Sızma testi öncesi hazırlık: KOBİ’ler için 10 maddelik kontrol listesi
İlk sızma testinize girmeden önce yapmanız gerekenler. Kapsam belirlemeden yetki yönetimine, hazırlığınızı sağlamlaştıracak pratik bir rehber.
devamını oku →Yazılım ve güvenlik üzerine notlar
Yazılım geliştirme, ürün, entegrasyon ve siber güvenlik üzerine uzman rehberler ve güncel analizler.
Yedekleme yetmez: 3-2-1 kuralı ve felaket kurtarma
Veri kaybına karşı gerçek koruma, düzenli yedekten fazlasını gerektirir. Test edilmemiş yedek, yedek değildir.
Hazır paket mi, özel yazılım mı? Doğru kararı vermek
Her işletmeye uyan tek bir cevap yok. Karar verirken göz önünde bulundurmanız gereken kriterler.
Sıfır güven (Zero Trust) mimarisine giriş
“İçerideki herkese güven” devri bitti. Modern güvenlik neden her erişimi doğruluyor?
Teknik SEO: B2B teknoloji siteleri için temel ilkeler
Görünür olmak için önce bulunabilir olmak gerekir. Arama motorları sitenizi nasıl anlıyor?
Sistem entegrasyonunda API-first yaklaşımı
Birbirinden kopuk sistemler veri siloları yaratır. Modern entegrasyon nasıl tasarlanır?
Demoda çalıştı, üretimde tutmadı: ürüne yapay zeka özelliği nasıl eklenir?
Yapay zeka özelliği kararı üç soruya bakar: hata kime mal olur, çıktıyı kim doğrular, talep başına maliyet nedir? Ölçüm kümesi, güvenlik ve maliyet rehberi.
AI ile yazılan kodu nasıl gözden geçirmeli? Kalite kuralları ve kabul ölçütleri
AI'nın yazdığı kod derleniyor ve mantıklı görünüyor; arıza başka yerde birikiyor. Yinelenen kod, yutulan hatalar ve uydurma paketler için pratik kabul kuralları.
ChatGPT sitemizi neden hiç anmıyor? Yapay zekâ aramada görünürlük için gerçekten işe yarayanlar
Yapay zekâ asistanları sitenizi neden anmıyor? Botları engellemekten llms.txt gerçeğine, alıntılanan sayfaların yapısına ve ölçüme kadar pratik bir rehber.
API güvenliği neden web güvenliğinden farklı? OWASP API Security Top 10 (2023)
API'ler modern yazılımın omurgası, ama en çok saldırıya uğrayan katman da oldu. 2024'te kuruluşların %37'si API ihlali yaşadı. OWASP API Security Top 10 ne der?
API'nizi değiştirdiğinizde entegrasyonlar neden kırılıyor? Sürümleme ve geriye dönük uyumluluk
Entegrasyonlar sürüm numarası yüzünden kırılmaz. Yazılı bir kırıcı değişiklik tanımı, sürüm bazlı kullanım verisi ve ilan edilmiş bir kapanış tarihi gerekir.
Uygulamamız mağazadan döndü: App Store ve Google Play yayın süreci nasıl işler?
Redlerin çoğu koddan değil hazırlıktan çıkar. Hesap açma, test kullanıcısı, inceleme notu, hesap silme, IAP kuralı ve her yıl tekrarlayan platform tarihleri.
Bu kaydı kim değiştirdi? Uygulama içi denetim izi (audit log) tasarımı
Denetim izi, hata ayıklama logundan farklı bir kayıttır: kim, ne zaman, hangi kaydı, hangi değerden hangi değere. Alan tasarımı, değişmezlik ve saklama süresi.
Kullanıcı girişini kendimiz mi yazalım, hazır kimlik servisi mi kullanalım?
Kimlik doğrulama bir ekran değil, alt sistem. Bulut kimlik servisi, açık kaynak kimlik sunucusu ve kütüphane seçenekleri, gizli maliyetler ve çıkış planı.
Kim neyi görebilir? Yetkilendirme modeli: roller, izinler, RBAC ve ABAC
Yetkilendirme üç soruya cevap verir: hangi eylem, hangi kayıt, hangi alan. Rol patlaması, satır bazlı kapsam, RBAC ile ABAC seçimi ve iptalin ne zaman geçtiği.
