Clickjacking nedir? Bir web uygulamasına eklenmesi gereken temel güvenlik başlıkları (security headers) nelerdir?
Cevap
Clickjacking, saldırganın sizin sitenizi görünmez bir iframe içinde kendi sayfasına yerleştirip kullanıcıyı farkında olmadan butonlara (ör. "hesabı sil", "ödemeyi onayla") tıklatmasıdır. Çözüm, sitenizin başka sitelerde iframe içinde açılmasını yasaklamaktır.
Content-Security-Policy: frame-ancestors 'self'
X-Frame-Options: SAMEORIGINframe-ancestors modern yöntemdir; X-Frame-Options eski tarayıcılar için eklenir. İkisi aynı kuralı söylemelidir: 'self' için SAMEORIGIN, 'none' için DENY.
Temel güvenlik başlıkları
| Başlık | Ne işe yarar |
|---|---|
Strict-Transport-Security | Tarayıcıyı sadece HTTPS kullanmaya zorlar (HSTS) |
Content-Security-Policy | Hangi kaynaklardan script/stil yüklenebileceğini kısıtlar, XSS etkisini azaltır |
X-Content-Type-Options: nosniff | Tarayıcının MIME tipini tahmin etmesini engeller |
Referrer-Policy | Diğer sitelere gönderilen referrer bilgisini sınırlar |
Permissions-Policy | Kamera, mikrofon, konum gibi API'leri kapatır |
X-Frame-Options | Iframe içinde açılmayı engeller (clickjacking) |
// Express'te helmet ile çoğu başlık tek satırda eklenir
import helmet from "helmet";
app.use(helmet());Strict-Transport-Security: max-age=31536000; includeSubDomains
Referrer-Policy: strict-origin-when-cross-originX-XSS-Protection artık kullanılmıyor (deprecated); yerine CSP kullanılmalı. Başlıkları securityheaders.com gibi araçlarla kontrol edebilirsiniz.
İlgili Web Güvenliği soruları
- CORS nedir? Neden CORS hatası alırız?
- XSS ve CSRF saldırıları nedir, nasıl korunulur?
- Authentication ile authorization arasındaki fark nedir?
- Güvenli cookie ayarları nelerdir? Session hijacking nasıl önlenir?
- Content Security Policy (CSP) nedir ve nasıl yapılandırılır?
- OWASP Top 10 nedir? En önemli maddelerini özetleyin.
Bu konuda başka bir soru biliyor musun?
Mülakatta karşılaştığın soruları ekle, onaylandıktan sonra yayına alınsın.