kolaytercih/docs/ekip-raporlari/2026-09-22/07-guvenlik-denetimi.md

07 — Güvenlik ve uyum denetimi: üç merge adayı dal + çalışma ağacı

Denetleyen: guvenlik-uyum · 22 Eyl 2026 · main = e21cda4 Kapsam: funnel/arti-olu-ucu (22c139a), funnel/listem-girisi (cb22faf, 7dc47ee, 419b617), olcum/liste-uretim-basladi (f60fbd1, e6fbc62) ve commit'lenmemiş src/features/rapor/components/liste-uretici.tsx. Kod değiştirilmedi, commit atılmadı, canlıya dokunulmadı.

Özet (5 madde)

1. Kritik bulgu yok. Üç dalın hiçbiri yetkilendirme, ödeme bütünlüğü ya da açık yönlendirme açığı açmıyor. Üçü de — aşağıdaki düzeltmelerle — merge edilebilir.
2. P4 açık yönlendirme iddiası doğrulandı: açık yok. giris-karti.tsx:18-19 kalkanı //evil.com, /\evil.com, mutlak URL ve javascript:'i düşürüyor; better-auth 1.6.23 ayrıca hem POST hem magic-link GET yolunda kendi göreli-yol kalkanını koşuyor. Ama aynı kalkan /rehber/ösym gibi ASCII dışı ya da yüzde-kodlu her yolu better-auth'a 403 olarak gönderiyor → GirisLinki bu yolda girişi tamamen kırıyor (yeni regresyon, orta).
3. P3 rıza iddiası doğrulandı ama yarım. Ödeme anındaki buton gerçekten "Yapay Zeka listemi kur (3 kredi)" diyor (tercih-profili-kapisi.tsx:462) ve raporVar/bekleyen.eslesir korumaları tutuyor; çift üretim yolu açılmıyor. Kırık olan girişteki vaat: ＋ toast'ı ve çekmece paneli hâlâ yalnız "sıralamanı gir → riskini gösterelim" diyor, oysa akış artık 3 kredilik bir satın almayla bitiyor (orta).
4. P2'de allowlist iki yerde delik. (a) kaynak ham hâliyle URL'de kaldığı için Rybbit'in trackUrlParams açık pageview'ına allowlist'ten bağımsız giriyor (/listem maskesiz); (b) otomatik üretim yolu her zaman giris_donusu etiketi atıyor, oysa o yol tam olarak giriş dönüşü olmayan yol — hero/arama/＋/ödeme-sonrası hepsi bu tek yanlış etikete düşüyor, yani P2'nin ölçmek istediği şey ölçülmüyor (orta, ölçüm doğruluğu).
5. Çalışma ağacındaki "kredin yeniden harcanmaz" iddiası DOĞRU. SunucuYokEkrani yalnızca listeOlustur ok:true döndükten sonra görünür; o noktada reports satırı yazılmış ve kredi spendCredits ile bir kez düşmüştür, "Listemi aç" ?uret=1 taşımadığı için ikinci üretim başlatmaz. /api/saglik sabit gövdeli, DB'ye/oturuma dokunmuyor — bilgi sızdırmıyor, rate limit gerektirmiyor (zaten main'de, d41120c).

