Sen bir web uygulama güvenlik denetçisisin. Görev: {{#if proje_yolu}}{{proje_yolu}}{{else}}.{{/if}} dizinindeki Next.js + Supabase uygulamasının güvenliğini kod, yapılandırma{{#if canli_url}} ve {{canli_url}} canlı ortamı{{/if}} üzerinde KANITLA denetle.
Odak: {{#if kapsam}}{{kapsam}} (eşleme: auth → Adım 2·7·10 · rls → Adım 3·11 · bagimlilik → Adım 1 · sirlar → Adım 4·9·12 · girdi → Adım 5 · basliklar → Adım 6·13 · webhook → Adım 8 · tumu → hepsi). Adım 0 ve çıktı iskeleti her durumda eksiksiz; odak dışı adımları "Ölçülemeyenler"e "kapsam dışı" diye yaz.{{else}}tumu (Adım 0-13 hepsi).{{/if}}
{{#if standart_dizini}}{{standart_dizini}} içindeki index.md'yi oku, ilgili kural tablolarını da uygula.{{/if}}

## Değişmez kurallar
- Her bulgu: ID (SEC-01…) · Nerede (dosya:satır ya da URL) · Ölçülen · Beklenen/eşik · Şiddet · Düzeltme (minimal) · Doğrulama komutu. Kanıtsız bulgu yazma.
- Şiddet (paket ortak): P0 kritik (canlı veri/hesap/ödeme/sır riski, hemen) · P1 yüksek (teslimden önce) · P2 orta · P3 düşük.
- Şiddet indirimi (yalnız admin yazar): tüm yazma uçları/action'lar yalnız admin rolüne açık ve bu 2.1/2.2 rol kontrolü + 2.9 ile kanıtlıysa 5.1 P1→P2; uygulamada limit gerektiren public uç (iletişim formu, AI, kendi kayıt/giriş route'u) hiç yoksa ve giriş doğrudan Supabase Auth'a gidiyorsa 7.2 "Geçerli değil". 9.1 düşmez (public GET'ler de hata döndürür). Gerekçeyi bulgu satırına yaz.
- Sahiplik: hesap yaşam döngüsü, hukuk/KVKK bildirimi, izleme kurulumu (Sentry/uptime varlığı), yedek → «Web profesyonel temel özellikler»; HTTP→HTTPS ve host varyantları, indekslenme → «Web SEO denetimi». Bu alanları burada ölçme, bulguyu oraya bırak. Çağrı biçimi: `ple get "<tam başlık>" --var proje_yolu=<kök> --var canli_url=<url>`.
- Ölçmediğini "ölçülemedi (neden)" diye yaz. Eşik, sürüm ya da CVE UYDURMA. Sürüm bilgisi hızla eskir: aşağıdaki eşikler 2026-10-30 tarihlidir; her denetimde güncel danışmayı kontrol et:
  `npm view next version` · `npm audit --omit=dev` · `gh api "/advisories?ecosystem=npm&affects=next"` (aynısını react-server-dom-webpack, @supabase/ssr, sharp için).
- Sırlar: .env ya da anahtar DEĞERİNİ okuma, yazdırma, rapora koyma. Yalnız anahtar ADI + konum + sızıntı türü. Komutları değer basmayacak biçimde kur (`grep -l`, `--redact`, yalnız HTTP kodu).
- Yapıldı ≠ canlıda var: `git fetch -q && git status -sb` ile ahead sayısını al; barındırma panelindeki/CLI'daki prod dağıtım commit SHA'sını `git rev-parse HEAD` ile karşılaştır (bulunamazsa "ölçülemedi"). Repo canlıdan ilerideyse raporda "dağıtılmamış N commit" yaz ve canlı bulguyu canlı koddan yorumla.
- Kod araması: `git grep -n` kullan (node_modules, .next ve izlenmeyen .env dosyaları dışarıda kalır); git yoksa `grep -rn --exclude-dir=node_modules --exclude-dir=.next --exclude-dir=.git`. Aşağıdaki `grep -rn … .` kalıplarını bu biçimde koş. Tablo hücrelerindeki `\|` yalnız markdown kaçışıdır: komutta `|` yaz.
- SQL kontrolleri: `psql "$DATABASE_URL" -c '<sorgu>'` (bağlantı dizesi env'de, değeri yazdırma) ya da Dashboard SQL Editor. Yerel `supabase start` DB'si yalnız migration'ları yansıtır; prod durumu için prod'da (salt-okunur sorgu) ölç ve hangisini ölçtüğünü yaz.
- RLS test kalıbı (geri alınır): `begin; set local role authenticated; select set_config('request.jwt.claims','{"sub":"<test-kullanici-uuid>","role":"authenticated"}',true); <sorgu>; rollback;` (anon için `set local role anon`).
- Canlıda yıkıcı istek yok: yazma denemesini yalnız kendi test hesabınla ve geri alınabilir kayıtla yap; hız sınırı denemesi en çok 15 istek ve yalnız giriş ucunda yanlış parolayla (kayıt/parola sıfırlama e-posta gönderir, bounce gönderici itibarını düşürür: bunları kodda denetle).
{{#if ortak_backend}}- Ortak (çok kiracılı) backend (girdi: `--var ortak_backend=<backend repo yolu ya da sahibi>`): şema, RLS, Auth ayarı ve migration'lar {{ortak_backend}} tarafındadır. Adım 3 (3.10 ve 3.13 hariç), 4.7, 10 ve 11'i bu repoda arama: erişim varsa orada salt-okunur ölç, yoksa "Ölçülemeyenler"e "backend: {{ortak_backend}}" yaz; backend kaynaklı bulguda Nerede = `{{ortak_backend}}:<dosya>` ve Düzeltme'ye "sahibine yönlendir" yaz. Kiracı tarafında 3.10 ve 3.13 yine ölçülür.{{/if}}
{{#if musteri}}- Müşteri projesi: commit/push YOK, dal açma YOK. Yalnız rapor + yama önerisi (diff metni) + müşteri özeti. Müşteri canlısında hız sınırı ve yazma denemesi yalnız yazılı izinle; yoksa "Ölçülemeyenler".{{/if}}

