\u00d6nemli Noktalar<\/strong><\/p>\n \u0130\u00e7indekiler<\/strong><\/p>\n WAF rate limiting, belirli bir IP adresi, oturum veya API anahtar\u0131ndan belirli bir s\u00fcre i\u00e7inde kabul edilecek istek say\u0131s\u0131n\u0131 s\u0131n\u0131rlayan bir g\u00fcvenlik kural\u0131d\u0131r. Bu kural, a\u015f\u0131r\u0131 istek g\u00f6nderen kayna\u011f\u0131 ge\u00e7ici olarak bloke eder veya isteklere hata kodu d\u00f6nd\u00fcr\u00fcr.<\/p>\n Normal kullan\u0131c\u0131lar bir login sayfas\u0131na dakikada birka\u00e7 istek g\u00f6nderir. Bir brute force sald\u0131r\u0131s\u0131nda ise sald\u0131rgan saniyede onlarca farkl\u0131 \u015fifre deneyebilir. Rate limiting bu anormal trafi\u011fi fark eder ve sald\u0131rgan\u0131n IP adresini belirli bir s\u00fcreli\u011fine engeller. Bu, uygulaman\u0131n performans\u0131n\u0131 korur ve g\u00fcvenlik algoritmalar\u0131na zaman kazand\u0131r\u0131r.<\/p>\n Rate limiting yaln\u0131zca g\u00fcvenlik i\u00e7in de\u011fil, kaynak y\u00f6netimi i\u00e7in de \u00f6nemlidir. Payla\u015f\u0131ml\u0131 bir hosting<\/a> ortam\u0131nda tek bir web sitesinin a\u015f\u0131r\u0131 istek g\u00f6ndermesi di\u011fer siteleri etkileyebilir. WAF \u00fczerindeki s\u0131n\u0131rlamalar bu t\u00fcr kazalar\u0131 da \u00f6nler. \u00d6zellikle e-ticaret sitelerinde \u00f6deme ad\u0131mlar\u0131, API u\u00e7lar\u0131 ve y\u00f6netim panelleri i\u00e7in ayr\u0131 s\u0131n\u0131rlar tan\u0131mlamak gerekir.<\/p>\n Rate limiting, birden fazla sald\u0131r\u0131 t\u00fcr\u00fcne kar\u015f\u0131 ilk savunma hatt\u0131d\u0131r. En yayg\u0131n kullan\u0131m alan\u0131 brute force sald\u0131r\u0131lar\u0131d\u0131r. Sald\u0131rgan, bir kullan\u0131c\u0131 ad\u0131 ve farkl\u0131 \u015fifre kombinasyonlar\u0131 deneyerek hesaba eri\u015fmeye \u00e7al\u0131\u015f\u0131r. Login sayfas\u0131na uygulanan s\u0131n\u0131rlama, deneme say\u0131s\u0131n\u0131 d\u00fc\u015f\u00fcr\u00fcr ve sald\u0131r\u0131y\u0131 etkisiz hale getirir.<\/p>\n \u0130kinci yayg\u0131n tehdit credential stuffing sald\u0131r\u0131lar\u0131d\u0131r. Sald\u0131rgan, daha \u00f6nce s\u0131zd\u0131r\u0131lm\u0131\u015f kullan\u0131c\u0131 ad\u0131 ve \u015fifre listesini farkl\u0131 sitelerde dener. API u\u00e7lar\u0131na ve giri\u015f sayfalar\u0131na uygulanan rate limiting, bu otomatik denemeleri yava\u015flat\u0131r.<\/p>\n Katman 7 DDoS sald\u0131r\u0131lar\u0131nda ise binlerce bot, uygulama sunucusuna ayn\u0131 anda istek g\u00f6nderir. Rate limiting, tek bir kaynaktan gelen a\u015f\u0131r\u0131 istekleri tespit ederek sald\u0131r\u0131n\u0131n etkisini azalt\u0131r. Ancak \u00e7ok say\u0131da farkl\u0131 IP kullanan geni\u015f \u00e7apl\u0131 DDoS sald\u0131r\u0131lar\u0131nda tek ba\u015f\u0131na yeterli olmayabilir. B\u00f6yle durumlarda bulut tabanl\u0131 WAF veya CDN katman\u0131 gerekir.