🛡️ Web Sunucusu Güvenliği Rehberi

Hazırlayan: [kazakherif]
Tarih: 2025-07-13
Amaç: Web sunucularının (Apache/Nginx) daha güvenli hâle getirilmesi için temel ve uygulanabilir adımların paylaşılması.

1️⃣ Yazılım Güncellemelerini Takip Et

Açıklama:

Web sunucun güncel değilse güvenlik açıklarına açık hâle gelir. Özellikle Apache ve Nginx sürümlerini düzenli kontrol et.

Örnek:

apt update && apt upgrade

2️⃣ Gereksiz Modülleri Kaldır

Açıklama:

Kullanmadığın modüller saldırı yüzeyini genişletir. Apache veya Nginx’te gereksiz modülleri devre dışı bırak.

Apache Örnek:

a2dismod autoindex

3️⃣ HTTP Yönlendirmelerini Zorla (HTTPS’e Geçiş)

Açıklama:

HTTP bağlantıları şifrelenmemiştir. Zorunlu HTTPS kullanmak kritik.

Nginx Örnek:

return 301 https://$host$request_uri;

4️⃣ Güçlü TLS Konfigürasyonu Yap

Açıklama:

Eski ve zayıf protokolleri devre dışı bırak (ör. SSLv2, SSLv3, TLS 1.0).

Nginx Örnek:

ssl_protocols TLSv1.2 TLSv1.3;

5️⃣ HTTP Güvenlik Header’ları Kullan

Açıklama:

Tarayıcıların güvenlik kontrollerini artıran header’lar kullan.

Örnek:

Strict-Transport-Security
X-Content-Type-Options
X-Frame-Options
X-XSS-Protection

6️⃣ Dizin Listelemeyi Kapat

Açıklama:

Dizin listeleme açıksa klasördeki dosyalar herkes tarafından görülebilir.

Apache Örnek:

Options -Indexes

Nginx Örnek:

autoindex off;

7️⃣ Hata Mesajlarını Gizle

Açıklama:

Hata mesajları sistem yapın hakkında bilgi sızdırabilir. Üretim ortamında ayrıntılı hata mesajlarını kapat.

Apache Örnek:

ServerSignature Off
ServerTokens Prod

8️⃣ Dosya ve Dizin İzinlerini Kontrol Et

Açıklama:

Web dizinlerinin ve dosyalarının gereksiz yazma veya çalıştırma izinleri olmamalı.

Örnek:

chmod -R 755 /var/www/html

9️⃣ Web Sunucu Loglarını İzle

Açıklama:

Loglar saldırı belirtilerini erken fark etmeni sağlar.

Örnek:

tail -f /var/log/nginx/access.log

🔟 WAF (Web Application Firewall) Kullan

Açıklama:

WAF, SQL Injection, XSS gibi web saldırılarına karşı ek bir koruma katmanı oluşturur.

Örnek WAF Çözümleri:

  • ModSecurity (Apache/Nginx için)
  • NAXSI (Nginx için)