İstek zaman aşımına düşüyor: arka plan işleri, kuyruk ve yeniden deneme
Heroku 30, ALB 60, Cloudflare 100 saniyede vazgeçer. Uzun süren işi kuyruğa taşımanın, doğru yeniden denemenin ve ölü mektup kuyruğunu izlemenin pratiği.
Çalışanlar kendi telefonundan şirket verisine erişebilir mi? BYOD, MDM ve MAM
Kişisel telefondan şirket verisine erişmek yasak değil, yönetilmemesi sorun. MDM ile MAM farkı, uzaktan silmenin sınırı ve işten çıkışta yapılacaklar.
Kullanıcı hâlâ eski fiyatı görüyor: önbellek katmanları, Cache-Control ve geçersiz kılma
Eski içerik genelde tek bir önbelleğin hatası değil, katmanların anlaşamamasıdır. Cache-Control, ETag, önbellek anahtarı, etiketle temizleme ve sürü etkisi.
Yazılımımız hangi teknolojiyle yazılmalı? Dil, framework ve veritabanı seçimi
Kararı 'hangisi daha iyi' tartışması değil destek takvimi, işgücü havuzu ve geri dönüş maliyeti belirler. Güncel sürüm tarihleri, ölçütler ve teklif soruları.
Yayına çıkmak neden korkutucu? Küçük ekipler için CI/CD ve dağıtım hattı
Yayın gecesi stresliyse sorun dikkat değil, seyrek ve büyük dağıtımlar. Dört ölçüm, on dakikalık hat, tek yapı çıktısı ve tatbikat edilmiş geri dönüşle çözüm.
Bulut faturası neden her ay büyüyor? İsrafı bulma, ölçme ve kalıcı düşürme
Bulut harcamasının büyük kısmı boş duran kapasiteye ve ağ trafiğine gidiyor. Etiketleme, doğru boyutlandırma, taahhüt indirimi ve mimari düzeltmeler için rehber.
Bulut güvenliği kimin sorumluluğunda? Yapılandırma hataları ve paylaşılan sorumluluk modeli
Buluta taşınmak güvenlik sorumluluğunu sağlayıcıya devretmez. Paylaşılan sorumluluk modeli nerede biter, sizin işiniz nerede başlar ve en sık hangi hata yapılır?
Sitemiz neden yavaş? Core Web Vitals, INP ve gerçek kullanıcı verisi
Core Web Vitals gerçek kullanıcı verisiyle ölçülür, Lighthouse puanıyla değil. LCP, INP ve CLS eşikleri, sitelerin nerede takıldığı ve düzeltmenin pratik sırası.
Eski sistemin verisi yeni sisteme nasıl taşınır? Eşleme, prova, mutabakat ve geçiş günü
Veri taşıma bir kopyalama işi değil. Asıl risk verinin kaybolması değil, sessizce yanlış gelmesi: profilleme, eşleme, prova, mutabakat ve geçiş planı.
Uygulama veri büyüdükçe neden yavaşlıyor? Veritabanı darboğazları, indeks ve sorgu planı
Yavaşlamanın sebebi genelde sunucu değil, veri büyüdükçe maliyeti artan sorgular. Eksik indeks, N+1, OFFSET sayfalama ve bağlantı havuzu sorunlarını ölçerek bulma rehberi.
Rapor bir saat kayık: tarih, saat dilimi ve yaz saati nasıl doğru saklanır?
Olmuş bir olayı UTC, gelecekteki randevuyu yerel saat ve IANA kimliğiyle saklayın. Veritabanı tipleri, yaz saati geçişleri, 2038 sınırı ve gün sınırı.
DDoS saldırısı nedir ve şirketinizi nasıl korursunuz?
DDoS saldırısı siteyi sahte trafikle boğar. 2025'te rekor 31,4 Tbps'ye çıktı, çoğu saldırı saniyeler sürüyor. Nasıl çalışır ve şirketinizi nasıl korursunuz?
Kubernetes'e gerçekten ihtiyacımız var mı? Tek sunucu, yönetilen konteyner ve sunucusuz arasında karar
Kubernetes bir olgunluk seviyesi değil, belirli bir problemin çözümü. Kontrol düzlemi ücreti, yükseltme takvimi, sunucusuzun biçim sınırları ve karar tablosu.
EDR nedir, antivirüs artık yetmiyor mu? Uç nokta güvenliğinde yeni dönem
Antivirüs bilinen zararlıyı imzayla yakalar, ama 2024'te tespitlerin %79'u zararlı dosya içermiyordu. EDR neyi farklı yapar ve şirketinizin neden ihtiyacı var?
