--- title: "Web uygulamamızın güvenlik testini nasıl yaptırmalıyız?" description: "Bence sızma testinin değerini, bulunan açıkların sayısından önce hangi standarda göre neyin test edildiğinin yazılı olması belirler." canonical_url: https://lovefengis.com/blog/web-uygulamasi-guvenlik-testi last_updated: 2026-10-17T06:01:44.319Z lang: tr llms_txt: https://lovefengis.com/llms.txt --- 1. [Ana sayfa](https://lovefengis.com/) 2. [Blog](https://lovefengis.com/blog) 3. Web uygulamamızın güvenlik testini nasıl yaptırmalıyız? # Web uygulamamızın güvenlik testini nasıl yaptırmalıyız? [Ulaş Saraç](https://lovefengis.com/yazar/ulas-sarac) · Yayın 17 Ekim 2026 Bence sızma testinin değerini, bulunan açıkların sayısından önce hangi standarda göre neyin test edildiğinin yazılı olması belirler. Web uygulamanızın güvenlik testini yaptırırken ASVS’nin [doğrulama ve raporlama belgesinde](https://github.com/OWASP/ASVS/blob/v5.0.0/5.0/en/0x04-Assessment%5Fand%5FCertification.md) istediği gibi doğrulayıcının hedeflenen seviyeyi, kapsama aldığı gereksinimleri ve kullandığı test yöntemlerini hazırladığı raporda açıkça yazmasını istemelisiniz. ASVS, yalnız otomatik bir araç çalıştırmayı yeterli bulmaz. ## Erişim kontrolünde hangi açıklar aranır? OWASP’ın [erişim kontrolü açıklaması](https://top10.owasp.org/2025/A01%5F2025-Broken%5FAccess%5FControl/), URL’yi, uygulama durumunu ya da API isteğini değiştirerek kontrolü atlatmayı ve benzersiz kimliğini vererek başkasının hesabını görüntülemeyi veya düzenlemeyi yaygın açıklar arasında sayar. OWASP Top 10:2025’te bozuk erişim kontrolü (A01) birinci sıradaki yerini korur; OWASP’ın değerlendirdiği veride test edilen uygulamaların %100’ünde bir tür bozuk erişim kontrolü bulunmuştur. ## Uygulamamız için hangi doğrulama seviyesini seçmeliyiz? OWASP’ın [ASVS doğrulama standardında](https://github.com/OWASP/ASVS/blob/v5.0.0/5.0/en/0x03-What-is-the-ASVS.md) çoğu uygulama için önerdiği hedef Seviye 2’dir; ancak kuruluşunuz, uygulamanızın hassasiyetini ve risklerini değerlendirerek hangi seviyeye ihtiyaç duyduğuna kendisi karar verir. OWASP ASVS 5.0, seviyeleri şöyle ayırır: - ASVS Seviye 1: Gereksinimlerin yaklaşık %20’sini içeren asgari başlangıç noktasıdır. - ASVS Seviye 2: Gereksinimlerin yaklaşık %70’inin karşılanmasını gerektirir. - ASVS Seviye 3: Kalan yaklaşık %30’u ekleyerek en yüksek güvenliği hedefler. ASVS, yazılım ya da özel geliştirme hizmeti satın alırken yazılımın belirli bir doğrulama seviyesinde geliştirilmesini şart koşabileceğinizi ve satıcıdan yazılımın o seviyenin gereksinimlerini karşıladığını kanıtlamasını isteyebileceğinizi söyler. ## Test raporunda hangi bilgileri aramalıyız? ASVS doğrulama raporu kapsamı, kontrol edilen tüm gereksinimlerin özetini, istisna görülen gereksinimleri ve düzeltme önerilerini içermelidir; OWASP bunları [raporun içeriğini açıklayan belgede](https://github.com/OWASP/ASVS/blob/v5.0.0/5.0/en/0x04-Assessment%5Fand%5FCertification.md) raporun taşıması gereken bilgiler arasında sıralar. Uygulanamayan gereksinimler de raporda yer almalıdır. ASVS’nin tarif ettiği geleneksel sızma testi raporları ise yalnız bulunan açıkları listeler. Aynı belge, otomatik güvenlik test araçlarının iş mantığı ve erişim kontrolüyle