<\/p>\n API k\u00f6t\u00fcye kullan\u0131m\u0131 da s\u0131n\u0131rlamayla kontrol alt\u0131na al\u0131n\u0131r. \u00d6rne\u011fin a\u00e7\u0131k bir arama API’sine saniyede y\u00fczlerce istek g\u00f6nderen bir script, sunucunun CPU ve RAM kaynaklar\u0131n\u0131 t\u00fcketebilir. API ba\u015f\u0131na dakikal\u0131k istek limiti koymak, hizmet kalitesini korur.<\/p>\n WAF rate limiting yap\u0131land\u0131rmaya ba\u015flamadan \u00f6nce ortam\u0131n\u0131z\u0131 netle\u015ftirmeniz gerekir. \u0130lk ad\u0131m, hangi WAF t\u00fcr\u00fcn\u00fc kulland\u0131\u011f\u0131n\u0131z\u0131 belirlemektir. Sunucu tabanl\u0131 \u00e7\u00f6z\u00fcmler aras\u0131nda ModSecurity ve Nginx WAF bulunur. Bulut tabanl\u0131 se\u00e7eneklerde ise CDN sa\u011flay\u0131c\u0131n\u0131z\u0131n g\u00fcvenlik paneli kullan\u0131l\u0131r.<\/p>\n Yap\u0131land\u0131rma i\u00e7in sunucuya SSH eri\u015fiminiz veya kontrol paneli yetkiniz olmal\u0131d\u0131r. K\u00f6k kullan\u0131c\u0131 yetkisi, Nginx veya Apache yap\u0131land\u0131rma dosyalar\u0131n\u0131 d\u00fczenlemek i\u00e7in gereklidir. Payla\u015f\u0131ml\u0131 hosting kullan\u0131yorsan\u0131z bu ayarlar\u0131 genellikle hosting paneliniz \u00fczerinden yapars\u0131n\u0131z. Yeni bir sunucu kurulumuna ihtiyac\u0131n\u0131z varsa Ubuntu ilk kurulum ad\u0131mlar\u0131n\u0131 g\u00f6zden ge\u00e7irebilirsiniz.<\/p>\n Normal trafik profilinizi bilmeniz de \u00f6nemlidir. Hangi sayfalara dakikada ka\u00e7 istek geldi\u011fini analiz etmeden e\u015fik de\u011ferleri belirlemek yanl\u0131\u015f pozitiflere yol a\u00e7ar. Sunucu g\u00fcnl\u00fcklerinden veya izleme ara\u00e7lar\u0131ndan bu verileri \u00e7\u0131karabilirsiniz. \u00d6zellikle login, kay\u0131t, arama ve \u00f6deme sayfalar\u0131 i\u00e7in ayr\u0131 s\u0131n\u0131rlar d\u00fc\u015f\u00fcnmelisiniz.<\/p>\n Yap\u0131land\u0131rma sonras\u0131 hatalar\u0131 g\u00f6rebilmek i\u00e7in loglama mutlaka a\u00e7\u0131k olmal\u0131d\u0131r. WAF’\u0131n engelledi\u011fi istekleri ve olu\u015fturdu\u011fu hata kodlar\u0131n\u0131 kay\u0131t alt\u0131na almak, ileride sorun gidermeyi kolayla\u015ft\u0131r\u0131r. ModSecurity yap\u0131land\u0131rmas\u0131<\/a> hakk\u0131nda daha fazla bilgi alabilirsiniz.<\/p>\n ModSecurity, Apache ve Nginx \u00fczerinde \u00e7al\u0131\u015fan a\u00e7\u0131k kaynakl\u0131 bir web uygulama g\u00fcvenlik duvar\u0131d\u0131r. Sunucu \u00fczerinde rate limiting kurmak i\u00e7in \u00f6nce ModSecurity’nin aktif oldu\u011fundan emin olmal\u0131s\u0131n\u0131z. Kurulu de\u011filse \u00f6ncelikle sunucunuza uygun paket y\u00f6neticisiyle kurulum yap\u0131n.