SHIELDSHOP — API Shield demo

01 Oturum Kimligi Session identifiers

API Shield'in her analizinin temeli: istekleri kisi bazinda gruplayan kimlik. Burada HMAC imzali shopsid cerezi ve JWT'nin sub claim'i kullaniliyor. Bu olmadan Discovery, Sequence, BOLA, hiz limiti onerisi ve kimlik durusu calismaz.

Konsol Security → Settings → (filtre: API abuse) → Session identifiers

Gorunme suresi anlik

—

Henuz istek yok.

Notlarim

02 API Kesfi API Discovery

Envantere kaydedilmemis uclar. Cloudflare bunlari trafikten kendisi bulur: 2xx donen, oturum kimligi tasiyan ve 10 gun icinde 500+ istek alan her uc listeye duser. Asagidaki 4 uc bilerek kayit disi birakildi.

Konsol Security → Web Assets → Discovery (Source: Session identifier / Machine learning)

Gorunme suresi 3-10 gun (trafik esigi)

—

Henuz istek yok.

Notlarim

03 Uc Yonetimi Endpoint Management

Bilinen API envanteri. Her uc icin istek sayisi, gecikme, hata orani, yanit boyutu, etiketler ve hiz limiti onerisi ayri ayri izlenir. Yol degiskenleri {sku}, {orderId} seklinde normallestirilir.

Konsol Security → Web Assets → Endpoints

Gorunme suresi anlik

—

Henuz istek yok.

Notlarim

04 Sema Ogrenme Schema Learning

Cloudflare, gercek trafikten her ucun alanlarini ve deger araliklarini kendisi ogrenir. Alan ogrenmesi icin ~1.000, sinir ogrenmesi icin ~10.000 uygun istek gerekir; sonuc haftalik koşuda cikar ve OpenAPI olarak disa aktarilabilir.

Konsol Security → Web Assets → Endpoints → Export schema (learned parameters isaretli)

Gorunme suresi 7 gun

—

Henuz istek yok.

Notlarim

05 Sema Dogrulama Schema Validation

Yuklenen OpenAPI semasina uymayan istekler edge'de isaretlenir (cf.schema_validation.uploaded.violated). Origin yine 200 doner; karari WAF kurali verir. Asagidaki kirmizi butonlar semaya aykiri govde gonderir.

Konsol Security → Web Assets → Schema validation · Security → Events (kural: SHIELDSHOP 1)

Gorunme suresi anlik

—

Henuz istek yok.

Notlarim

06 Kayit Disi Uc (Golge API) Fallthrough detection

Envantere ve semaya hic girmemis bir uc. Uretimde bunlar unutulmus test uclari, eski surumler, ic servislerdir — saldirganin ilk aradigi seydir. Cloudflare cf.api_gateway.fallthrough_detected ile isaretler.

Konsol Security → Events (kural: SHIELDSHOP 2) · Security → Analytics

Gorunme suresi anlik

—

Henuz istek yok.

Notlarim

07 Kimlik Durusu Authentication Posture

Hangi ucunuz kimlik dogrulamadan veri donduruyor? Cloudflare basarili isteklerde oturum kimligi olup olmadigina bakar ve ucu cf-risk-missing-auth / cf-risk-mixed-auth diye etiketler. Asagidaki butonlar cerez ve token GONDERMEDEN cagri yapar; uc yine 200 doner.

Konsol Security → Web Assets → Endpoints → Label filtresi

Gorunme suresi etiket 24 saat · WAF logu anlik

—

Henuz istek yok.

Notlarim

08 BOLA — Numara Tarama BOLA enumeration

/orders/{orderId} sahiplik kontrolu yapmiyor (bilerek zafiyetli). Normal musteri kendi 2-3 siparisine bakar; saldirgan tek oturumda yuzlerce siparis numarasi dener. Cloudflare bu farki oturum bazinda olcer ve ucu cf-risk-bola-enumeration diye isaretler.

Konsol Security → Web Assets → Endpoints → /orders/{orderId} → Labels · Security Analytics

Gorunme suresi 7 gun + 10.000 oturum

—

Henuz istek yok.

