0Bir bakışta
Rapor tarihindeki sonuçların özeti. Açık bulguların teknik ayrıntıları, kullanıcıların güvenliği gerekçesiyle bu sürümde yer almaz.
| Kritik, yüksek, orta açık bulgu | 0 |
|---|---|
| Düşük düzeyde açık bulgu | 4 (3'ünün düzeltmesi devreye alınıyor, 1'i gerekçeli risk kabulü) |
| Bilgi düzeyinde öneri | 19 |
| ASVS 5.0 Seviye 1–2 gereksinimleri | 253 gereksinim tek tek değerlendirildi; uygulanabilir 200 gereksinimin 138'i tam, 51'i kısmen karşılanıyor, 7'si karşılanmıyor, 4'ü statik incelemeyle doğrulanamadı (Ek A) |
| MASVS v2.1 (Android ve iOS) | Kriptografi, kimlik doğrulama ve kod kalitesi tam; depolama, ağ, platform etkileşimi ve gizlilik büyük ölçüde karşılanıyor |
| Değerlendirme türü | Colitu tarafından yürütülen iç değerlendirme; bağımsız üçüncü taraf denetimi veya sertifikasyon değildir |
1Yönetici özeti
Colitu hizmetini oluşturan kontrol düzlemi API'si, web portalı, yönetim arayüzü, yapay zekâ destekli asistanlar, kurumsal (Business) konsol, destek ve e-posta kanalı, topluluk botları, tarayıcı eklentisi ve Android ile iOS uygulamaları, 25 Ekim 2026 tarihinde OWASP Uygulama Güvenliği Doğrulama Standardı (ASVS) 5.0 ve OWASP Mobil Uygulama Güvenliği Doğrulama Standardı (MASVS) v2.1 esas alınarak değerlendirilmiştir.
Değerlendirme sonucunda kritik, yüksek veya orta önem derecesinde açık bulgu bulunmamaktadır. 23 açık bulgunun 4'ü düşük, 19'u bilgi düzeyindedir ve tümü iyileştirme planına alınmıştır.
ASVS 5.0 Seviye 1 ve 2'deki 253 gereksinimin her biri kanıtla ayrı ayrı değerlendirilmiştir (Ek A). Uygulanabilir 200 gereksinimin 138'i tam, 51'i kısmen karşılanmaktadır; 7 gereksinim karşılanmamakta, 4 gereksinim statik incelemeyle doğrulanamamaktadır. Karşılanmayan gereksinimlerin çoğu belgeleme, güvenlik kaydı ve sertleştirme konularına ilişkindir. Bu sonuçlarla hizmet, ASVS 5.0 Seviye 2'ye tam uyum iddiasında bulunmamaktadır.
MASVS kapsamında her iki mobil platform kriptografi, kimlik doğrulama ve kod kalitesi gruplarını tam, depolama, ağ, platform etkileşimi ve gizlilik gruplarını büyük ölçüde karşılamaktadır.
2Kapsam
Değerlendirme, aşağıdaki bileşenlerin 25 Ekim 2026 tarihli kaynak kodu ve yapılandırması üzerinde yürütülmüştür.
| Bileşen | Açıklama | Esas alınan standart |
|---|---|---|
| Kontrol düzlemi API'si | Hesap, kimlik doğrulama, abonelik, cihaz ve istemci yapılandırması hizmetleri | ASVS 5.0, Seviye 1–2 |
| Web portalı | colitu.com, kullanıcı hesap alanı ve yardım merkezi | ASVS 5.0, Seviye 1–2 |
| Yönetim arayüzü | Yetkili personelin kullandığı yönetim uygulaması | ASVS 5.0, Seviye 1–2 |
| Yapay zekâ destekli asistanlar | Site sohbet botu, müşteri destek asistanı ve ekip operasyon asistanı | ASVS 5.0; OWASP Top 10 for LLM Applications 2025 |
| Kurumsal konsol | Şirket hesapları, üye ve koltuk yönetimi | ASVS 5.0, Seviye 1–2 |
| Destek ve e-posta kanalı | Destek talepleri, gelen e-posta işleme, kampanya ve davet akışları | ASVS 5.0, Seviye 1–2 |
| Topluluk botları | Discord ve Telegram topluluk botları | ASVS 5.0, V8, V13 ve V14 |
| Barındırma yapılandırması | Ters vekil sunucu, TLS ve konteyner yapılandırması | ASVS 5.0, V12 ve V13 |
| Tarayıcı eklentisi | Chrome, Firefox ve Edge eklentisi (Manifest V3) | ASVS 5.0, V3 ve V14 |
| Android uygulaması | Colitu Android istemcisi | MASVS v2.1, MASTG |
| iOS uygulaması | Colitu iOS istemcisi ve ağ uzantısı | MASVS v2.1, MASTG |
Kapsam dışı tutulan alanlar: Windows ve Linux masaüstü uygulamaları (ayrı değerlendirmelere tabidir), VPN sunucu altyapısı, üçüncü taraf ödeme ve yapay zekâ sağlayıcılarının sistemleri, fiziksel güvenlik ve sosyal mühendislik.