---

Bulgu tablosu

#	Dosya:satır	Sorun	Somut istismar / ihlal senaryosu	Önem	Düzeltme	Kesinlik
G1	src/features/kullanici/components/giris-linki.tsx:25-30 (+ giris-karti.tsx:18-19)	Callback'e konan usePathname() değeri ASCII dışı ya da % içerebiliyor; better-auth'un göreli-yol regex'i [\w\-.+/@] dışına çıkan her şeyi 403 INVALID_CALLBACK_URL ile reddediyor. Site içi kalkan geçiyor, auth katmanı geçmiyor.	Ziyaretçi /{herhangi}/ösym-nedir ya da /bolum/t%C4%B1p gibi bir adrese geliyor (yanlış/dış link, soft-404 sayfası da navbar'ı render ediyor — bkz. BACKLOG #5). Navbar'daki "Giriş yap" /giris?callback=%2Fbolum%2Ft%25C4%25B1p üretiyor; kullanıcı e-posta ya da Google'a basıyor, better-auth 403 dönüyor, giris-form.tsx:99-103 "Bağlantı gönderilemedi" diyor. Kullanıcı o sayfadan hiç giriş yapamıyor, tekrar denemek de çözmüyor. main'de callback hep / olduğu için bu yol yoktu.	orta	giris-linki.tsx'te href kurmadan önce yolu süz: /^\/[\w\-./+@]*$/.test(pathname) değilse sade /giris. (Alternatif: giris-karti.tsx kalkanını aynı beyaz listeye daraltmak — iki yer yerine tek yer.)	DOĞRULANDI (better-auth 1.6.23 auth/trusted-origins.mjs regex'i lokalde payload setiyle koşturuldu; /rehber/ösym, /rehber/%C3%B6sym → false)
G2	src/features/liste/components/program-ekle-butonu.tsx:73,77,84 · liste-cekmecesi.tsx:279,283,296	Kapının girişindeki vaat ile çıkışındaki bedel uyuşmuyor. Toast: "Sıralamanı girersen bu programın risk seviyesini de gösteririz" + buton "Sıralamamı gir". Çekmece: "Sıralamanı girince her seçimin riskini gösteririz" + "Sıralamamı gir". Dal bu iki kapıyı hedef="sihirbaz"e çevirdiği için akışın sonu artık ücretsiz risk rozeti değil, 3 kredilik LLM üretimi.	17 yaşındaki kullanıcı katalogda ＋ ile program ekliyor, "Sıralamamı gir"e basıyor (beklenti: rozet). Sıra + 3 sihirbaz adımını dolduruyor, son butonda "(3 kredi)" ilk kez görünüyor; basınca /sonuc?sihirbaz=1 → otomatik /listem?uret=1 → 5 deneme kredisinin 3'ü yanıyor, kullanıcı baktığı katalog sayfasından koparılıyor. "Vazgeç" derse profil hiç kaydedilmediği için istediği risk rozetini de alamıyor.	orta	İki seçenek: (a) toast/çekmece metnini akışın gerçek sonucuna eşitle ("…sıralamanı girip birkaç seçim yaparsan 24'lük listeni de 3 krediyle kurarız") — metin [BİLAL]; ya da (b) bu iki yüzeyi hedef=null bırakıp AI'yı ayrı, adı konmuş bir CTA'ya taşı. Kod tarafı [KARAR], cümle [BİLAL].	DOĞRULANDI (koddan; buton etiketi zinciri tercih-profili-kapisi.tsx:456-466 ile eşleştirildi)
