Ölçülemeyen yere “doğrulanamadı” yazılır

Her yeni müşteri için aynı işi yapıyordum: siteyi aç, sertifikasına bak, başlıklarını kontrol et, DNS kayıtlarını sorgula, hangi teknolojiyle yapıldığını bul, sürümünde bilinen açık var mı diye ara, gizlilik metinlerini kontrol et.

İki saat. Her müşteride. Ve her seferinde bir şeyi atlıyordum.

Bir motora çevirdim: Globya Radar. Bir adres veriyorsun; tarama canlı akıyor, sonunda kanıtlı bulgu listesi ve şeffaf bir skor çıkıyor.

Ne ölçüyor

Kalın yazdığım iki kontrol, elle yapılması en zor olanlar — ve en çok şey söyleyenler.

Botların canlı erişim testi

robots.txt’de bir AI botuna izin verildiğinin yazması, o botun gerçekten girebildiği anlamına gelmiyor. Sunucu, güvenlik duvarı ya da bir ara katman onu ayrıca engelliyor olabilir.

Bu yüzden motor dosyayı okumakla yetinmiyor: her botun kimliğiyle gerçek bir istek atıyor ve ne döndüğüne bakıyor. Sonuç sık sık şaşırtıyor — izin verildiği yazan sitelerin bir kısmı fiilen engelliyor.

Onay öncesi kurulan çerezler

Çerez bildirimi var, “kabul et” butonu var — ama sayfa daha açılırken izleme çerezleri çoktan kurulmuş. Motor sayfayı hiçbir şeye tıklamadan yüklüyor ve o anda kurulan çerezleri listeliyor.

Tek bir kontrol, bir uyum iddiasının gerçek olup olmadığını doğrudan gösteriyor.

Skor: doygunluk eğrisi

Her bulgunun bir ceza puanı var: kritik 30, yüksek 18, orta 9, düşük 4. İlk denemem cezaları toplayıp 100’den çıkarmaktı. Kötü fikirdi — dört kritik bulan bir site eksiye düşüyordu ve dörtle on iki arasında fark kalmıyordu.

Bu davranış gerçeği daha iyi yansıtıyor: güvenlik başlığı olmayan bir sitede ilk eksik başlık ciddi bir işaret; altıncısı, o site güvenlik başlıklarını hiç düşünmemiş demek — yeni bilgi taşımıyor.

En önemli kural

Hiç denetlenemeyen kategori ortalamaya katılmaz. Uydurma skor üretilmez.

Bir kategori ölçülemiyorsa — sunucu zaman aşımına uğradıysa, DNS cevap vermediyse — o kategoriye bir sayı atanmıyor. Ortalamanın paydasından çıkarılıyor ve raporda “doğrulanamadı” yazıyor.

Teknik olarak en kolay kısımdı ve karar olarak en zoru. Çünkü eksik bir skor tablosu “eksik” görünüyor; oysa tahmin edilmiş bir değer tam görünüyor ve tamamen yanlış olabiliyor.

Aynı kuralı oda ölçüm aracında da uygulamıştım — orada da araç bazen sayı vermiyor.

Her bulgu üç parça taşır

bulgu:  "SSL sertifikası alan adına ait değil"
kanıt:  CN=*.hosting-saglayici.com, listede alan adı yok
sonuç:  ziyaretçi tarayıcı uyarısı görüyor, form gönderimi engelleniyor
çözüm:  alan adına ait sertifika kurulması

Kanıt olmadan bulgu bir iddia. Sonuç olmadan teknik bir detay. Çözüm olmadan bir şikâyet. Üçü birlikteyken bir karar belgesi.

Bir de fark

Aynı adres ikinci kez tarandığında motor önceki taramayı bulup farkı gösteriyor: skor değişimi, çözülen bulgular, yeni çıkanlar, hâlâ açık olanlar.

Bu, işi yaptıktan sonra ispatlamanın en temiz yolu. “Sitenizi hızlandırdık” cümlesi yerine iki tarih arasındaki tablo.

Beklenmedik kullanım

Motoru müşteri raporu için yazmıştım. Toplu tarama modunu ekledikten sonra başka bir işe yaradı: hedef listesi çıkarmak.

Bir sektördeki firmaların adreslerini veriyorsun, hepsi taranıyor, skora göre sıralı bir tablo çıkıyor. En düşük skorlular, teklifin en anlamlı olduğu firmalar.

Bir de kıyaslama modu: birkaç siteyi yan yana koyup “siz ve rakipleriniz” tablosu üretiyor. Bu tablo herhangi bir satış cümlesinden daha ikna edici — çünkü hiçbir şey iddia etmiyor, sadece ölçümü gösteriyor.

Ne öğrendim

Bir denetim aracının değeri bulduğu sorunların sayısında değil. Bulgularına güvenilebilmesinde.

Ve güven, her koşulda bir sayı üretmekten değil, üretemeyeceği yeri bilmekten geliyor. Yarım gün süren bu karar — “ölçemediysen yazma” — aracın en değerli özelliği oldu.

Saldırı yok, tahmin yok, uydurma yok. Ölçülen ölçülür, ölçülemeyene “doğrulanamadı” yazılır.