Secret ve bağımlılık güvenliği

Bir uygulama iki yoldan, kendi kodunuzda hiçbir hata yokken de ele geçirilebilir. Ya bir anahtar sızar ya da kurduğunuz bir paket kötü kod taşır. Bu ders ikisinin de en sık görülen hâllerini ve basit önlemlerini anlatıyor.

Secret Nereden Sızar

1. İstemci paketi. NEXT_PUBLIC_ önekli her değişken derleme anında JavaScript paketine yazılır ve herkes okuyabilir.¹ Secret okuyan modülün başına import "server-only" ekleyin; bir Client Component onu import ederse derleme hata verir.¹

2. Props. Server Component'ten Client Component'e verilen her değer tarayıcıya gider. Veritabanından gelen kullanıcı nesnesini olduğu gibi aktarırsanız parola özeti ya da e-posta gibi alanlar da gider. Next.js bu yüzden yalnızca gereken alanları taşıyan küçük nesneler (DTO) döndürmeyi önerir:¹

// lib/users.ts
import "server-only";

export async function getProfileDTO(id: string) {
  const user = await db.user.findUnique({ where: { id } });

  return { name: user.name, avatarUrl: user.avatarUrl };
}

3. Git geçmişi. Anahtarı içeren dosyayı silmek yetmez, eski commit'lerde durur. OWASP sızan bir anahtar için sırayı şöyle verir: önce iptal et, sonra yenisini üret, en son kayıtlardan temizle.² Geçmişi yeniden yazmak diğer kopyaları düzeltmez; anahtarı iptal etmek tek kesin çözümdür.

Tedarik Zinciri

Bir paket kurmak, onun ve onun bağımlılıklarının yazarlarına güvenmek demektir. Liran Tal, ortalama bir npm paketiyle onlarca bakımcıya güvendiğinizi hatırlatır.⁴ Saldırgan bu bakımcılardan birinin hesabını ele geçirirse kötü kod sizin bilgisayarınıza ve CI'ınıza kadar gelir.

Eylül 2025'te Shai-Hulud adlı bir solucan 500'den fazla npm paketini ele geçirdi. CISA'nın uyarısına göre paket kurulduğunda bilgisayardaki GitHub token'larını ve bulut anahtarlarını topladı. Sonra geliştiricinin npm hesabıyla onun diğer paketlerine de kendini ekleyip yayınladı.⁵

Saldırıların çoğu üç kapıdan girer:⁴⁶

Kurulumu Sıkılaştırmak

Lockfile ile kurun

Lockfile, hangi sürümün kurulacağını sabitler. CI'da npm install yerine npm ci kullanın: lockfile ile package.json uyuşmazsa kurulum durur, sessizce yeni sürüm gelmez.⁶

Kurulum script'lerini onaylayın

Shai-Hulud gibi saldırılar kodlarını postinstall script'inde çalıştırır. npm npm 12 bağımlılıkların kurulum script'lerini artık varsayılan olarak çalıştırmıyor; pnpm pnpm bunu v10'dan beri yapıyor.⁷⁸

$ pnpm add esbuild

npm warn install-scripts 1 package had install scripts blocked because they are not covered by allowScripts:
npm warn install-scripts   esbuild@0.25.0 (postinstall: node install.js)

Paketi tanıyorsanız npm install-scripts approve esbuild ile onaylarsınız. Onay package.json'daki allowScripts alanına sürümüyle birlikte yazılır.⁷ Testte esbuild 0.25.1'e yükseltilince onay yeniden istendi.

Yeni sürümü hemen kurmayın

Ele geçirilmiş bir sürüm çoğu zaman topluluk tarafından fark edilip kaldırılır. Yeni sürümü birkaç gün beklemek, bu süreyi size kazandıran ucuz bir önlemdir.⁴

# .npmrc
min-release-age=7

npm 11.10'dan beri bu ayar, son 7 gün içinde yayınlanan sürümleri kurulumdan çıkarır.⁷ Testte next@16.4.2 6 gün önce yayınlandığı için kurulmadı, yerine 16.4.1 geldi. pnpm'de aynı işi minimumReleaseAge yapar.⁸

Güncellemeleri bir bota bırakın

Dependabot ya da Renovate güncellemeleri pull request olarak açar. Testler geçmeden hiçbir sürüm ana dala girmez. Dependabot'un cooldown ayarı da yeni sürümleri birkaç gün bekletir; güvenlik güncellemeleri bu beklemeye takılmaz.⁹

# .github/dependabot.yml
version: 2
updates:
  - package-ecosystem: "npm"
    directory: "/"
    schedule:
      interval: "weekly"
    cooldown:
      default-days: 7

Bilinen açıkları tarayın

npm audit, bağımlılıklarınızda bilinen bir açık olup olmadığını söyler. Ama yalnızca bilinen açıkları bulur; yeni yayınlanmış kötü bir sürümü yakalamaz.⁶

Kendin Dene

• Bir projede npm install --min-release-age=7 çalıştırın ve npm ls ile hangi sürümlerin geldiğine bakın.

• .env.local'e sahte bir anahtar yazıp yanlışlıkla commit'leyin. Sonra dosyayı silip git log -p ile anahtarın geçmişte hâlâ durduğunu görün.

• package.json'daki allowScripts alanını okuyun. Hangi paketin neden kurulum script'i çalıştırdığını araştırın.

Detaylı Öğrenmek İçin

• Resmi doküman: OWASP NPM Security Cheat Sheet; lockfile, kurulum script'leri, typosquatting ve trusted publishing.⁶

• Konuşma: Liran Tal, "Security Controls in the JavaScript Supply Chain" (JSNation 2022, 28 dk); lockfile'a gizlenen kod, kurulum script'leri ve gecikmeli güncelleme.⁴

• Resmi doküman: CISA, Shai-Hulud uyarısı; gerçek bir saldırının nasıl yayıldığı ve önerilen adımlar.⁵