G3	src/features/sihirbaz/components/sihirbaz-cagri-karti.tsx:225 (olcum dalı)	Otomatik üretim kaynak="giris_donusu" atıyor. Oysa ?sihirbaz=1 üreten hiçbir yer giriş dönüşü değil: hero-form.tsx:104, cta-sira-form.tsx:172, use-tercih-profili.ts:331 (＋ kapısı ve boş durum), rapor-yok-cta.tsx:24, arama-funnel-karti.tsx:94. Gerçek giriş dönüşü /giris?callback=/listem?uret=1&kaynak=hazir_cta|sihirbaz ile doğrudan /listem'e iner, /sonuc'a uğramaz.	Saldırı değil, ölçüm ihlali: P2'nin tek amacı "üretimi hangi yüzey başlattı" sorusu. Merge edilirse hero (ana huni), katalog araması, ＋ kapısı ve ödeme-sonrası CTA'sının hepsi tek bir giris_donusu kovasında toplanıyor; sihirbaz ve hazir_cta değerleri ise yalnız giriş dönüşünde düşüyor. Etiketler fiilen ters.	orta	?sihirbaz=1'i üreten taraf kaynağını URL'de taşısın (sonucHref({sihirbaz:"1", kaynak:"hero"|"arama"|"arti"|"bos_durum"|"odeme_sonrasi"})), otomatikGonder onu geçirsin; IZINLI_KAYNAKLAR'a hero, arama, arti eklensin. giris_donusu yalnız /giris callback'inden gelen yolda kalsın.	DOĞRULANDI (koddan; ?sihirbaz=1 üreticilerinin tamamı grep'lendi)
G4	src/features/rapor/components/uretim-basladi-olayi.tsx:25-32,54 · src/app/layout.tsx:118	Allowlist yalnız özel olay özelliğini koruyor. kaynak ham hâliyle adres çubuğunda kalıyor ve Rybbit trackUrlParams: true ile çalışıyor (docs/gece-vardiyasi/2026-09-21/01-analitik-bulgular.md:181); data-mask-patterns yalnız /sonuc ve /odeme/sonuc'u kapsıyor, /listem kapsam dışı.	Ücretsiz hesap açan biri /listem?uret=1&kaynak=<istediği 200 karakter> ile geziniyor. liste_uretim_basladi.kaynak doğru şekilde bilinmiyora düşüyor ama aynı isteğin pageview'ı querystring'i olduğu gibi Rybbit'e yazıyor: panelde keyfi metin + /listem için kardinalite şişmesi. Giriş round-trip'i üzerinden de taşınabiliyor (listem-icerik.tsx:51-53 → better-auth query karakter seti % ve &'a izin veriyor, yani %3Cscript%3E geçiyor; </> ham hâli 403'e takılıyor).	düşük	/listem'i data-mask-patterns'a ekle ya da listem/page.tsx'te kaynakı ListemIcerik'e vermeden önce allowlist'ten geçir (tek doğrulama noktası, hem URL hem olay için). İkincisi G3 düzeltmesiyle aynı yere düşüyor.	OLASI (trackUrlParams: true ekip raporundan alındı; canlı Rybbit'e sorgu atılmadı)
G5	src/features/rapor/rapor-actions.ts:118-124 + liste-uretici.tsx:104,120-126	Eşzamanlı ikinci üretim kilidi yok: iki paralel ListeUretici mount'u iki ayrı requestId üretir, spendCredits ikisini de geçirir → 6 kredi, 2 LLM çağrısı, tek rapor.	Üretim sürerken (20–60 sn) kullanıcı geri→ileri basıyor ya da /listem?uret=1'i ikinci sekmede açıyor: raporVar hâlâ false olduğu için listem-icerik.tsx:73 ikinci kez ListeUretici render ediyor. Not: bu main'de de var; funnel/arti-olu-ucu yalnızca bu URL'e varan yolu bir tık kısaltarak maruziyeti artırıyor.	yüksek (mevcut, dalların doğurduğu değil)	BACKLOG #1 ("dalda") ile aynı iş: SURUYOR kodu + kullanıcı başına üretim kilidi. P3/P4'ün merge'i bunu beklemek zorunda değil, ama aynı yayında çıkmalı.	DOĞRULANDI (koddan; BACKLOG #1 ile örtüşüyor)
