Web sitesi güvenliği nasıl sağlanır? KVKK’ya göre kontrol listesi.
Kişisel veri toplayan her web sitesi, KVKK’nın 12. maddesi gereği bu verinin güvenliği için teknik ve idari tedbir almak zorunda. Kurumun Nisan 2025 tarihli Kişisel Veri Güvenliği Rehberi bu tedbirleri sayıyor ama bir web sitesinin parçalarına tek tek çevirmiyor. Bu kontrol listesi o çeviriyi yapıyor: bağlantı, yönetim paneli, yazılım, yayın süreci, form, kayıtlar, yedek, hizmet sağlayıcılar ve ihlal planı.
Rehber kendi uyarısıyla başlıyor: tek bir güvenlik ürünüyle tam güvenlik sağlanabileceği görüşü her zaman doğru değil, çünkü tehditler her gün biçim değiştiriyor. Önerdiği yaklaşım, birbirini tamamlayan ve düzenli olarak kontrol edilen tedbirler. Aşağıdaki maddeler bu yüzden bir kez işaretlenip bırakılacak bir liste değil; site her değiştiğinde yeniden sorulacak sorular.
Web sitesinin güvenliğinden kim sorumlu?
Site sahibi. Kanunun 12. maddesi, uygun güvenlik düzeyini sağlamak için gereken teknik ve idari tedbirleri veri sorumlusuna yükler; siteyi bir ajansın yapmış olması bu yükü ortadan kaldırmaz. Veriyi sizin adınıza işleyen firmalar, yani siteyi barındıran, bakımını yapan ya da form mesajlarını taşıyan hizmetler, aynı maddenin ikinci fıkrası gereği güvenlikten sizinle birlikte sorumludur. Veri güvenliği yükümlülüğüne aykırılığın idari para cezası 2026’da 256.357 TL ile 17.092.242 TL arasında.
Sitenin tamamı HTTPS ile mi açılıyor?
Rehber, kişisel verinin internet siteleri üzerinden toplandığı durumda bağlantının SSL ya da daha güvenli bir yolla kurulmasını istiyor. Bugün bunun web’deki karşılığı yalnız form sayfasının değil sitenin tamamının https ile açılması, http adresinin tek adımda https’e yönlenmesi ve tarayıcıya siteyi yalnız https ile açmasını söyleyen HSTS başlığıdır. Geçişin adımları HTTPS ve www yönlendirmesi rehberinde. Bu sitenin açık veri seti Ölçüm Rasathanesi’nin 31 Ağustos 2026 ölçümünde, Türkiye ve AB’den canlı 131 sitenin 83’ü HSTS başlığını gönderiyordu.
Yönetim paneline kim girebiliyor?
Rehber erişimin işin gerektirdiği ölçüde tanınmasını ve kullanıcı adı ile şifreyle sağlanmasını istiyor; şifre kişisel bilgilerden türetilmemeli, büyük küçük harf, rakam ve sembol içermeli. Kaba kuvvet saldırılarına karşı şifre deneme sayısı sınırlanmalı, yönetici yetkisi yalnız gerektiğinde açılmalı ve ilişiği kesilen kişinin hesabı zaman kaybetmeden silinmeli ya da kapatılmalı. Kimin neye erişebildiğini gösteren bir erişim yetki ve kontrol matrisi de Rehber’in önerileri arasında.
Bir web sitesinde bu liste yönetim panelinden fazlasını kapsar: barındırma paneli, alan adı hesabı, DNS, form ve e-posta hizmetinin hesabı da siteye erişimdir. En sık unutulan, siteyi yapan ajansın ya da serbest çalışanın iş bittikten sonra açık kalan hesabıdır. Rehber iki kademeli kimlik doğrulamayı bulutta tutulan verilere uzaktan erişim için öneriyor; internetten yönetilen bu hesapların her birinde açmak aynı mantığın devamı.
Kullanılmayan yazılımı sildiniz mi?
Rehber’in yazılım konusundaki tespiti açık: yaygın yazılımların özellikle eski sürümlerinin belgelenmiş güvenlik açıkları var ve kullanılmayan yazılım ve servisleri güncel tutmak yerine silmek, kolaylığı nedeniyle öncelikle tercih edilebilecek yöntem. Kullanılanlar için yama yönetimi ve güncelleme, alınan tedbirlerin yeterli olup olmadığının da düzenli kontrolü gerekiyor.
