HTTP Başlık Denetleyicisi

Giriş

Bir sayfa açıldığında tarayıcıya yalnız HTML gitmiyor; yanında bir dizi başlık geliyor ve o başlıklar tarayıcıya ne yapabileceğini söylüyor. Hangi kaynaktan betik yükleyebileceğini, sayfayı çerçeveye alıp alamayacağını, çerezi ne zaman göndereceğini.

Bu başlıkları tarayıcıdan denetleyemezsiniz: CORS, başka bir kökenin yanıt başlıklarını okumayı engelliyor. Denetlenmesi gereken şey tam olarak o görünmeyen kısım.

Araç adresi sunucudan açıp bütün başlıkları okuyor ve dört bölümde raporluyor: güvenlik, bilgi sızıntısı, başarım ve arama. Eksik güvenlik başlıklarını da sunucunuzun biçiminde hazır satır olarak veriyor.

HTTP başlıkları nedir?

Bir sayfayı açtığınızda sunucunun, sayfanın kendisinden önce gönderdiği bilgi satırlarına HTTP yanıt başlıkları deniyor. Türkçede "sunucu başlıkları" olarak da anılıyor; İngilizce kaynaklarda HTTP response headers adıyla geçiyor ve denetim araçlarına HTTP header checker deniyor.

Bu satırlar tarayıcıya sayfanın türünü, ne kadar önbelleğe alınacağını, hangi güvenlik kurallarının uygulanacağını ve arama motorlarının sayfayı dizine ekleyip ekleyemeyeceğini söylüyor. Hiçbiri ekranda görünmüyor; ama sayfanın nasıl davranacağını büyük ölçüde bunlar belirliyor.

Araç adresi açıp bütün başlıkları olduğu gibi listeliyor, ayrıca güvenlik başlıklarını ve SEO ile ilgili olanları ayrı ayrı değerlendiriyor. Çerez değerleri gizleniyor: başlıkta oturum bilgisi olabiliyor ve onu ekrana basmak doğru olmaz.

Hangi başlıklar SEO açısından önemli?

Dördü doğrudan etkili. X-Robots-Tag sayfanın dizine eklenip eklenmeyeceğini söylüyor; noindex değeri buradan verildiğinde HTML'e bakarak fark edilmiyor, bu yüzden en sinsi hatalardan biri.

Content-Type karakter kodlamasını taşıyor; charset eksik ya da yanlışsa Türkçe harfler bozuk görünüyor. Cache-Control sayfanın ne kadar süre saklanacağını belirliyor ve sayfa hızını doğrudan etkiliyor. Content-Encoding ise sıkıştırmanın açık olup olmadığını gösteriyor.

Güvenlik başlıkları sıralamayı değiştirmiyor ama sitenin güvenilirliğini etkiliyor: Strict-Transport-Security, X-Content-Type-Options, Referrer-Policy ve Content-Security-Policy. Bir de tersi var, olmaması gerekenler: Server ve X-Powered-By sürüm bilgisi sızdırıyor ve bilinen açıkları arayan otomatik taramalara adres veriyor.

Güvenlik başlıkları ne yapıyor?

Strict-Transport-Security (HSTS). Tarayıcıya "bu siteye bir daha hiç şifresiz bağlanma" diyor. Olmadığında ilk istek şifresiz gidebiliyor ve araya girilmeye açık kalıyor. Yaygın öneri en az bir yıl.

Content-Security-Policy (CSP). Sayfaya hangi kaynaktan betik, stil ve görsel yüklenebileceğini sınırlıyor. Sayfaya enjekte edilen bir betiği durduran tek şey bu. Araç yalnız varlığına değil İÇERİĞİNE de bakıyor: script-src içinde 'unsafe-inline' varsa korumanın büyük bölümü zaten devre dışı.

X-Content-Type-Options: nosniff. Tarayıcının dosya türünü içeriğinden tahmin etmesini kapatıyor. Metin diye sunulan bir dosyanın betik gibi çalıştırılması bu yolla oluyor.