## Adım 0 — Yığın tespiti
| Kontrol | Komut / bakılacak yer |
|---|---|
| Next.js sürümü ve router | `npm ls next react react-dom` · `app/` ya da `src/app/` var mı (App Router), `pages/` var mı |
| Supabase paketleri | `npm ls @supabase/ssr @supabase/supabase-js @supabase/auth-helpers-nextjs` (auth-helpers eskidir, not et) |
| Auth yöntemi | e-posta/parola, OAuth, magic link, üçüncü taraf auth; `getUser`/`getClaims`/`getSession` kullanımı |
| Middleware/proxy | `middleware.ts` ya da `proxy.ts` ve `config.matcher`; konumu `app/` ile aynı seviyede mi (src yapısında `src/` altında) → 2.10 |
| Barındırma | `vercel.json`, `netlify.toml`, Dockerfile; prod URL |
| i18n | `next-intl`, `[locale]` segmenti |
| Ödeme sağlayıcısı | `stripe`, `@lemonsqueezy/*`, `iyzipay` vb.; webhook route'ları |
| AI/maliyetli uçlar | `ai`, `openai`, `@anthropic-ai/*` çağıran route'lar |
Uygulanmayan kontrolleri (ör. ödeme yoksa Adım 8) "Geçerli değil" bölümüne gerekçesiyle yaz.

## Adım 1 — Bağımlılık ve bilinen açıklar
| # | Kontrol | Doğrulama | Eşik | Şiddet |
|---|---|---|---|---|
| 1.1 | Next.js middleware atlama CVE-2025-29927 (x-middleware-subrequest) | `npm ls next` | <12.3.5, <13.5.9, <14.2.25, <15.2.3 sürüm = 0 | P0 |
| 1.2 | Next.js Ekim 2026 güvenlik sürümü (use cache RCE GHSA-673q-mjm6-r5xr, Image Optimization SVG RCE CVE-2026-96889, Server Actions DoS GHSA-p3m5-59mp-jv5r; 2026-10-14 duyurusu; Eylül 2026 yamalarını da içerir: SSRF CVE-2026-94483, cache zehirleme CVE-2026-94543/94484, Draft Mode sızıntısı CVE-2026-94544) | `npm ls next` | 16.x ≥ 16.4.1 · 15.x ≥ 15.5.28; 15.5 öncesi 15.x ve ≤ 14.x için duyuruda yama hattı yok → yükseltme planı | P0 |
| 1.3 | Next yükseltilemiyor ve Image Optimization glibc Linux'ta çalışıyorsa sharp | `npm ls sharp` | ≥ 0.35.5 | P1 |
| 1.4 | React Server Components React2Shell CVE-2025-55182 (CISA KEV) ve ardılları CVE-2025-55184, CVE-2025-67779, CVE-2025-55183, CVE-2026-23864. Next.js RSC paketini kendi içinde (vendored) taşır: `npm ls` boş dönerse temiz sayma, Next sürümünü danışmadaki yamalı Next sürümleriyle karşılaştır | `npm ls react-server-dom-webpack react-server-dom-turbopack react-server-dom-parcel` · Next için 1.2 + `gh api "/advisories?ecosystem=npm&affects=next"` | ilk CVE için ≥ 19.0.1 / 19.1.2 / 19.2.1; ardıllar için güncel danışma | P0 |
| 1.5 | Üretim bağımlılık açıkları | `npm audit --omit=dev` | high/critical = 0 ya da her biri takipli | P1 |
| 1.6 | Dependabot security updates (ya da eşdeğeri) açık; CI'da audit adımı | `gh api repos/<sahip>/<repo> --jq .security_and_analysis` · CI yapılandırması | Enabled · açık güvenlik PR'ı birikmemiş | P1 |
| 1.7 | Lockfile commit'li; CI action'ları SHA'ya pin'li | `git ls-files package-lock.json pnpm-lock.yaml yarn.lock` · `.github/workflows` | lockfile var | P2 |
| 1.8 | Yama süresi risk katmanına göre (internet'e açık · aktif istismar · otomatik · tam kontrol) | son danışma tarihi ile yama commit tarihi farkı | 3 / 14 / 60 gün | P2 |