<\/p>\n Ad\u0131m 1: ModSecurity kurulumunu do\u011frulay\u0131n.<\/strong> SSH \u00fczerinden a\u015fa\u011f\u0131daki komutu \u00e7al\u0131\u015ft\u0131rarak mod\u00fcl\u00fcn y\u00fcklendi\u011fini kontrol edin.<\/p>\n Komut \u00e7\u0131kt\u0131s\u0131nda Ad\u0131m 2: Kural dosyan\u0131z\u0131 a\u00e7\u0131n.<\/strong> Genellikle Ad\u0131m 3: IP ba\u015f\u0131na istek sayac\u0131n\u0131 tan\u0131mlay\u0131n.<\/strong> A\u015fa\u011f\u0131daki kural\u0131 ekleyin. Bu \u00f6rnek, ayn\u0131 IP adresinden 60 saniye i\u00e7inde 50’den fazla istek gelirse engelleme yapar.<\/p>\n Bu kurallar t\u00fcm istekler i\u00e7in ge\u00e7erlidir. Yaln\u0131zca login sayfas\u0131n\u0131 korumak istiyorsan\u0131z Ad\u0131m 4: Yap\u0131land\u0131rmay\u0131 test edin ve yeniden ba\u015flat\u0131n.<\/strong> \u00d6nce syntax hatas\u0131 olmad\u0131\u011f\u0131n\u0131 do\u011frulay\u0131n, ard\u0131ndan servisi yeniden ba\u015flat\u0131n.<\/p>\n Beklenen sonu\u00e7, a\u015f\u0131r\u0131 istek g\u00f6nderen bir IP adresinin 429 Too Many Requests hatas\u0131 almas\u0131d\u0131r. Yanl\u0131\u015f pozitif olu\u015fursa e\u015fik de\u011ferini art\u0131rabilir veya baz\u0131 URL’leri hari\u00e7 tutabilirsiniz.<\/p>\n Nginx, rate limiting i\u00e7in yerle\u015fik bir mod\u00fcl sunar. Bu mod\u00fcl, harici bir WAF gerektirmeden HTTP isteklerini s\u0131n\u0131rland\u0131rabilir. Nginx’in resmi dok\u00fcmantasyonuna g\u00f6re nginx.org<\/a> \u00fczerindeki bilgiler her zaman g\u00fcncel tutulur.<\/p>\n Ad\u0131m 1: Limit payla\u015f\u0131m b\u00f6lgesini tan\u0131mlay\u0131n.<\/strong> Nginx yap\u0131land\u0131rma dosyan\u0131z\u0131n Ad\u0131m 2: \u0130lgili location blo\u011funa kural\u0131 uygulay\u0131n.<\/strong> \u00d6rne\u011fin login sayfas\u0131n\u0131 korumak i\u00e7in Ad\u0131m 3: Yap\u0131land\u0131rmay\u0131 test edip yeniden y\u00fckleyin.<\/strong><\/p>\n Test sonucu ba\u015far\u0131l\u0131ysa Nginx, limit a\u015f\u0131m\u0131nda otomatik olarak 503 Service Temporarily Unavailable hatas\u0131 d\u00f6nd\u00fcr\u00fcr. \u0130sterseniz \u00f6zel bir hata sayfas\u0131 tan\u0131mlayarak kullan\u0131c\u0131 deneyimini iyile\u015ftirebilirsiniz.<\/p>\n Nginx rate limiting, login sayfalar\u0131 ve API u\u00e7lar\u0131 i\u00e7in hafif ve etkili bir \u00e7\u00f6z\u00fcmd\u00fcr. Ancak Nginx yaln\u0131zca sunucuya gelen istekleri s\u0131n\u0131rlar; uygulama katman\u0131ndaki injection gibi sald\u0131r\u0131lara kar\u015f\u0131 ayr\u0131ca ModSecurity veya benzeri bir WAF \u00f6nerilir.