Web uygulamalarında performans ve güvenlik için kontrol listesi

Performans ve güvenlik, projenin sonunda eklenen özellikler değil, tasarım boyunca korunan niteliklerdir. Yine de canlıya geçmeden önce sistematik bir gözden geçirme yapmak, pahalıya mal olacak sorunların büyük bölümünü erken yakalar. Aşağıdaki liste, çoğu web uygulaması için geçerli temel maddeleri bir araya getiriyor.

Performans

1. Ölçmeden başlamayın

İyileştirme yapmadan önce mevcut durumu ölçün. Lighthouse ve PageSpeed Insights gibi araçlar laboratuvar verisi, gerçek kullanıcı ölçümleri ise saha verisi sağlar. Google'ın Core Web Vitals metrikleri (LCP, INP, CLS) kullanıcı deneyimini özetleyen yaygın bir çerçevedir.

2. Görseller ve statik dosyalar

• Görselleri uygun boyutta ve modern biçimlerde (WebP, AVIF) sunun.
• Ekran dışındaki görselleri tembel yükleyin; sayfanın üst kısmındaki ana görseli ise öncelikli yükleyin.
• Görsellerin genişlik ve yükseklik değerlerini belirtin; böylece sayfa kayması (CLS) azalır.
• CSS ve JavaScript dosyalarını küçültün, kullanılmayanları kaldırın ve uygun önbellek başlıkları ile sunun.

3. JavaScript maliyeti

Gereksiz kütüphaneler ve büyük paketler ilk yüklemeyi yavaşlatır. Kritik olmayan betikleri ertelemek, bölümlere ayırmak ve yalnızca gerekli sayfalarda yüklemek yaygın yöntemlerdir. Animasyon ve 3B içerik gibi ağır bileşenler, ilk etkileşim sonrası yüklenecek şekilde planlanabilir.

4. Sunucu ve veritabanı

• Sık yapılan sorgular için uygun dizinler (index) tanımlayın.
• Liste ekranlarında ilişkili verileri tek tek değil toplu yükleyerek N+1 sorgu sorununu önleyin.
• Değişmeyen ya da seyrek değişen veriyi önbelleğe alın ve değiştiğinde önbelleği geçersiz kılın.
• Yavaş sorgu kayıtlarını izleyin.
• Ağır işleri (e-posta, rapor, görsel işleme) kuyruğa alın.

Güvenlik

5. Kimlik doğrulama ve oturum

• Parolaları yalnızca güçlü, tuzlanmış algoritmalarla (bcrypt, Argon2) saklayın.
• Giriş denemelerine hız sınırı uygulayın; yönetici hesapları için ikinci adım doğrulamayı değerlendirin.
• Oturum çerezlerini HttpOnly, Secure ve uygun SameSite ayarlarıyla verin.
• Parola sıfırlama akışlarında hesap varlığını açık etmeyen genel mesajlar kullanın.

6. Yetkilendirme

Kullanıcının bir kaynağa erişimi her istekte sunucu tarafında denetlenmelidir. Adres satırında bir kimlik numarasını değiştirerek başkasının verisine ulaşılabilmesi, en sık görülen yetki açıklarından biridir. Rol ve izin kontrollerini merkezi bir yerde (politika ya da middleware) toplamak, atlanma ihtimalini azaltır.

7. Girdi doğrulama ve çıktı kodlama

• Tüm girdileri sunucu tarafında doğrulayın; istemci tarafı doğrulama yalnızca kullanım kolaylığıdır.
• Veritabanı sorgularında parametreli sorgu ya da ORM kullanın; SQL'i metin birleştirerek oluşturmayın (SQL enjeksiyonu).
• Kullanıcıdan gelen içeriği ekrana yazarken kodlayın (XSS); HTML kabul edilecekse güvenilir bir temizleme kütüphanesi kullanın.
• Form işlemlerinde CSRF korumasını etkin tutun.
• Dosya yüklemelerinde tür, boyut ve depolama konumunu denetleyin.

8. Aktarım ve HTTP başlıkları

Tüm trafik HTTPS üzerinden sunulmalı ve HSTS etkinleştirilmelidir. Content-Security-Policy, X-Content-Type-Options, Referrer-Policy ve çerçeve gömme kısıtları gibi güvenlik başlıkları, yaygın saldırıların etkisini azaltan düşük maliyetli önlemlerdir.

9. Bağımlılıklar ve yapılandırma

• Bağımlılıkları düzenli güncelleyin ve bilinen zafiyetler için tarama araçlarından yararlanın.
• Gizli anahtarları ve parolaları kod deposuna koymayın; ortam değişkenleri ya da gizli yönetim aracı kullanın.
• Üretim ortamında hata ayıklama modunu kapatın ve ayrıntılı hata sayfalarını son kullanıcıya göstermeyin.
• Yönetim arayüzlerini ve yedekleri herkese açık adreslerde bırakmayın.

10. Yedekleme, günlük ve izleme

Düzenli ve geri yüklenebildiği test edilmiş yedekler, güvenlik ve süreklilik planının temelidir. Güvenlik açısından anlamlı olayların (başarısız girişler, yetki hataları, yönetici işlemleri) günlüğe alınması ve bu günlüklerin kişisel veri içermeyecek şekilde tutulması gerekir.

Performans ve güvenlik çoğu zaman birbirini destekler

Gereksiz bağımlılıkları kaldırmak hem paket boyutunu küçültür hem saldırı yüzeyini daralttığı için güvenliği artırır. Hız sınırı hem kötüye kullanımı hem aşırı yükü azaltır. Bu nedenle iki başlığı ayrı projeler olarak değil, aynı kalite çıtasının parçaları olarak ele almak daha verimlidir.

Sonuç

Bu liste kapsamlı bir denetimin yerini tutmaz; ancak canlıya geçmeden önce atlanmaması gereken temel maddeleri gösterir. Mevcut bir uygulamanın performans ve güvenlik durumunu birlikte değerlendirmek istiyorsanız, bizimle iletişime geçebilirsiniz.