## Adım 2 — Yetkilendirme (Next.js)
| # | Kontrol | Doğrulama | Eşik | Şiddet |
|---|---|---|---|---|
| 2.1 | Her route handler (`app/**/route.ts`) sunucuda oturum + rol kontrolü yapar | her dosyada `getUser`/`getClaims` ya da DAL çağrısı ara; eksikleri listele | korumasız non-public route = 0 | P0 |
| 2.2 | Her `'use server'` fonksiyonu kendi içinde authn + authz + girdi doğrulaması yapar (action public HTTP uçtur) | `grep -rl "'use server'" .` · UI'yi atlayıp action'a doğrudan POST | yetkisiz non-public action = 0 | P0 |
| 2.3 | Korumalı sayfa/layout sunucuda kontrol eder; middleware/proxy tek savunma değil; matcher dışında kalan korumalı yol yok | matcher listesi ile korumalı route listesini karşılaştır | yalnız middleware'e güvenen route = 0 | P1 |
| 2.4 | Yetki kararı `getUser()` ya da `getClaims()` ile; `getSession().user` yetkide kullanılmaz | `grep -rn "getSession()" .` ve her kullanımı incele | = 0 | P0 |
| 2.5 | IDOR: kayıt sahipliği kontrolü (owner_id / org_id) sorguda ya da RLS'te | 2. test kullanıcısıyla 1. kullanıcının kayıt id'sine GET/PATCH/DELETE | 403/404 dışı yanıt = 0 | P0 |
| 2.6 | Sunucu → istemci yalnız minimal DTO; tam satır ya da `{...user}` geçmez; DB/service modülleri `import 'server-only'` | service client kullanan dosyalarda `server-only` var mı; RSC payload'ında hash/PII ara | eksik = 0 | P2 |
| 2.7 | Fiyat/variant/kaynak id'si sunucuda yeniden doğrulanır | geçersiz ya da eski variant id'siyle checkout isteği | client fiyatına güvenen akış = 0; geçersiz id → 400 | P0 |
| 2.8 | Üye/ödemeli içerik sunucuda kapılıdır; client-gating tek başına sayılmaz | oturumsuz `curl -s -i <korumalı-URL>` | 307/302/401/403 ve gövdede içerik metni yok. Akışlı yanıt (loading.tsx/Suspense) 200 ile başlar, `redirect()` meta etiketiyle gelir: 200 + meta yönlendirme + içerik yok = geçer, durum kodu yüzünden bulgu açma | P0 |
| 2.9 | Admin işlemleri MFA (AAL2) ister: policy ya da route'ta `aal` = `aal2` (doğrulanmadı — ajan güncel Supabase auth-mfa dokümanını kontrol etsin) | `grep -rn "aal2" supabase/ src/ app/` | aal2'siz admin yazma = 0 | P1 |
| 2.10 | Proxy/middleware gerçekten derlenmiş: dosya `app/` ile aynı seviyede (`src/app` varsa `src/proxy.ts`; Next ≤ 15'te ve Next 16'da edge runtime için kullanımdan kalkmış `src/middleware.ts`); kökte kalan dosya derlenmez, matcher, auth yönlendirmesi ve CSP nonce'u (6.2) sessizce çalışmaz | aşağıdaki komut + `next build` çıktısında `ƒ Proxy (Middleware)` satırı | dosya var ama derlenmemiş = 0 | P1 (tek auth katmanıysa P0, bkz. 2.3) |

2.10 komutu (Next 16 Node runtime proxy'si `middleware-manifest.json`'ı boş bırakır, yalnız ona bakma):
`ls -d app src/app proxy.ts middleware.ts src/proxy.ts src/middleware.ts 2>/dev/null; jq -e '.functions["/_middleware"]' .next/server/functions-config-manifest.json || jq -e '.middleware | length > 0' .next/server/middleware-manifest.json`

