Bir uygulama “hesabınıza erişmek istiyor” dediğinde çoğu kullanıcı yalnız iki seçenek görür: kabul et veya vazgeç. Oysa takvim okumak, dosya silmek, profil bilgisine bakmak ve ayar değiştirmek aynı risk değildir. Cloudflare’ın 20 Ağustos 2026’da duyurduğu görev bazlı OAuth izinleri, bu kaba yaklaşımı daha dar yetkilere ayırıyor. Bu değişiklik yalnız geliştiricileri değil, yapay zekâ ajanı veya çevrim içi araç bağlayan herkesi ilgilendiriyor.

Önce temel: OAuth ne yapar?

OAuth, bir uygulamanın parolanızı istemeden başka bir hizmette sizin adınıza sınırlı işlem yapmasına yarayan yetkilendirme çerçevesidir. “Google ile giriş yap” benzeri akışlar, takvim entegrasyonları ve üçüncü taraf yönetim panelleri bu modeli kullanabilir. Uygulama doğrudan parolanızı almak yerine belirli kapsamları içeren bir erişim belirteci edinir.

Buradaki kritik kelime “kapsam”dır. Bir kapsam yalnız okuma, başka bir kapsam yazma veya silme yetkisi verebilir. İzin ekranında bunların hepsi tek cümlede toplanırsa kullanıcı hangi işi gerçekten onayladığını anlayamaz. Özellikle yapay zekâ ajanları teorik olarak çok sayıda araca bağlanabildiği için “her ihtimale karşı her yetki” yaklaşımı gereksiz bir saldırı yüzeyi oluşturur.

Cloudflare neyi değiştirdi?

Cloudflare’ın resmî açıklamasına göre OAuth istemcisi sahipleri artık bazı kapsamları “zorunlu”, bazılarını “isteğe bağlı” olarak işaretleyebiliyor. Kullanıcı, yetkilendirme sırasında isteğe bağlı kapsamların seçimini kaldırabiliyor. Zorunlu ve isteğe bağlı ayrımı yalnız o oturumda gerçekten talep edilen kapsamlar için değerlendiriliyor; istemcinin tanımlı olduğu bütün olası yetkiler ekrana yığılmıyor.

Bu, genel OAuth standardının tamamının bir gecede değiştiği anlamına gelmiyor. Cloudflare kendi yetkilendirme sunucusunda standardın zaten izin verdiği daha dar kapsam verme esnekliğini kullanıcı arayüzüne taşıdı. Ayrıca varsayılan davranış hâlâ tüm talep edilen kapsamları seçili tutuyor. Yani kullanıcının izin listesini okumaya devam etmesi gerekiyor.

Önemli bir başka ayrıntı geliştirici tarafında: Kullanıcı bazı isteğe bağlı yetkileri kaldırırsa erişim belirteci yalnız onaylanan kapsamları içeriyor. Uygulamanın “istediğim her yetki verildi” varsayımıyla çalışmaması, verilen kapsamları kontrol edip eksik yetkide anlaşılır bir yol sunması gerekiyor.

Bir izin ekranını 30 saniyede nasıl okursunuz?

1. Uygulamanın yapacağı tek işi söyleyin

“Bu araç tam olarak ne yapacak?” sorusuna tek cümleyle cevap veremiyorsanız onay vermeyin. Sadece rapor hazırlayacak bir uygulamanın neden silme veya yönetici ayarı değiştirme yetkisi istediği açıklanmalıdır.

2. Okuma ile yazmayı ayırın

“Görüntüleme”, “listeleme” ve “okuma” izinleri ile “oluşturma”, “düzenleme”, “yayınlama” ve “silme” izinleri aynı değildir. Yazma yetkisi sonuç doğurur; silme yetkisi ise veri kaybı riski taşır. Görev yalnız analizse yazma yetkisi genellikle gereksizdir.

3. Hesap kapsamına bakın

İzin tek bir klasörü mü, bütün hesabı mı kapsıyor? Bir alan adındaki DNS kaydını okuyacak araç tüm hesap ve tüm siteler için yetki istiyorsa kapsam görevden büyüktür. Mümkünse proje, klasör, site veya hesap düzeyinde en dar seçeneği kullanın.

