- Katılım
- 21 May 2023
- Mesajlar
- 470
- Tepki
- 17
- Puan
- 18
SEO İçin Hız ve Güvenliği Birlikte Yönetmek
Hız ve güvenlik bazen birbirine rakip hedefler gibi ele alınır: WAF gecikme yaratıyor diye kapatılır, güvenlik betiği kontrol edilmeden ertelenir veya performans uğruna cache kuralları özel sayfalara taşar. Tersi de olur; her isteğe ağır güvenlik kontrolü eklenir ve gerçek kullanıcıyla arama motorunun erişimi bozulur. Doğru yaklaşım, iki alanı aynı kullanıcı ve URL yaşam döngüsünde ölçmektir.
Başlıktaki 2025 ifadesi arşiv niteliğindedir; rehber Temmuz 2026'da güncellenmiştir. Buradaki amaç “hız veya HTTPS ilk sıra getirir” demek değil; erişilebilir, güvenli, hızlı ve render edilebilir sayfaları ölçülebilir biçimde işletmektir. Google da iyi Core Web Vitals sonucunun tek başına üst sıra garantisi olmadığını belirtir.
SEO açısından sağlam altyapı; güvenli HTTPS, yüksek erişilebilirlik, kontrollü kaynaklar ve gerçek kullanıcı performansını birlikte korur.
Hız ve Güvenlik Hedeflerini Aynı Haritada Gösterin
Önce kritik sayfa ve işlemleri belirleyin: ana içerik, kategori, ürün, giriş, form, sepet veya yönetim ekranı aynı risk/performance profiline sahip değildir.
- Kullanıcı hedefi: Ana içeriği görmek, gezinmek veya işlemi tamamlamak
- SEO hedefi: Başarılı HTTP yanıtı, taranabilir/render edilebilir içerik, tutarlı canonical/index sinyalleri
- Performans hedefi: LCP, INP ve CLS'nin saha dağılımı; sunucu/bağımlılık süreleri
- Güvenlik hedefi: Yetkisiz erişim/değişiklik, veri sızıntısı, kötü amaçlı içerik ve hizmet kesintisi riskini azaltmak
- Kabul kuralı: Bir iyileştirme diğer hedefi bozuyorsa dağıtımı durdurmak veya yeniden tasarlamak
Tek dashboard yerine ortak değişiklik kaydı kullanın. CDN, WAF, CSP, cache, JS, görsel veya sunucu sürümü değiştiğinde performans ve güvenlik testleri aynı dağıtım kimliğine bağlansın.
HTTPS'i Uçtan Uca ve Tek Sürüm Olarak Yönetin
HTTPS yalnız sertifikanın var olması değildir. Tüm önemli URL'ler geçerli sertifika zinciriyle açılmalı, HTTP sürümleri tercih edilen HTTPS URL'ye yönlenmeli ve sayfa içinde güvensiz karma içerik kalmamalıdır.
- HTTP→HTTPS ve www/apex tercihi tek, kısa yönlendirme zinciriyle çalışıyor mu?
- Canonical, sitemap, hreflang ve iç bağlantılar HTTPS sürümünü mü kullanıyor?
- CSS, JS, font, görsel ve iframe kaynaklarında mixed content var mı?
- Sertifika bitişi, DNS ve TLS hataları için dışarıdan izleme var mı?
- HSTS uygulanacaksa alt alan ve preload etkileri geri dönüş planıyla değerlendirildi mi?
- Proxy/CDN ile origin arasındaki bağlantı da doğrulanıyor mu?
Google'ın sayfa deneyimi rehberi güvenli sunumu genel deneyimin bir parçası olarak ele alır; ancak tek bir “page experience” sinyali olmadığını da açıklar.
Core Web Vitals'i Saha Verisiyle Ölçün
Güncel Core Web Vitals; yükleme için LCP, etkileşim için INP ve görsel kararlılık için CLS'dir. web.dev, iyi deneyim için p75 düzeyinde LCP ≤2,5 saniye, INP ≤200 ms ve CLS ≤0,1 eşiklerini kullanır. Değerleri mobil/masaüstü ve sayfa türüne göre ayırın.