Notlarim

09 BOLA — Parametre Kirliligi BOLA parameter pollution

Ayni parametre birden fazla yerde gonderilir (/users/u-101/orders?userId=u-105). Amac yetki kontrolunu sasirtmak: bir katman path'e, digeri query'ye bakar. Cloudflare bunu cf-risk-bola-pollution ile isaretler.

Konsol Security → Web Assets → Endpoints → Labels · Events (SHIELDSHOP 9)

Gorunme suresi 24 saat

—

Henuz istek yok.

Notlarim

10 Etiketler Managed & custom labels

Uclari is anlamina gore etiketleriz: cf-log-in, cf-purchase, cf-add-cart, cf-add-payment, cf-check-value… Cloudflare ayrica risk etiketlerini kendisi dusur. Etiket = hangi uca once bakacaginizi bilmek.

Konsol Security → Web Assets → Endpoints → Label sutunu / filtresi

Gorunme suresi elle anlik · risk etiketleri 24 saat

—

Henuz istek yok.

Notlarim

11 Hacimsel Istismar Tespiti Volumetric Abuse Detection

Cloudflare her uc icin oturum basina normal istek hacmini ogrenir ve size bir limit onerir (p50/p90/p99 + onerilen esik). Limiti siz tahmin etmezsiniz; kendi trafiginiz soyler. Ozellikle kupon, hediye karti ve arama uclarinda kritiktir.

Konsol Security → Web Assets → Endpoints → uc → Rate limiting recommendation

Gorunme suresi ≥50 oturum/24 saat, sonuc 24 saat sonra

—

Henuz istek yok.

Notlarim

12 Hiz Siniri Advanced Rate Limiting

Onerilen esik kurala donusur. Sayac IP degil oturum basinadir: saldirgan IP degistirse de sayac onu takip eder. Asagidaki buton limiti kasten asar ve 429 alir.

Konsol Security → Events (kural: SHIELDSHOP RL2 / RL1)

Gorunme suresi anlik

—

Henuz istek yok.

Notlarim

13 Dizi Analizi Sequence Analytics

Musteriler API'yi hangi sirayla kullaniyor? Cloudflare oturum kimligini takip ederek en sik gorulen istek zincirlerini cikarir. Normal yolculuk: giris → urun → sepet → odeme → siparis.

Konsol Security → Web Assets → Sequences

Gorunme suresi 24 saat

—

Henuz istek yok.

Notlarim

14 Dizi Zorlamasi Sequence Mitigation

Sadece izlemekle kalmaz, zorlarsiniz: "checkout yalnizca sepete ekleme adimindan sonra gelebilir". Sepetsiz dogrudan odeme, bot veya otomasyon isaretidir.

Konsol Security → Web Assets → Sequences → Rules · Security → Events (SHIELDSHOP 7)

Gorunme suresi kural anlik · sayac 24 saat

—

Henuz istek yok.

Notlarim

15 JWT Dogrulama JWT Validation

Token'in imzasi, suresi, kid'i, iss ve aud degerleri edge'de dogrulanir; gecersiz token origin'e hic ulasmaz. Asagidaki butonlar bilerek bozuk token uretip ayni ucu cagirir.

Konsol Security → Web Assets → Settings → JWT validation · Security → Events (SHIELDSHOP 4)

Gorunme suresi anlik

—

Henuz istek yok.

Notlarim

16 Claim Aktarimi JWT claims → origin

Dogrulanmis kullanici kimligi, Transform Rule ile origin'e header olarak gecirilir (X-Shop-User). Uygulamaniz token cozmek zorunda kalmaz. Istemciden gelen sahte header'lar T1 kuraliyla silinir.

Konsol Rules → Transform Rules → Modify Request Header (SHIELDSHOP T1/T2/T3)

Gorunme suresi anlik

—

Henuz istek yok.

Notlarim

17 Karsilikli TLS (mTLS) mTLS

Yonetici ve is ortagi uclarinda parola/token yetmez: istemcinin sertifikasi aranir. Sertifikasi olmayan istek edge'de reddedilir, origin'e hic gelmez.