4. Süreyi ve iptal yolunu bulun

Bir kerelik görev için kalıcı erişim gerekmeyebilir. Hizmetin bağlı uygulamalar sayfasında yetkinin daha sonra kaldırılıp kaldırılamadığını kontrol edin. İş bittiğinde bağlantıyı iptal etmek, unutulmuş erişim belirteçlerini azaltır.

5. Uygulamanın kimliğini doğrulayın

Benzer ad ve simge kullanan sahte uygulamalar olabilir. Yayıncı adı, yönlendirme alan adı, gizlilik politikası ve uygulamanın beklediğiniz hizmetten başlatılıp başlatılmadığı kontrol edilmelidir. Tanımadığınız bir bağlantıdan açılan izin ekranında acele etmeyin.

Yapay zekâ ajanlarında risk neden büyüyor?

Klasik bir entegrasyon genellikle tek iş yapar. Bir ajan ise e-posta okuyabilir, dosya arayabilir, kod çalıştırabilir ve site ayarı değiştirebilir. Model Context Protocol (MCP) gibi araç bağlantıları bu yetenekleri düzenli bir arayüzle sunar; fakat yetkilendirme yanlış kurulursa ajanın teorik erişimi günlük görevinden çok daha geniş olabilir.

Cloudflare da MCP sunucularını örnek gösteriyor: Bir sunucu, olası bütün görevler için geniş yetki isteyebilir; kullanıcı ise o anda yalnız tek bir işi yaptırmak istiyor olabilir. Görev bazlı izin, “ajan neler yapabilir?” sorusunu “bu görev için ne yapmasına izin veriyorum?” sorusuna çevirir.

Bu yaklaşım tek başına tam güvenlik sağlamaz. Ajanın komutları, günlük kayıtları, hata durumları ve insan onayı gerektiren eylemler ayrıca tasarlanmalıdır. Yetkiyi daraltmak, yanlış veya kötü niyetli bir komutun verebileceği zararı küçülten katmanlardan biridir.

Kullanıcı için pratik izin denetimi

  • Hesaplarınızın “bağlı uygulamalar” veya “üçüncü taraf erişimi” sayfasını üç ayda bir açın.
  • Artık kullanmadığınız uygulamaların erişimini kaldırın.
  • Okuma işi yapan araca yazma ve silme yetkisi vermeyin.
  • İsteğe bağlı kutuları görev için gerçekten gerekli değilse kapatın.
  • Kurumsal hesaplarda kişisel denemeler için yönetici yetkisi kullanmayın.
  • Yetki değişikliğinden sonra uygulamanın hangi işlevlerinin çalışmadığını gözlemleyin; sırf hata verdi diye bütün kapsamları yeniden açmayın.

Geliştirici için “en az yetki” kontrol listesi

  1. Her kapsamı tek bir kullanıcı göreviyle eşleştirin.
  2. Zorunlu olmayan kapsamları isteğe bağlı yapın.
  3. Verilen kapsamları belirteç değişiminden sonra doğrulayın.
  4. Eksik yetkide güvenli biçimde çalışmayı durdurun veya kısıtlı moda geçin.
  5. Silme ve yönetici işlemlerine ayrıca insan onayı ekleyin.
  6. İptal edilmiş belirteçleri ve yetki değişikliklerini günlüklerde izleyin.

Yapay zekâ araçlarının maliyet ve yetenek seçimini nasıl otomatikleştirdiğini merak ediyorsanız model router rehberine de göz atabilirsiniz. Model seçimi performansı, yetki seçimi ise etki alanını belirler; ikisi farklı güvenlik kararlarıdır.

Sonuç: izin ekranı bir formalite değildir

OAuth ekranı, uygulamanın hesabınızda yapabileceği işlemlerin sözleşmesidir. Cloudflare’ın isteğe bağlı kapsamları kullanıcıya açması doğru yönde somut bir adım; ancak varsayılan tam seçim ve hizmetler arasındaki farklılıklar nedeniyle sorumluluk bitmiyor. Görevi tanımlayın, okuma-yazma ayrımını görün, kapsamı daraltın ve iş bittiğinde erişimi kaldırın. En güvenli yetki, uygulamanın işini yapmasına yeten en küçük yetkidir.

Kaynaklar