Laboratuvar testi, değişikliği dağıtmadan teşhis etmek için yararlıdır; fakat gerçek cihaz/ağ/etkileşimi tam temsil etmez. Lighthouse kullanıcı etkileşimi olmadığı için INP'yi doğrudan ölçmez; laboratuvarda TBT gibi vekil sinyaller kullanılabilir. Saha ölçümüyle geri okuyun.
LCP'yi Güvenli Kaynak Zinciriyle İyileştirin
- LCP öğesini URL ve şablon bazında gerçekten tespit edin; her sayfada hero görsel varsaymayın.
- Sunucu yanıtını, yönlendirme, uygulama, veritabanı ve cache sürelerine ayırın.
- Kritik görseli doğru boyut/formatta sunun; HTML'de erken keşfedilebilir kılın.
- Kritik olmayan görsel/iframe'i geciktirin; LCP görselini körlemesine lazy-load etmeyin.
- CSS/JS bağımlılıklarını ölçerek küçültün; güvenlik bileşenini rastgele kaldırmayın.
- CDN/origin cache anahtarında kullanıcı, dil ve yetki ayrımını doğrulayın.
Yanlış cache kuralı hızlı yanıt verirken başka kullanıcıya özel içerik gösterebilir. Performans testi, cache izolasyonu ve yetkilendirme regresyonunu birlikte içermelidir.
INP'yi İyileştirirken Güvenlik Kontrolünü Korumak
Uzun ana iş parçacığı görevleri, büyük paketler ve gereksiz üçüncü taraf betikleri etkileşim gecikmesini artırır. Önce gerçek etkileşimleri ve uzun görevleri profilleyin.
- Sohbet, reklam, A/B test ve etiket yöneticisi gibi betiklere iş gerekçesi atayın.
- Yalnız gereken sayfalarda ve uygun zamanda yükleyin; talep üzerine yüklemeyi deneyin.
- Uzun görevleri bölün, ağır hesaplamayı mümkünse ana iş parçacığından çıkarın.
- Form doğrulama ve güvenlik isteğinde kullanıcıya hemen erişilebilir geri bildirim verin.
- Güvenlik token'ı, bot/abuse kontrolü veya imza akışını kaldırmadan gecikme kaynağını ölçün.
- Betik değişikliğinde veri erişimi, bütünlük ve CSP etkisini güvenlik ekibiyle test edin.
Optimizasyon kuralı' Alıntı:
CLS ve Güvenlik Arayüzlerini Birlikte Test Edin
Çerez bildirimi, kimlik doğrulama, CAPTCHA, oturum uyarısı veya güvenlik mesajı geç yüklenip içeriği itebilir. Bu bileşenleri tamamen kaldırmak yerine alanını ayırın, erişilebilir modal/diyalog davranışı kurun ve yalnız gerektiğinde gösterin.
Görsel/iframe boyutlarını belirtin; reklam ve üçüncü taraf embed için rezerv alan kullanın. Güvenlik hatası veya erişim reddi sayfalarının da mobilde okunabilir, doğru HTTP durumlu ve ana siteyi taklit eden sahte öğelerden ayrılabilir olduğundan emin olun.
WAF, Bot Yönetimi ve Oran Sınırını Gözlemlenebilir Kurun
Arama motorlarını user-agent metnine bakarak koşulsuz beyaz listeye almak sahteciliğe açıktır. Gerçek Googlebot doğrulaması gerekiyorsa Google'ın önerdiği DNS/IP yöntemlerini kullanın. WAF kuralının etkisini durum kodu, ülke, yol, doğrulanmış bot ve kural kimliğiyle izleyin.
- Normal kullanıcı ve doğrulanmış arama botu yanlışlıkla `403/429` alıyor mu?
- Rate limit `Retry-After` ve doğru kapsamla mı uygulanıyor?
- JS challenge ana içerik ve gerekli kaynakların alınmasını engelliyor mu?
