01Sorun ve çözüm
Kod inceleme hizmetimizde deponuzu bağımsız bir gözle okuyor, otomatik analiz araçlarının bulgularını elle doğruluyor ve sonuçları önem derecesine göre sıralanmış, dosya ve satır referanslı bir raporla sunuyoruz. Her bulgunun yanında neden risk olduğu ve nasıl düzeltilebileceği yazılıdır; rapor, teknik olmayan yöneticiler için kısa bir özetle başlar.
02Kimler için
Kod inceleme hizmeti kimlere yarar
Bağımsız inceleme, kararın teknik bilgiye dayanması gereken anlarda değer üretir.
- Bir ajanstan ya da serbest geliştiriciden yazılım teslim almadan önce kaliteyi doğrulamak isteyen işletmeler
- Yazılım projesini başka bir ekibe devretmeye hazırlanan ve mevcut durumu belgelemek isteyen şirketler
- Yatırım turu, birleşme ya da satın alma öncesinde teknik ön inceleme yaptırmak isteyen girişimler
- Kendi ekibi olan ama dışarıdan ikinci bir göz isteyen, özellikle ödeme ya da kişisel veri işleyen ürün ekipleri
- Kod inceleme alışkanlığını ekibine yerleştirmek isteyen teknik yöneticiler
03İhtiyaçlar
İncelemede sık rastlanan sorunlar
Bulguların çoğu kötü niyetten değil, zaman baskısı altında alınan kısayollardan doğar.
- 01
Depoya girmiş gizli bilgiler
Veritabanı parolaları, ödeme kuruluşu anahtarları ya da bulut erişim bilgileri kod içine veya yapılandırma dosyalarına yazılmış olabilir. Silinmiş olsalar bile depo geçmişinde durmaya devam ederler.
- 02
Girdi doğrulama ve yetki eksikleri
Kullanıcıdan gelen veriyle doğrudan oluşturulan sorgular, sunucu tarafında kontrol edilmeyen yetkiler ve dosya yükleme açıkları sık görülen güvenlik bulgularıdır.
- 03
Güncellenmemiş bağımlılıklar
Projede kullanılan paketlerin bir kısmında bilinen güvenlik açıkları bulunabilir. Bazılarının artık bakımı yapılmıyordur ve güncel sürüme geçiş başka paketleri de etkiler.
- 04
Okunamaz ve test edilemez yapı
Binlerce satırlık dosyalar, birbirinin kopyası olan fonksiyonlar ve iş kuralının arayüz koduna gömülmesi, yeni bir geliştiricinin projeye uyumunu zorlaştırır ve her değişikliği riskli hâle getirir.
04Özellikler
Kod inceleme raporunda neler yer alır
Kapsam incelemenin amacına göre ayarlanır; güvenlik odaklı ya da bakım odaklı ağırlık verilebilir.
- 01
Yönetici özeti
Projenin genel durumu, en kritik riskler ve öncelikli yapılması gerekenler teknik terimlere boğulmadan tek sayfada anlatılır.
- 02
Güvenlik bulguları
OWASP ilk on listesindeki risk başlıklarına göre kimlik doğrulama, yetki, girdi doğrulama, oturum yönetimi ve hassas veri saklama incelenir. Her bulgu kritik, yüksek, orta ya da düşük olarak sınıflandırılır.
- 03
Mimari ve sürdürülebilirlik değerlendirmesi
Katmanların ayrımı, bağımlılık yönü, tekrar eden kod ve karmaşıklığı yüksek modüller değerlendirilir. Projeyi devralacak bir ekibin nerede zorlanacağı somut örneklerle gösterilir.
- 04
Test ve dağıtım düzeni
Otomatik testlerin varlığı ve kritik akışları kapsayıp kapsamadığı, derleme ve canlıya alma adımlarının tekrarlanabilir olup olmadığı kontrol edilir.
- 05
Önceliklendirilmiş düzeltme listesi
Bulgular hemen kapatılması gerekenler, bir sonraki sürüme kadar ele alınacaklar ve teknik borç olarak izlenecekler şeklinde gruplanır.
05Entegrasyonlar
Kod incelemede kullandığımız araçlar
Araçlar taramayı hızlandırır; yanlış alarmları ayıklamak ve bağlamı yorumlamak elle yapılır.
- 01
Statik analiz
SonarQube ya da Semgrep gibi araçlarla kod kokuları, karmaşıklık ve bilinen güvenlik kalıpları taranır.
- 02
Bağımlılık taraması
OWASP Dependency-Check, npm audit, Dependabot ya da dile uygun benzeri araçlarla açık bulunan paketler listelenir.
- 03
Gizli bilgi taraması
Gitleaks gibi araçlarla depo geçmişinin tamamında anahtar ve parola izleri aranır; bulunanların geçersiz kılınması önerilir.