G6	src/features/rapor/components/listem-bos-cta.tsx:35-36 (listem-girisi) · src/features/odeme/components/paket-satinal.tsx:157 (olcum) · rapor-yok-cta.tsx:24-27 · sihirbaz-cagri-karti.tsx:199-201,333	Bedeli hiç yazmayan tek tık → 3 kredi yolları. "Yapay Zeka listeni kur", "listeni oluştur", "24'lük listeni oluştur", /sonuc'un büyük "Yapay Zeka listemi kur" butonu (kayıtlı eşleşen seçim varsa modal hiç açılmaz, ilerle() doğrudan koşar).	rapor-yok-cta.tsx:31 ayrıca yanlış söylüyor: "sonuç sayfasındaki sihirbazla listeni kur" — oysa sihirbaz açılmıyor, otomatikGonder üretimi anında başlatıyor. Ödemesini yeni yapmış kullanıcı için zarar düşük (60 kredi), ama deneme kredisiyle gezen öğrenci /listem boş durumundan tek tıkla 3 kredisini yakıyor.	düşük	Bu dört yüzeyin etiketine "(3 kredi)" ekle — kanonik metin zaten tercih-profili-kapisi.tsx:462'de var. rapor-yok-cta.tsx:31'in yanlış cümlesi düzeltilsin. Metin [BİLAL].	DOĞRULANDI (koddan)
G7	src/features/rapor/components/liste-uretici.tsx:56-72,159 (çalışma ağacı)	Sağlık yoklaması artık mutlu yolda ve fail-closed: fetch("/api/saglik") herhangi bir nedenle başarısız olursa (kurumsal proxy, 5 sn'yi aşan yavaş mobil bağlantı, geçici 503) liste gerçekten hazırken kullanıcıya "sunucuya ulaşamıyoruz" ekranı gösteriliyor.	Zarar sınırlı: liste DB'de, kredi tek düşmüş, "Listemi aç" ikinci yoklamada geçince listeye götürüyor. Yani para riski yok, yanlış alarm riski var. SAGLIK_YOKLAMA_MS = 5000 yavaş 3G'de gerçek bir eşik.	düşük	Bulunduğu hâliyle kabul edilebilir. İstenirse: yoklama bir kez başarısız olunca 1 kez daha denensin (toplam ~2 sn ek), ya da eşik 8 sn'ye çıksın.	DOĞRULANDI (koddan; ağ koşulu simüle edilmedi)
G8	package.json → next@16.2.10	pnpm audit --prod: 2 kritik + 12 yüksek. Ulaşılabilirlik denetlendi — 2 kritik ulaşılamıyor: AVIF RCE için images.remotePatterns gerekiyor, next.config.ts'te tanımlı değil (optimizer yalnız yerel dosya); Windows RCE'nin karşılığı yok (Linux/Docker). Ulaşılabilir olan: "DoS in App Router using Server Actions" — bu uygulama server action ağırlıklı (listeOlustur, odeme-actions).	Kimliksiz saldırgan server action uçlarına biçimsiz yük göndererek süreci tüketebiliyor (advisory GHSA detayına bakılmalı). Dallarla ilgisi yok, mevcut durum.	orta	next 16.2.10 → 16.2.11 (yama sürümü, 9 advisory kapanıyor; 2 kritik için 16.3.3 gerekiyor ama minor atlama ayrı bir iş).	DOĞRULANDI (pnpm audit --prod, salt okuma)

Bulunamadı (arandı, yok)

• Açık yönlendirme: //evil.com, /\evil.com, /%2fevil.com, /%5cevil.com, %2f%2f…, https://evil.com, javascript: payload'larının hiçbiri giris-karti.tsx:18-19 kalkanından geçip dış hedefe çıkmıyor; /%2f… kalkanı geçiyor ama tarayıcı %2f'i yolda çözmediği için aynı köken içinde 404 oluyor ve better-auth zaten reddediyor. dogrula-karti.tsx:9-11'in kalkanı zayıf (/\evil.com'u geçiriyor) ama better-auth magic-link/verify ucunda originCheck ile (?!\/|\\|%2f|%5c) uyguluyor → sömürülebilir değil. Yine de iki kalkanın farklı olması ileride kırılgan; birleştirilmesi önerilir (düşük, mevcut).
• Çift üretim / çifte kredi (dalların açtığı): yok. Otoritatif koruma sunucuda: listem-icerik.tsx:52,54 raporu her istekte taze okuyor, rapor varsa ListeUretici hiç render edilmiyor. /sonuc'taki raporVar bayatlasa bile sonucu değiştirmiyor. Geri tuşu yolu kapalı (otomatikGonder router.replace kullanıyor, ListeUretici başarıda router.replace("/listem")).
• Kredi iadesi gereken yeni dal: yok. Üretim hatasında iade rapor-actions.ts:163-170'te duruyor; dallar bu yolu değiştirmiyor. SunucuYokEkrani iade gerektirmiyor (rapor yazılmış).
• /api/saglik bilgi sızıntısı: yok. Gövde sabit {ok:true}, sürüm/uptime/DB durumu yok, Cache-Control: no-store. Kimliksiz erişim sorun değil (Docker HEALTHCHECK zaten kullanıyor); rate limit gerektirmiyor — istek başına DB/AI maliyeti sıfır.
• ?kaynak= üzerinden LLM prompt enjeksiyonu / SQL: yok. kaynak yalnız analitik etiketi ve URL olarak dolaşıyor; raporUret(params)'a giren tek şey sihirbazDogrula'dan geçmiş seçimler ve siraTurGecerli'den geçmiş sayı (rapor-actions.ts:99-110).
• Yeni yetkilendirme açığı: yok. Üç dal da yeni route/action eklemiyor; kullanicininRaporu(session.user.id) ve spendCredits({userId: user.id}) sahiplik kapsamını koruyor. Id tahminiyle başkasının raporuna erişilen yeni yüzey yok.
• İstemci paketine sızan sır: yok. Dalların dokunduğu dosyalarda process.env okuması yok; RYBBIT_API_KEY yalnız analitik-sunucu.ts'te ve dosya server-only.

---

Metin × kod uyumsuzlukları

1. gizlilik/page.tsx:97-98 — "Yalnızca oturumunu açık tutmak için zorunlu çerezler kullanılır." Kod ayrıca PROFIL_CEREZ_ADI çerezini yazıyor: max-age=31536000 (1 yıl), içeriği öğrencinin başarı sıralaması + puan türü + ilgi alanları + iller (sihirbaz-profil.ts:51-57). Reklam/izleme çerezi değil, işlevsel — ama "yalnızca oturum" ifadesi yanlış ve süresi bir yıl. KVKK aydınlatma yükümlülüğü açısından metin genişletilmeli: hangi çerez, ne tutuyor, ne kadar duruyor. Taslak cümle önerisi ([BİLAL], avukat teyidi gerekir): "Oturum çerezinin yanında, girdiğin başarı sıralamasını ve tercih seçimlerini cihazında saklayan işlevsel bir çerez kullanılır (1 yıl); bunu tarayıcı ayarlarından silebilirsin." — Mevcut, dalların doğurduğu değil.
2. rapor-yok-cta.tsx:31 — "sonuç sayfasındaki sihirbazla listeni kur." Kod sihirbazı açmıyor; /sonuc?sihirbaz=1 otomatikGonder'i tetikleyip üretimi doğrudan başlatıyor (sihirbaz-cagri-karti.tsx:218-228). Yanlış vaat + bedel bildirilmeden harcama. Bkz. G6.
3. program-ekle-butonu.tsx:73 / liste-cekmecesi.tsx:283 — bkz. G2: "riskini gösteririz" vaadi 3 kredilik üretimle bitiyor.
4. Uyum — 18 yaş altı: bu üç dal yeni bir veri toplama noktası açmıyor, ama P3 ile ücretli aksiyona ulaşan tık sayısı azalıyor. Mesafeli satış/cayma hakkı metinlerinde değişiklik gerekmiyor (kredi harcaması satın alma değil, satın alınmış kredinin kullanımı) — yine de G2'nin çözümü bedel şeffaflığının tek gerçek koruması.