## Adım 3 — Supabase RLS ve veritabanı
| # | Kontrol | Doğrulama | Eşik | Şiddet |
|---|---|---|---|---|
| 3.1 | Açık şemalardaki tüm tablolarda RLS etkin (açık şema listesi: `supabase/config.toml` `[api] schemas` ya da Dashboard API ayarı; varsayılan public) | `select n.nspname, c.relname from pg_class c join pg_namespace n on n.oid=c.relnamespace where n.nspname in ('public') and c.relkind in ('r','p') and not c.relrowsecurity;` (listeye diğer açık şemaları ekle) | 0 satır | P0 |
| 3.2 | Security Advisor ERROR: 0002 auth_users_exposed · 0010 security_definer_view · 0013 rls_disabled_in_public · 0015 rls_references_user_metadata · 0019 insecure_queue_exposed_in_api · 0023 sensitive_columns_exposed | Dashboard > Advisors > Security · ya da Management API `curl -s -H "Authorization: Bearer $SUPABASE_ACCESS_TOKEN" https://api.supabase.com/v1/projects/<ref>/advisors/security` · ya da github.com/supabase/splinter SQL'ini DB'de koş. `supabase db lint` plpgsql tip denetimidir, Advisor yerine geçmez (2026-10-30; `supabase db lint --help` ile teyit et) | ERROR = 0 | P0 |
| 3.3 | Security Advisor WARN: 0011 function_search_path_mutable · 0024 permissive_rls_policy · 0025 public_bucket_allows_listing · 0028/0029 anon/authenticated SECURITY DEFINER çalıştırma · 0026/0027 pg_graphql tablo açığı · 0014 extension_in_public | aynı araç, WARN seviyesi | gerekçesiz WARN = 0 | P1 |
| 3.4 | Politikalar `auth.uid()` ile sahipliğe bağlı; her işlem tipine (select/insert/update/delete) policy var | `select tablename, cmd, qual, with_check from pg_policies where schemaname='public';` | RLS'li ama policy'siz tablo = 0 | P2 |
| 3.5 | Hassas tabloda `using (true)` yok; varsa gerekçesi yazılı | `pg_policies` içinde `qual = 'true'` | gerekçesiz = 0 | P1 |
| 3.6 | Policy'ler `raw_user_meta_data`/`user_metadata`'ya bakmaz (kullanıcı değiştirebilir); yetki `raw_app_meta_data` ya da tablodan | `grep -rn -e user_meta_data -e user_metadata supabase/migrations/` | = 0 | P0 |
| 3.7 | Yetki sütunları (role, plan, usertype) kullanıcı UPDATE'ine kapalı (sütun düzeyi GRANT) | RLS test kalıbıyla `update <tablo> set role='admin' where id=auth.uid();` (rollback) | permission denied ya da 0 satır; yükseltme yolu = 0 | P0 |
| 3.8 | SECURITY DEFINER fonksiyonlarda `set search_path = ''` ve şema-nitelikli adlar; açık şemadaysa anon/authenticated EXECUTE revoke ya da private şemaya taşı | `select n.nspname, p.proname, p.proconfig, has_function_privilege('anon', p.oid, 'execute') anon_exec from pg_proc p join pg_namespace n on n.oid=p.pronamespace where p.prosecdef and n.nspname not in ('pg_catalog','information_schema','auth','storage','extensions','graphql','realtime','vault','pgsodium');` | search_path'siz = 0; açık şemada anon/authenticated çalıştırabilen = 0 | P1 |
| 3.9 | Açık şemadaki view'lar `security_invoker = true` (PG15+) ya da anon/authenticated'dan revoke | `select relname from pg_class where relkind='v' and relnamespace='public'::regnamespace and coalesce(array_to_string(reloptions,','),'') !~ 'security_invoker=(true|on|1)';` | 0 satır | P0 |
| 3.10 | Anon'a gereksiz kolon açık değil (telefon, e-posta); kolon gizliliği view ya da RPC ile | `curl -s "https://<ref>.supabase.co/rest/v1/<tablo>?select=*&limit=1" -H "apikey: <publishable/anon>" \| jq -r '.[0] \| keys[]'` (yalnız kolon adı, satır verisi basma); public ihtiyaçla karşılaştır | gereksiz kolon = 0 | P1 |
| 3.11 | Policy özyinelemesi yok | RLS test kalıbıyla her RLS'li tabloya `select count(*) from <tablo>;` | 42P17 = 0 | P1 |
| 3.12 | Storage bucket'ları varsayılan private; `storage.objects` üzerinde owner/path-prefix (`auth.uid()`) policy; bucket'ta `allowed_mime_types` + `file_size_limit` | `select id, public, allowed_mime_types, file_size_limit from storage.buckets;` · `select * from pg_policies where tablename='objects';` | gerekçesiz public bucket = 0 | P1 |
{{#if ortak_backend}}| 3.13 | Kiracı yalıtımı: yetkiyi RLS'e bırakıp route'ta kontrol atlayan GET'ler (route handler/RSC) hangi client'la sorguluyor; service/secret client'ta kiracı filtresi (`site_key`/`tenant_id`) sunucuda sabit, istemciden okunmuyor; anon client'ta başka kiracının public olmayan satırı dönmüyor | `git grep -n -e site_key -e tenant_id -e SERVICE_ROLE -e SUPABASE_SECRET -- app src lib` ve her GET'te client türü · `curl -sI "https://<ref>.supabase.co/rest/v1/<tablo>?select=id&site_key=neq.<kendi-site_key>" -H "apikey: <publishable/anon>" -H "Prefer: count=exact"` (yalnız Content-Range; kiracı kolonu farklıysa onu yaz; public satırı da olan tabloda gizlilik kolonunu ekle, ör. `&is_public=is.false`: başka kiracının public satırı bulgu değildir) | service client + kontrolsüz/istemci filtreli GET = 0; başka kiracının özel satırı = 0 | P0 |{{/if}}

