# Güvenlik güncellemeleri ve bildirimler

> Zefily sitelerinizde ve sunucularınızda hangi güncellemeleri ve güvenlik düzeltmelerini kontrol eder, her birinin kaynağı nedir, kime ve nasıl bildirilir ve dış bildirimler nasıl kapatılır.

Zefily, sitelerinizde ve sunucularınızda çalışanları, yayımcılarının yayımladığı duyuru ve sürümlerle karşılaştırır. Bulunan
her güncelleme ya da güvenlik düzeltmesi **Güncellemeler** sayfasında listelenir: site ya da sunucu, konusu, sahip
olduğunuz sürüm, onu düzelten sürüm, önem derecesi ve duyuru. Güvenlik düzeltmeleri önce gelir. Bir bulgu, nedeni
ortadan kalkana kadar sayfada kalır: güncelleme uygulanınca, paket kaldırılınca ya da düzeltme çıkınca Zefily duyuruyu
kapatınca.

## Neler kontrol edilir

- **WordPress siteleri**: çekirdek sürümü en yeni WordPress güvenlik sürümüyle, her eklenti ve tema da kurulu sürümünün
  bilinen güvenlik açıklarıyla karşılaştırılır. Çekirdek, eklenti ve tema için bekleyen güncellemeler de listelenir.
  Kontrol, sitenin son WordPress kontrolünü okur (WordPress sayfası); yenilemek için orada bir kontrol çalıştırın.
- **Tek tıkla uygulamalar ve uygulama yığınları**: Zefily, kurduğu bir uygulama için (örneğin Supabase ya da Uptime Kuma)
  güvenlik düzeltmesi duyurduğunda, o uygulamadan kurulmuş her site siz güncelleyene kadar listelenir. Bir uygulamanın
  yeni ana sürümü (örneğin Nextcloud 36) bir güvenlik bildirimi değil, bir güncellemedir.
- **Kilit dosyaları ve konteyner imajları**: bir sitenin kilit dosyasındaki (Composer, npm, pip, Bundler, Go) ve
  konteyner imajındaki paketler, bunlar için bildirilen açıklıklarla. CVSS puanı 7.0 ve üstü olan bulgular duyurulur;
  daha düşükler sayfada kalır.
- **Sunucular**: işletim sistemi için bekleyen güvenlik güncellemeleri, diğer paket güncellemeleri ve bilinen açıklığı
  olan işletim sistemi paketleri. Sunucu bulguları günlük sunucu kontrolü ve CVE taraması (Güvenlik sekmesi) ile
  duyurulur; Güncellemeler sayfası da bunları listeler.

## Bilgi nereden gelir

Her kaynak şu türlerden biridir. Panel ve ajan yalnızca belgelenmiş beslemeleri ve veritabanlarını okur:

| Tür | Ne olduğu | Kullanıldığı yer | Belgeler |
|---|---|---|---|
| İşletim sistemi ve paket taraması | Ajan kurulu paketleri, kilit dosyalarını ve konteyner imajlarını OSV'ye karşı tarar (`POST /v1/querybatch`, `GET /v1/vulns/{id}`) | Kilit dosyaları, konteyner imajları, işletim sistemi paketleri | https://google.github.io/osv.dev/api/ |
| Üretici beslemesi | Yayımcının kendi güvenlik beslemesi ya da veritabanı | WordPress çekirdeği (WordPress News, Güvenlik kategorisi RSS), WordPress eklentileri ve temaları (WordPress açıklıklarının herkese açık veritabanı WPVulnerability) ve Zefily'nin okuduğu her uygulamanın güvenlik beslemesi (uygulamanın sürüm notları ve değişiklik günlüğü gibi) | https://wordpress.org/news/category/security/feed/ ve https://docs.wpvulnerability.com/ |

Zefily bir bulguyu kaynağına sahip olduğunuz sürümle eşleştirir; sürümünüzü etkilemeyen bir duyuru listelenmez. Zefily'nin
okuyamadığı bir duyuru sessizce atlanmaz, ekibe bildirilir.

## Tek tıkla uygulamaların ve yığınların kurulu sürümü

Bir uygulamanın güvenlik düzeltmesi, sitede yalnızca site düzeltilmiş sürümden düşük bir sürüm çalıştırıyorsa listelenir.
Sitenin kurulu sürümü, uygulamanın belgelediği yoldan okunur. Uygulama sürümünü okumanın belgelenmiş bir yolu yoksa
Güncellemeler sayfası **sürüm okunamıyor** yazar; bulgu, site güncellenene ve Zefily duyuruyu kapatana kadar kalır.
Zefily bir sürümü asla tahmin etmez.

