Yapay zekâyla yaptığınız uygulamayı yayına almadan önce 6 güvenlik kontrolü
- Okuma süresi: 3 dk
- Kod bilgisi gerekmez
Yapay zekâya tarif ederek uygulama ya da site yapmak (vibe coding) artık birkaç saat sürebiliyor. Ama herkese açmadan önce yapmanız gereken 6 güvenlik kontrolü var ve hepsini sırayla öğreneceksiniz.
Aklınıza bir soru mu takıldı?
Çalışıyor olması, güvenli olduğunu göstermez
Yapay zekâ çalışan kodu hızlı yazar; ama bir uygulamanın açılıp çalışması, verilerin korunduğu anlamına gelmez. Web güvenliğinde yol gösterici kabul edilen OWASP, en kritik riskleri sıraladığı Top 10:2025 listesinde ilk iki sıraya erişim kontrolü hatalarını ve yanlış yapılandırmayı koydu. Aşağıdaki kontrollerin çoğu bu listedeki risklere dayanıyor.
6 güvenlik kontrolü
- Gizli anahtarlar kodda durmasın. API anahtarı ya da veritabanı şifresi kodun içine, hele tarayıcıda çalışan dosyalara yazılmaz. Bunlar ortam değişkenlerinde (environment variables) ya da barındırma hizmetinizin gizli değerler bölümünde durur. GitHub’ın gönderim koruması (push protection) kişisel hesaplarda varsayılan olarak açıktır ve gizli bilgi içeren gönderimleri herkese açık depolara ulaşmadan durdurur; yine de tek güvenceniz bu olmasın.
- Herkes yalnızca kendi verisini görsün. İki ayrı hesap açıp deneyin: Birinci hesapla gördüğünüz bir kaydın adresini ikinci hesapta açabiliyor musunuz? Açabiliyorsanız erişim kontrolü eksik demektir.
- Giriş sistemini hazır bir hizmete bırakın. Şifre saklama ve oturum yönetimini yapay zekâya sıfırdan yazdırmak yerine kullandığınız platformun hazır kimlik doğrulama hizmetini seçin.
- Kullanıcıdan gelen her veriyi denetletin. Form alanları, arama kutusu ve dosya yükleme en sık kullanılan saldırı kapılarıdır. Asistandan her girdinin sunucu tarafında kontrol edildiğini göstermesini isteyin.
- Deneme ayarlarını kapatın. Yayındaki uygulama, hata olduğunda kullanıcıya kod ayrıntısı, dosya yolu ya da veritabanı bilgisi göstermemeli. Geliştirme sırasında açılan deneme (debug) ayarları yayından önce kapanmalı.
- Eklenen paketleri gözden geçirin. Yapay zekânın projeye eklediği her kütüphanenin adını, ne işe yaradığını ve resmî sayfasını kontrol edin. Adı gerçek bir pakete benzeyen sahte paketler ve uzun süredir güncellenmeyen paketler risk taşır.
Hazır kontrol komutu
Güvenlik kontrol komutu
Bu projeyi yayına almadan önce güvenlik açısından incele. Aşağıdaki maddelere tek tek bak; her biri için “sorun yok” ya da “sorun var” yaz, sorun varsa dosya adını ve satırı belirt. 1) Kodda ya da tarayıcıya giden dosyalarda gizli anahtar var mı? 2) Bir kullanıcı başka bir kullanıcının verisine ulaşabilir mi? 3) Giriş sistemi hazır bir hizmet mi, elle mi yazılmış? 4) Form ve dosya yükleme girdileri sunucuda kontrol ediliyor mu? 5) Hata mesajları iç bilgi gösteriyor mu, deneme ayarları açık mı? 6) Eklenen paketlerin listesini ve her birinin ne işe yaradığını çıkar.
Bu komut bir güvenlik denetiminin yerini tutmaz ama en sık yapılan hataları yayından önce yakalamanıza yardım eder. Uygulamanız kişisel veri topluyorsa KVKK yükümlülüklerini de gözden geçirin ve profesyonel bir güvenlik incelemesi yaptırın.
İpucu
Bir anahtar herkese açık bir yere düştüyse kodu silmek yetmez; anahtar depo geçmişinde kalabilir. Anahtarı ilgili hizmetin panelinden hemen iptal edip yenisini oluşturun.
Kendinizi deneyin
Yapay zekâyla yaptığınız bir uygulamada API anahtarı nerede durmalı?
Kaynaklar
- OWASP Top 10:2025 (OWASP, İngilizce)
- About push protection (GitHub Docs, İngilizce)
Kaynak: yzdersleri.com/ders/yapay-zekayla-yaptiginiz-uygulamayi-yayina-almadan-once-6-guvenlik-kontrolu/ · Yapay Zeka Dersleri
Dersi bitirdiniz mi?
İşaretlerseniz menüde ve ilerleme çubuğunda görünür. Bu bilgi yalnızca sizin tarayıcınızda saklanır.
Bu ders işinize yaradı mı?
Anonim oydur; kişisel veri toplanmaz.