3Yöntem ve sınırlamalar
Değerlendirmede aşağıdaki yöntemler uygulanmıştır:
- Kaynak kodunun ASVS doğrulama gereksinimleri, MASTG test durumları ve OWASP Top 10 for LLM Applications 2025'e göre manuel ve araç destekli statik incelemesi.
- ASVS 5.0 Seviye 1 ve 2'deki 253 gereksinimin her biri için kaynak kodu konumuyla kanıtlanan kontrol listesi (Ek A).
- Bağımlılıkların bilinen zafiyetlere karşı taranması (Go için govulncheck, JavaScript için npm audit).
- Yapılandırma incelemesi: güvenlik başlıkları, içerik güvenliği politikası, TLS, kaynaklar arası erişim (CORS), konteyner yetkileri ve mobil platform bildirimleri.
- Bulguların ikinci bir inceleme turunda bağımsız olarak yeniden doğrulanması; yanlış pozitifler çıkarılmış, önem dereceleri bu tura göre belirlenmiştir.
Sınırlamalar:
- Canlı sistemlere yönelik dinamik test (DAST) veya sızma testi uygulanmamıştır.
- Mobil uygulamalar cihaz üzerinde dinamik olarak test edilmemiştir.
- Bu çalışma Colitu tarafından yürütülen bir iç değerlendirmedir; bağımsız üçüncü taraf denetimi veya sertifikasyon yerine geçmez.
4Derecelendirme ölçütleri
| Önem derecesi | Tanım |
|---|---|
| Kritik | Kimlik doğrulaması gerektirmeden uzaktan istismar edilebilen; sistemin veya kullanıcı verilerinin geniş çaplı ele geçirilmesine yol açabilecek zafiyet |
| Yüksek | Sınırlı ön koşulla hesap, veri veya hizmet bütünlüğünü önemli ölçüde etkileyebilecek zafiyet |
| Orta | İstismarı belirli koşul, erişim veya yetki gerektiren, etkisi sınırlı zafiyet |
| Düşük | Derinlemesine savunma eksikliği; tek başına istismarı güç veya etkisi düşük |
| Bilgi | Doğrudan risk oluşturmayan iyi uygulama önerisi |
| Uyum düzeyi | Tanım |
|---|---|
| Karşılanıyor | İlgili gereksinimlerde açık bulgu yoktur |
| Büyük ölçüde karşılanıyor | Yalnız düşük veya bilgi düzeyinde açık bulgu vardır |
| Kısmen karşılanıyor | Orta düzeyde en az bir açık bulgu vardır |
| Karşılanmıyor | Yüksek veya kritik düzeyde açık bulgu vardır |
| Uygulanamaz | İlgili işlev hizmette bulunmamaktadır |
5OWASP ASVS 5.0 uyum değerlendirmesi
ASVS 5.0 Seviye 1 ve 2'deki 253 gereksinim tek tek değerlendirilmiştir. Aşağıdaki tablo bölüm bazında sonuçları gösterir; gereksinim düzeyindeki durum Ek A'dadır.
| Bölüm | Karşılanıyor | Kısmen | Karşılanmıyor | Uygulanamaz | Doğrulanamadı |
|---|---|---|---|---|---|
| V1 Kodlama ve Temizleme | 18 | 2 | 0 | 7 | 0 |
| V2 Doğrulama ve İş Mantığı | 8 | 2 | 1 | 0 | 0 |
| V3 Web Ön Yüz Güvenliği | 15 | 2 | 1 | 1 | 0 |
| V4 API ve Web Hizmetleri | 1 | 2 | 0 | 6 | 1 |
| V5 Dosya İşlemleri | 5 | 2 | 1 | 1 | 0 |
| V6 Kimlik Doğrulama | 22 | 7 | 2 | 4 | 0 |
| V7 Oturum Yönetimi | 8 | 7 | 0 | 3 | 0 |
| V8 Yetkilendirme | 4 | 2 | 1 | 0 | 0 |
| V9 Kendi Kendine Yeten Belirteçler | 6 | 0 | 0 | 1 | 0 |
| V10 OAuth ve OIDC | 5 | 1 | 0 | 23 | 0 |
| V11 Kriptografi | 10 | 4 | 0 | 0 | 0 |
| V12 Güvenli İletişim | 7 | 2 | 0 | 0 | 0 |
| V13 Yapılandırma | 7 | 4 | 0 | 0 | 2 |
| V14 Veri Koruması | 5 | 4 | 0 | 0 | 0 |
| V15 Güvenli Kodlama ve Mimari | 8 | 4 | 1 | 0 | 0 |
| V16 Güvenlik Kayıtları ve Hata Yönetimi | 9 | 6 | 0 | 0 | 1 |
| V17 WebRTC | 0 | 0 | 0 | 7 | 0 |
| Toplam | 138 | 51 | 7 | 53 | 4 |
V10 yalnız sunucudan sunucuya hizmet hesabı istemcisi olarak, V17 ise hiç kullanılmadığı için büyük ölçüde uygulanamaz durumdadır. “Kısmen” durumu, gereksinimin temel olarak karşılandığı ancak tamamlayıcı bir unsurun (belgeleme, kayıt, sınır değeri vb.) eksik olduğu durumları da kapsar.
