Starora giriş: Güvenlik protokolleri ve oturum yönetimi

Bu yazı, Starora giriş sırasında dikkat edilebilecek güvenlik protokolleri ve oturum yönetimi konularında genel, uygulamaya dönük bilgiler sunar. İçerik siteye özel iç uygulamaları kanıtlamaz; bunun yerine kullanıcıların ne kontrol edebileceğini ve geliştiricilerin hangi iyi uygulamaları tercih edebileceğini anlatır.

Ne öğreneceksiniz?

• TLS/SSL bağlantı kontrolleri ve kullanıcı tarafı doğrulama adımları.
• Çerez güvenliği: hangi çerez bayraklarının önemli olduğu ve kullanıcıların alabileceği önlemler.
• Oturum süreleri ve otomatik çıkış tasarımı hakkında pratik öneriler.
• CSRF ve XSS koruma teknikleri ile geliştirici ve kullanıcı kontrolleri.
• Hızlı kontrol listeleri ve olay durumunda atılacak adımlar.

TLS/SSL (HTTPS) kontrolleri — kullanıcılar için kısa kontrol listesi

Starora giriş yaparken tarayıcınızın gösterdiği temel öğeleri kontrol etmek, bağlantınızın uçtan uca şifrelenmiş olup olmadığını anlamanıza yardımcı olur. Aşağıdaki adımlar pratik olarak uygulanabilecek kontrollerdir:

• Tarayıcı adres çubuğunda "kilit" simgesi görünüyor mu? Kilit simgesine tıklayarak sertifika bilgilerini görüntüleyin.
• Alan adı (domain) sertifikadaki adla eşleşiyor mu? Yanlış alan adı uyarısı varsa dikkat edin.
• Sertifika süresi dolmuş mu veya tarayıcı tarafından güvensiz olarak işaretlenmiş mi? Böyle bir uyarı varsa siteye giriş yapmaktan kaçının.
• Tarayıcı, HTTPS yerine uyarı veriyorsa sayfayı yeniden yükleyin veya farklı bir tarayıcıyla kontrol edin.

Geliştiriciler için TLS önerileri

• Güncel TLS sürümlerini (ör. TLS 1.2+ ve tercih edilen TLS 1.3) destekleyin ve eski, bilinen zayıf protokolleri devre dışı bırakın.
• HTTP Strict Transport Security (HSTS) başlığı uygulayın ve sertifika zincirlerini düzenli olarak yenileyin.
• OCSP stapling ve sertifika sürekliliği (certificate transparency) gibi mekanizmaları değerlendirin.

Çerez güvenliği (Çerez güvenliği ve kullanıcı önlemleri)

Çerezler (cookies) oturum yönetiminin temel parçalarından biridir. Hem kullanıcılar hem de geliştiriciler için kritik noktalar vardır.

Kullanıcılar ne yapabilir?

• Paylaşılan veya ortak bilgisayarlarda "Beni hatırla" seçeneklerini kullanmaktan kaçının.
• Oturum sonrası çıkış (logout) yapın ve tarayıcıyı kapatın; düzenli olarak çerezleri temizleyin veya özel tarama modu kullanın.
• Şüpheli e‑postalar veya bağlantılar yerine doğrudan tarayıcı adres çubuğuna yazılan adresleri tercih edin.

Geliştiriciler için çerez bayrakları

• Secure: Çerezin yalnızca HTTPS üzerinden gönderilmesini zorunlu kılar.
• HttpOnly: JavaScript erişimini engeller; çerezler istemci tarafı betikler tarafından okunamaz olmalı.
• SameSite: CSRF risklerini azaltmak için 'Lax' veya kritik durumlarda 'Strict' tercih edilmelidir.
• Oturum çerezlerinde hassas veri saklamaktan kaçının; kimlik doğrulama için kısa ömürlü belirteçler ve sunucu tarafı oturum depolama kullanın.

Oturum süreleri (oturum zamanlaması) — dengeyi kurma

Oturum yönetimi UX ve güvenlik arasında bir denge gerektirir. Aşağıda genel uygulama önerileri yer alır; bunlar siteye özgü ayarlara göre değişebilir.

• Boşta kalma (idle timeout): Kullanıcı işlem yapmadığında otomatik çıkış için genelde 10–30 dakika aralığı sık tercih edilir. Hassas işlemler için daha kısa süreler düşünülebilir.
• Maksimum oturum süresi (absolute timeout): Bir oturumun toplam süresi için 8–24 saat aralığı işletim gereksinimlerine göre tercih edilir; bazı uygulamalar daha kısa tutar.
• Oturum yenileme: Uzun oturumlarda belirteç yenileme (refresh) ve kullanıcıdan yeniden kimlik doğrulama talep etme stratejileri uygulanabilir.