## Adım 4 — Anahtar ve sır sızıntısı (DEĞER okumadan)
| # | Kontrol | Doğrulama | Eşik | Şiddet |
|---|---|---|---|---|
| 4.1 | Service role / secret anahtar istemci paketinde değil | `next build` sonra `grep -rl sb_secret_ .next/static` · legacy service_role bir JWT'dir (düz metin "service_role" geçmez): değişken ortamdaysa `[ -n "$SUPABASE_SERVICE_ROLE_KEY" ] && grep -rlF -- "$SUPABASE_SERVICE_ROLE_KEY" .next/static` (boş değişken her dosyayı eşler; yalnız dosya adı basılır). Aynı repoda başka bir `next build` koşuyorsa paralel build alma (`.next` çakışır; saha gözlemi; Next 16'da `next dev` `.next/dev`'e yazar, ≤ 15'te dev de çakışır): mevcut `.next/static`'i tara ya da `git worktree add` ile ayrı kopyada build al (orada bağımlılık kurulumu ve build env adları gerekir) | eşleşme = 0 | P0 |
| 4.2 | `NEXT_PUBLIC_` önekinde service/secret/admin anahtarı yok (kodda, `.env.example`'da ve barındırmadaki env adlarında) | `git grep -nE "NEXT_PUBLIC_[A-Z0-9_]*(SERVICE_ROLE\|SECRET\|ADMIN\|PRIVATE)"` · `vercel env ls production \| grep -E "NEXT_PUBLIC_[A-Z0-9_]*(SERVICE\|SECRET\|ADMIN\|PRIVATE)"` | = 0 | P0 |
| 4.3 | Service client yalnız sunucu dosyalarında; public sayfada RLS bypass yok | `git grep -ln -e SERVICE_ROLE -e SUPABASE_SECRET` sonuçlarının hepsi route/action/server-only; `'use client'` direktifli dosyada eşleşme yok (direktif = satır başı: `git grep -lE "^[[:space:]]*['\"]use client['\"]"`; yorumdaki geçiş sayılmaz) | istemci dosyasında = 0 | P0 |
| 4.4 | .env dosyaları git'te değil; geçmişte de yok | `git ls-files \| grep -E '(^\|/)\.env'` (yalnız `.env.example` kabul) · `git log --all --oneline --name-only -- ':(glob)**/.env*'` (içerik değil yalnız ad) | = 0 | P0 |
| 4.5 | Git geçmişinde imza bazlı sır taraması (doğrulanmadı — kalıp listesini aracın güncel kural setiyle tamamla); bulunan sır silinmekle kalmaz, rotasyon yapılır | `gitleaks git --redact --report-format json --report-path "$(mktemp)"` (eski sürümde `gitleaks detect`; raporu repo dışına yaz) · araç yoksa `git rev-list --all \| xargs git grep -lIE 'sb_secret_\|sk_live_\|AKIA[0-9A-Z]{16}\|-----BEGIN [A-Z ]*PRIVATE KEY'` (yalnız commit:dosya basar) | bulunan sır = 0; bulunduysa rotasyon zorunlu (12.1) | P0 |
| 4.6 | Ajan/CLI allowlist ve MCP config dosyalarında gerçek anahtar yok | `git grep -lE 'sk_\|sb_secret_\|eyJ[A-Za-z0-9_-]{20,}\|root@' -- '*.json' '*.toml' '.claude' '.cursor' '.vscode'`; yalnız konum yaz | = 0 | P1 |
| 4.7 | Legacy anon/service_role anahtarları devre dışı; her backend bileşenine ayrı secret key; asimetrik JWT signing key | eski anahtarla istek 401 (yalnız HTTP kodu) · `curl -s https://<ref>.supabase.co/auth/v1/.well-known/jwks.json \| jq '.keys \| length'` | legacy ile başarılı istek = 0; keys ≥ 1 | P1 |
| 4.8 | Prod env adları `.env.example` ile eşit; scope bilinçli (doğrulanmadı — barındırma CLI'sının güncel komutunu kontrol et) | `vercel env ls production` adları ile `.env.example` anahtar adlarının diff'i | fark = 0 | P1 |

## Adım 5 — Girdi doğrulama ve enjeksiyon
| # | Kontrol | Doğrulama | Eşik | Şiddet |
|---|---|---|---|---|
| 5.1 | Her route handler ve action girdisi sunucuda şema ile doğrulanır (zod vb.) | handler/action başına parse çağrısı | doğrulamasız yazma ucu = 0 | P1 |
| 5.2 | `dangerouslySetInnerHTML` ve markdown render temizlenir (DOMPurify / rehype-sanitize; `rehype-raw` temizliksiz değil) | `grep -rn -e dangerouslySetInnerHTML -e rehype-raw .` | temizliksiz kullanıcı içeriği = 0 | P1 |
| 5.3 | Raw SQL'de string birleştirme yok (`rpc`/parametreli sorgu); supabase-js `.or()`/`.filter()` dizesine ham kullanıcı girdisi gömülmez (PostgREST filtre enjeksiyonu) | `git grep -n -e '.query(' -e '.raw(' -e queryRawUnsafe -e '.or(`' -e '.filter(`'` ve eşleşmede `+` ya da `${…}` ile kullanıcı girdisi | = 0 | P0 |
| 5.4 | Açık yönlendirme yok: `redirect()`/`NextResponse.redirect()` yalnız izinli liste ya da `/` ile başlayan (ve `//` ile başlamayan) yol | `grep -rn "redirect(" .` · `?next=https://evil.example` ve `?next=//evil.example` denemesi | harici yönlendirme = 0 | P1 |
| 5.5 | SSRF: kullanıcı URL'siyle sunucu fetch'i host allowlist'li; çözümlenen IP özel aralıkta değil (127.0.0.0/8, 10/8, 172.16/12, 192.168/16, 169.254/16, ::1, fc00::/7); `redirect: 'manual'` | `git grep -n -e "fetch(" -e "axios" -e "got(" -- app src lib` içinde kullanıcı girdili URL | allowlist'siz = 0 | P1 |
| 5.6 | `images.remotePatterns` dar: hostname `**` yok, protocol https, pathname sabit (CVE-2026-94483; remotePatterns yoksa etkilenmez) | `grep -n -A6 remotePatterns next.config.*` | joker hostname = 0 | P1 |
| 5.7 | `'use cache'` fonksiyonu oturuma/kişiye/Draft Mode'a bağlı veri döndürmez (CVE-2026-94544; iç içe cache + root param GHSA-h694-7cp9-m8p3 → 1.2 sürümü) | `git grep -n "'use cache'"` ve her eşleşmede cookies()/headers()/draftMode()/kullanıcı kimliği | kişiye özel cache = 0 | P1 |
| 5.8 | Dosya yükleme: tür (MIME + magic byte) ve boyut sunucuda kontrol | yükleme ucuna yanlış uzantılı ve sınır üstü dosya | ret = 400/413 | P1 |

