Sızma testi raporunda ne yazar

Yönetici özeti okur. Geliştirici kartı okur. Sızma testi bu iki dosyayı çıkarır. Kalın dosya, eksik kartın yerine geçmez. Güncelleme: Kasım 2026. Dosyayı nasıl isteyeceğiniz penetrasyon testi sayfasında konuşulur.

Ön değerlendirme

Kapak, güvenlik değerlendirmesi başlığını, kapsamı, dönemi, sürümü ve bulgu sayısını taşır. Kısa cümle, neye bakıldığını ve ne çıktığını söyler. Belge gizlidir. Yetkili taraf dışında paylaşılmaz.

İlk bölüm kısaca ne incelendiğini, kaç maddenin hangi seviyede olduğunu ve kapalı kalan kapıları anlatır. Sistemin her yüzeyi açık diye yazılmaz. Kapalı kalan yer de yazılır. Ardından sistem tablosu gelir: platform, ön yüz, kenar, kimlik, başlıklar, yönetim, ölçüm.

İkinci bölüm, sömürülürse ne olacağını olay hâlinde anlatır. Tek tek sınırlı görünen maddeler burada birleşir. Müşteri ekranında belirti yoksa, özet bunu söyler. Üçüncü bölüm, tam raporda ne olduğunu listeler. Özet, tam raporun yerine geçmez.

Teknik rapor

Kapak, aynı işin teknik dosyasıdır. Kapsam satırı daha uzundur: ön yüz, çağrı katmanı, API ve yönetim, formda ne varsa o. İç sıra şöyledir.

1. Yönetici özeti.
2. Metodoloji ve kapsam. Hedef, yöntem, sınıf.
3. Bulgu tablosu. Numara, başlık, sorumlu, önem, CVSS.
4. Bulgu kartları.
5. Denenip kapanan yollar.
6. Düzeltme planı. 30 gün, 1–3 ay, 3–12 ay.
7. Temiz çıkan alanlar ve kurumun kendi sertleştirmesi.
8. Açık kalan doğrulama noktaları.
9. Sorumluluk ayrımı.

Kartın içi

Numara B-01 diye gider. Başlık, olayın ne olduğunu söyler. Tabloda önem, CVSS, CWE, sorumlu taraf ve uç vardır. Durum cümlesi, doğrulamanın uçtan uca mı yoksa sınırlı mı olduğunu yazar. Teknik ayrıntı, geliştiricinin okuyacağı davranıştır. “Sömürülürse ne olur” etkiyi söyler. Adım adım saldırı tarifi, kamuya açık sitede yoktur. Müşteri dosyasında kanıt, maskeli istek ve yanıt olarak durur.

Kanıt kodu, raporu okuyan ekibin kendi test hesabıyla aynı sonucu görmesi içindir. Hesap alanları kurumun test hesabına göre doldurulur. Gerçek müşteri hesabı bu kodun içine yazılmaz. Kod, bu web sayfasında yayınlanmaz.

Düzeltme, uygulanabilir cümlelerdir. “Güvenliği artırın” bir düzeltme satırı değildir. Hangi kontrolün, hangi akışta, kimin tarafında değişeceği yazılır.

Olmayan şey

Kalın dosya, eksiği kapatmaz. Araç puanı, kartın yerine geçmez. Bakılmayan yüzey, temiz diye kapanmaz. Kişisel veri, kartta ham durmaz. Dosya, formdaki alıcı dışında referans diye gösterilmez.

Örnek satırlar, bir müşteri işinden kopya değildir: örnek rapor. Tarama farkı: tarama ile test.