ilgili karmaşık gereksinimlerin çoğunu tam olarak doğrulayamadığını belirtir. ## ASVS için resmî OWASP sertifikası var mı? OWASP, ASVS’ye uygunluk için hiçbir satıcıyı, doğrulayıcıyı ya da yazılımı sertifikalandırmaz ve ASVS’nin doğrulama belgesinde, resmî OWASP sertifikası iddiasıyla sunulan ASVS belgelerine karşı dikkatli olunmasını açıkça ister. ## Test rehberi olarak hangi belgeye bakabiliriz? Web uygulaması güvenlik testleri için OWASP’ın Web Security Testing Guide (WSTG) adlı test rehberine bakabilirsiniz. Konuyu daha ayrıntılı okumak için [Güvenlik ve KVKK denetimi](https://lovefengis.com/hizmetler/guvenlik-kvkk) sayfasına da göz atabilirsiniz. OWASP’ın [test rehberi sayfasında](https://owasp.org/www-project-web-security-testing-guide/) belirttiği güncel yayımlanmış WSTG sürümü 4.2’dir ve aynı sayfada, rehberin 5.0 sürümünün henüz geliştirme aşamasında olduğu, yayımlanmış sürümün ise çevrim içi ve PDF biçiminde sunulduğu belirtilir. Yapay zekâ desteğiyle hazırlanan bu yazıdaki rakamlar, tarihler ve kurallar altta listelenen belgelerden alındı. ## Kaynaklar 1. OWASP ASVS Project (GitHub), [OWASP Application Security Verification Standard 5.0.0 — Assessment and Certification](https://github.com/OWASP/ASVS/blob/v5.0.0/5.0/en/0x04-Assessment%5Fand%5FCertification.md). Erişim: 27 Eylül 2026 2. OWASP Top 10 Team, [A01:2025 Broken Access Control](https://top10.owasp.org/2025/A01%5F2025-Broken%5FAccess%5FControl/). Erişim: 27 Eylül 2026 3. OWASP ASVS Project (GitHub), [OWASP Application Security Verification Standard 5.0.0 — What is the ASVS?](https://github.com/OWASP/ASVS/blob/v5.0.0/5.0/en/0x03-What-is-the-ASVS.md). Erişim: 27 Eylül 2026 4. OWASP Foundation, [OWASP Web Security Testing Guide](https://owasp.org/www-project-web-security-testing-guide/). Erişim: 27 Eylül 2026 ## Diğer yazılar 1. [13 Ekim 2026 Yapay zekâ projesinin gerçekten işe yaradığını nasıl ölçersiniz?Yapay zekâ projesinin başarısını gerçek örneklerinizden kurulan test seti ve önceden belirlediğiniz ölçütler gösterir.](https://lovefengis.com/blog/yapay-zeka-projesi-nasil-olculur) 2. [11 Ekim 2026 Hazır program mı almalıyım, özel yazılım mı yaptırmalıyım?Herkesin aynı yaptığı işte hazır paket alın ve süreci pakete uydurun; sizi rakipten ayıran süreçte özel yazılımı değerlendirin.](https://lovefengis.com/blog/hazir-program-mi-ozel-yazilim-mi) 3. [9 Ekim 2026 Otomasyon için n8n, Make ve Zapier arasında nasıl seçim yapmalısınız?n8n, Make ya da Zapier seçmeden önce akışın adım sayısını, tetiklenme sıklığını ve kullanım birimini hesaplamak gerekir.](https://lovefengis.com/blog/n8n-make-zapier-otomasyon-secimi) Yazar [Ulaş Saraç](https://lovefengis.com/yazar/ulas-sarac) Computer Science lisansı · IT Project Management yüksek lisansı (AB bursu) · Kurucu, lovefengis [LinkedIn](https://www.linkedin.com/in/ulassarac/) [← Bloga dön](https://lovefengis.com/blog) Sorunuz kaldıysa kısa bir görüşme yeter. 15 dakikalık görüşme ücretsizdir ve sizi bağlamaz. İsterseniz kapsamla birlikte yazılı teklif iletiriz. [Ücretsiz tanışma](https://lovefengis.com/gorusme) [hello@lovefengis.com](mailto:hello@lovefengis.com) ## Sitemap See the full [sitemap](https://lovefengis.com/sitemap.md) for all pages on lovefengis.com.