Kaynak kod güvenlik incelemesiyle veri akışı, yetkilendirme, gizli bilgi, kriptografi ve iş mantığı açıklarını satır referanslarıyla belirliyoruz.
Son güncelleme: 13.10.2026
Kod incelemesinde uygulamayı dışarıdan değil içeriden okuruz. Bu sayede dışarıdan denemeyle bulunması zor olan açıkları, ortaya çıktıkları satırla birlikte gösterebiliriz.
Statik analiz araçlarının çıktısını başlangıç noktası olarak kullanır, yanlış alarmları ayıklar ve araçların kaçırdığı mantık hatalarını elle ararız.
Kaynak kod güvenlik incelemesi, bir uygulamanın yalnızca çalışırken verdiği tepkileri değil, bu tepkileri üreten kodu ve veri akışını güvenlik bakış açısıyla değerlendirme sürecidir. Amaç; saldırganın istismar edebileceği hataları, yanlış güven varsayımlarını, eksik yetkilendirme kontrollerini ve hassas verinin güvensiz kullanımını canlı ortama taşınmadan önce görünür hâle getirmektir. İnceleme sırasında bulgular yalnızca dosya ve satır numarasıyla listelenmez; riskin hangi koşullarda ortaya çıktığı, iş etkisi ve uygulanabilir düzeltme yaklaşımı da açıklanır.
Fonksiyonel bir kod incelemesi genellikle okunabilirlik, bakım kolaylığı, performans ve gereksinimlerin doğru uygulanmasına odaklanır. Güvenlik incelemesi ise farklı sorular sorar: Kullanıcı girdisi nereden geliyor ve hangi noktada güvenilir kabul ediliyor? Bir kullanıcı başka bir hesaba ait nesneye erişebilir mi? Yönetici işlemleri gerçekten sunucu tarafında korunuyor mu? Gizli bilgiler loglara, hata mesajlarına veya kaynak depoya sızıyor mu? Bu yaklaşım; kodun ne yaptığını değil, kötüye kullanıldığında ne yapabileceğini de araştırır.
OWASP Secure Code Review Cheat Sheet, manuel incelemenin otomatik analiz araçlarını tamamladığını ve özellikle iş mantığı ile bağlama bağlı güvenlik sorunlarında önemli olduğunu vurgular. Bu nedenle hizmetimiz tek bir tarama çıktısından ibaret değildir. Araçların sağladığı geniş kapsama, deneyimli bir güvenlik uzmanının kod bağlamını ve saldırı yollarını değerlendirmesi eklenir.
Statik uygulama güvenliği testi araçları kısa sürede geniş bir kod tabanını tarayabilir; bilinen güvensiz fonksiyonları, veri akışı şüphelerini ve bazı yapılandırma hatalarını bulabilir. Ancak araç, çoğu zaman işletmenin “normal” kabul ettiği sürecin kötüye kullanılıp kullanılamayacağını anlayamaz. Örneğin indirim kuponunun birden fazla hesapta kullanılması, bir onay adımının atlanması veya müşteri temsilcisinin yetkisinden fazla veri görmesi sözdizimsel bir hata değildir. Bu açıkları belirlemek için uygulamanın amacı, roller ve güven sınırları anlaşılmalıdır.
Ayrıca otomatik araçlar yanlış pozitif üretebilir veya gerçek bir bulgunun önemini olduğundan düşük gösterebilir. İnceleme sürecinde araç çıktıları doğrulanır, tekrarlar birleştirilir ve ulaşılabilir saldırı yollarına göre önceliklendirilir. Böylece geliştirici ekibi yüzlerce ham uyarıyla değil, kanıtı ve çözüm yönü belirlenmiş bir çalışma listesiyle ilerler.
İnceleme kapsamı uygulamanın teknolojisine ve risk profiline göre uyarlanır. Yine de aşağıdaki alanlar çoğu web uygulaması, API ve arka uç hizmeti için temel kontrol noktalarıdır.