Şirketiniz adına sahte e-posta gönderiliyor mu? SPF, DKIM ve DMARC ile alan adınızı koruyun
Biri sizin alan adınız adına sahte e-posta gönderebilir. SPF, DKIM ve DMARC bunu nasıl durdurur, üç kaydı hangi sırayla kurmalısınız? Adım adım anlatıyoruz.
Desteği biten yazılım neden risk? Windows 10 sonrası ne yapmalı?
Desteği biten yazılımda açık bulunmaya devam eder ama yaması çıkmaz. Windows 10, Exchange ve SQL Server 2016 sonrası envanter, ESU maliyeti ve geçiş planı.
Sipariş iki kez düştü, stok tutmuyor: entegrasyonlarda veri senkronizasyonu neden bozulur?
Sipariş iki kez düşüyor, stok tutmuyor. Sorun genelde kodda değil teslimat garantisinde. Idempotency anahtarı, outbox deseni ve mutabakat işiyle kalıcı çözüm.
Yeni özelliği herkese aynı anda mı açmalı? Özellik bayrakları ve kademeli yayın
Kodu yayına almak ile özelliği kullanıcıya açmak ayrı iki olaydır. Kademeli yayın, acil kapatma anahtarı ve biriken bayrak borcunu temizlemenin pratik yolu.
Sabit fiyat mı, zaman-malzeme mi? Yazılım sözleşmesinde riski kim taşıyor?
Sabit fiyat riski tedarikçiye devretmez, fiyata ya da kaliteye gömer. Belirsizliğe göre seçim, tavanlı ve hedef fiyatlı ara yollar, sözleşme maddeleri.
API anahtarını koda gömmek neden tehlikeli? Sır (secret) yönetimi rehberi
API anahtarını, parolayı ya da token'ı doğrudan koda yazmak sızıntıyı kaçınılmaz kılar. 2025'te herkese açık GitHub'da 29 milyon sır ifşa oldu. Peki nasıl önlenir?
HTTPS ve SSL/TLS sertifikaları: sertifika ömrü neden 47 güne iniyor?
HTTPS trafiğinizi şifreler ve sunucunuzun kimliğini doğrular. Sertifika ömürleri 2029'da 47 güne iniyor; manuel yenileme dönemi kapanıyor. İşte bilmeniz gerekenler.
Siber saldırıyı fark ettiniz: ilk 24 saatte ne yapmalısınız?
Bir saldırıyı fark ettikten sonraki ilk gün hasarın boyutunu belirler. Kanıtı yok etmeden nasıl izole edersiniz, kimi ararsınız, KVKK saati ne zaman başlar?
ISO 27001 belgesi ne işe yarar, KOBİ'ye gerçekten gerekli mi?
ISO 27001 belgesi şirketinizin güvenli olduğunu değil, tanımlı bir kapsamda yönetim sistemi işlettiğinizi kanıtlar. 93 kontrol, denetim süreci ve gerçek maliyet.
Eski yazılımı sıfırdan yazmak mı, kademeli yenilemek mi?
Sıfırdan yazmak nadiren en ucuz yoldur. Sistemi dilim dilim değiştirme, ilk dilimi seçme, veri göçü ve geri dönüş penceresi için pratik bir yol haritası.
Kampanya günü site çöktü: yük testi ve kapasite planlaması nasıl yapılır?
Beklenen zirveyi istek/saniyeye çevirin, açık modelle test edin, kırılma noktasını bulun. Test türleri, gerçekçi senaryo, kuyruk teorisi ve kampanya planı.
Log tutuyorsunuz, ama kimse bakıyor mu? SIEM, MDR ve 7/24 izleme
Kayıt toplamak tespit değildir. Hangi loglar gerçekten gerekli, 90 günlük saklama süresi neden yetmiyor ve 7/24 izlemeyi kendiniz mi kurmalısınız, MDR mi?
Mikroservise geçmeli miyiz? Monolit, modüler monolit ve doğru karar
Mikroservis bir kod kalitesi değil dağıtım bağımsızlığı çözümüdür. Modüler monolit, dağıtık monolit tuzağı ve geçişi yapıp geri dönen ekiplerin ölçtüğü sonuçlar.
Çok faktörlü kimlik doğrulama (MFA): hangi ikinci adım gerçekten güvenli?
MFA otomatik hesap saldırılarının %99'undan fazlasını durdurur, ama her yöntem eşit güvenli değil. SMS neden en zayıf halka, hangi ikinci adım oltalamaya dayanıklı?