6OWASP MASVS v2.1 uyum değerlendirmesi
Android ve iOS uygulamaları, MASVS v2.1'in sekiz kontrol grubuna göre MASTG test durumları esas alınarak değerlendirilmiştir.
| Kontrol grubu | Android | iOS | Gerekçe |
|---|---|---|---|
| MASVS-STORAGE | Büyük ölçüde karşılanıyor | Büyük ölçüde karşılanıyor | Kimlik bilgileri platform anahtar deposunda (Android Keystore, iOS Keychain) korunuyor; uygulama verisi yedeklemeden hariç. Fiziksel erişim gerektiren düşük ve bilgi düzeyinde bulgular açık. |
| MASVS-CRYPTO | Karşılanıyor | Karşılanıyor | AES-GCM, rastgele başlatma vektörü ve bağlam doğrulaması; zayıf algoritma kullanılmıyor. |
| MASVS-AUTH | Karşılanıyor | Karşılanıyor | Belirteç yenileme yarışına karşı koruma; cihaz bağlamada konum uyumsuzluğu uyarısı. |
| MASVS-NETWORK | Büyük ölçüde karşılanıyor | Büyük ölçüde karşılanıyor | Yalnız TLS; kök sertifika sabitleme; kullanıcı tarafından yüklenen sertifika yetkililerine güvenilmiyor. Sabitleme süresinin yönetimine ilişkin bilgi düzeyinde bulgu açık. |
| MASVS-PLATFORM | Karşılanıyor | Büyük ölçüde karşılanıyor | Dışa açık bileşenler en aza indirilmiş; hassas ekranlar ekran görüntüsüne karşı korunuyor. iOS'ta bir düşük bulgu açık. |
| MASVS-CODE | Karşılanıyor | Karşılanıyor | Uygulama içi güncellemeler imzalı bildirim ve imza sertifikası eşleştirmesiyle doğrulanıyor; WebView kullanılmıyor. |
| MASVS-RESILIENCE | Uygulanmıyor (bilinçli tercih) | Uygulanmıyor (bilinçli tercih) | Açık kaynaklı bir VPN istemcisi için tersine mühendislik koruması gerekli görülmemiştir. |
| MASVS-PRIVACY | Büyük ölçüde karşılanıyor | Büyük ölçüde karşılanıyor | Tanı verileri cihazda maskeleniyor ve gizlilik politikasında açıklanıyor. Destek talebiyle iletilen tanı raporları için uygulama içi kullanıcı bilgilendirmesi iyileştirme planındadır (düşük). |
7Açık bulguların özeti
Rapor tarihi itibarıyla 23 açık bulgu bulunmaktadır; kritik, yüksek veya orta önem derecesinde açık bulgu yoktur. Düşük düzeydeki 4 bulgunun 3'ü için düzeltme hazırdır ve devreye alma aşamasındadır (veritabanı erişim rolü, güvenlik kayıtlarının sunucu dışına aktarımı, ek dosya virüs taraması). Biri, anonim uygulama istatistiklerinin şişirilebilmesi, kişisel veri içermediği ve yalnız istatistik doğruluğunu etkilediği için gerekçeli risk kabulüyle kapatılmıştır.
| Alan | Kritik | Yüksek | Orta | Düşük | Bilgi |
|---|---|---|---|---|---|
| Kontrol düzlemi API'si, web ve barındırma yapılandırması | 0 | 0 | 0 | 3 | 10 |
| Yapay zekâ destekli asistanlar | 0 | 0 | 0 | 0 | 0 |
| Kurumsal konsol, destek, e-posta ve topluluk botları | 0 | 0 | 0 | 1 | 3 |
| Mobil uygulamalar (Android ve iOS) | 0 | 0 | 0 | 0 | 6 |
| Toplam | 0 | 0 | 0 | 4 | 19 |
Kullanıcıların güvenliği gerekçesiyle, açık bulguların teknik ayrıntıları bu kamuya açık sürümde yer almamaktadır. Bulgular aşağıdaki hedef sürelerle iyileştirme planına alınmıştır:
| Önem derecesi | Hedef iyileştirme süresi |
|---|---|
| Orta | 30 gün |
| Düşük | 90 gün |
| Bilgi | Bir sonraki değerlendirme dönemi |
8Doğrulanan güvenlik kontrolleri
Değerlendirme sırasında aşağıdaki kontrollerin uygulandığı kaynak kodunda doğrulanmıştır.