HTTP parametreleri, dosya yüklemeleri, webhook verileri, mesaj kuyrukları ve üçüncü taraf entegrasyonlarından gelen tüm girdiler güvenilmeyen veri olarak ele alınır. Verinin kaynaktan işleme adımlarına ve son olarak veritabanı sorgusu, şablon, komut satırı, dosya sistemi ya da harici isteğe uzanan yolu takip edilir. SQL enjeksiyonu, komut enjeksiyonu, sunucu taraflı istek sahteciliği, dizin geçişi ve siteler arası betik çalıştırma gibi risklerde doğrulama, kodlama ve güvenli API kullanımının doğru katmanda uygulanıp uygulanmadığı kontrol edilir.
Oturum açma, parola sıfırlama, çok faktörlü doğrulama, token üretimi ve oturum sonlandırma akışları değerlendirilir. Ardından her hassas işlemin sunucu tarafında yetki kontrolüne sahip olup olmadığı incelenir. Yalnızca arayüzde butonu gizlemek yeterli değildir. Nesne sahipliği, rol ve izin denetimleri, yönetici uçları, toplu atama ve kiracılar arası veri ayrımı özellikle ele alınır.
API anahtarları, erişim tokenları, özel anahtarlar, veritabanı parolaları ve benzeri sırların kaynak kodda, örnek yapılandırmalarda veya test verilerinde bulunup bulunmadığı araştırılır. Ortam değişkenlerinin güvenli kullanımı, üretim hata ayarları, debug seçenekleri, varsayılan hesaplar ve güvenlik başlıkları da kapsamla bağlantılı olarak incelenir. Bir sırrın geçmişte depoya eklenmiş olması ihtimali ayrıca bildirilir; yalnızca mevcut dosyadan silmek geçerli anahtarın döndürülmesi gereğini ortadan kaldırmaz.
Parola saklama, token üretimi, şifreleme, imzalama ve anahtar yönetimi uygulamaları incelenir. Projeye özgü kriptografi üretmek, zayıf veya kullanım dışı algoritmalara güvenmek, sabit başlangıç vektörleri kullanmak ve hassas veriyi gereksiz yere saklamak önemli risklerdir. İnceleme, yalnızca algoritma adına değil; anahtarın nerede tutulduğuna, verinin yaşam döngüsüne ve başarısızlık durumlarının nasıl yönetildiğine de bakar.
Ödeme, bakiye, kota, kampanya, onay ve durum geçişleri saldırgan gözüyle değerlendirilir. Bir işlem tekrar gönderildiğinde ne olur? İki istek aynı anda işlendiğinde limit aşılabilir mi? İptal edilmiş bir kayda eski bağlantıyla erişilebilir mi? İstemci tarafından gönderilen fiyat, rol veya durum alanları sunucuda yeniden doğrulanıyor mu? Bu sınıftaki sorunlar genellikle manuel incelemenin en fazla değer sağladığı alanlardır.
İstisnaların kullanıcıya yığın izi, iç ağ adresi, sorgu veya kişisel veri sızdırıp sızdırmadığı kontrol edilir. Güvenlik açısından önemli olayların izlenebilir biçimde kaydedilmesi gerekirken parolalar, tokenlar ve hassas kişisel bilgiler loglanmamalıdır. Kayıt bütünlüğü, başarısız giriş denemeleri, yetkisiz erişimler ve yönetici işlemleri de değerlendirilir.
Doğrudan ve dolaylı bağımlılıklar, kilit dosyaları, paket kaynakları ve güncelleme yaklaşımı incelenir. Bilinen bir güvenlik açığı kadar, terk edilmiş paketler veya gereksiz geniş sürüm aralıkları da bakım riskini artırabilir. CI/CD içinde bağımlılık taraması, sır taraması ve güvenlik kontrollerinin nasıl konumlandırılabileceğine dair öneriler sunulur.
İki temel yaklaşım kullanıyoruz. Temel seviye inceleme, mevcut kod tabanının kritik bölümlerini ve güvenlik mimarisini ilk kez değerlendirmek için uygundur. Değişiklik odaklı inceleme ise yeni özellik, büyük sürüm veya birleşme isteğiyle gelen farklara yoğunlaşır. Değişiklik incelemesinde yalnızca yeni satırlara bakılmaz; değişikliğin çağırdığı eski kod, paylaşılan servisler ve veri modeli üzerindeki etkisi de takip edilir.