- Origin kapasitesi ve CDN/WAF arızasında güvenli fallback var mı?
- Güvenlik kuralı değişikliği öncesi/sonrası tarama ve performans metrikleri karşılaştırılıyor mu?
Güvenlik Başlıklarını Kopyala-Yapıştır Yapmayın
Content-Security-Policy, HSTS, frame kısıtları ve diğer başlıklar saldırı yüzeyini azaltmaya yardımcı olabilir; yanlış ayar ise görsel, JS, ödeme veya doğrulama bileşenini bozabilir. OWASP Secure Headers Project güncel başvuru sağlar.
Önce rapor-only veya test ortamında gerçek kaynak envanterini çıkarın; geniş `unsafe-*` istisnalarını kalıcı çözüm saymayın. Başlıkları CDN/proxy/origin katmanında yinelenen veya çelişen değerler açısından kontrol edin. Tarayıcı konsolu, sentetik akış ve gerçek kullanıcı hata oranını birlikte izleyin.
Kötü Amaçlı İçerik ve Yetkisiz SEO Değişikliklerini İzleyin
Saldırganlar görünür sayfayı değiştirmeden yalnız arama botuna spam, yönlendirme veya gizli bağlantı sunabilir. Dosya bütünlüğü, beklenmeyen yönetici, şablon değişikliği, yeni cron/görev, sitemap/robots/canonical ve dış bağlantı değişikliklerini izleyin.
Google Search Console Güvenlik Sorunları raporunu ve Safe Browsing uyarılarını takip edin. Google'ın kötü amaçlı yazılımı önleme rehberi yazılımı güncel tutmayı, güvenilmeyen eklenti/temalara dikkat etmeyi, hesap güvenliğini ve düzenli yedeği vurgular.
- Yönetici hesaplarında MFA ve kişiye özel hesap kullanın.
- Eski/terk edilmiş eklenti, tema ve servisleri kaldırın.
- Sırları repoya, tarayıcıya veya loga koymayın.
- Yedekleri ayrı konumda tutup geri yüklemeyi test edin.
- Şüpheli olayda değişiklik yapmadan önce kanıtları koruyun.
- Temizleme sonrası yalnız ana sayfayı değil URL/şablon örneklerini ve Search Console'u geri okuyun.
Dağıtım Kapısı: Hız ve Güvenlik Birlikte Geçmeli
- Değişiklik hangi URL/şablon/risk alanını etkiliyor?
- Laboratuvar performans bütçesi ve güvenlik regresyon testleri geçti mi?
- HTTPS, canonical, robots, render ve durum kodu aynı kaldı mı?
- CSP/WAF/cache kuralı kritik kaynak veya bot erişimini bozdu mu?
- Saha LCP/INP/CLS ve `4xx/5xx` alarmları hazır mı?
- Dosya/başlık/betik değişikliği izleniyor mu?
- Geri alma, olay sorumlusu ve kabul ölçütü yazıldı mı?
İç Bağlantılar
- Teknik SEO: tarama, render ve dizin
- SEO hata teşhis rehberi
- Teknik SEO ve web performansı
- Web güvenliği performans rehberi
Dış Kaynaklar
- Google: Search'te sayfa deneyimi
- web.dev: Core Web Vitals
- Google: kötü amaçlı yazılımı önleme
- Google: Googlebot doğrulama
- OWASP Secure Headers Project
Özetle
URL ve risk kapsamını çıkarın → HTTPS ile erişimi sağlamlaştırın → CWV'yi saha verisinde ölçün → kritik kaynak/JS/cache darboğazını güvenliği bozmadan düzeltin → WAF, başlık ve dosya değişikliklerini izleyin → performans ve güvenlik testlerini tek dağıtım kapısında birleştirin. SEO için hız ve güvenlik, ayrı kampanyalar değil güvenilir sayfa sunumunun iki tamamlayıcı parçasıdır.
Güncelleme: 15 Temmuz 2026
Dijital Dünyanıza Yön Veren Pusula
Ekli dosyalar
Son düzenleme:
