Web Sitesi Güvenlik Kontrolü

Nasıl çalışır?

1. Ana sayfanızın ya da herhangi bir sayfanın adresini girin, örneğin https://ornek.com.
2. Araç sayfayı çeker; yanıt başlıklarını, çerezleri ve dönen HTML’i kaydeder.
3. Ziyaretçinin HTTPS’e yönlenip yönlenmediğini görmek için http:// adresini de ister, ardından canlı sertifikayı ve kullanılan TLS sürümünü okur.
4. /.env, /.git/HEAD, /phpinfo.php gibi bilinen sızıntı yollarına basit GET istekleri gönderir. Her yanıtın içeriğine bakar; böylece sitenizin özel 404 sayfası yanlışlıkla “açık dosya” diye raporlanmaz.
5. En üstte PHP2Shell sonucu, altında 100 üzerinden puan ve önerilen düzeltmeleriyle birlikte öncelik sırasına konmuş sorunlar gelir.

Neleri kontrol eder?

• PHP2Shell riski — Görünen PHP sürümünü yamalı sürümlerle (8.2.35, 8.3.36, 8.4.27, 8.5.12) karşılaştırır. Sürüm gizliyse bunu açıkça söyler ve sunucuda nasıl doğrulayacağınızı anlatır.
• HTTPS ve TLS — HTTPS kullanımı, HTTP’den HTTPS’e yönlendirme, sertifikanın geçerliliği ve alan adını kapsaması, TLS 1.2 veya 1.3.
• HSTS — Strict-Transport-Security başlığı var mı, süresi en az altı ay mı?
• Güvenlik başlıkları — Content-Security-Policy, clickjacking koruması, X-Content-Type-Options, Referrer-Policy, Permissions-Policy ve riskli CORS ayarları.
• Açıkta kalan dosyalar — .env, Git klasörü, phpinfo sayfaları, server-status, composer.lock, .DS_Store; WordPress’te ayrıca wp-config yedeği ve debug.log.
• Sürüm sızıntıları — Tarayıcı botlara yazılımınızın tam sürümünü veren Server, X-Powered-By başlıkları ve CMS generator etiketi.
• Çerezler ve içerik — Secure, HttpOnly ve SameSite bayrakları, karışık içerik (mixed content) ve bilinen XSS açığı olan jQuery sürümleri.
• security.txt — Güvenlik araştırmacılarının size ulaşabileceği yayımlanmış bir iletişim adresi var mı?

Neden önemli?

Sitelerin büyük kısmı sıkıcı bir hatayla ele geçirilir: unutulmuş bir .env dosyası, güncellenmemiş bir PHP, deploy sonrası açık kalmış bir test sayfası. Yeni bir açık duyurulduğunda saldırganlar bu hataları birkaç saat içinde otomatik tarayıcılarla bulur. PHP2Shell de böyle oldu: ayrıntılar sızdığı için istismar girişimleri yamadan günler önce, 17 Ekim 2026’da başladı. Ele geçirilen site arama trafiğini de kaybeder. Google, Search Console’da güvenlik sorunu bildirir, tarayıcılar uyarı gösterebilir, siteye enjekte edilen spam sayfalar tüm alan adını aşağı çekebilir.

Puanınızı nasıl yükseltirsiniz?

Önce kırmızı maddeleri çözün. PHP’yi güncelleyip tüm PHP süreçlerini yeniden başlatın, açıkta kalan dosyaları silip içlerindeki parola ve anahtarları değiştirin, ardından 301 yönlendirme ve HSTS ile HTTPS’i zorunlu kılın. Sonra eksik güvenlik başlıklarını tek tek ekleyin; Content-Security-Policy’yi zorunlu yapmadan önce report-only modunda deneyin. expose_php ve sunucu imzalarını kapatarak sürüm numaralarını gizleyin. Her değişiklikten sonra taramayı tekrarlayın, puan anında güncellenir.

Bugün güncelleme yapamıyorsanız uygulayabileceğiniz geçici önlemler dahil PHP2Shell kontrol listesinin tamamı PHP2Shell güvenlik açığı (CVE-2026-109618 ve CVE-2026-109619) rehberimizde yer alıyor. Yalnızca sertifika için SSL Sertifika Kontrolü, tüm ham başlıklar için HTTP Başlık Kontrol Aracı kullanabilirsiniz.

Sık sorulan sorular

Araç ücretsiz mi, sitemde çalıştırmak güvenli mi?

Evet, ücretsiz ve üyelik gerektirmez. Bir tarayıcının gönderdiği türden GET istekleri gönderir, saldırı yükü taşımaz ve açıkta bulduğu bir dosyanın içeriğini asla göstermez. Sonuçlar hiçbir yerde yayımlanmaz.

Sitemin PHP2Shell’den etkilenmediğini kanıtlayabilir mi?

Yalnızca siteniz PHP sürümünü gösteriyorsa. İyi yapılandırılmış sitelerin çoğu sürümü gizler; bu doğru bir uygulamadır. Bu durumda araç PHP’nin tespit edildiğini söyler ve gerçek sürümü sunucuda php -v ya da hosting panelinizle nasıl kontrol edeceğinizi anlatır.

Sızma testinin yerini tutar mı?

Hayır. Sık yapılan ve etkisi büyük hataları yakalayan hızlı, dışarıdan bir sağlık kontrolüdür. Oturum açmaz, formları denemez, kendi kodunuzdaki hataları aramaz. Her deploy sonrasında ve daha kapsamlı bir denetime para ödemeden önce kullanın.