<\/p>\n Bulut tabanl\u0131 WAF hizmetleri, trafi\u011fi sunucunuza ula\u015fmadan \u00f6nce filtreler. Bu mimari, kaynak t\u00fcketimini azalt\u0131r ve sald\u0131r\u0131lar\u0131n sunucuya eri\u015fmesini engeller. Rate limiting kurallar\u0131 genellikle web aray\u00fcz\u00fc \u00fczerinden tan\u0131mlan\u0131r ve sunucuda dosya d\u00fczenlemesi gerektirmez.<\/p>\n Bulut WAF kullan\u0131rken \u00f6nce alan ad\u0131n\u0131z\u0131n trafi\u011fini bu hizmete y\u00f6nlendirmeniz gerekir. DNS ayarlar\u0131n\u0131z\u0131 g\u00fcncelledikten sonra g\u00fcvenlik panelinden rate limiting kural\u0131 olu\u015fturabilirsiniz. Kural olu\u015ftururken IP adresi, oturum, oturum kimli\u011fi veya kullan\u0131c\u0131 ad\u0131 gibi farkl\u0131 kriterler se\u00e7ebilirsiniz.<\/p>\n E\u015fik de\u011ferini belirlerken t\u00fcm site trafi\u011fini de\u011fil, korumak istedi\u011finiz sayfan\u0131n trafi\u011fini d\u00fc\u015f\u00fcn\u00fcn. \u00d6rne\u011fin bir arama sayfas\u0131na dakikada 30 istek normal olabilirken, bir \u00f6deme sayfas\u0131 i\u00e7in bu say\u0131 10’u ge\u00e7memelidir. \u0130lk kurulumda daha y\u00fcksek de\u011ferler ba\u015flat\u0131p loglar\u0131 izledikten sonra de\u011ferleri s\u0131k\u0131la\u015ft\u0131rmak daha g\u00fcvenlidir.<\/p>\n Bulut tabanl\u0131 \u00e7\u00f6z\u00fcmlerin bir avantaj\u0131, sald\u0131r\u0131 kayna\u011f\u0131n\u0131 k\u00fcresel a\u011f \u00fczerinde engelleyebilmesidir. Ancak bu hizmetler genellikle \u00fccretli planlara tabidir. Kurulu\u015funuzun ihtiyac\u0131na g\u00f6re sunucu tabanl\u0131 ve bulut tabanl\u0131 y\u00f6ntemleri birlikte kullanabilirsiniz. \u00d6zellikle e-ticaret siteleri i\u00e7in sunucu gereksinimleri<\/a> iyi planlanmal\u0131d\u0131r.<\/p>\n Rate limiting yap\u0131land\u0131rmas\u0131nda en s\u0131k rastlanan sorun yanl\u0131\u015f pozitiflerdir. Ger\u00e7ek kullan\u0131c\u0131lar, \u00f6zellikle kurumsal a\u011flardan gelenler, ayn\u0131 IP adresinden \u00e7ok say\u0131da istek g\u00f6nderebilir. Bu durumda kullan\u0131c\u0131lar 429 veya 503 hatalar\u0131yla kar\u015f\u0131la\u015f\u0131r. \u00c7\u00f6z\u00fcm i\u00e7in e\u015fik de\u011ferini y\u00fckseltebilir veya kurumsal IP aral\u0131klar\u0131n\u0131 beyaz listeye alabilirsiniz.<\/p>\n \u0130kinci yayg\u0131n sorun, CDN arkas\u0131nda \u00e7al\u0131\u015fan sunucularda ger\u00e7ek IP adresinin tespit edilememesidir. T\u00fcm istekler CDN’in IP adresinden geliyormu\u015f gibi g\u00f6r\u00fcn\u00fcr ve rate limiting t\u00fcm kullan\u0131c\u0131lar\u0131 tek bir kaynak olarak de\u011ferlendirir. Bunu \u00f6nlemek i\u00e7in Baz\u0131 durumlarda rate limiting, me\u015fru botlar\u0131n eri\u015fimini de engelleyebilir. Arama motoru botlar\u0131 veya