- 04
Kod barındırma platformları
GitHub, GitLab, Bitbucket ya da Azure DevOps depolarına salt okunur erişimle çalışılır; sürekli inceleme isteniyorsa çekme isteklerine yorum olarak katılırız.
06Süreç
Kod inceleme hizmeti nasıl ilerler?
Adım 01
Analiz
İş akışınızı, kullanıcılarınızı ve mevcut sistemlerinizi dinleriz; kapsamı, öncelikleri ve kabul ölçütlerini yazılı hâle getiririz.
Adım 02
Tasarım
Ekran akışlarını ve veri modelini çıkarırız. Arayüzü sizinle gözden geçirip onay almadan geliştirmeye geçmeyiz.
Adım 03
Geliştirme
Kısa döngülerle çalışırız; her döngü sonunda çalışan bir sürümü test ortamında görürsünüz.
Adım 04
Test
İşlevsel testler, entegrasyon testleri ve temel güvenlik kontrolleriyle hataları yayından önce yakalarız.
Adım 05
Yayın
Sunucu, alan adı, yedekleme ve izleme ayarlarını yaparak canlıya alırız; ekibinize kısa bir kullanım eğitimi veririz.
Adım 06
Bakım
İsterseniz bakım ve destek anlaşmasıyla güncellemeleri, izlemeyi ve yeni geliştirmeleri sürdürürüz.
07Teknoloji
Kod inceleme hizmetinde gizlilik ve tarafsızlık
Kaynak kod şirketinizin en değerli varlıklarından biridir. İnceleme başlamadan gizlilik sözleşmesi imzalanır, depoya yalnızca okuma yetkili ve süreli bir erişimle bağlanılır, kod yerel cihazlara gereğinden fazla kopyalanmaz. İş bitiminde erişim kapatılır ve inceleme için alınan kopyalar silinir.
Devamını okuDaha az göster
İncelemenin amacı kodu yazan kişiyi ya da firmayı suçlamak değil, riskleri görünür kılmaktır. Bulguları yazarken kanıta dayanır, yoruma açık konularda alternatif yaklaşımları da belirtiriz. İsterseniz raporu geliştirici ekiple birlikte bir toplantıda ele alır, düzeltme planını onlarla konuşuruz.
Sürekli inceleme isteyen ekipler için ise çekme isteği şablonları, dal koruma kuralları ve inceleme kontrol listeleri kurarak bu alışkanlığın ekibin günlük akışına girmesine yardımcı oluruz.
08Çalışma modelleri
Bu hizmette çalışma modelleri
09Sık sorulan sorular
Kod inceleme hakkında sık sorulan sorular
Kod inceleme fiyatları neye göre belirlenir?
Kod tabanının büyüklüğü, kullanılan dil ve çatı sayısı, incelemenin derinliği ve güvenlik ya da mimari ağırlığı belirleyicidir. Depoya kısa bir ön bakıştan sonra kapsamı ve teklifi yazılı olarak iletiriz.
Geliştirici firmanın haberi olmadan inceleme yapılabilir mi?
Kodun sahibi sizseniz teknik olarak mümkündür. Ancak sonuçların düzeltmeye dönüşmesi için geliştirici ekibin sürece dahil olması genellikle daha verimlidir; bu kararı sözleşmenizi göz önünde bulundurarak sizinle birlikte veririz.
Kod inceleme ile teknik borç analizi arasındaki fark nedir?
Kod inceleme belirli bir andaki güvenlik, kalite ve mimari durumu tespit eder. Teknik borç analizi ise biriken sorunların iş üzerindeki maliyetini ve hangi sırayla ödenmesi gerektiğini daha geniş bir planlama perspektifiyle ele alır.
Mobil uygulama kodlarını da inceliyor musunuz?
Evet. Android tarafında Kotlin ve Jetpack Compose, iOS tarafında Swift ile ya da Flutter ve React Native gibi ortak kod tabanlarıyla yazılmış projelerde de yerel depolama, sertifika doğrulama ve API anahtarlarının saklanması gibi mobile özgü riskler ayrıca incelenir.
Bulguları siz mi düzeltiyorsunuz?
İnceleme ile düzeltme ayrı işlerdir. İsterseniz kritik bulguları ayrı bir teklifle düzeltebiliriz; mevcut ekibiniz düzeltecekse de yapılan değişiklikleri yeniden kontrol edebiliriz.
İnceleme raporunu kimlerle paylaşıyorsunuz?
Rapor yalnızca sizin belirlediğiniz kişilere iletilir. Yatırımcı ya da alıcı tarafla paylaşılacaksa, güvenlik bulgularının ayrıntı düzeyini sizinle birlikte belirleriz.
10İlgili hizmetler