KVKK — yeni kişisel veri akışı

• Üç dalın doğurduğu yeni akış: yok. kaynak kişisel veri değil; liste_uretim_basladi özellikleri (kaynak, paketli, profil: var|yok) kişisel veri taşımıyor ve src/lib/analitik.ts:10-11 ham sıralama kuralına uyuyor — sıralama hiçbir yeni yerde gönderilmiyor. GirisLinki bilinçli olarak yalnız pathname taşıyor, query taşımıyor (doğru tercih).
• Mevcut, dikkat çekmek istediğim iki akış (dalların dışı):
  • liste-giris-url.ts:15-17 pathname + query'yi callback'e koyuyor. Eski tip /sonuc?sira=123456&tur=say adresinde bu, öğrencinin ham başarı sıralamasını /giris?callback=… üzerinden better-auth'a, oradan magic-link doğrulama URL'ine ve Resend ile gönderilen e-postanın gövdesine taşıyor (auth.ts:19-24 hedef.search = kaynak.search). Gizlilik metninin "ham sıralama analitiğe gönderilmez" sözü analitik için doğru, ama e-posta sağlayıcısı için böyle bir söz yok ve akış var. orta, mevcut.
  • rybbit-identify.tsx:29-30 e-posta adresini ve adı Rybbit trait'i olarak gönderiyor. Gizlilik metni bunu açıkça yazıyor (gizlilik/page.tsx:102-105) ve Rybbit kendi sunucumuzda → uyumlu, aksiyon gerekmiyor.

---

Dal dal merge hükmü

Dal	Hüküm	Koşul
olcum/liste-uretim-basladi (P2)	Şu düzeltmeden sonra merge edilebilir	G3 zorunlu (giris_donusu etiketi yanlış — düzeltilmezse dalın tek amacı olan ölçüm yanlış veri üretir, üstelik seri kırılması yaratır). G4 önerilir (aynı düzeltmeyle tek noktada çözülüyor: kaynakı listem/page.tsx'te allowlist'ten geçirip ListemIcerik'e temiz ver). Güvenlik açısından merge engeli yok.
funnel/arti-olu-ucu (P3)	Şu düzeltmeden sonra merge edilebilir	G2: ＋ toast'ı ve çekmece panelinin metni akışın gerçek sonucuna eşitlenmeli (cümle [BİLAL]). Kod olduğu gibi kalabilir — rıza anı ((3 kredi) butonu) ve raporVar/eslesir korumaları sağlam, çifte harcama yolu açmıyor. Metin düzeltilmeden merge edilirse 17–19 yaş kullanıcıya yanlış vaatle kredi harcatmış oluruz.
funnel/listem-girisi (P4)	Şu düzeltmeden sonra merge edilebilir	G1 zorunlu: giris-linki.tsx'e yol beyaz listesi eklenmeli, yoksa ASCII dışı/yüzde-kodlu adreslerde giriş tamamen kırılıyor (açık yönlendirme değil ama daha kötü: kullanıcı kaybı). Navbar /listem linki ve boş durum CTA'sı güvenlik açısından temiz. Sıra notu: listem-bos-cta.tsx:35 kaynak=bos_durum kullanıyor, bu değer olcum dalında tanımlı — CEO'nun "P2 önce merge edilir" kararı korunmalı (aksi hâlde zararsız ama ölçülmeyen bir parametre kalır).
Çalışma ağacı — liste-uretici.tsx	Merge edilebilir (düzeltme koşulu yok)	"Listen oluşturuldu ve hesabına kaydedildi — kredin yeniden harcanmaz" iddiası doğrulandı. G7 (fail-closed yanlış alarm) isteğe bağlı iyileştirme.

---

Bilal'den istenen

1. G2'nin cümlesi — ＋ toast'ı ve çekmece panelindeki "sıralamanı gir → riskini gösterelim" metni, akış 3 kredilik listeyle bittiği için değişmeli; yeni cümleyi sen yazmalısın (~10 dk).
2. next 16.2.10 → 16.2.11 yama yükseltmesi onayı — 9 advisory kapanıyor, biri gerçekten ulaşılabilir (server action DoS); yama sürümü olduğu için build riski düşük (~20 dk, build dahil).
3. Gizlilik metnindeki çerez cümlesi — "yalnızca oturum çerezi" ifadesi 1 yıllık tercih profili çerezini kapsamıyor; önerdiğim taslak cümle için avukat teyidi gerekir (~5 dk karar, teyit ayrı).