| Alan | Doğrulanan kontrol |
|---|---|
| Parola güvenliği | Argon2id ile parola özetleme; bilinen sızıntı veritabanlarına karşı kontrol; başarısız girişlere dayalı hız sınırlaması |
| Çok faktörlü doğrulama | TOTP (kod tekrarı engelli) ve passkey (WebAuthn) desteği |
| Oturum ve belirteçler | Kısa ömürlü erişim belirteçleri; döndürülen yenileme belirteçleri ve yeniden kullanımda tüm ailenin iptali; HttpOnly, Secure ve SameSite=Strict çerezler |
| Web güvenliği | Nonce tabanlı içerik güvenliği politikası; HSTS; çerçeveleme koruması; CSRF belirteci ve kaynak doğrulaması; açık yönlendirme koruması |
| Veri erişimi | Tamamı parametreli veritabanı sorguları; rol tabanlı yönetim yetkilendirmesi ve denetim kaydı |
| Veri minimizasyonu | Hassas tanımlayıcıların anahtarlı özet olarak saklanması; otomatik saklama süresi kuralları |
| Yazılım tedarik zinciri | Bağımlılık taraması; imzalı uygulama güncellemeleri; Android ve Windows için yeniden üretilebilir derlemeler |
| Mobil istemciler | Platform anahtar deposunda kimlik bilgileri; yedeklemeden hariç şifreli yerel depolama; kök sertifika sabitleme; yerel vekil bağlantıları için bağlantı başına kimlik bilgisi |
| Altyapı | Ayrıcalıksız ve salt okunur konteynerler; iç ağla sınırlı veri hizmetleri; ağ düzeyinde kısıtlı yönetim erişimi |
| Yapay zekâ asistanları | Değiştiren işlemler insan onayına bağlı ve tek kullanımlık; müşteriye dönük asistanların araç erişimi yok; hesap bilgisi yalnız kimliği doğrulanmış kullanıcının kendisine; model çıktısı kaçışlanarak gösteriliyor |
| Kurumsal konsol | Kiracı kimliği istekten değil oturumdan türetiliyor ve her sorguda uygulanıyor; davet ve kurulum belirteçleri 256 bit, tek kullanımlık ve süreli; rol yükseltme yolu yok |
| Destek kanalı | Talepler sahibine kısıtlı; ek dosyalarda içerik türü denetimi, boyut sınırı ve korumalı sunum; e-posta başlık enjeksiyonuna karşı koruma |
9Sonuç ve beyan
Değerlendirilen bileşenlerde kritik, yüksek veya orta önem derecesinde açık bulgu bulunmamaktadır. OWASP ASVS 5.0 Seviye 2 gereksinimleri önemli ölçüde karşılanmakla birlikte tam uyum için belgeleme, güvenlik kaydı ve sertleştirme alanlarında iyileştirme gerekmektedir. OWASP MASVS v2.1 kapsamında mobil uygulamalar kritik kontrol gruplarını karşılamaktadır. Açık bulgular yukarıdaki takvimle giderilecektir.
Bu rapor, değerlendirme sırasında tespit edilip rapor tarihinden önce giderilen bulguları içermez. Değerlendirme periyodik olarak yinelenir; her yeni rapor bir öncekinin yerini alır.
AEk A — OWASP ASVS 5.0 Seviye 1–2 kontrol listesi
Seviye 1 ve 2'deki 253 gereksinimin her biri ayrı ayrı değerlendirilmiştir. Kanıtlar (kaynak kodu konumları) iç kayıtlarda tutulmaktadır. Alt bölüm adları ASVS'nin özgün İngilizce adlarıdır.