| Uygulama | Kurulu sürüm nereden okunur | Belgesi | Ayrıntı |
|---|---|---|---|
| Nextcloud | `occ status` (`versionstring`); ajan, yığının uygulama konteynerinde `www-data` olarak günlük çalıştırır | https://docs.nextcloud.com/server/latest/admin_manual/occ_command.html | tam sürüm. `app.version` işini getiren ajan sürümü gerekir |
| Ghost | site uç noktası `GET /ghost/api/admin/site/` (alan `site.version`), HTTPS ile, kimlik doğrulamasız | https://docs.ghost.org/admin-api/site/overview.md | yalnızca major.minor; yama düzeyindeki bir düzeltme doğrulanamaz |
| Uptime Kuma | sitenin çalıştırdığı imaj etiketi, yalnızca sabitlenmişse (`2.x.x`, `-slim` ya da `-rootless` ekiyle). Hareketli etiketler (`2`, `latest`, `next`) bir sürüm adlandırmaz; bu siteler **sürüm okunamıyor** gösterir | https://github.com/louislam/uptime-kuma/wiki/Docker-Tags ("2.x.x: Belirli bir sürüme sabitlenmiş"; "2: v2'nin en son sürümü") | sabitlenmişse tam |
| Supabase (kendi sunucunda) | okunamıyor: kendi sunucu belgeleri bir sürüm komutu ya da uç nokta belirtmez (kurulum betiği bir `.supabase-version` dosyası yazar; Zefily'nin yığını bunu yazmaz) | https://supabase.com/docs/guides/self-hosting/docker | yok |

Kilit dosyası paketleri ve konteyner imajları için düzelten sürüm, OSV'nin açıklık kaydından gelir: kurulu sürümü içeren
etkilenen aralığın `fixed` olayı (https://github.com/ossf/osv-schema/blob/main/docs/schema.md; kaynak
https://google.github.io/osv.dev/api/). yalnızca `SEMVER` aralıklarından ve npm, Composer (Packagist) ve Go paketleri için gösterilir; diğer aralık ve ekosistemlerde bilinmez kalır.

## Kime ve nasıl bildirilir

Kuruluşun sahipleri ve yöneticileri her yeni bulgu için bir kez bilgilendirilir:

- **Panelde** (zil ve Güncellemeler sayfası): her zaman. Site ya da sunucu var olduğu sürece kapatılamaz.
- **E-postayla**: güvenlik düzeltmeleri için, varsayılan olarak açık.
- **Dış kanallarınıza** (webhook, Slack, Discord, Telegram, PagerDuty, Opsgenie): `update.security` olayı, varsayılan olarak
  açık. Oluşturduğunuz bir webhook uç noktası da bunu alır.

Diğer güncellemeler (yeni bir WordPress eklentisi, bir paket güncellemesi) panelde bir kez bildirilir. E-posta ya da dış
olay göndermez.

Güvenlik düzeltmeleri de unutulmaz: açık bir güvenlik bulgusu olduğu sürece haftada bir, hâlâ açık olanları listeleyen tek
bir hatırlatma olarak tekrarlanır. Uygulanan ya da Zefily'nin artık bildirmediği bulgu kapanır ve tekrarlanmaz.

### E-posta ve dış bildirimleri kapatmak

Güvenlik bildirimlerini e-postayla ve dış kanallara kapatabilirsiniz; ancak sorumluluğu kendiniz kabul ettikten sonra. **Ayarlar
→ Webhook** bölümüne gidin, **E-posta ve dış kanallar için kapat** seçeneğini seçin, açıklamayı okuyun, kabul ettiğinizi
işaretleyin ve parolanızı onaylayın. Zefily adınızı ve saati kaydeder; değişiklik etkinlik günlüğündedir. Bundan sonra:

- Panel içi bildirimler ve Güncellemeler sayfası her bulguyu göstermeye devam eder;
- güvenlik e-postası gönderilmez ve kanallarınıza `update.security` olayı gitmez. Kapatma kabul edilene kadar bir uç nokta
  bu olayı bırakamaz;
- düzeltmeleri uygulamak yine sizin sorumluluğunuzdadır.

**Güvenlik bildirimlerini yeniden aç** seçeneği bunu istediğiniz zaman geri alır; kabul edilecek bir şey yoktur. Başka bir
sahip ya da yönetici aynı durumu aynı sayfada görür.

## Bilmeniz gerekenler

- WordPress güncellemeleri WordPress sayfasından uygulanır. Her güncelleme önce anlık yedek alır ve site bozulursa siteyi
  geri yükler. Bir uygulama, siteden güncellenir (Şimdi dağıt, uygulama yığını için Güncelle).
- Kontrol günde iki kez çalışır, güvenlik izlemesinden sonra. Hemen yanıt için WordPress sayfasında bir kontrol çalıştırın.
- Bir uygulamanın bulgusu, düzeltme çıkana ve Zefily duyuruyu kapatana kadar kalır; sitenizdeki uygulama sürümü Zefily'ye
  her zaman bilinmez.

---
Kaynak: https://zefily.com/tr/docs/guvenlik-guncellemeleri-ve-bildirimler