Kapsam belirlenirken uygulamanın internete açıklığı, işlediği veri, kullanıcı rolleri, ödeme veya yönetim fonksiyonları ve önceki güvenlik bulguları dikkate alınır. Büyük bir kod tabanının tamamını aynı derinlikte incelemek yerine kimlik, ödeme, yönetim paneli, dosya işleme ve entegrasyon katmanları gibi yüksek riskli bileşenler önceliklendirilir. Bu yaklaşım süreyi verimli kullanırken kritik saldırı yüzeyinin gözden kaçma riskini azaltır.
Başlangıç toplantısında uygulamanın amacı, teknoloji yığını, kullanıcı rolleri, güven sınırları, kritik veriler ve dağıtım modeli netleştirilir. Depo yapısı, çalışma ve test talimatları, mimari diyagramlar ile ilgili geçmiş bulgular alınır. İnceleme için salt okunur ve süreli erişim tercih edilir.
Kritik varlıklar, giriş noktaları ve olası saldırgan yetenekleri çıkarılır. Bu çalışma, incelemenin rastgele dosya okumak yerine riskli veri akışlarına yönelmesini sağlar. NIST Secure Software Development Framework, güvenli yazılım uygulamalarını hazırlık, yazılımı koruma, güvenli yazılım üretme ve zafiyetlere müdahale etme başlıklarında ele alır. İnceleme planımızı geliştirme yaşam döngüsüne bağlarken bu risk odaklı yaklaşımı esas alırız.
Uygun olduğunda statik analiz, bağımlılık analizi ve sır tarama araçları çalıştırılır. Sonuçlar doğrudan rapora aktarılmaz; uzman tarafından doğrulanır. Ardından kimlik, yetki, veri akışı, kriptografi ve iş mantığı gibi alanlarda manuel takip yapılır. Bir bulgunun gerçek saldırı yüzeyinde erişilebilir olup olmadığı ve mevcut kontrollerle sınırlandırılıp sınırlandırılmadığı araştırılır.
Her bulgu önem derecesi, etkilenen bileşen, ön koşullar, olası iş etkisi ve teknik kanıtla kaydedilir. Mümkün olduğunda ilgili dosya ve satır referansları eklenir. Düzeltme önerileri genel tavsiye olarak bırakılmaz; kullanılan dil ve çerçeveye uygun güvenli desenler tarif edilir. Aynı kök nedenden kaynaklanan tekrarlar bir araya getirilerek ekibin sorunu sistematik biçimde çözmesi kolaylaştırılır.
Rapor tesliminde geliştirici ekibiyle teknik oturum yapılarak öncelikler ve çözüm seçenekleri konuşulur. Düzeltilen kritik ve yüksek riskli bulgular yeniden incelenir. Yeniden kontrol, yalnızca değişen satırın kapandığını değil, düzeltmenin yeni bir yetki veya veri akışı sorunu oluşturmadığını da değerlendirir.
Kaynak kod incelemesi uygulamanın iç yapısını görür; sızma testi ise çalışan sistemin dışarıdan veya yetkili bir kullanıcı konumundan nasıl istismar edilebildiğini gösterir. Kod incelemesi gizli dalları, nadir hata yollarını ve güvenilmeyen verinin iç akışını ayrıntılı değerlendirebilir. Sızma testi dağıtım hatalarını, çalışma zamanı davranışını ve kontrollerin gerçek ortamda birlikte nasıl çalıştığını doğrular. En güçlü güvence, bu yöntemleri rakip değil tamamlayıcı olarak kullanmaktır. Çalışan web arayüzleri için web uygulama sızma testi hizmetimizi inceleyebilirsiniz.
API yoğun sistemlerde kodun yanı sıra nesne seviyesinde yetkilendirme, hız sınırları ve gerçek uç nokta davranışları ayrıca test edilmelidir. Bu ihtiyaç için API güvenlik testi sayfamızdaki kapsam uygun bir tamamlayıcıdır.