253 gereksinimi göster
| Gereksinim | Seviye | Alt bölüm | Durum |
|---|---|---|---|
| V1.1.1 | 2 | Encoding and Sanitization Architecture | Kısmen |
| V1.1.2 | 2 | Encoding and Sanitization Architecture | Karşılanıyor |
| V1.2.1 | 1 | Injection Prevention | Karşılanıyor |
| V1.2.2 | 1 | Injection Prevention | Kısmen |
| V1.2.3 | 1 | Injection Prevention | Karşılanıyor |
| V1.2.4 | 1 | Injection Prevention | Karşılanıyor |
| V1.2.5 | 1 | Injection Prevention | Karşılanıyor |
| V1.2.6 | 2 | Injection Prevention | Uygulanamaz |
| V1.2.7 | 2 | Injection Prevention | Uygulanamaz |
| V1.2.8 | 2 | Injection Prevention | Uygulanamaz |
| V1.2.9 | 2 | Injection Prevention | Karşılanıyor |
| V1.3.1 | 1 | Sanitization | Uygulanamaz |
| V1.3.2 | 1 | Sanitization | Karşılanıyor |
| V1.3.3 | 2 | Sanitization | Karşılanıyor |
| V1.3.4 | 2 | Sanitization | Karşılanıyor |
| V1.3.5 | 2 | Sanitization | Karşılanıyor |
| V1.3.6 | 2 | Sanitization | Karşılanıyor |
| V1.3.7 | 2 | Sanitization | Karşılanıyor |
| V1.3.8 | 2 | Sanitization | Uygulanamaz |
| V1.3.9 | 2 | Sanitization | Uygulanamaz |
| V1.3.10 | 2 | Sanitization | Karşılanıyor |
| V1.3.11 | 2 | Sanitization | Karşılanıyor |
| V1.4.1 | 2 | Memory, String, and Unmanaged Code | Karşılanıyor |
| V1.4.2 | 2 | Memory, String, and Unmanaged Code | Karşılanıyor |
| V1.4.3 | 2 | Memory, String, and Unmanaged Code | Karşılanıyor |
| V1.5.1 | 1 | Safe Deserialization | Uygulanamaz |
| V1.5.2 | 2 | Safe Deserialization | Karşılanıyor |
| V2.1.1 | 1 | Validation and Business Logic Documentation | Kısmen |
| V2.1.2 | 2 | Validation and Business Logic Documentation | Karşılanmıyor |
| V2.1.3 | 2 | Validation and Business Logic Documentation | Kısmen |
| V2.2.1 | 1 | Input Validation | Karşılanıyor |
| V2.2.2 | 1 | Input Validation | Karşılanıyor |
| V2.2.3 | 2 | Input Validation | Karşılanıyor |
| V2.3.1 | 1 | Business Logic Security | Karşılanıyor |
| V2.3.2 | 2 | Business Logic Security | Karşılanıyor |
| V2.3.3 | 2 | Business Logic Security | Karşılanıyor |
| V2.3.4 | 2 | Business Logic Security | Karşılanıyor |
| V2.4.1 | 2 | Anti-automation | Karşılanıyor |
| V3.2.1 | 1 | Unintended Content Interpretation | Karşılanıyor |
| V3.2.2 | 1 | Unintended Content Interpretation | Karşılanıyor |
| V3.3.1 | 1 | Cookie Setup | Kısmen |
| V3.3.2 | 2 | Cookie Setup | Karşılanıyor |
| V3.3.3 | 2 | Cookie Setup | Karşılanmıyor |
| V3.3.4 | 2 | Cookie Setup | Karşılanıyor |
| V3.4.1 | 1 | Browser Security Mechanism Headers | Karşılanıyor |
| V3.4.2 | 1 | Browser Security Mechanism Headers | Karşılanıyor |
| V3.4.3 | 2 | Browser Security Mechanism Headers | Karşılanıyor |
| V3.4.4 | 2 | Browser Security Mechanism Headers | Karşılanıyor |
| V3.4.5 | 2 | Browser Security Mechanism Headers | Karşılanıyor |
| V3.4.6 | 2 | Browser Security Mechanism Headers | Karşılanıyor |
| V3.5.1 | 1 | Browser Origin Separation | Karşılanıyor |
| V3.5.2 | 1 | Browser Origin Separation | Karşılanıyor |
| V3.5.3 | 1 | Browser Origin Separation | Karşılanıyor |
| V3.5.4 | 2 | Browser Origin Separation | Kısmen |
| V3.5.5 | 2 | Browser Origin Separation | Uygulanamaz |
| V3.7.1 | 2 | Other Browser Security Considerations | Karşılanıyor |
| V3.7.2 | 2 | Other Browser Security Considerations | Karşılanıyor |
| V4.1.1 | 1 | Generic Web Service Security | Kısmen |
| V4.1.2 | 2 | Generic Web Service Security | Karşılanıyor |
| V4.1.3 | 2 | Generic Web Service Security | Kısmen |
| V4.2.1 | 2 | HTTP Message Structure Validation | Doğrulanamadı |
| V4.3.1 | 2 | GraphQL | Uygulanamaz |
| V4.3.2 | 2 | GraphQL | Uygulanamaz |
| V4.4.1 | 1 | WebSocket | Uygulanamaz |
