporlama modunda deneyin. Yanlış bir CSP, betik veya görsellerin yüklenmesini engelleyebilir.

Gereksinimler

• Nginx veya Apache çalıştıran bir sunucu ve root/sudo yetkisi
• Geçerli bir HTTPS sertifikası (HSTS için zorunlu)
• Sitenizde kullanılan dış kaynakların (CDN, analitik, yazı tipi) listesi
• Yapılandırma dosyası yedeği
• Alt alan adlarınızın tamamının HTTPS’i desteklediğinin bilgisi

Adım adım güvenlik başlıkları kurulumu

1. Mevcut başlıkları kontrol edin

curl -sI https://alanadiniz.com

2. Önce yapılandırmayı yedekleyin

# Nginx
sudo cp -a /etc/nginx /root/nginx-yedek

# Apache (Debian/Ubuntu)
sudo cp -a /etc/apache2 /root/apache2-yedek

3. Temel başlıkları ekleyin (Nginx)

Nginx’te başlıkları ilgili server bloğuna ekleyin. always parametresi, hata yanıtlarında da başlığın gönderilmesini sağlar.

add_header X-Content-Type-Options nosniff always;
add_header X-Frame-Options SAMEORIGIN always;
add_header Referrer-Policy strict-origin-when-cross-origin always;
add_header Permissions-Policy "geolocation=(), microphone=(), camera=()" always;

Not: Nginx’te bir location bloğunda kendi add_header satırınız varsa üst düzeydeki başlıklar o blokta devralınmaz. Gerekirse başlıkları ilgili blokta tekrar yazın.

4. Temel başlıkları ekleyin (Apache)

Apache’de mod_headers modülü gerekir.

sudo a2enmod headers   # Debian/Ubuntu (AlmaLinux/Rocky’de varsayılan olarak yüklüdür)

Header always set X-Content-Type-Options nosniff
Header always set X-Frame-Options SAMEORIGIN
Header always set Referrer-Policy strict-origin-when-cross-origin
Header always set Permissions-Policy "geolocation=(), microphone=(), camera=()"

5. HSTS’yi kademeli açın

HSTS (Strict-Transport-Security), tarayıcıya siteye yalnızca HTTPS ile bağlanmasını söyler. UYARI: HSTS tarayıcıda belirtilen süre boyunca saklanır; HTTPS bozulursa kullanıcılar siteye erişemez. Önce kısa bir süreyle başlayın.

# Aşama 1: test (5 dakika)
add_header Strict-Transport-Security "max-age=300" always;

# Aşama 2: tüm alt alan adları HTTPS ise, daha uzun süre
# add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

Apache için karşılığı: Header always set Strict-Transport-Security "max-age=300". HSTS başlığını yalnızca HTTPS (443) server veya VirtualHost bloğuna ekleyin; tarayıcılar HTTP üzerinden gelen HSTS başlığını yok sayar. preload seçeneğini yalnızca ne yaptığını tam bilerek ve geri dönüşün zor olduğunu kabul ederek ekleyin.

6. CSP’yi önce yalnızca raporlama modunda deneyin

İçerik Güvenliği Politikası (CSP), hangi kaynaklardan betik, stil ve görsel yüklenebileceğini belirler. Önce Content-Security-Policy-Report-Only ile yayınlayın; tarayıcı konsolunda ihlalleri görürsünüz ancak hiçbir şey engellenmez.

add_header Content-Security-Policy-Report-Only "default-src 'self'; img-src 'self' data: https:; script-src 'self'; style-src 'self' 'unsafe-inline'" always;

Tarayıcı geliştirici araçları konsolundaki ihlal mesajlarına göre izinli kaynakları ekleyin. Sorunsuz hale geldiğinde başlık adını Content-Security-Policy yaparak zorlayın. Satır içi betikleri tamamen engellemek için nonce veya hash kullanımı öneren güncel CSP rehberlerine bakın.

7. Yapılandırmayı sınayın ve yeniden yükleyin

sudo nginx -t && sudo systemctl reload nginx
# veya Apache (Debian/Ubuntu)
sudo apachectl configtest && sudo systemctl reload apache2
# veya Apache (AlmaLinux/Rocky)
sudo apachectl configtest && sudo systemctl reload httpd

Doğrulama

curl -sI https://alanadiniz.com | grep -iE 'strict-transport|content-security|x-frame|x-content-type|referrer|permissions'

Beklenen sonuç: eklediğiniz başlıklar çıktıda görünür. Tarayıcı geliştirici araçlarının ağ sekmesinden de başlıkları ve konsolda CSP ihlallerini inceleyebilirsiniz. Üçüncü taraf başlık tarama araçlarıyla da genel bir not alabilirsiniz.

Sık karşılaşılan sorunlar

• Başlıklar görünmüyor: Başlığı eklediğiniz bloğun doğru server olduğunu ve yapılandırmanın yeniden yüklendiğini kontrol edin; önbellek veya CDN eski yanıtı sunuyor olabilir.
• Site CSP sonrası bozuldu: Raporlama moduna dönün ve konsoldaki ihlalleri tek tek çözün.
• HSTS sonrası bir alt alan açılmıyor: O alt alan HTTPS desteklemiyordur; sertifikayı ekleyin veya includeSubDomains ifadesini kaldırın.
• Başlıklar iki kere görünüyor: Hem uygulama hem sunucu aynı başlığı ekliyordur; birini kaldırın.

Güvenlik ve bakım notları

• HSTS süresini kademeli artırın ve alt alan adlarını önceden denetleyin.
• CSP’yi yeni bir üçüncü taraf kaynak eklediğinizde güncelleyin.
• Gereksiz unsafe-inline ve unsafe-eval ifadelerinden mümkün olduğunca kaçının.
• Başlıkları yapılandırma yönetimi (Git, otomasyon) ile sürümleyin.
• Eski ve kaldırılan başlıklara (örn. X-XSS-Protection) güvenmeyin.
• Sertifika yenileme sürecinizi izleyin; süresi dolan sertifika HSTS altında siteyi tamamen kapatır.