CORS: Güvenlik Tiyatrosu mu, Yoksa Gerçek Kalkan?

CORS (Cross-Origin Resource Sharing) konuşmalarında çoğu zaman iki aşırı uç görürsünüz: bir taraf bunu milyonlarca saldırıyı engelleyen kalkan olarak sunarken, diğeri tamamen işe yaramayan tiyatro diye kötüler. İkisi de yanlış.

CORS, tarayıcı tabanlı saldırılara (XSS, CSRF vb.) karşı bir tarayıcı güvenlik mekanizmasıdir. Bir web sayfasında çalışan JavaScript kodunun, farklı domainlerdeki API'lere istek atmasını kontrol eder. Örneğin, `attacker.com`'da açık bir sayfada çalışan kod, `yourbank.com`'un API'sine direkt erişemez.

Bu gerçek bir tehdittir. XSS zafiyeti varsa, saldırgan kullanıcının cookie'sini çalabilir, paranızı transfer edebilir. CORS bu senaryoyu engellemez mi? Hayır, ama tarayıcıyı güvenli bir durum sağlamaya zorlar.

Çünkü CORS yalnızca tarayıcıda uygulanır. Postman'den, cURL'den veya mobil uygulamadan aynı API'ye istek atarsanız CORS tamamen bypass edilir. Bunu yapan saldırgan için hiçbir engel yoktur.

Ekstra sorun: yanlış yapılandırılmış CORS (`Access-Control-Allow-Origin: *` gibi) aslında hiçbir güvenlik katmanı eklemez. Hatta yanlış bir güvenlik hissi yaratarak, gerçek sorunları gözden kaçırtabilir.

CORS, tarayıcı ortamında çalışan zararlı JavaScript kodunun API'nize erişmesini zorlaştırır. Ama bu, API'nin kendisini korumaz. Gerçek koruma şunlardan gelir:

- Authentication: Kimlik doğrulama (JWT, OAuth)
- Rate limiting: İstek sınırlaması
- Input validation: Giriş doğrulaması
- HTTPS: Şifrelenmiş iletişim

CORS bunların yerine geçmez; tamamlayıcı bir katmandır.

CORS, tarayıcı tabanlı saldırılara karşı gerçek bir engeldir ama API güvenliğinin temelini oluşturmaz. Onu merkezi güvenlik stratejisi olarak görmek hata; onu görmezden gelmek daha büyük hata. Doğru yaklaşım: CORS'u kurun, ama asıl güvenliğinizi authentication, rate limiting ve input validation'a dayandırın. Tarayıcı dışından gelen saldırılara karşı CORS hiçbir şey yapamaz, o yüzden API'nizin kendisi güçlü olmalıdır.