| V4.4.2 | 2 | WebSocket | Uygulanamaz |
| V4.4.3 | 2 | WebSocket | Uygulanamaz |
| V4.4.4 | 2 | WebSocket | Uygulanamaz |
| V5.1.1 | 2 | File Handling Documentation | Karşılanmıyor |
| V5.2.1 | 1 | File Upload and Content | Karşılanıyor |
| V5.2.2 | 1 | File Upload and Content | Kısmen |
| V5.2.3 | 2 | File Upload and Content | Uygulanamaz |
| V5.3.1 | 1 | File Storage | Karşılanıyor |
| V5.3.2 | 1 | File Storage | Karşılanıyor |
| V5.4.1 | 2 | File Download | Karşılanıyor |
| V5.4.2 | 2 | File Download | Karşılanıyor |
| V5.4.3 | 2 | File Download | Kısmen |
| V6.1.1 | 1 | Authentication Documentation | Kısmen |
| V6.1.2 | 2 | Authentication Documentation | Karşılanmıyor |
| V6.1.3 | 2 | Authentication Documentation | Kısmen |
| V6.2.1 | 1 | Password Security | Kısmen |
| V6.2.2 | 1 | Password Security | Karşılanıyor |
| V6.2.3 | 1 | Password Security | Karşılanıyor |
| V6.2.4 | 1 | Password Security | Karşılanıyor |
| V6.2.5 | 1 | Password Security | Karşılanıyor |
| V6.2.6 | 1 | Password Security | Karşılanıyor |
| V6.2.7 | 1 | Password Security | Karşılanıyor |
| V6.2.8 | 1 | Password Security | Karşılanıyor |
| V6.2.9 | 2 | Password Security | Karşılanıyor |
| V6.2.10 | 2 | Password Security | Karşılanıyor |
| V6.2.11 | 2 | Password Security | Karşılanmıyor |
| V6.2.12 | 2 | Password Security | Karşılanıyor |
| V6.3.1 | 1 | General Authentication Security | Karşılanıyor |
| V6.3.2 | 1 | General Authentication Security | Karşılanıyor |
| V6.3.3 | 2 | General Authentication Security | Kısmen |
| V6.3.4 | 2 | General Authentication Security | Karşılanıyor |
| V6.4.1 | 1 | Authentication Factor Lifecycle and Recovery | Kısmen |
| V6.4.2 | 1 | Authentication Factor Lifecycle and Recovery | Karşılanıyor |
| V6.4.3 | 2 | Authentication Factor Lifecycle and Recovery | Karşılanıyor |
| V6.4.4 | 2 | Authentication Factor Lifecycle and Recovery | Kısmen |
| V6.5.1 | 2 | General Multi-factor authentication requirements | Karşılanıyor |
| V6.5.2 | 2 | General Multi-factor authentication requirements | Karşılanıyor |
| V6.5.3 | 2 | General Multi-factor authentication requirements | Karşılanıyor |
| V6.5.4 | 2 | General Multi-factor authentication requirements | Karşılanıyor |
| V6.5.5 | 2 | General Multi-factor authentication requirements | Kısmen |
| V6.6.1 | 2 | Out-of-Band authentication mechanisms | Uygulanamaz |
| V6.6.2 | 2 | Out-of-Band authentication mechanisms | Karşılanıyor |
| V6.6.3 | 2 | Out-of-Band authentication mechanisms | Karşılanıyor |
| V6.8.1 | 2 | Authentication with an Identity Provider | Uygulanamaz |
| V6.8.2 | 2 | Authentication with an Identity Provider | Karşılanıyor |
| V6.8.3 | 2 | Authentication with an Identity Provider | Uygulanamaz |
| V6.8.4 | 2 | Authentication with an Identity Provider | Uygulanamaz |
| V7.1.1 | 2 | Session Management Documentation | Kısmen |
| V7.1.2 | 2 | Session Management Documentation | Kısmen |
| V7.1.3 | 2 | Session Management Documentation | Uygulanamaz |
| V7.2.1 | 1 | Fundamental Session Management Security | Karşılanıyor |
| V7.2.2 | 1 | Fundamental Session Management Security | Karşılanıyor |
| V7.2.3 | 1 | Fundamental Session Management Security | Karşılanıyor |
| V7.2.4 | 1 | Fundamental Session Management Security | Kısmen |
| V7.3.1 | 2 | Session Timeout | Kısmen |
| V7.3.2 | 2 | Session Timeout | Karşılanıyor |
| V7.4.1 | 1 | Session Termination | Kısmen |
| V7.4.2 | 1 | Session Termination | Karşılanıyor |
| V7.4.3 | 2 | Session Termination | Kısmen |
| V7.4.4 | 2 | Session Termination | Karşılanıyor |
| V7.4.5 | 2 | Session Termination | Karşılanıyor |
