Devasa bir taramadan çok kritik yolculuklarla başlayın
Beş ila on URL seçin ve her biri için beklenen sonucu tanımlayın: bir onay sayfası, makbuz, CRM kaydı veya sağlayıcı devretmesi. Gelir yaratan, güven oluşturan, destek talebi oluşturan veya yasal yükümlülük doğuran halka açık sayfaları ve eylemleri dahil edin. Oturumu kapatılmış bir pencerede ve bir telefonda ziyaretçi olarak test edin.
Üçüncü tarafın kritik bir adımı kontrol etmesi durumunda devretmeyi ve destek iletişimini haritalayın. Geçişinizi test edebilirsiniz, ancak o sağlayıcıyı sertifiye edemezsiniz. Bulguları engelleyici, önemli bozulma veya iyileştirme olarak sınıflandırın; böylece kozmetik işler kırık bir yolculuğu gölgelemesin.
Gelir, güven, destek talebi veya yasal yükümlülük yaratan yolları kapsam altında tutun.
Her önemli bulgunun isimlendirilmiş bir sahibi ve hedef tarihi olmalıdır.
Görünüş kadar erişilebilir kullanımı da kontrol edin
Erişilebilirlik, insanların farklı giriş yöntemleri ve yardımcı teknolojilerle siteyi algılayabilmesi ve işletmesi demektir. Seçili sayfalarda gezinmeyi, menüleri, kontrolleri ve formları Tab tuşuyla test edin. Görünür klavye odaklanmasını, temel kontrollerin fare olmadan çalışmasını ve ana içeriğe bir rota olmasını kontrol edin. W3C’nin Easy Checks kılavuzu klavye odaklanması ve bir atla bağlantısı (skip link) gibi ilk inceleme için yararlı öğeleri belirtir.
Anlamlı görüntü metnini, sayfa başlıklarını, başlıkları, kontrastı, yakınlaştırma davranışını, gerektiğinde medya alternatiflerini, form etiketlerini, gerekli alanları ve anlaşılır hataları inceleyin. Hassas olmayan bir test gönderimi yapın. Bu bir uyumluluk denetimi değildir: W3C, sayfaların hızlı kontrolleri geçebileceğini ancak hâlâ önemli engeller içerebileceğini uyarır. Daha yüksek riskli işler, yeniden tasarımlar veya bilinen sorunlar için nitelikli bir değerlendirme kullanın.
Etiketleri, talimatları, hataları ve onaya giden gerçek yolu test edin.
Alternatif metin bir görüntünün amacını iletmeli; başlıklar sayfayı organize etmelidir.
Sıralama vaat etmeden bulunabilirliği gözden geçirin
SEO, arama motorlarının içeriği anlamasına yardımcı olur ve insanlara aramadan ziyaret edip etmeme kararında yardım eder. Her öncelikli sayfa için, bir acemi gibi başlığı, ana başlığı, açılış metnini, URL'yi ve dahili bağlantıları okuyun. Amaçları belirtmeli ve faydalı sonraki adımlara yönlendirmelidir. Google, açıklayıcı URL’ler, faydalı içerik ve açıklayıcı bağlantı metinlerini önerir.
Google Search Console kullanıyorsanız, önemli URL’leri önemli bir yayınlamadan sonra inceleyin. Google, URL Denetimi’nin (URL Inspection) kendi tarayıcısının bir sayfayı nasıl gördüğünü ve önemli kaynaklara erişip erişemediğini kontrol etmeye yardımcı olabileceğini söyler. Kazara engellemeleri, kırık dahili bağlantıları veya belirsiz yolları düzeltin, ardından yeniden tarama için süre verin. Google indeksleme veya sıralama garantisi vermez.
Oturumu kapalıyken dahili bağlantıları açın ve 404 sayfalarını, döngüleri ve alakasız hedefleri kaydedin.
Ziyaretçilerin hissettiği yerde teslimatı gözlemleyin
Teslimat; sunucu yanıtı, görseller, fontlar, scriptler, önbellekleme ve üçüncü tarafları içerir. Öncelikli sayfalarda bir tarayıcı performans kontrolü çalıştırın, sonra çekirdek görevi gerçek bir telefonda tekrarlayın. Geç ortaya çıkan birincil içerik, yavaş kontroller, düzen kaymaları (layout shift), başarısız kaynaklar veya bir görevi engelleyen bantlar not edin. Core Web Vitals, bir web.dev kullanıcı deneyimi çerçevesidir; ölçümleri araştırmayı odaklamak için kullanın, yolculuk testinin yerine geçmesin.
