Coolify Discovery: Rol, Token ve Host Kontrolü Neden Önemli

Coolify gibi self-hosted deployment platformlarını keşfederken çoğu kişi sadece 'buldum, var' diye geçiyor. Ama asıl mesele şu: bir Coolify dashboard'u bulmak, o dashboard'un ne kadar tehlikeli olduğunu söylemiyor. Gerçek soru şu, kim ne yapabiliyor?

Andrea Gomez'in yazısında vurgulanan nokta tam da burası. Coolify, uygulamalar, veritabanları, servisler ve sunucuları tek bir kontrol panelinden yönetiyor. Bu panelde takım rolleri, API tokenları, Git entegrasyonları, deployment kimlik bilgileri ve şifreli yapılandırmalar bulunuyor. Sunucu seviyesinde SSH yetkileri de var. Yani bir Coolify instance'ı, tüm altyapının kapısı gibi davranabiliyor.

ZoomEye'de yapılan ölçüme bakılırsa app="Coolify" aratıldığında 3 sonuç, title="Coolify" aratıldığında 70.486 sonuç çıkıyor. Fakat bu sayılar yanıltıcı olabilir. Başlık eşleşmeleri dokümantasyon, karşılaştırma sayfaları, yardım yazıları ve Coolify'den bahseden genel web siteleri içeriyor. Bir dashboard'un gerçekten açık olduğunu, rol ayarlarının aşırı geniş olduğunu ya da deployment'ın zafiyetli olduğunu söylemiyor.

Adli bilişim ve siber güvenlik açısından bakıldığında, Coolify keşfettiğinde yapılması gereken ilk iş, erişim kontrolünü incelemek. Hangi takım üyelerinin ne yapabileceği, API token'ların nasıl yönetildiği, host bağlantılarının kim tarafından kontrol edildiği, bunlar önemli. Bir sayı büyük diye alarm çalmaya gerek yok; ama bulduğun her instance'ı, admin erişim seviyesi açısından değerlendirmek gerekiyor.