| V7.5.1 | 2 | Defenses Against Session Abuse | Karşılanıyor |
| V7.5.2 | 2 | Defenses Against Session Abuse | Kısmen |
| V7.6.1 | 2 | Federated Re-authentication | Uygulanamaz |
| V7.6.2 | 2 | Federated Re-authentication | Uygulanamaz |
| V8.1.1 | 1 | Authorization Documentation | Karşılanıyor |
| V8.1.2 | 2 | Authorization Documentation | Karşılanmıyor |
| V8.2.1 | 1 | General Authorization Design | Kısmen |
| V8.2.2 | 1 | General Authorization Design | Karşılanıyor |
| V8.2.3 | 2 | General Authorization Design | Kısmen |
| V8.3.1 | 1 | Operation Level Authorization | Karşılanıyor |
| V8.4.1 | 2 | Other Authorization Considerations | Karşılanıyor |
| V9.1.1 | 1 | Token source and integrity | Karşılanıyor |
| V9.1.2 | 1 | Token source and integrity | Karşılanıyor |
| V9.1.3 | 1 | Token source and integrity | Karşılanıyor |
| V9.2.1 | 1 | Token content | Karşılanıyor |
| V9.2.2 | 2 | Token content | Karşılanıyor |
| V9.2.3 | 2 | Token content | Karşılanıyor |
| V9.2.4 | 2 | Token content | Uygulanamaz |
| V10.1.1 | 2 | Generic OAuth and OIDC Security | Karşılanıyor |
| V10.1.2 | 2 | Generic OAuth and OIDC Security | Uygulanamaz |
| V10.2.1 | 2 | OAuth Client | Uygulanamaz |
| V10.2.2 | 2 | OAuth Client | Uygulanamaz |
| V10.3.1 | 2 | OAuth Resource Server | Karşılanıyor |
| V10.3.2 | 2 | OAuth Resource Server | Uygulanamaz |
| V10.3.3 | 2 | OAuth Resource Server | Karşılanıyor |
| V10.3.4 | 2 | OAuth Resource Server | Uygulanamaz |
| V10.4.1 | 1 | OAuth Authorization Server | Uygulanamaz |
| V10.4.2 | 1 | OAuth Authorization Server | Uygulanamaz |
| V10.4.3 | 1 | OAuth Authorization Server | Uygulanamaz |
| V10.4.4 | 1 | OAuth Authorization Server | Uygulanamaz |
| V10.4.5 | 1 | OAuth Authorization Server | Karşılanıyor |
| V10.4.6 | 2 | OAuth Authorization Server | Uygulanamaz |
| V10.4.7 | 2 | OAuth Authorization Server | Uygulanamaz |
| V10.4.8 | 2 | OAuth Authorization Server | Kısmen |
| V10.4.9 | 2 | OAuth Authorization Server | Karşılanıyor |
| V10.4.10 | 2 | OAuth Authorization Server | Uygulanamaz |
| V10.4.11 | 2 | OAuth Authorization Server | Uygulanamaz |
| V10.5.1 | 2 | OIDC Client | Uygulanamaz |
| V10.5.2 | 2 | OIDC Client | Uygulanamaz |
| V10.5.3 | 2 | OIDC Client | Uygulanamaz |
| V10.5.4 | 2 | OIDC Client | Uygulanamaz |
| V10.5.5 | 2 | OIDC Client | Uygulanamaz |
| V10.6.1 | 2 | OpenID Provider | Uygulanamaz |
| V10.6.2 | 2 | OpenID Provider | Uygulanamaz |
| V10.7.1 | 2 | Consent Management | Uygulanamaz |
| V10.7.2 | 2 | Consent Management | Uygulanamaz |
| V10.7.3 | 2 | Consent Management | Uygulanamaz |
| V11.1.1 | 2 | Cryptographic Inventory and Documentation | Kısmen |
| V11.1.2 | 2 | Cryptographic Inventory and Documentation | Kısmen |
| V11.2.1 | 2 | Secure Cryptography Implementation | Karşılanıyor |
| V11.2.2 | 2 | Secure Cryptography Implementation | Kısmen |
| V11.2.3 | 2 | Secure Cryptography Implementation | Karşılanıyor |
| V11.3.1 | 1 | Encryption Algorithms | Karşılanıyor |
| V11.3.2 | 1 | Encryption Algorithms | Karşılanıyor |
| V11.3.3 | 2 | Encryption Algorithms | Karşılanıyor |
| V11.4.1 | 1 | Hashing and Hash-based Functions | Karşılanıyor |
| V11.4.2 | 2 | Hashing and Hash-based Functions | Karşılanıyor |
| V11.4.3 | 2 | Hashing and Hash-based Functions | Karşılanıyor |
| V11.4.4 | 2 | Hashing and Hash-based Functions | Karşılanıyor |
| V11.5.1 | 2 | Random Values | Kısmen |
| V11.6.1 | 2 | Public Key Cryptography | Karşılanıyor |
| V12.1.1 | 1 | General TLS Security Guidance | Karşılanıyor |
| V12.1.2 | 2 | General TLS Security Guidance | Karşılanıyor |
| V12.1.3 | 2 | General TLS Security Guidance | Karşılanıyor |
