Sızma testi nedir?
Yönetici ön değerlendirmeyi, geliştirici teknik raporu okur. Sızma testi, imzalı formdaki yerlere bakılıp her maddenin elle kapanmasıdır. Araç yalnız aday listesi açar. Güncelleme: Kasım 2026. Teklif ve kapsam sızma testi ve penetrasyon testi sayfasında konuşulur.
İki dosya çıkar
İlki ön değerlendirme özetidir. Yönetici bunu okur. Kapakta kapsam, dönem, sürüm ve bulgu sayısı durur. İçinde neye bakıldığı, kaç maddenin çıktığı ve bunun sistem için ne anlama geldiği vardır. Tek başına küçük duran iki maddenin birleşince neye döndüğü de bu dosyada anlatılır.
İkincisi teknik rapordur. Geliştirici ve güvenlik ekibi bunu okur. Bölüm sırası sabittir: yönetici özeti, metodoloji ve kapsam, bulgu tablosu, bulgular, denenip kapanan yollar, düzeltme planı, temiz çıkan alanlar, açık kalan noktalar, sorumluluk ayrımı.
Düzeltme planı üç dilime ayrılır. İlk 30 gün, 1–3 ay, 3–12 ay. Her maddenin yanında kimin düzelteceği yazar: platformun kendi davranışı mı, kurumun ayarı mı.
Ön değerlendirme, tam raporun yerine geçmez. Ne bakıldığını, ne çıktığını ve tam dosyada ne olduğunu söyler. İkisi de gizlidir. Yalnızca kurumun belirlediği alıcılara gider.
İş imzayla başlar
Test, kapsam ve yetkilendirme formu imzalanmadan başlamaz. Sözlü liste gün yazdırmaz. Formda şunlar kilitlenir: taraflar, acil durduracak kişi, amaç, kara kutu mu gri kutu mu beyaz kutu mu, dış ağ mı iç ağ mı, duyurulu mu duyurusuz mu, bakılacak alanlar, her varlığın adresi ve ortamı, verilen test hesapları, tarih, saat, kaynak adres ve hız.
Form dışı adres kapsam dışıdır. Bulut, barındırma veya hazır yazılım başkasının elindeyse o tarafın yazılı izni de gerekir. İzin yoksa o hesaba istek gitmez.
Aksi formda ayrıca açılmadıkça hizmet engelleme, üretim verisini silme veya dışarı çıkarma, sosyal mühendislik, fiziksel giriş ve kalıcılık kapalıdır. Müşterinin kişisel hesabına girilmez. Kişisel veriden, açığı göstermek için gereken en az örnek alınır. Raporda ad, telefon, kart ve parola maskelenir.
Formun teslim listesinde yönetici özeti, teknik rapor, düzeltme planı, yeniden test ve kapanış sunumu vardır. Düzeltme planı teknik raporun içindedir. Yeniden test, ilk listedeki madde numarasına bakar.
Araç listeyi açar
Tarama, aracın bildiği kontrolleri dolaşıp aday satır dökmesidir. O liste işin başında kullanılır. Her satır elle kapanır. Açılan satır bulgu olur. Denenip kapanan satır kapsam kaydında elendi diye durur. Aracın yanlış eşleştirdiği satır, kanıtı tamamlanmadan yüksek yazılmaz.
Hız düşük tutulur. Hedef hız sınırı, hizmet hatası veya doğrulama duvarı verirse iş durur. Bekleme bitince kaldığı yerden devam edilir. Beklenmeyen etki veya kapsam dışına taşma olursa faaliyet durur ve formdaki kişi aranır. Kurum da testi durdurma yetkisini formda tutar.
Yöntem hibrittir. Ağırlık kara kutudadır. Kurum hesap verdiyse gri kutu ile derinleşir. Plan OWASP test rehberi ve PTES üzerindedir. Sınıf CVSS ve CWE ile yazılır.
Kapsam kaydı beş sonuç bilir
İç dosyada bakılan her yüzey bir satırdır. Sonuç beş etiketten biridir.
- Bulgulu: elle doğrulandı, rapora girdi.
- Elendi: denendi, kanıtıyla kapandı.
- Temiz: bakıldı, kayda değer sorun çıkmadı.
- Uygulanamaz: o kontrol bu sistemde yok.
- Açık kalan: bakılamadı veya kanıt bitmedi.
Açık kalan satır temiz yazılmaz. Yanına, kanıtın neden bittiği ve devam için ne gerektiği konur. Hesap açılmadıysa, sipariş kaydı oluşmadıysa veya yönetim hesabı verilmediyse o yüzey bu listede kalır.
Ham klasör müşteriye teslim değildir. İçinde kapsam kaydı, açık noktalar, bulgu dosyaları, istek ve yanıt çiftleri, ham kayıt, ekran görüntüsü, parmak izi, uç envanteri ve adres listesi durur. Teknik rapora, bunlardan maskelenmiş kanıt girer.
Bulgu kartında ne durur
Her madde numaralıdır. Kartta önem, CVSS, CWE, sorumlu taraf, etkilenen uç ve durum vardır. Durum, uçtan uca doğrulandı mı yoksa sınırlı mı kaldı, onu söyler. Ardından teknik ayrıntı, sömürülürse ne olacağı, maskeli istek ve yanıt, kanıt kodu ve düzeltme maddeleri gelir.
Kanıt kodu, raporu okuyan ekibin kendi test hesabıyla aynı sonucu görmesi içindir. Kod, kurumun hesabıyla çalışır. Kamuya açık sayfada istek, yanıt ve kod yayınlanmaz.
Bazı maddeler zincir olur. Tek başına orta duran iki satır birlikte yüksek etkiye çıkıyorsa, ön değerlendirmenin etki bölümünde bu birleşme yazılır. Olay müşteri ekranında sessiz kalıyorsa, özet bunu da söyler. Günlükte iz bırakmayan açık, raporda “küçük” diye geçiştirilmez.
Elle kapanan yerler kabaca şunlardır: kayıt ve e-posta doğrulaması, parola kuralı, girişte hız sınırı, çıkışın sunucudaki oturumu kapatıp kapatmadığı, çerez bayrakları, sıfırlama değerinin ömrü, başka kullanıcının kaydına yazma, enjeksiyon ve betik, fiyat ve adım atlama, dosya yükleme, API kimliği, savunma başlıkları. Sonuç yoksa elendi yazılır. Bulgu diye konmaz.
Yeniden test aynı numaraya bakar
Düzeltme çıkınca aynı madde numarasına, aynı ortamda bir kez daha bakılır. Kapanan madde kapanır. Kapanmayan madde açık kalır. Yeni keşif bu turun içine yazılmaz. Ayrı iş olarak konuşulur.
Bu sayfa bir müşteri dosyasının özeti değildir. Örnek bir işin klasör düzeninden, müşteri adı ve kanıt çıkarılıp alınan çalışma biçimidir. Sitedeki örnek satırlar da bu sayfa için yazılmıştır.
İlgili yazılar: tarama ile testin ayrımı, izin formunda kilitlenen satırlar, iki dosyada ne aranacağı, gün gün sıra.