Sadece dış IP taraması yeterli mi?
Hayır. Modern ürünün asıl yüzeyi uygulama ve API’dir. Ağ taraması ayrı satır olabilir; yerine geçmez.
Yazı
Web ve API sızma testi neleri kapsar
Açık port listesi API’nizin başka müşterinin siparişini göstermesini kanıtlamaz.
Kısaca
Web ve API sızma testi, tarayıcının gördüğü sayfalar ile arkadaki REST/GraphQL uçlarını birlikte dener: oturum, yetki ayrımı, IDOR/BOLA, enjeksiyon ve iş mantığı. Kapsam host + rol + yasak işlem olarak yazılır. Rynexor bunu Türkiye ve Kuzey Kıbrıs özel sektörü için, yazılı yetkiyle yapar.
Yazı
Web katmanı: giriş, şifre sıfırlama, çoklu rol, dosya yükleme, ödeme akışı, yönetici paneli. OWASP WSTG bir kontrol listesidir; raporu doldurmak testin kendisi değildir. Her bulgu yeniden üretim ve kanıt ister.
API katmanı: token/JWT, nesne düzeyi yetki (başkasının kaydı), fazla veri sızdıran yanıtlar, rate limit yokluğu, GraphQL introspeksiyon. Mobil uygulama çoğu zaman aynı API’yi paylaşır; istemciyi “test ettik” deyip API’yi atlamak yarım iştir.
İş mantığı taramada çıkmaz: kuponu eksiye çekmek, sipariş durumunu atlamak, fiyatı istemci tarafında değiştirmek. Bunu ancak senaryo yazan bir insan dener.
Üretimde mi staging’de mi? İkisi de olur; veri sınıfı ve yedek pencere yazılmadan başlanmaz. Kritik bulguda kim aranır, ilk öğleden sonra belli olmalıdır. Hizmet sayfası: /tr/hizmetler/siber-guvenlik/.
Sık sorulanlar
White-box şart mı?
Değil. Gray-box (düşük yetkili hesap) çoğu SaaS/e-ticaret için en verimli denge. Kaynak kod ayrıca kapsamlanır.
Kıbrıs’taki ürün de test edilir mi?
Evet. Ada veya İstanbul barındırması fark etmez; yetki ve kapsam yazılıysa uzaktan web/API testi yürür.