API Güvenliği: OAuth2 Scope, Rate Limit ve OWASP API Top 10

Bu rehberde ne öğreneceksiniz?

Bu yazı bir haber özeti değil; adım adım uygulayabileceğiniz bir öğretici makale (tutorial) formatındadır. Her bölümün sonunda pratik çıkarımlar ve üretim ortamında karşılaşacağınız senaryolar yer alır.

• BOLA/IDOR risklerini kapatmak
• Rate limit ve API key rotation
• Scope tabanlı yetkilendirme
• Audit log ve anomaly detection

Ön koşullar

Rehberi verimli takip etmek için aşağıdaki bilgilere aşina olmanız önerilir. Eksik hissettiğiniz konularda ilgili bölümde ek kaynak ipuçları bulacaksınız.

• REST/GraphQL
• HTTP status kodları

Güncellik ve teknoloji yığını

Makale 2026 itibarıyla güncellenmiştir. Örnekler ve API referansları şu yığınla uyumludur: Next.js Route Handlers, Auth.js, Redis rate limit. Eski sürüm dokümantasyonu ile karıştırmamak için major versiyon farklarını özellikle belirttik.

Framework sürümleri hızla değişir; kalıcı olan prensipler (güvenlik, katman ayrımı, ölçüm) bu rehberin omurgasını oluşturur.

BOLA ve resource ownership

Her GET /api/blogs/:id isteğinde sahiplik veya public flag kontrol edin.

export async function DELETE(req: Request, { params }: { params: { id: string } }) {
  const session = await auth();
  if (!session?.user?.id) return Response.json({ error: "Unauthorized" }, { status: 401 });

  const blog = await prisma.blog.findUnique({ where: { id: params.id } });
  if (!blog || blog.authorId !== session.user.id) {
    return Response.json({ error: "Forbidden" }, { status: 403 });
  }
  await prisma.blog.update({ where: { id: params.id }, data: { deletedAt: new Date() } });
  return Response.json({ ok: true });
}

Rate limiting

IP + user id composite key ile sliding window Redis limit uygulayın.

Rate limiting — Uygulama adımları

Aşağıdaki adımları sırayla uygulayın. Her adım tamamlandığında bir sonrakine geçin; özellikle güvenlik ve veri bütünlüğü adımlarını atlamayın.

Adım adım uygulama

Aşağıdaki sırayı takip edin. Her adımı tamamlamadan bir sonrakine geçmeyin; özellikle güvenlik ve veri katmanı adımları atlanmamalıdır.

1. @upstash/ratelimit veya custom Lua
2. 429 + Retry-After header
3. Auth endpoint'te daha sıkı limit

Audit ve secret yönetimi

API key'leri log'lamayın; rotation takvimi oluşturun.

Production ortamında API güvenliği ile ilgili en sık görülen sorun, geliştirme ortamındaki varsayımların (küçük veri seti, tek kullanıcı, sıcak cache) canlı trafikte çökmemesidir. Bu yüzden her değişiklikten önce yük testi veya en azından p95 latency ölçümü yapın.

Structured logging (request id, route, süre, kullanıcı id’si — PII olmadan) ve hata oranı alarmları, sorunları kullanıcı şikayetinden önce yakalamanızı sağlar. Log’da stack trace tutun; kullanıcıya generic mesaj gösterin.

Dokümantasyonu kod ile birlikte güncelleyin: README, ADR (Architecture Decision Record) veya ekip wiki’sinde “neden bu kararı aldık?” sorusunun cevabı gelecekteki sizin en büyük yardımcınızdır.

Derinlemesine: Senaryo çalışması

Gerçek bir ekip senaryosu: Cuma akşamı deploy sonrası hata oranı yükseldi. Aşağıdaki kontrol listesi ile kök nedeni daraltın.

Son deploy diff'ine bakın: şema migration, env değişikliği, feature flag açılışı.

Trace id ile tek bir başarısız isteği uçtan uca izleyin (edge → server → DB).

Gerekirse kill switch veya önceki imaja rollback; veri migration geri alınamazsa kod rollback yeterli olmayabilir.

Adım adım uygulama

Aşağıdaki sırayı takip edin. Her adımı tamamlamadan bir sonrakine geçmeyin; özellikle güvenlik ve veri katmanı adımları atlanmamalıdır.

1. Metrik panosunda hata oranı ve p95 latency
2. Log'da son 15 dakika exception grupları
3. Son başarılı deploy tag'ine dönüş kararı

Production checklist

Canlıya çıkmadan önce bu maddeleri review edin.

Production ortamında üretim ortamı ile ilgili en sık görülen sorun, geliştirme ortamındaki varsayımların (küçük veri seti, tek kullanıcı, sıcak cache) canlı trafikte çökmemesidir. Bu yüzden her değişiklikten önce yük testi veya en azından p95 latency ölçümü yapın.

Structured logging (request id, route, süre, kullanıcı id’si — PII olmadan) ve hata oranı alarmları, sorunları kullanıcı şikayetinden önce yakalamanızı sağlar. Log’da stack trace tutun; kullanıcıya generic mesaj gösterin.

Dokümantasyonu kod ile birlikte güncelleyin: README, ADR (Architecture Decision Record) veya ekip wiki’sinde “neden bu kararı aldık?” sorusunun cevabı gelecekteki sizin en büyük yardımcınızdır.

• Rate limit ve timeout tanımlı
• Secret'lar secret manager'da
• Health check ve readiness probe çalışıyor
• Alarm eşikleri tanımlı (5xx, latency)

Sık yapılan hatalar

Aşağıdaki tuzaklar eğitim ortamlarında nadiren, production'da ise pahalıya mal olur. Code review checklist'inize eklemenizi öneririz.

• UUID ile security through obscurity
• Admin endpoint'te aynı auth
• Verbose error body

Pratik alıştırmalar

Okumak yeterli değildir; öğrenmeyi pekiştirmek için küçük bir side-project veya mevcut kod tabanınızda şu görevleri uygulayın:

1. IDOR test case yazın
2. Rate limit integration test

Özet ve sonraki adımlar

Bu rehberdeki prensipleri tek seferde tüm projeye uygulamaya çalışmayın. Önce tek bir route veya modül seçin, ölçün, sonra yaygınlaştırın.

• mTLS servisler arası
• WAF kuralları