Web sitesinde bunun karşılığı devre dışı bırakılmış ama silinmemiş eklentiler, kullanılmayan temalar, sunucuda unutulmuş eski kurulumlar ve test kopyalarıdır. Hazır bir içerik yönetim sisteminde güncellenmesi gereken yazılım yığını sistemin bir parçası; bu bedelin özel geliştirmeyle karşılaştırması WordPress mi özel geliştirme mi sayfasında.
Değişikliği yayından önce test ediyor musunuz?
Kurulun web’e özgü bir kararı bu sorunun neden listede olduğunu gösteriyor. 2023/1796 sayılı kararda bir şirketin sitesinde yapılan sistem değişikliğinden sonra, önbellek yapılandırması yüzünden üyelerin ad, soyad, üyelik ve telefon bilgileri herkesin erişimine açıldı. Kurul değişikliğin canlıya alınmadan önce yeterince test edilmediğini tespit etti ve 200.000 TL ceza verdi.
Rehber de yeni sistemlerin tedariğinde, geliştirilmesinde ve mevcut sistemlerin iyileştirilmesinde güvenlik gereksinimlerinin baştan gözetilmesini istiyor. Pratikte bu, değişikliğin önce canlı siteden ayrı bir kopyada denenmesi ve yayından sonra da kontrol edilmesidir: oturum açmış bir kullanıcıya özel sayfa başka bir ziyaretçiye gösteriliyor mu, form mesajları, yönetim sayfaları ve yedek dosyaları dışarıdan açılabiliyor mu?
Form gelen veriyi kontrol ediyor mu?
Rehber, uygulamalara giren verinin doğru ve uygun olduğunun kontrol edilmesini ve doğru girilmiş bilginin işlem sırasında bozulup bozulmadığını denetleyen mekanizmalar kurulmasını istiyor. Bir web formunda bu kontrol sunucuda yapılır; tarayıcıdaki doğrulama ziyaretçiye kolaylıktır, güvenlik değildir, çünkü istek tarayıcıyı atlayarak da gönderilebilir.
İkinci soru formun neyi topladığı ve mesajın nereye gittiği: gerekmeyen her alan, korunması gereken fazladan veri demek. Formun hangi veriyi hangi amaçla topladığını ziyaretçiye anlatmak ise aydınlatma metninin işi.
Bir saldırıyı fark edebilir misiniz?
Rehber’e göre sistemler içeriden ve dışarıdan saldırıya uğrar ve bu, belirtilere rağmen çoğu zaman uzun süre fark edilmez. Önerdikleri: hangi yazılım ve servislerin çalıştığını kontrol etmek, sızma ya da olmaması gereken bir hareket olup olmadığını belirlemek, kullanıcıların işlem kayıtlarını düzenli tutmak, güvenlik sorunlarını hızla raporlamak, düzenli zafiyet taraması ve sızma testi yaptırmak. Bir olay yaşandığında deliller toplanıp güvenli biçimde saklanmalı.
Bir web sitesi için bu en azından yönetim paneline giriş kayıtlarının ve sunucu günlüklerinin tutulması ve birinin bunlara bakması demek. Günlükler de IP adresi gibi kişisel veri taşıdığından ne kadar saklanacakları ayrıca belirlenir; saklama ve imha kuralları KVKK uyumlu web sitesi yazısında.
Yedek, sitenin bulunduğu yerden ayrı mı?
Rehber yedeği fidye yazılımlarıyla birlikte ele alıyor: dosyaları kilitleyip açmak için fidye isteyen yazılımlara karşı bir yedekleme stratejisi gerekir; yedeklere yalnız sistem yöneticisi erişebilmeli ve veri seti yedekleri mutlaka ağ dışında tutulmalı. Aksi hâlde yedek de aynı saldırıda kullanılamaz hâle gelebilir.
Siteyle aynı sunucuda ya da aynı barındırma hesabında duran bir kopya, Rehber’in tarif ettiği ağ dışı yedek değildir. Yedeğin amacı da Rehber’de yazılı: veri zarar gördüğünde en kısa sürede faaliyete dönmek. Bunun mümkün olduğu ancak yedek bir kez geri yüklenip denendiğinde görülür.
Hizmet sağlayıcıyla sözleşmede güvenlik yazıyor mu?
Rehber, veri işleyenden hizmet alan veri sorumlusunun, onların en az kendisi kadar güvenlik sağladığından emin olmasını istiyor ve sözleşme için şunları öneriyor: yazılı olması, veri işleyenin yalnız talimatla ve sözleşmedeki amaç ve kapsamda hareket etmesi, süresiz sır saklama yükümlülüğü, bir ihlali derhal veri sorumlusuna bildirmesi ve aktarılan veri kategorilerinin ayrı bir maddede yazılması. Veri sorumlusu sistem üzerinde denetim yapabilir ya da yaptırabilir.