Konsol SSL/TLS → Client Certificates · Security → Events (SHIELDSHOP 5)

Gorunme suresi anlik

—

Henuz istek yok.

Notlarim

18 GraphQL Korumasi GraphQL malicious query protection

GraphQL'de tek bir istek origin'i dizlerine cokertebilir: ic ice sorgu derinligi ve sorgu boyutu. Cloudflare /graphql ile biten yollari otomatik ayristirir; derinlik ve boyut siniri WAF kuraliyla uygulanir.

Konsol Security → Events (SHIELDSHOP 6) · GraphQL analytics

Gorunme suresi anlik

—

Henuz istek yok.

Notlarim

19 Hassas Veri Tespiti Sensitive Data Detection

API yanitlarinda kredi karti, IBAN, kimlik bilgisi veya API anahtari sizmasini yakalar. Yanit zaten gonderildigi icin aksiyon log'dur; amac "hangi ucum ne donduruyor" sorusunu cevaplamaktir. Bu uc bilerek sahte PAN + IBAN + API anahtari donuyor.

Konsol Security → Analytics → Sensitive Data · Web Assets → Endpoints (cf-risk-sensitive)

Gorunme suresi log anlik · etiket 24 saat

—

Henuz istek yok.

Notlarim

20 API Yonlendirme API Routing

Bir ucu, uygulamayi degistirmeden baska bir arka uca yonlendirin. Gocte, surum gecisinde ve eski sistemleri kapatirken kullanilir. Route kurulmadan once yanit bu Worker'dan, sonra eski sistemden gelir.

Konsol Security → Web Assets → Endpoints → /api/legacy/urunler → Routing → Create route

Gorunme suresi deploy sonrasi ≤5 dakika

—

Henuz istek yok.

Notlarim

21 Gelistirici Portali Developer Portal

Envanterdeki uclardan veya yuklenen semadan, is ortaklariniz icin otomatik, gezilebilir API dokumantasyonu uretilir (Redoc + Cloudflare Pages).

Konsol Security → Settings → (API abuse) → Create a developer portal

Gorunme suresi birkac dakika

Semayi indir (OpenAPI) ↗

—

Henuz istek yok.

Notlarim

22 Zafiyet Tarayici API Vulnerability Scanner

Cloudflare, semanizi ve iki farkli kullanici kimligini alip API'nizi kendisi test eder: A kullanicisinin token'iyla B kullanicisinin verisine erisilebiliyor mu? Bu demoda /orders/{orderId} kasten zafiyetli.

Konsol Dashboard yok — API ile calisir: npm run scan

Gorunme suresi dakikalar

—

Henuz istek yok.

Notlarim

23 Bot Skoru ve JA4 Bot Management

Her istege 1-99 arasi bir bot skoru ve TLS parmak izi (JA4) verilir. API Shield sinyalleriyle birlesince "gecerli token tasiyan ama bot olan" trafik ayirt edilir. Asagida bu istegin kendi skorunu gorebilirsiniz.

Konsol Security → Analytics (Bot) · Security → Events (SHIELDSHOP 11/13)

Gorunme suresi anlik

—

Henuz istek yok.

Notlarim

24 JavaScript Tespiti JavaScript Detections

Cloudflare tarayiciya gorunmez bir JS kontrolu enjekte eder; gercek tarayici gecer, betik gecemez. Sonuc cf.bot_management.js_detection.passed alaninda kural yazmak icin kullanilabilir.

Konsol Security → Settings → Bot Management → JavaScript Detections

Gorunme suresi zone ayari (acilinca anlik)

—

Henuz istek yok.

Notlarim

25 Anomali Anahtarlari Risk labels (latency / error / size)

Uc davranisi birden degisirse Cloudflare bunu fark eder: gecikme sicramasi, hata orani artisi, yanit boyutu buyumesi. Bu anahtarlar origin'i kasten bozar; 24 saat icinde cf-risk-latency-anomaly, cf-risk-error-anomaly, cf-risk-size-anomaly etiketleri duser.

Konsol Security → Web Assets → Endpoints → Labels (cf-risk-*-anomaly)

Gorunme suresi 24 saat

—

Henuz istek yok.

Notlarim