Türkiye’deki Üniversitelerin Web Sitelerinin Güvenlik Durumunun Değerlendirilmesi: Bir Durum Çalışması

Öz

Bu çalışma, 23 Ağustos 2025 itibarıyla ana web sitesine sahip olan Türkiye’deki 205 üniversitenin web güvenliği durumunu değerlendirmiştir. Türkiye’deki üniversitelerin ana web sitelerinde Web Uygulama Güvenlik Duvarı (WAF) kullanımı ve güvenlik açığı değerlendirmesine odaklanan kapsamlı bir çalışmanın bulunmaması bu araştırmayı motive etmiştir. Çalışmada başlangıçta wafw00f ve ZAP tarama araçları kullanılmış, ZAP’ın bazı sınırlılıkları nedeniyle daha güvenilir bir değerlendirme elde etmek amacıyla Mozilla’nın HTTP Observatory aracı, ZAP bulgularını doğrulamak üzere sürece dahil edilmiştir. Ayrıca, güvenlik açığı değerlendirmesinin kapsamını genişletmek amacıyla akademik personel web sayfaları üzerinde ek bir ZAP taraması gerçekleştirilmiştir. Her bir araç, web sitelerine zarar verilmesini önlemek amacıyla müdahaleci olmayan (non-intrusive) şekilde kullanılmıştır. Taramalar; 23 Ağustos 2025’te wafw00f ile, 4-12 Eylül 2025 arasında ZAP ile ve 3-4 Ekim 2025 arasında HTTP Observatory ile gerçekleştirilmiştir. Daha sonra, ZAP ile 12-15 Aralık 2025 arasında akademik personel web sayfaları üzerinde ek bir tarama yapılmıştır. Bilimsel tutarlılığı sağlamak amacıyla değerlendirmeye yalnızca ZAP tarafından High Confidence olarak işaretlenen bulgular dahil edilmiştir. Elde edilen sonuçlar, Open Web Application Security Project (OWASP) Top Ten 2021’de yer alan güvenlik açıkları ve bunların potansiyel riskleri dikkate alınarak analiz edilmiştir. Bulgular, üniversitelerin çoğunun WAF kullanmadığını ve Content Security Policy (CSP) ile Strict-Transport-Security başlıklarının eksik veya hatalı yapılandırıldığını göstermiştir. Bu zafiyetler, OWASP Top Ten 2021 kapsamında A05:2021-Security Misconfiguration kategorisi ile örtüşmekte olup A03:2021-Injection riskinde potansiyel bir artışa işaret etmekte ve üniversitelerin web güvenliğinin belirli ölçüde zafiyet içererek iyileştirme gerektirdiğini göstermektedir.

Anahtar Kelimeler

• web uygulama güvenliği
• üniversiteler
• WAF
• güvenlik açığı değerlendirmesi
• OWASP top ten 2021

An Evaluation of the Web Security Posture of University Websites in Turkey: A Case Study

Öz

This study assessed the web security posture of 205 universities in Turkey that had a main website as of August 23, 2025. The lack of a comprehensive study focusing on Web Application Firewall (WAF) usage and vulnerability assessment of main university websites in Turkey motivated the research. In the study, the scanning tools wafw00f and ZAP were initially used, followed by the inclusion of Mozilla’s HTTP Observatory to cross-check ZAP's findings for a more trustworthy evaluation, due to certain limitations exhibited by ZAP. In addition, an additional ZAP scan was conducted on academic staff web pages to extend the scope of the vulnerability assessment. Each tool was used in a non-intrusive way to prevent causing harm to the websites. The scans were performed using wafw00f on August 23, 2025; with ZAP between September 4 and 12, 2025; and finally with HTTP Observatory between October 3 and 4, 2025. Later, an additional ZAP scan of academic staff web pages was conducted between December 12 and 15, 2025. Only findings marked as High Confidence by ZAP were included in the evaluation to maintain scientific consistency. The results were analysed in relation to the Open Web Application Security Project (OWASP) Top Ten 2021 and the associated risks. The findings show that many universities lack a WAF and have missing or misconfigured Content Security Policy (CSP) and Strict-Transport-Security headers. These issues fall under A05:2021 - Security Misconfiguration and may increase the risk of A03:2021 - Injection, suggesting that university web security remains vulnerable and would benefit from further improvement.