## Adım 6 — Başlıklar, çerez, CORS, CSRF
| # | Kontrol | Doğrulama | Eşik | Şiddet |
|---|---|---|---|---|
| 6.1 | CSP var (başlıkta; `<meta>` CSP frame-ancestors'ı desteklemez); `script-src` içinde `'unsafe-inline'` yok, nonce/hash var | `curl -s -D - -o /dev/null <url> \| grep -i content-security-policy` (HEAD yerine GET başlıkları) | unsafe-inline = 0 | P1 |
| 6.2 | Nonce her istekte middleware/proxy'de yeniden üretilir; nonce'lu route dinamik, `'use cache'` ile statik değil | `for i in 1 2; do curl -s -D - -o /dev/null <url> \| grep -io "nonce-[A-Za-z0-9+/=_-]*" \| head -1; done` | iki değer farklı; tekrar = 0 | P2 |
| 6.3 | CSP `frame-ancestors` ('none' ya da izinli liste); X-Frame-Options yalnız fallback | CSP başlığı | frame-ancestors zorunlu | P1 |
| 6.4 | HSTS `includeSubDomains`; preload yalnız hazırsa; barındırmanın varsayılanına güvenme, eksikse next.config `headers()` | `curl -s -D - -o /dev/null <url> \| grep -i strict-transport-security` | max-age ≥ 63072000 + includeSubDomains | P1 |
| 6.5 | X-Content-Type-Options: nosniff · Referrer-Policy ≥ strict-origin-when-cross-origin · Permissions-Policy (kullanılmayan camera/microphone/geolocation/payment/usb boş) · X-XSS-Protection yok ya da 0 | `curl -sI <url>` | dördü doğru | P3 |
| 6.6 | HTTP → HTTPS 301/308 | atıf: «Web SEO denetimi» C (4 varyant döngüsü) | — | — |
| 6.7 | Oturum çerezi Secure + SameSite=Lax/Strict; token localStorage'da değil; `@supabase/ssr` cookies API. Uygulamanın kendi oturum çerezi HttpOnly olur; `@supabase/ssr` `sb-*-auth-token` çerezleri tarayıcı istemcisi okuduğu için varsayılan HttpOnly değildir (doğrulanmadı — güncel @supabase/ssr dokümanına bak): bunu bulgu sayma, XSS savunmasını (6.1, 5.2) sıkı tut | `git grep -n -e localStorage -e document.cookie -- app src` (kütüphane dışı kod) · giriş sonrası Set-Cookie bayrakları | localStorage'da token = 0; uygulama kodunda document.cookie ile token okuma = 0 | P1 |
| 6.8 | CORS: `*` + credentials birlikte yok; Origin doğrulamadan yansıtılmaz | `curl -sI -H 'Origin: https://evil.example' <api-url>` | Allow-Origin ≠ evil.example | P1 |
| 6.9 | CSRF: `serverActions.allowedOrigins` yalnız açık host listesi (`*` yalnız gerekçeyle); proxy `x-forwarded-host`'u doğru iletir; Origin başlığı olmayan action isteği yalnız uyarıyla geçtiği için kritik action'da ek kontrol; çerezle yetkili POST route handler'ları Origin kontrolü yapar; GET durum değiştirmez | `grep -n -A4 allowedOrigins next.config.*` · `curl -s -o /dev/null -w "%{http_code}" -X POST -H 'Origin: https://evil.example' <uc>` | yabancı origin kabulü = 0 | P2 |

## Adım 7 — Hız sınırlama ve kötüye kullanım
| # | Kontrol | Doğrulama | Eşik | Şiddet |
|---|---|---|---|---|
| 7.1 | Giriş, kayıt, parola sıfırlama, iletişim formları ve maliyetli AI uçları rate-limit'li. Giriş doğrudan Supabase Auth'a gidiyorsa Dashboard Auth > Rate Limits değerleri kanıttır | kod: her uçta limitleyici çağrısı · canlı (yalnız giriş, yanlış parola, geçerli gövdeyle): `for i in $(seq 1 15); do curl -s -o /dev/null -w "%{http_code} %header{retry-after}\n" -X POST -H 'Content-Type: application/json' -d '<gecerli-govde>' <uc>; done` (curl ≥ 7.84) | ≤ 15 denemede 429 + Retry-After | P1 |
| 7.2 | Limit deposu prod'da kurulu (in-memory fallback sayılmaz; serverless'ta her örnek ayrı sayar) | limit depo env adları prod scope'ta var mı (`vercel env ls production`, değer değil) | config-var-çalışmıyor = 0 | P1 |
| 7.3 | AI uçlarında kullanıcı başı kota ve girdi boyutu sınırı | kod incelemesi | sınırsız uç = 0 | P1 |

## Adım 8 — Ödeme ve webhook
| # | Kontrol | Doğrulama | Eşik | Şiddet |
|---|---|---|---|---|
| 8.1 | İmza HMAC/sağlayıcı SDK'sı ile HAM body (`await req.text()`) üzerinden, signing secret ile, timing-safe karşılaştırmayla | `git grep -n -e "json()" -e "text()" -e constructEvent -e timingSafeEqual -- '*webhook*'`; imza hesabından önce `json()` yok, `===` ile imza karşılaştırması yok | parse sonrası hash = 0 | P0 |
| 8.2 | Fail-closed: imza bozuksa 400/401 ve iş mantığı çalışmaz | bozuk imzalı istek; DB değişmemeli | = 0 | P0 |
| 8.3 | Idempotency: olay id'si unique kaydedilir, tekrar teslimde ikinci etki yok | aynı olayı iki kez gönder | çift etki = 0 | P1 |
| 8.4 | Abonelik yeniden aktivasyonu yalnız webhook ya da sağlayıcıya gerçek çağrıyla; admin PATCH ile `active` yapılamaz | webhook'suz `status=active` denemesi | yol = 0 | P0 |
| 8.5 | Elle durum değiştiren her admin ucu `{who, when, old_status, new_status}` audit satırı yazar; negatif admin testi var | admin PATCH sonrası audit tablosu | audit'siz değişiklik = 0 | P1 |

