SEO İçin Bilmeniz Gereken Güvenlik HTTP Başlıkları (Headers)

Bir web sitesinin arama motoru optimizasyonunda (SEO) güvenlik; yalnızca standart bir SSL/TLS sertifikasına sahip olmaktan ibaret değildir. Sunucunun her HTTP isteğinde tarayıcıya döndürdüğü Güvenlik HTTP Başlıkları (Security HTTP Headers); sitenizi XSS (Cross-Site Scripting), Clickjacking ve Man-in-the-Middle (MitM) saldırılarına karşı koruyarak Google’ın güvenilirlik ve sayfa deneyimi sıralama sinyallerini pekiştirir.

Güvenlik açığı nedeniyle hacklenen bir sitenin arama sonuçlarında “Bu site güvenli değil” uyarısı alıp tüm organik trafiğini kaybetmesini önleyen 6 temel güvenlik HTTP başlığı ve Nginx / Cloudflare konfigürasyon standartları uygulanmalıdır.

---

1. 6 Kritik Güvenlik HTTP Başlığı ve İşlevleri

[Tarayıcı Sunucuya İstek Atar] ──> [Sunucu Güvenlik Başlıklarıyla Yanıt Döner (HTTP Response Headers)]
                                                      │
         ┌──────────────────────────────┬─────────────┴──────────────┬──────────────────────────────┐
         ▼                              ▼                            ▼                              ▼
  [1. HSTS (Strict-HTTPS)]      [2. CSP (Script Kalkanı)]    [3. X-Frame-Options]          [4. Referrer-Policy]
  Zorunlu Şifreli İletişim      Zararlı JS Enjeksiyonunu     Tıklama Sahtekarlığını         Organik Analitik Verisini
  ve SSL Açıklarını Engeller    (XSS) Kökten Bloke Eder      (Clickjacking) Engeller        Gizlilikle Korur

HTTP Güvenlik Başlığı	Önerilen Değer	Engellediği Güvenlik Riski
1. Strict-Transport-Security (HSTS)	max-age=31536000; includeSubDomains; preload	Tarayıcıyı 1 yıl boyunca yalnızca HTTPS kullanmaya zorlar; SSL düşürme (SSL Strip) saldırılarını engeller.
2. Content-Security-Policy (CSP)	default-src 'self'; script-src 'self' https://trusted.com;	Sayfada yalnızca onaylı kaynaklardan JavaScript ve stil çalıştırılmasına izin verir (XSS Engeli).
3. X-Frame-Options	SAMEORIGIN veya DENY	Sitenizin başka bir sitede <iframe> içine gömülerek sahte tıklama (Clickjacking) yapılmasını engeller.
4. X-Content-Type-Options	nosniff	Tarayıcının bir metin veya görsel dosyasını zararlı bir script olarak yorumlamasını (MIME Sniffing) engeller.
5. Referrer-Policy	strict-origin-when-cross-origin	Kullanıcı dış bir linke tıkladığında hassas URL parametrelerinin sızmasını önlerken analitiği korur.
6. Permissions-Policy	geolocation=(), camera=(), microphone=()	Sitenizde izinsiz kamera, mikrofon ve konum API’lerinin kullanılmasını yasaklar.

---

2. Nginx Sunucusunda Güvenlik Başlıkları Konfigürasyonu

Aşağıdaki satırları Nginx sanal sunucu bloğunuza (server {}) ekleyin:

# Güvenlik HTTP Başlıkları (Nginx Konfigürasyonu)
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;

---

3. Güvenlik Başlıkları Nasıl Test Edilir?

• SecurityHeaders.com: Alan adınızı girip test edin; amaç A+ Derecesi (Grade A+) almaktır.
• Chrome DevTools: F12 > Network > Headers alanında dönen Response Headers listesini inceleyin.

---

Sıkça Sorulan Sorular

HSTS Preload listesine girmek zorunlu mudur?

Zorunlu değildir; ancak alan adınızı hstspreload.org listesine kaydettirmek tarayıcıların sitenize ilk bağlantıda bile doğrudan şifreli HTTPS ile bağlanmasını sağlar.

CSP başlığı Google Analytics veya GTM kodlarını bozar mı?

Eğer CSP kuralınızda https://www.googletagmanager.com ve https://www.google-analytics.com izinlerini tanımlamazsanız izleme kodlarınız çalışmaz; bu nedenle CSP kuralı dikkatle test edilmelidir.

---

Stratejik Sonuç

Güvenlik HTTP başlıkları, sitenizin teknik siber dayanıklılığını artırarak arama motorlarına ve kullanıcılara tavizsiz bir güvenlik deneyimi sunar. Kurumsal sunucu ve güvenlik yapılandırmaları için özel yazılım çözümlerimizi inceleyin.

İlgili Yazılar

• Video SEO: Google Video Arama Sonuçlarında İlk Sıraya Çıkma
• Sesli Arama SEO (Voice Search Optimization) ve Konuşma Dili
• Yerel SEO Nedir? Google İşletme Profili ve Bölgesel Görünürlük
• Teknik SEO Nedir? Tarama, İndeksleme ve Site Hızı Rehberi
• SEO Ajansı Nedir? Ne İş Yapar, Nasıl Seçilir?

Daha kapsamlı destek için: SEO Danışmanlığı hizmetimize göz atın.