Oturum yönetimi: geliştiriciler için önemli uygulamalar

• Girişten sonra oturum kimliğini (session ID) yeniden oluşturun (session regeneration) — oturum sabitleme saldırılarını azaltır.
• Oturum kimlikleri yeterince rastgele ve tahmin edilemez olmalıdır; uzunluk ve entropi önemlidir.
• Sunucu tarafı oturum depolama (stateful sessions) veya güvenli, revokable token mimarileri tercih edin; revocation mekanizmaları görev yapmalıdır.
• Brute‑force ataklarına karşı hız sınırlama (rate limiting) ve geçici hesap kilitleme uygulayın.
• Giriş denemeleri, oturum açma başarısızlıkları ve oturum sonlandırma olayları için izleme ve kayıt mekanizmaları kurun.

CSRF ve XSS koruması — neye dikkat edilmeli

CSRF (Cross‑Site Request Forgery) ve XSS (Cross‑Site Scripting) erişim güvenliğinde iki yaygın sorun kategorisidir. Aşağıda her ikisi için hem geliştirici hem kullanıcı odaklı önlemler yer alır.

CSRF için öneriler

• Durum değiştiren POST/PUT/DELETE istekleri için anti‑CSRF tokenları kullanın. Tokenlar oturum başına veya form başına benzersiz olmalıdır.
• SameSite çerez bayrağı ile birlikte Origin/Referer başlık doğrulaması da uygulayın.
• Çok kritik işlemler için ek doğrulama (parola yeniden girişi veya MFA) talep edin.

XSS için öneriler

• Tüm kullanıcı verilerini çıktı olarak verirken uygun kaçış (escaping) ve kodlama uygulayın.
• HTML içeriği gerekiyorsa güvenli bir HTML temizleyici (sanitizer) kullanın; asla doğrudan güvenilmeyen HTML render etmeyin.
• İçerik Güvenlik Politikası (CSP) uygulayarak izin verilen kaynakları kısıtlayın; inline script kullanımını azaltın.

Olay yönetimi: Hesabınızla ilgili şüpheli etkinlik görürseniz

• Hemen hesabınızdan çıkış yapın ve parolanızı değiştirin.
• İki faktörlü doğrulamayı (2FA) etkinleştirin veya varsa tekrar yapılandırın.
• Hesabınızın etkin cihazlarını ve oturumlarını kontrol ederek mevcut oturumları sonlandırın.
• Destek ekibiyle iletişime geçin; mümkünse olayla ilgili zaman damgalarını ve uyarıları paylaşın.

Kullanıcılar için pratik kontrol listesi (özet)

• Tarayıcıda kilit simgesini kontrol edin ve sertifika uyarılarını dikkate alın.
• Güçlü ve benzersiz parolalar kullanın; parola yöneticisi tercih edin.
• Paylaşılan cihazlarda "beni hatırla" seçeneklerini kullanmayın, oturum sonrası çıkış yapın.
• İki faktörlü doğrulamayı etkinleştirin.
• Tarayıcı ve işletim sisteminizi güncel tutun.

Geliştiriciler için hızlı uygulama checklisti

• TLS 1.2+ desteği, HSTS ve OCSP stapling.
• Secure, HttpOnly ve uygun SameSite çerez ayarları.
• Session ID yeniden oluşturma, rastgele oturum kimlikleri ve sunucu tarafı oturum yönetimi.
• Anti‑CSRF tokenları, Origin/Referer doğrulaması ve CSP uygulamaları.
• Şifrelerde güçlü hash algoritmaları (ör. bcrypt, Argon2 gibi) kullanılmalı ve parola politikaları uygulanmalı.
• Giriş denemeleri için rate limiting ve anomali tespiti; oturum sonlandırma ve revocation mekanizmaları.

Sınırlamalar ve uyarılar

Bu metin Starora'nın iç sistem yapılandırmalarını belgeleyen bir kaynak değildir. İçerikte yer alan öneriler genel güvenlik uygulamalarıdır; sitenin güncel uygulamalarını doğrulamak için doğrudan destek kanallarıyla iletişime geçmeniz gerekir. Ayrıca yerel düzenlemeler ve hizmetin kullanım koşulları konusunda bilgi almak için ilgili resmi kaynaklara başvurun.

Bu rehber, kullanıcılar ve geliştiriciler için Starora girişinde güvenliği artırmaya yönelik pratik adımlar sunar. Aşağıdaki SSS bölümünde sık sorulan kısa sorulara yer verildi.