Anahtar Kelimeler

• web application security
• universities
• WAF
• vulnerability assessment
• OWASP top ten 2021

Etik Beyan

There are no ethical issues regarding the publication of this article.

Kaynakça

1. Adha, M., Kwa, Z. D., & Muhammad, A. H. (2023). Website security test at the University of Mataram using vulnerability assessment. JIPI (Jurnal Ilmiah Penelitian dan Pembelajaran Informatika), 8(2), 647–655. https://doi.org/10.29100/jipi.v8i2.3830
2. Altulaihan, E. A., Alismail, A., & Frikha, M. (2023). A survey on web application penetration testing. Electronics, 12(5), 1229. https://doi.org/10.3390/electronics12051229
3. Clincy, V., & Shahriar, H. (2018, July). Web application firewall: Network security models and configuration. In 2018 IEEE 42nd Annual Computer Software and Applications Conference (COMPSAC) (Vol. 1, pp. 835–836). IEEE. https://doi.org/10.1109/COMPSAC.2018.00144
4. Ecik, H. (2021, December). Comparison of active vulnerability scanning vs. passive vulnerability detection. In 2021 International Conference on Information Security and Cryptology (ISCTURKEY) (pp. 87–92). IEEE. https://doi.org/10.1109/ISCTURKEY53027.2021.9654331
5. Fortinet. (2024). 2024 application security report. Fortinet. Retrieved July 22, 2025, from https://www.cybersecurity-insiders.com/portfolio/2024-application-security-report-fortinet/
6. Fortinet. (2025). 2025 web application security report. Fortinet. Retrieved July 22, 2025, from https://www.fortinet.com/uk/resources/reports/application-security-report
7. Ghanbari, Z., Rahmani, Y., Ghaffarian, H., & Ahmadzadegan, M. H. (2015, November). Comparative approach to web application firewalls. In 2015 2nd International Conference on Knowledge-Based Engineering and Innovation (KBEI) (pp. 808–812). IEEE. https://doi.org/10.1109/KBEI.2015.7436148
8. Macakoğlu, Ş. S., Peker, S., Medeni, İ. T., & Medeni, T. D. (2022). Türk üniversitelerinin aday öğrenci web sayfalarının erişilebilirlik, kullanılabilirlik ve güvenlik açısından değerlendirilmesi. Bilişim Teknolojileri Dergisi, 15(3), 261–274. https://doi.org/10.17671/gazibtd.1066330

9. Muin, M. A., Kapti, K., & Yusnanto, T. (2022). Campus website security vulnerability analysis using Nessus. International Journal of Computer and Information System, 3(2), 79–82. https://doi.org/10.29040/ijcis.v3i2.72
10. OWASP. (2021). OWASP Top 10: 2021. OWASP. Retrieved July 26, 2025, from https://owasp.org/Top10/
11. Prasetyo, S. E., & Hassanah, N. (2021). Analisis keamanan website Universitas Internasional Batam menggunakan metode ISSAF. Jurnal Ilmiah Informatika, 9(2), 82–86. https://doi.org/10.63866/jpst.v1i2.76
12. Satria, B. N., Wicaksono, S. R., & Setiawan, R. (2024). Integrating OWASP and MOORA for comprehensive vulnerability assessment and prioritization in educational web applications. Proceedings of the National Conference on Electrical Engineering, Informatics, Industrial Technology, and Creative Media, 4(1), 1154–1162
13. Yükseköğretim Kurulu. (2025). Yükseköğretim bilgi yönetim sistemi. Retrieved August 23, 2025, from https://istatistik.yok.gov.tr/