Her müşteriye ayrı kurulum mu, tek uygulama mı? Çok kiracılı (multi-tenant) SaaS mimarisi ve veri izolasyonu
Az müşteri ve sıkı izolasyon isteniyorsa ayrı kurulum, çok müşteri varsa paylaşımlı mimari. Karar ölçütleri, RLS tuzakları, gürültülü komşu ve maliyet.
Çok dilli site nasıl kurulur? URL yapısı, hreflang ve çeviriden sonra kalan iş
Çok dilli site üç ayrı iştir: adresleme, hreflang eşlemesi ve yerelleştirme. Alt dizin mi ccTLD mi, x-default nasıl yazılır, Türkçe'nin noktasız ı tuzağı.
MVP kapsamı nasıl belirlenir? İlk sürüme hangi özellikler girer, hangileri bekler
İlk sürümü küçültmenin pratik yöntemi: dikey dilim mantığı, sabit zaman değişken kapsam, gerçek kullanım verisi ve MVP'de asla kesilmemesi gereken dört başlık.
Mobil uygulama native mi, cross-platform mı yazılmalı? Karar ölçütleri ve gerçek maliyetler
Native, React Native, Flutter, Kotlin Multiplatform ve PWA arasındaki seçim. Shopify ile Airbnb'nin ölçtüğü sonuçlar, sürüm yükseltme vergisi ve karar ölçütleri.
Arıza haberini müşteriden alıyorsanız: izlenebilirlik, SLO ve hata bütçesi
Panolar yeşilken müşteri arıyorsa sorun araçta değil ölçtüğünüz şeyde. SLI seçimi, gerçekçi SLO, hata bütçesi ve yakma hızına bağlı uyarılarla kurulum.
OWASP Top 10 2025: web uygulamanızı en çok tehdit eden 10 güvenlik açığı
OWASP dört yıl aradan sonra Top 10 listesini güncelledi. 2025'te en tehlikeli risk ne, listede neler değişti ve şirketiniz bu listeyi pratikte nasıl kullanır?
Passkey nedir, parolaların yerini gerçekten alıyor mu? İşletmeler için passwordless rehberi
Passkey, parolayı cihazınızdaki kriptografik bir anahtarla değiştirir. Nasıl çalışır, neden oltalamaya dayanıklı ve işletmenizde nereden başlamalısınız?
Yama yönetimi: güvenlik güncellemelerini ertelemek şirketinizi nasıl riske atıyor?
Saldırganların bir numaralı giriş yolu çalınan parola değil, yamalanmamış açıklar. WannaCry'ın yaması saldırıdan iki ay önce çıkmıştı. Hangi açığı önce kapatmalı?
Para çekildi ama sipariş oluşmadı: ödeme entegrasyonunun asıl zor kısımları
Kartı çekmek yarım günlük iş. Tarayıcının geri dönüşüne güvenmek, idempotency koymamak ve günlük mutabakat yapmamak: paranın kayıtlarla ayrışma sebepleri.
KOBİ'ler için oltalama saldırılarına karşı korunma rehberi
Oltalama saldırıları KOBİ'leri neden bu kadar sık vuruyor ve şirketinizi düşük maliyetle korumak için hangi adımları bugün atabilirsiniz?
Fidye yazılımı (ransomware) saldırısı: şirketiniz nasıl korunur, fidye ödenmeli mi?
Fidye yazılımı artık yalnızca dosyaları şifrelemiyor, verinizi de çalıyor. Saldırı nasıl işler, şirketiniz nasıl korunur ve fidye gerçekten ödenmeli mi?
Her rapor başka sayı veriyor: metrik tanımı, kayıt kaynağı ve raporlama katmanı
E-ticaret 1.284 sipariş diyor, ERP 1.301. Fark genelde veri kaybı değil: metrik tanımı, tarih alanı, saat dilimi ve geç gelen veri. Farkı nasıl kapatırsınız?
Çalışanlarınız ChatGPT'ye şirket verisi giriyor: Shadow AI riskini nasıl yönetirsiniz?
Çalışanlar ChatGPT gibi araçlara şirket verisi giriyor. Shadow AI riski neden bu kadar yaygın ve KVKK'ya uygun bir kullanım politikasını nasıl kurarsınız?
Kullanıcı aradığını bulamıyor: site içi arama neden kötü çalışır?