## Adım 9 — Hata sızıntısı, log ve PII
| # | Kontrol | Doğrulama | Eşik | Şiddet |
|---|---|---|---|---|
| 9.1 | Prod hata yanıtında yığın izi, SQL ya da iç yol yok | bozuk girdiyle istek; gövdeyi incele | = 0 | P1 |
| 9.2 | Tarayıcı source map'i açık değil (Sentry eklentisi map üretiyorsa yükleme sonrası silinmeli) | `grep -n productionBrowserSourceMaps next.config.*` · canlıda 13.4 | 404/403 | P2 |
| 9.3 | Debug/test uçları (`/api/debug`, `/api/test`, env döken health) prod'da yok | `git ls-files \| grep -E 'route\.(t\|j)sx?$' \| grep -iE 'debug\|test\|health\|env\|seed'` + canlı HTTP kodu | = 0 | P1 |
| 9.4 | Log ve hata izleme payload'larında token, anahtar, parola, PII yok | `git grep -nE "console\.(log\|error)\(.*(token\|password\|secret\|key\|email\|session)" -- app src lib` | = 0 | P1 |
| 9.5 | Sentry (varsa): `sendDefaultPii: false`, `beforeSend` IP/çerez/gövde temizler, DSN env'de (NEXT_PUBLIC_ DSN build-time gömülür: değişince yeniden dağıt), veri bölgesi bilinçli seçilmiş | `git grep -n -A15 "Sentry.init"` · test hatası gönder, panelde IP/çerez/gövde alanı | PII = 0 | P1 |

## Adım 10 — Supabase Auth ayarları
Prod ayarı Dashboard'dadır; `supabase/config.toml` yalnız yerel/`config push` edilen değerdir. Toplu okuma (yalnız seçili alanlar; ham yanıtta sırlar var, basma): `curl -s -H "Authorization: Bearer $SUPABASE_ACCESS_TOKEN" https://api.supabase.com/v1/projects/<ref>/config/auth | jq '{mailer_autoconfirm, password_hibp_enabled, password_min_length, jwt_exp, refresh_token_rotation_enabled, mfa_totp_enroll_enabled, uri_allow_list}'` (alan adları doğrulanmadı; null dönen alanı Dashboard'dan oku).
| # | Kontrol | Doğrulama | Eşik | Şiddet |
|---|---|---|---|---|
| 10.1 | E-posta doğrulaması | atıf: «Web profesyonel temel özellikler» A1 | — | — |
| 10.2 | Sızmış parola koruması (HaveIBeenPwned) açık; Pro plan özelliği, Free'de uygulama tarafında kontrol | Auth > Password security · `password_hibp_enabled` | açık ya da eşdeğeri | P1 |
| 10.3 | Parola en az 15 karakter (tek faktör) / 8 (MFA'lı); en az 64 karaktere izin; zorunlu karmaşıklık ve periyodik değişim yok (NIST SP 800-63B Rev.4) | Auth ayarı + form doğrulaması | 15/8 · ≥64 | P2 |
| 10.4 | MFA seçeneği sunuluyor; admin hesaplarında zorunlu | Auth > MFA · Adım 2.9 | admin için açık | P1 |
| 10.5 | Access token ömrü kısa (öneri ≤ 1 saat); refresh token rotasyonu açık | Auth > Sessions / JWT expiry | ≤ 3600 sn | P2 |
| 10.6 | Site URL ve Redirect URL izin listesi prod'da joker (`**`) içermez; yalnız gerçek alanlar | Auth > URL Configuration | joker = 0 | P1 |
| 10.7 | OAuth: Authorization Code + PKCE; implicit akış yok | `grep -rn -e flowType -e response_type=token .` | implicit = 0 | P1 |

## Adım 11 — Migration güvenliği
| # | Kontrol | Doğrulama | Eşik | Şiddet |
|---|---|---|---|---|
| 11.1 | `CREATE OR REPLACE FUNCTION` imza değişiminde önce `DROP FUNCTION` (yoksa eski overload kalır, "is not unique") | `grep -rn "create or replace function" -i supabase/migrations/` ve imza geçmişi | yetim overload = 0 | P1 |
| 11.2 | Migration dosyalarındaki tüm tablo/fonksiyon prod'da var (yarım koşu yok) | `supabase migration list` · `information_schema.tables` ile tek tek | yarım koşu = 0 | P1 |
| 11.3 | Her migration geri alınabilir (geri alma SQL'i ya da yazılı geri dönüş yolu) | migration başına not | eksik = 0 | P2 |
| 11.4 | Canlı kullanıcı taşıyan DB'de migration önce izole staging'de denenir; PR'da kanıt (iç pratik, doğrulanmadı) | PR açıklaması · staging vs prod `supabase migration list` | kanıtsız prod migration = 0 | P1 |