İnceleme yalnızca üretime çıkmadan hemen önce yapılan tek seferlik bir kontrol değildir. Yeni bir kimlik doğrulama veya ödeme akışı eklenirken, büyük bir sürüm öncesinde, eski bir uygulama devralındığında, güvenlik olayı sonrasında ya da kritik bileşen yeniden yazıldığında özellikle değerlidir. Değişiklik odaklı daha kısa incelemeler sürüm sürecine yerleştirildiğinde, hatalar bağlam henüz tazeyken ve düzeltme maliyeti daha düşükken bulunabilir.
Güncel kaynak depo, kurulum talimatları, örnek yapılandırma, mimari açıklama ve test hesapları süreci hızlandırır. Kritik kullanıcı rolleri, iş kuralları ve hassas veri türleri paylaşılmalıdır. Kapsam dışında tutulması gereken depo veya üçüncü taraf bileşenler baştan belirtilmelidir. Erişimler en az yetkiyle, süreli ve mümkünse denetlenebilir şekilde sağlanmalıdır.
Kod gizliliği için inceleme modeli proje koşullarına göre planlanır. Salt okunur depo erişimi, müşteri tarafından sağlanan güvenli ortam veya kontrollü kod aktarımı seçenekleri değerlendirilebilir. Çalışma tamamlandığında erişimlerin kaldırılması ve geçici verilerin kararlaştırılan yönteme göre imha edilmesi sürecin parçasıdır.
Teslimatta yönetici özeti, kapsam ve yöntem, risk seviyelerine göre bulgu listesi, teknik kanıtlar, etkilenen kod referansları ve uygulanabilir çözüm önerileri bulunur. Bulguların hangi saldırı senaryosuna bağlandığı ve işletme açısından neden önemli olduğu açıkça yazılır. Önceliklendirme yalnızca teorik şiddete değil; erişilebilirlik, gerekli yetki, veri hassasiyeti ve mevcut telafi edici kontrollere dayanır.
BetorBet Giriş aramasıyla ulaştığınız bu sayfa, BetOrBet Siber Güvenlik’in resmi kaynak kod inceleme hizmetidir. Kritik geliştirme, devralınan kod tabanı veya güvenli yazılım yaşam döngünüz için kapsamı birlikte planlamak üzere bizimle iletişime geçin.
Depoya salt okunur erişim yeterlidir. Kod yalnızca inceleme süresince tutulur ve çalışma bitince silinir.
Kullandığınız dili ve çatıyı ilk görüşmede konuşuruz; yetkin olmadığımız bir teknolojide iş almayız.
Sızma testi açığın dışarıdan kullanılabildiğini gösterir; kod incelemesi açığın nedenini ve aynı hatanın başka nerelerde tekrarlandığını gösterir. İkisi birbirini tamamlar.
Her zaman gerekmez. Kapsam; kritik varlıklar, kullanıcı rolleri ve saldırı yüzeyi değerlendirilerek belirlenebilir. Kimlik, ödeme, yönetim, dosya işleme ve entegrasyon gibi yüksek riskli bileşenler önceliklendirilir; ancak bu bileşenlerin kullandığı ortak servisler ve veri modelleri de bağlamı korumak için kapsama alınabilir.
Hayır. Statik analiz geniş kapsamlı ve hızlı bir başlangıç sağlar; fakat iş mantığı, rol ilişkileri ve uygulamaya özgü güven varsayımlarını her zaman yorumlayamaz. Araç sonuçlarını manuel doğrulama, veri akışı takibi ve bağlamsal risk değerlendirmesiyle tamamlıyoruz.
Diğer hizmetler
Web uygulama sızma testiyle yetkilendirme, oturum, enjeksiyon ve iş mantığı açıklarını gerçek saldırı senaryolarıyla belirliyor, düzeltme yolunu gösteriyoruz.
API güvenlik testiyle REST ve GraphQL uçlarında yetkilendirme, belirteç, veri sızıntısı, iş akışı ve kaynak tüketimi açıklarını gerçekçi senaryolarla belirliyoruz.
Oltalama simülasyonuyla çalışanların şüpheli e-postaları fark etme ve bildirme davranışını güvenli, anonim ve kuruma özel senaryolarla ölçüyoruz.
Uygulamanızı ve beklentinizi birkaç cümleyle yazın; kapsamı birlikte netleştirelim.