VAKA ÇALIŞMASI · TIANTECH İÇ ÇALIŞMASI
Kendi sistemimizde uyguladığımız yaklaşım.
Bu çalışma TianTech’in kendi kurumsal web sitesine aittir; müşteri referansı değildir. Müşteri adı, logosu, sonucu veya onayı varmış gibi sunulmaz.
Problem
Self-hosted font çıktısında dahili build dizini bilgisi ve inline scriptlere geniş izin veren bir Content Security Policy (CSP, tarayıcı içerik güvenliği politikası) vardı. Hedef tasarımı değiştirmeden kaynak ve build düzeyinde kalıcı düzeltmeydi.
Yaklaşım
Fontlar aynı alan adındaki public asset yollarına taşındı. Script ve style blokları response başına rastgele nonce (tek yanıta özgü izin değeri) ile sınırlandırıldı. Kullanıcıya dönen hata yanıtları sadeleştirildi; güvenlik kontrolleri build sürecine alındı.
Doğrulama nasıl yapıldı?
- Production HTML, font CSS ve preload header içinde dahili yol ifşası tarandı.
- Inline bootstrap/hydration scriptlerinin CSP nonce değeriyle eşleşmesi kontrol edildi.
- 404 ve 500 yanıtlarının ayrıntılı stack trace veya çalışma yolu yayımlamaması test edildi.
- Font dosyaları ve security.txt erişimi kontrol edildi; public source map yayımlanması engellendi.
Tekrarlanabilir testler kaynak repodaki tests/rendered-html.test.mjs dosyasında tutulur. Yeni production build bu kontrolleri geçmeden paketlenmez.
Bu sonuç neyi göstermez?
Çalışma bütün güvenlik açıklarının giderildiği, sızma testi yapıldığı, sertifikasyon alındığı veya bir müşteri için gelir artışı sağlandığı anlamına gelmez. Sayısal ticari kazanım iddiası kullanılmaz; güvenlik doğrulaması her yayınla tekrar edilir.
Bulgu ve düzeltme planı için açıklamalı örnek ↗