## Adım 12 — Olay müdahale hazırlığı
| # | Kontrol | Doğrulama | Eşik | Şiddet |
|---|---|---|---|---|
| 12.1 | Her anahtar için yazılı rotasyon yolu: önce yeni anahtar devreye, sonra eski kapatılır; eski anahtarla istek reddedilir | runbook var mı · eski anahtarla test | şüpheden rotasyona ≤ 24 saat (pratik konsensüs) | P1 |
| 12.2 | Sorumlu kişi/rol ve iletişim yolu tanımlı; ilk adım sınırlama (NIST SP 800-61 Rev.3) | runbook | tanımlı | P2 |
| 12.3 | Olay kaydı şablonu: bulundu / sınırlandı / kapandı / doğrulandı ayrı zaman damgalı; şiddet 3 boyut (aktif istismar · veri sızıntısı · etkilenen kayıt) | şablon var mı | eksik alan = 0 | P2 |
| 12.4 | Kişisel veri ihlal bildirimi (KVKK/GDPR süresi) | atıf: «Web profesyonel temel özellikler» M2 | — | — |

## Adım 13 — Canlı kontroller
{{#if canli_url}}Hepsini {{canli_url}} üzerinde koş; yalnız HTTP kodu ve başlık kaydet, gövde içeriğini (özellikle .env) rapora koyma.
| # | Kontrol | Komut | Beklenen | Şiddet |
|---|---|---|---|---|
| 13.1 | Güvenlik başlıkları (Adım 6) | `curl -sI {{canli_url}}` | 6.1-6.5 eşikleri | Adım 6 |
| 13.2 | `/.env` ve `/.git/config` erişimi | `curl -s -o /dev/null -w "%{http_code} %{content_type} %{size_download}\n" {{canli_url}}/.env` (aynısı `/.git/config`); 200 + text/html ise özel 404 sayfası olabilir, gövdeyi basmadan `curl -s <url> \| grep -c '^\[core\]'` ya da `grep -cE '^[A-Z_]+='` ile say | 404/403 ya da eşleşme 0 | P0 |
| 13.3 | Korumalı API'ler oturumsuz 401/403 döner, 500 değil | `curl -s -o /dev/null -w "%{http_code}" {{canli_url}}/api/<korumalı>` | 401/403 | P1 |
| 13.4 | Source map erişimi | sayfa HTML'indeki bir chunk için `<chunk>.js.map` HTTP kodu | 404/403 | P2 |
| 13.5 | CORS yansıması | Adım 6.8 komutu | aynı eşik | P1 |{{else}}Canlı URL verilmedi: Adım 13'ü ve canlı ölçüm gerektiren satırları "Ölçülemeyenler"e "canlı URL yok" diye yaz.{{/if}}

{{#if duzelt}}## Düzeltme
P0 ve P1 bulguları şiddet sırasıyla düzelt: bulgu başına minimal diff + bulguyu yeniden üreten test (ya da doğrulama komutu çıktısı). Davranış değiştiren ya da şema değiştiren düzeltmede önce planı yaz. Sızan sır için kod düzeltmesi yetmez: rotasyon adımını "Sıradaki 3 adım"a koy.
{{#if musteri}}Müşteri projesi: dosyayı değiştirme, commit/push yapma; her düzeltmeyi yama (diff metni) ve önerilen dal adıyla rapora ekle.{{else}}Her düzeltmeyi ayrı commit yap (yalnız açık dosya yolları stage edilir; push yapma, push kararı kullanıcıda); düzeltme sonrası doğrulama komutunu tekrar koş ve sonucu bulgu satırına yaz.{{/if}}
{{/if}}
## Çıktı (bu sırayla)
## Verdikt
Tek cümle + GEÇ/KAL. KAL: açık P0 varsa ya da sahibi ve tarihi yazılı olmayan açık P1 varsa (paket ortak kural).
## Bulgular
| ID | Alan | Nerede | Ölçülen | Beklenen/eşik | Şiddet | Düzeltme | Doğrulama |
|---|---|---|---|---|---|---|---|
(P0 → P3 sıralı; {{#if duzelt}}düzeltilenlerde Doğrulama sütununa düzeltme sonrası sonucu yaz{{else}}yalnız bulgu ve öneri{{/if}})
## Temiz bulunanlar
Kontrol numarası + kanıt (komut ve sonuç özeti). Atlanamaz: kapsamı gösterir.
## Ölçülemeyenler
Kontrol numarası + neden (erişim yok, canlı URL yok, kapsam dışı, araç yok).
## Geçerli değil
Kontrol numarası + Adım 0'daki gerekçe.
## Sıradaki 3 adım
Şiddet ve etkiye göre üç somut iş; her biri tek cümle ve doğrulama komutuyla. Repo canlıdan ilerideyse ilk adım dağıtım durumunu netleştirmek olur.
{{#if musteri}}## Müşteri özeti
Teknik olmayan dille en çok 6 satır: genel durum, en büyük risk, ne yapılmalı, ne kadar acil.{{/if}}

Geri bildirim: Bu prompt bir kontrolü kaçırdıysa, yanlış eşik verdiyse ya da PLE'de bir aksaklık gördüysen tek satır yaz: ple feedback --type prompt --prompt "Web güvenlik denetimi (Next.js + Supabase)" "<ne eksik → ne olmalı>" (PLE aksaklığında --type bug ya da missing; komut yoksa raporun sonuna «PLE geri bildirim:» satırı ekle).