| V12.2.1 | 1 | HTTPS Communication with External Facing Services | Karşılanıyor |
| V12.2.2 | 1 | HTTPS Communication with External Facing Services | Karşılanıyor |
| V12.3.1 | 2 | General Service to Service Communication Security | Kısmen |
| V12.3.2 | 2 | General Service to Service Communication Security | Karşılanıyor |
| V12.3.3 | 2 | General Service to Service Communication Security | Kısmen |
| V12.3.4 | 2 | General Service to Service Communication Security | Karşılanıyor |
| V13.1.1 | 2 | Configuration Documentation | Kısmen |
| V13.2.1 | 2 | Backend Communication Configuration | Karşılanıyor |
| V13.2.2 | 2 | Backend Communication Configuration | Kısmen |
| V13.2.3 | 2 | Backend Communication Configuration | Karşılanıyor |
| V13.2.4 | 2 | Backend Communication Configuration | Kısmen |
| V13.2.5 | 2 | Backend Communication Configuration | Doğrulanamadı |
| V13.3.1 | 2 | Secret Management | Kısmen |
| V13.3.2 | 2 | Secret Management | Karşılanıyor |
| V13.4.1 | 1 | Unintended Information Leakage | Karşılanıyor |
| V13.4.2 | 2 | Unintended Information Leakage | Karşılanıyor |
| V13.4.3 | 2 | Unintended Information Leakage | Karşılanıyor |
| V13.4.4 | 2 | Unintended Information Leakage | Doğrulanamadı |
| V13.4.5 | 2 | Unintended Information Leakage | Karşılanıyor |
| V14.1.1 | 2 | Data Protection Documentation | Karşılanıyor |
| V14.1.2 | 2 | Data Protection Documentation | Kısmen |
| V14.2.1 | 1 | General Data Protection | Kısmen |
| V14.2.2 | 2 | General Data Protection | Karşılanıyor |
| V14.2.3 | 2 | General Data Protection | Karşılanıyor |
| V14.2.4 | 2 | General Data Protection | Karşılanıyor |
| V14.3.1 | 1 | Client-side Data Protection | Kısmen |
| V14.3.2 | 2 | Client-side Data Protection | Karşılanıyor |
| V14.3.3 | 2 | Client-side Data Protection | Kısmen |
| V15.1.1 | 1 | Secure Coding and Architecture Documentation | Karşılanmıyor |
| V15.1.2 | 2 | Secure Coding and Architecture Documentation | Kısmen |
| V15.1.3 | 2 | Secure Coding and Architecture Documentation | Kısmen |
| V15.2.1 | 1 | Security Architecture and Dependencies | Karşılanıyor |
| V15.2.2 | 2 | Security Architecture and Dependencies | Karşılanıyor |
| V15.2.3 | 2 | Security Architecture and Dependencies | Karşılanıyor |
| V15.3.1 | 1 | Defensive Coding | Karşılanıyor |
| V15.3.2 | 2 | Defensive Coding | Kısmen |
| V15.3.3 | 2 | Defensive Coding | Karşılanıyor |
| V15.3.4 | 2 | Defensive Coding | Kısmen |
| V15.3.5 | 2 | Defensive Coding | Karşılanıyor |
| V15.3.6 | 2 | Defensive Coding | Karşılanıyor |
| V15.3.7 | 2 | Defensive Coding | Karşılanıyor |
| V16.1.1 | 2 | Security Logging Documentation | Kısmen |
| V16.2.1 | 2 | General Logging | Kısmen |
| V16.2.2 | 2 | General Logging | Doğrulanamadı |
| V16.2.3 | 2 | General Logging | Kısmen |
| V16.2.4 | 2 | General Logging | Karşılanıyor |
| V16.2.5 | 2 | General Logging | Karşılanıyor |
| V16.3.1 | 2 | Security Events | Karşılanıyor |
| V16.3.2 | 2 | Security Events | Karşılanıyor |
| V16.3.3 | 2 | Security Events | Kısmen |
| V16.3.4 | 2 | Security Events | Karşılanıyor |
| V16.4.1 | 2 | Log Protection | Karşılanıyor |
| V16.4.2 | 2 | Log Protection | Kısmen |
| V16.4.3 | 2 | Log Protection | Kısmen |
| V16.5.1 | 2 | Error Handling | Karşılanıyor |
| V16.5.2 | 2 | Error Handling | Karşılanıyor |
| V16.5.3 | 2 | Error Handling | Karşılanıyor |
| V17.1.1 | 2 | TURN Server | Uygulanamaz |
| V17.2.1 | 2 | Media | Uygulanamaz |
| V17.2.2 | 2 | Media | Uygulanamaz |
| V17.2.3 | 2 | Media | Uygulanamaz |
| V17.2.4 | 2 | Media | Uygulanamaz |
| V17.3.1 | 2 | Signaling | Uygulanamaz |
| V17.3.2 | 2 | Signaling | Uygulanamaz |