Sorgular boş dönüyor, sonuçlar alakasız. Arama günlüğünden başlamak, Postgres tam metin aramanın yettiği yer, yazım hatası toleransı ve Türkçe'nin üç tuzağı.
Bu iş ne zaman biter? Yazılımda tahmin, olasılıklı öngörü ve savunulabilir teslim tarihi
Tarih kayıyorsa sorun genelde ekibin hızı değil, tek sayılı tahmin. Akış metrikleri, Monte Carlo öngörüsü, persentil dili ve kapsam büyümesini ölçmek.
Yazılım teslim edildi, bakımını kim yapacak? Destek sözleşmesinde olması gereken maddeler
Hata mı, değişiklik talebi mi? Yanıt süresi ile çözüm süresi, yama sorumluluğu, saat havuzu ve çıkış maddesi: destek sözleşmesini pazarlıktan çıkaran başlıklar.
Yazılım tedarik zinciri güvenliği: bağımlılıklar şirketinizi nasıl riske atar?
Kullandığınız her açık kaynak kütüphane sisteminize açılan bir kapıdır. Yazılım tedarik zinciri saldırıları nasıl işler ve şirketinizi nasıl korursunuz?
Yazılımın kaynak kodu kime ait? Sözleşme, hak devri ve kaynak kod emaneti
Kodu yazan taraf eser sahibidir. FSEK 52'ye göre mali hak devri yazılı olmalı ve haklar tek tek sayılmalı. Sözleşme, teslim listesi ve escrow için pratik rehber.
Bu süreci Excel'de yönetiyoruz: ne zaman yazılıma geçmeli?
Karar, tablonun büyüklüğüyle değil sürecin doğrulama, eşzamanlı erişim ve iz kaydı ihtiyacıyla verilir. Geçiş vaktini gösteren beş somut sinyal ve ilk adım.
Teknik borç nedir, ne zaman ödenir? Ölçme, önceliklendirme ve bütçeleme
Teknik borç kötü kod değil, ertelenmiş tasarım kararının faizi. Ölçme, sıcak noktalarla önceliklendirme ve dokunulacak yerde ödeme üzerine pratik bir rehber.
Ne kadar test yeter? Test piramidi, kapsama oranı ve kararsız testler
Doğru soru kaç test yazdığınız değil, testlerin nasıl dağıldığı. Test piramidi, kapsama oranının neden hedef olmaması gerektiği ve kararsız testlerle başa çıkma.
Test ortamında gerçek müşteri verisi kullanılır mı? Maskeleme, alt küme ve sentetik veri
Canlı veritabanını test ortamına kopyalamak en kolay yol ama en pahalısı. Maskeleme, alt küme alma ve sentetik veriyle gerçekçi test verisi nasıl kurulur?
Yazılım firması “bitti” dedi: kabul testi nasıl yapılır, neye imza atarsınız?
Kabul, demo izlemek değil ölçüte bakmaktır. Kabul ölçütü, UAT senaryosu, hata sınıflandırması, TBK'nın gözden geçirme külfeti ve devreye alma kontrol listesi.
Zafiyet taraması ile sızma testi arasındaki fark nedir?
Tarayıcı bilinen açıkları listeler, sızma testi o açıklarla nereye kadar gidilebildiğini kanıtlar. PCI DSS ve BDDK bu ikisini neden ayrı maddelerde istiyor?
Web sitemiz erişilebilir mi? WCAG 2.2 A seviyesi, tarihler ve pratik uyum planı
2025/10 sayılı genelge erişilebilirliğe tarih koydu, e-ticarette süre 21 Haziran 2027. A seviyesi ne istiyor, nasıl test edilir, işe nereden başlanır?
Aynı işe gelen teklifler neden kat kat farklı? Yazılım şartnamesi nasıl yazılır
Belirsiz gereksinim kendi fiyatını yazar. Doğrulanabilir cümle kurmak, gereksinim kokuları, ölçülebilir kalite hedefi, kabul ölçütü ve kapsam dışı listesi.
Yayına çıkarken site neden kapanıyor? Sıfır kesintili dağıtım ve şema değişikliği
Dağıtım kesintisi üç yerden gelir: şema kilidi, aynı anda çalışan uyumsuz iki sürüm ve yanlış trafik yönlendirme. Üçünü de çözen pratik yöntemler ve ayarlar.
İçgörülerden haberdar olun
Ayda bir, sadece değer katan içerikler. Spam yok, istediğiniz zaman çıkın.