CORS ve CSRF/XSS koruması

CORS ve CSRF/XSS koruması

Web API entegrasyonları sadece uygun değil, aynı zamanda potansiyel bir güvenlik açığı kaynağıdır. CORS (Cross-Origin Resource Sharing) için tam desteğin yanı sıra antisite istek sahteciliğini (CSRF) ve kötü amaçlı JavaScript (XSS) uygulamalarını korumak için mekanizmalar uyguladık.

Bu önlemler özellikle tarayıcı istemcileri, ön uç, gösterge panoları ve üçüncü taraf entegrasyonları ile çalışırken önemlidir.

Ne uygulanıyor

Mekanizma	Amaç ve Fayda
CORS ayarları	Yalnızca güvenilir etki alanlarından API erişimini kısıtlayın
CSRF belirteçleri	Tarayıcıdan POST/PUT isteklerinin meşruluğunu kontrol edin
Çerez SameSite	Yetkisiz etki alanları arası çerezleri engelleyin
XSS Filtreleme	Giriş Temizleme ve Komut Dosyası Koruma
İçerik Güvenliği İlkesi (CSP)	İzin Verilen Komut Dosyasını ve Kaynak Kaynaklarını Yönet

Nasıl çalışır

1. Güvenilir kaynak listelerini yapılandırma ('Access-Control-Allow-Origin')
2. Tüm istekler üstbilgi doğrulaması ile CORS ön kontrol (OPTIONS) geçer
3. Formlar için, sunucuda doğrulanmış bir CSRF belirteci kullanır
4. Tüm giriş verileri XSS filtrelenir ve taranır
5. CSP, komut dosyalarının yalnızca yetkili kaynaklardan yürütülmesini kısıtlar

API ve ön uç avantajları

Üçüncü taraf siteler aracılığıyla veri ve belirteçlerin çalınmasını önleme
Tarayıcılar, SPA ve üçüncü taraf entegrasyonları ile güvenli çalışma
İzin verilen etki alanlarının, yöntemlerin, başlıkların esnek yapılandırılması
Oturumları ve yetkilendirmeyi kurcalamaya veya yakalamaya karşı koruyun
API'nize kullanıcı ve denetçi güvenini artırın

Özellikle önemli olan yerlerde

Tarayıcıdan API'leri kullanan web uygulamaları
Panolar, kişisel hesaplar, yöneticiler
React, Vue, Angular'da SPA uygulamaları ve ön uç
Özel belirteçleri veya çerez yetkilendirmesi olan platformlar

CORS, CSRF ve XSS, API'lerle çalışırken ön uç güvenliğinin temelidir. Entegrasyonlarınızı hem işlevsel hem de güvenli tutmak için güçlü güvenlik ve esneklik sağlıyoruz.