saas-api-securitylisted

# SaaS API Security — Güvenlik ve Kalite Katmanı Bu skill, bir SaaS uygulamasının API katmanını güvenlik, dayanıklılık ve kalite açısından sağlamlaştırır. Diğer katmanların (auth, payments) üzerine son bir koruma ve kalite katmanı olarak eklenir. **Bağımlılık:** Bu skill **saas-launcher** orkestratör skill'inin Faz 7'sidir. Bağımsız olarak da kullanılabilir. **Bağlı skill'ler:** - **saas-auth** — Oturum bilgisi API korumasının temelini oluşturur. - **saas-payments** — Plan bilgisi erişim kontrolü kararlarını belirler. --- ## Güvenlik Katmanları Mimarisi Bir API isteği geldğinde sırasıyla şu katmanlardan geçmelidir: ``` İstek geldi → 1. Rate Limiting (çok fazla istek mi?) → 2. Authentication (kim bu?) → 3. Authorization (bu işlemi yapma yetkisi var mı? Planı uygun mu?) → 4. Input Validation (gönderdiği veri geçerli mi?) → 5. İş Mantığı (asıl işlem) → 6. Hata Yönetimi (bir şeyler ters giderse) → Cevap döndür ``` Her katman bağımsızdır ve ihlal durumunda sonraki katmanlara geçmeden isteği reddeder. --- ## 1. Rate Limiting ### Neden Gerekli Rate limiting olmadan: - Bir kullanıcı (veya bot) saniyede binlerce istek göndererek sunucunu çökertebilir (DDoS) - Brute force saldırıları giriş sayfasını hedef alabilir - API'ni bedava kullanan biri kaynaklarını tüketebilir - Ödeme webhook endpoint'in dışarıdan spam'lanabilir ### Strateji Rate limit'i iki seviyede uygula: **Global seviye (IP bazlı):** Tüm endpoint'lere uy