Çerçeveleme koruması. CSP'nin frame-ancestors yönergesi ya da eski karşılığı X-Frame-Options. Sayfanızın başka bir sitede görünmez bir çerçeveye alınıp kullanıcıya farkında olmadan tıklatılmasını engelliyor.

Permissions-Policy. Kamera, mikrofon ve konum gibi yetenekleri baştan kapatıyor. Sitede kullanılmıyorsa kapatmak, gömülü üçüncü taraf içeriğin bunları istemesini de engelliyor.

Geri alması zor olan iki ayar

Güvenlik başlıklarının çoğu istediğiniz zaman kaldırılabiliyor. İkisi öyle değil ve araç bunları öneri olarak vermiyor.

HSTS preload. Alan adınızı tarayıcıların ön yükleme listesine sokuyor. Liste tarayıcı sürümüyle birlikte dağıtıldığı için çıkmak aylar sürüyor. Bu süre boyunca http üzerinden çalışan bir alt alan adınız varsa tamamen erişilemez oluyor.

HSTS includeSubDomains. Bütün alt alan adlarını da kapsıyor. Bir alt alan adı hâlâ http ile duruyorsa o gün kırılıyor. Alt alan adları denetlendikten sonra açılmalı.

Araç bu ikisini "eksik" olarak işaretlemiyor; varsa "bunu bilerek yapmış olun" diyor. Bir denetim aracının işi, geri alması zor bir taahhüdü rutin bir onay kutusu gibi göstermek değil.

Altyapınızı duyuran başlıklar

Server: nginx/1.18.0, X-Powered-By: PHP/7.4.3, X-AspNet-Version… Bu başlıklar ziyaretçiye hiçbir şey katmıyor, yalnız hangi yazılımın hangi sürümünü çalıştırdığınızı duyuruyor.

Sürümü gizlemek bir açığı kapatmıyor; bu bir savunma değil. Yaptığı şey hedef seçmeyi zorlaştırmak: bilinen bir açığı olan sürümleri tarayan otomatik araçlar sizi listeden eleyemiyor.

Kapatılması genelde tek satır: nginx'te server_tokens off, PHP'de expose_php = Off, Express'te app.disable('x-powered-by').

Araç sürüm numarası taşıyan başlıkları ayrıca işaretliyor: Server: cloudflare gibi sürümsüz bir değer sorun değil.

Sıkıştırma ve önbellek

Content-Encoding. Metin içerikte sıkıştırma boyutu üçte bire kadar indiriyor; sitenin en ucuz hız kazancı bu. Araç isteği br ve zstd desteklediğini söyleyerek atıyor, yoksa sunucu sıkıştırma göndermiyor ve "sıkıştırma yok" gibi görünüyor.

Brotli (br) aynı içeriği gzip'e göre genelde %15-20 daha küçük veriyor ve bütün modern tarayıcılar destekliyor. gzip görüyorsanız yükseltmeye değer.

Cache-Control. Yoksa tarayıcı ve ara sunucular ne kadar saklayacaklarını kendileri tahmin ediyor. HTML için kısa bir süre bile olsa açıkça yazılmalı.

ETag ya da Last-Modified. İkisi de yoksa koşullu istek yapılamıyor: içerik değişmese bile her ziyarette baştan indiriliyor. Varsa sunucu 304 dönüp hiç veri aktarmıyor.

Yönlendirmeler neden izlenmiyor?

Araç yönlendirmeleri bilerek izlemiyor. Sebebi şu: başlıklar kime ait, belirsiz kalmasın.

siteniz.com yazdığınızda sunucu genelde https://www.siteniz.com/ adresine yönlendiriyor. Yönlendirme yanıtının kendi başlıkları var ve asıl sayfanınkilerden farklı olabiliyor; çoğu sunucu 301 yanıtına güvenlik başlığı koymuyor.

İzleyen bir araç size son sayfanın başlıklarını gösterir ama hangi adresin denetlendiğini gizler. Yönlendirmeyi gördüğünde bu araç durup söylüyor ve son adresi veriyor; siz o adresle yeniden soruyorsunuz.

Zincirin tamamını görmek için yönlendirme denetleyicisi var.