Bir web sitesinde bu firmalar çoğunlukla barındırma ve içerik dağıtım hizmeti, form ve e-posta gönderim hizmeti ve siteye bakım yapan ajanstır. Sunucu yurt dışındaysa aktarım kuralları da devreye girer.
Tarayıcıya hangi güvenlik kurallarını gönderiyorsunuz?
Rehber’in teknik tedbirler tablosunda «uygulama güvenliği» bir başlık olarak geçiyor, ama web’in kendi araçlarını adıyla saymıyor. Bunların başında yanıt başlıkları gelir. İçerik Güvenliği Politikası (CSP) tarayıcıya sayfanın hangi kaynaklardan betik, stil ve görsel yükleyebileceğini söyler; siteler arası betik çalıştırma (XSS) saldırılarına karşı ek bir savunma katmanıdır, girdiyi temizlemenin yerine geçmez. HSTS ise siteyi yalnız https ile açtırır.
Bu sitenin her yanıtı bu başlıkları gönderiyor: varsayılan kaynak yalnız kendi alan adı, HSTS bir yıllık ve alt alan adlarını kapsıyor, site başka bir sayfanın çerçevesine konamıyor. Kendi sitenizin başlıklarını tarayıcının geliştirici araçlarında, Ağ sekmesinde ana belgenin yanıt başlıklarında görebilirsiniz.
İhlal olursa 72 saatte ne yapılır?
Kanunun 12. maddesi, işlenen verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde veri sorumlusunun bunu en kısa sürede ilgili kişiye ve Kurula bildirmesini ister. Kurul 2019/10 sayılı kararıyla bu sürenin, ihlalin öğrenilmesinden itibaren en geç 72 saat olduğunu belirledi; Kurum 20 Ocak 2026 tarihli duyurusunda kuralı yineledi. Bildirim Kurulun ihlal bildirim formuyla yapılır; 72 saat haklı bir gerekçeyle aşılırsa gecikmenin nedeni de açıklanır. Etkilenen kişilere makul olan en kısa sürede bilgi verilir.
72 saat, ihlal anında plan kurmak için kısa. Önceden yazılı olması gerekenler: ihlali kimin kime bildireceği, hizmet sağlayıcının size ne zaman haber vereceği (Rehber «derhal» diyor), delillerin nasıl saklanacağı ve etkilenen kişilere nasıl ulaşılacağı. Rehber’in idari tedbirler tablosu da kriz yönetimini, Kurulu ve ilgili kişiyi bilgilendirme süreçlerini ayrı bir başlık olarak sayıyor.
Kontrol listesi
- Sorumluluk · veri sorumlusu sizsiniz; veriyi sizin adınıza işleyenler sizinle birlikte sorumlu
- Bağlantı · sitenin tamamı https, tek adımda yönlendirme, HSTS
- Erişim · kişiye özel hesap, güçlü şifre, deneme sınırı, iki kademeli doğrulama, ayrılanın hesabı kapalı
- Yazılım · kullanılmayan eklenti ve kurulum silinmiş, kalanlar güncel
- Yayın · değişiklik önce ayrı kopyada denenmiş, yayından sonra kontrol edilmiş
- Form · sunucuda doğrulama, yalnız gereken alan
- İzleme · giriş kayıtları ve günlükler tutuluyor ve okunuyor, düzenli zafiyet taraması
- Yedek · ağ dışında, yalnız yöneticinin erişiminde, geri yüklemesi denenmiş
- Sözleşme · yazılı, talimatla işleme, sır saklama, ihlalde derhal bildirim
- Başlıklar · CSP, HSTS, çerçeve koruması
- İhlal · 72 saatlik bildirim planı yazılı
Bu liste 30 Ekim 2026 itibarıyla Kurumun güvenlik rehberine ve yürürlükteki düzenlemelere göre yazıldı. Hukuki görüş değildir, bir güvenlik testinin de yerine geçmez. Sitenizin dışarıdan ne gösterdiğini birlikte ölçmek isterseniz bize yazın.
Bu soruların cevabını kendi sitenizde görmek isterseniz kurumsal web tasarım tasarımı, kodu ve teknik SEO’yu aynı elden, ölçülebilir bir bütçeyle teslim eder.