Yeni etiketleri, widget’ları, yerleştirmeleri, fontları ve görsel değişiklikleri uygulayan kişiyle birlikte gözden geçirin. HTTP önbellekleri önceki yanıtları yeniden kullanır. MDN, Cache-Control'un önbellekleme talimatlarını ilettiğini ve önbelleğe alınmış yanıtların taze veya bayat olabileceğini açıklar. Bir yayından sonra sıradan ve taze tarayıcı oturumlarını karşılaştırın, sonra teknik sahibi başlıkları ve CDN kurallarını incelesin. Gizlilik ve yayın etkilerini anlamadan toplu önbellek değişikliklerinden kaçının.
Birincil içeriğin görünüp görünmediğini, sayfanın kararlı kalıp kalmadığını ve temel kontrollerin yanıt verip vermediğini kaydedin.
MDN, tek bir çerezin (cookie) yanıtı gizli yapmadığını belirtir; kişiselleştirilmiş önbellekleme için teknik sahibin incelemesini isteyin.
Güvenlik temelini doğrulayın ve ödeme değişikliklerini koruyun
Bir sahip incelemesi görünür boşlukları bulabilir; bu bir penetrasyon testi değildir. Genel siteyi HTTPS üzerinden açın ve HTTP’yi deneyin. OWASP, tüm sayfalar için TLS önerir ve genel HTTP trafiğini HTTPS’ye yönlendirmenin yaygın bir yaklaşım olduğunu açıklar. Sertifika veya karışık içerik uyarılarını, beklenmeyen etki alanlarını ve içeriği güvenli şekilde yönlendirmek yerine HTTP sayfalarının hizmet etmesini yükseltin.
Yayıncılık, domain, DNS, ödeme, eklenti ve yedek erişiminin güncel sahipliğini doğrulayın. Nitelikli bir güvenlik uzmanı veya sağlayıcı TLS yapılandırması, yama yönetimi, kimlik doğrulama, sunucu yapılandırması ve günlüklerin incelenmesini yapmalıdır. Ödeme için yalnızca sağlayıcı onaylı test yöntemini veya güvenli bir üretim dışı ortamı kullanın. Gayri resmi bir testte gerçek kart verilerini veya kimlik bilgilerini asla koymayın ve görsel bir incelemenin PCI uyumluluğunu kanıtladığını iddia etmeyin.
Bir sertifika uyarısını, güvensiz içerik uyarısını veya beklenmeyen yönlendirmeyi soruşturulana kadar yayın durdurucu bir sorun olarak ele alın.
Şüpheli ele geçirilmeleri, güvenlik gereksinimlerini ve ödeme uyumluluğu sorularını nitelikli inceleyicilere yönlendirin.
Kurtarmayı kanıtlayın ve döngüyü kapatın
Öncelikli yolculuğu yeniden oluşturanları listeleyin: uygulama sürümü, veritabanı, yüklenen medya, yapılandırma yerleri, DNS ve domain erişimi, entegrasyon ayarları ve satıcı iletişim bilgileri. CISA, kritik verilerin tanımlanmasını, web sitesi ve operasyonel veritabanlarının korunmasını, yedeklerin güvence altına alınmasını ve kurtarmanın test edilmesini tavsiye eder. Son olarak ne zaman bir geri yüklemenin test edildiğini, neyi geri yüklediğini, ne kadar sürdüğünü ve kimlerin yetki verdiğini sorun. Mümkün olduğunda güvenli şekilde prova yapın.
Bir yayından önce önceki sürümü, geri alma tetikleyicisini, onaylayıcıyı ve DNS, önbellek, veritabanı şeması ve üçüncü taraf değişiklikleri için işlem şeklini belirleyin. Bir yedek anında düzeltme değildir ve geri alma harici verileri veya ödeme olaylarını geri çeviremeyebilir. Bir bulgu, kanıt, sahip, tarih ve yeniden test sonucu kaydı tutun.
Kapsam, tarih, sonuç ve boşluk kaydı “yedekler çalışıyor” demekten daha güçlüdür.
İlgili ortamda bir düzeltme sonrası orijinal başarısız yolu doğrulayın.