API entegrasyonlar\u0131 belirli h\u0131zlarda istek g\u00f6nderir. Bu kaynaklar\u0131 tan\u0131mlay\u0131p ayr\u0131 kurallarla s\u0131n\u0131rland\u0131rmak gerekir. Yanl\u0131\u015f yap\u0131land\u0131r\u0131lm\u0131\u015f bir kural sunucuda 500 Internal Server Error<\/a> gibi hatalara yol a\u00e7abilir. Bu nedenle her de\u011fi\u015fiklikten \u00f6nce yap\u0131land\u0131rma dosyas\u0131n\u0131 test etmek \u015fartt\u0131r.<\/p>\n Loglar\u0131n izlenmemesi de b\u00fcy\u00fck bir eksikliktir. Engellenen istekleri d\u00fczenli incelemek, sald\u0131r\u0131 desenlerini anlaman\u0131za ve kurallar\u0131 g\u00fcncellemenize yard\u0131mc\u0131 olur.<\/p>\n Se\u00e7iminiz, altyap\u0131n\u0131za ve y\u00f6netim becerilerinize ba\u011fl\u0131d\u0131r. Sunucunuza tam eri\u015fim sahibiyseniz ve d\u00fc\u015f\u00fck maliyetli bir \u00e7\u00f6z\u00fcm ar\u0131yorsan\u0131z, ModSecurity veya Nginx yerle\u015fik mod\u00fcl\u00fc iyi bir ba\u015flang\u0131\u00e7t\u0131r. Bu y\u00f6ntemler ek \u00fccret gerektirmez ve tam kontrol sa\u011flar. Ancak yap\u0131land\u0131rma ve bak\u0131m sorumlulu\u011fu size aittir.<\/p>\n Payla\u015f\u0131ml\u0131 hosting kullananlar i\u00e7in sunucu tabanl\u0131 ayarlara eri\u015fim k\u0131s\u0131tl\u0131d\u0131r. Bu durumda hosting panelinizde sunulan g\u00fcvenlik ara\u00e7lar\u0131n\u0131 kullanman\u0131z gerekir. Linux hosting ortamlar\u0131nda genellikle temel WAF ve rate limiting se\u00e7enekleri bulunur.<\/p>\n Yo\u011fun trafik alan veya s\u0131k sald\u0131r\u0131ya u\u011frayan siteler i\u00e7in bulut tabanl\u0131 WAF daha uygundur. Global a\u011f \u00fczerinde trafi\u011fi filtreler, yanl\u0131\u015f pozitifleri daha kolay y\u00f6netirsiniz. Ancak maliyeti daha y\u00fcksek olabilir.<\/p>\n Hangi y\u00f6ntemi se\u00e7erseniz se\u00e7in, rate limiting kurallar\u0131n\u0131 d\u00fczenli g\u00f6zden ge\u00e7irin. Uygulaman\u0131z b\u00fcy\u00fcd\u00fck\u00e7e normal trafik profili de\u011fi\u015fir ve e\u015fik de\u011ferleri g\u00fcncellenmelidir. Rate limiting’i ModSecurity gibi kural tabanl\u0131 bir WAF ile birle\u015ftirmek \u00e7ok katmanl\u0131 bir savunma sa\u011flar.<\/p>\n Belirlenen zaman diliminde e\u015fik de\u011feri a\u015f\u0131ld\u0131\u011f\u0131nda devreye girer. \u00d6rne\u011fin ayn\u0131 IP adresi 60 saniyede 50 istekten fazla g\u00f6nderirse, sonraki istekler engellenir veya hata kodu al\u0131r.<\/p>\n B\u00fcy\u00fck \u00f6l\u00e7\u00fcde engeller. Sald\u0131rgan\u0131n \u015fifre deneme h\u0131z\u0131n\u0131 d\u00fc\u015f\u00fcr\u00fcr ve hesaba eri\u015fimi zorla\u015ft\u0131r\u0131r. Ancak farkl\u0131 IP adresleri kullanan sald\u0131r\u0131larda ek \u00f6nlemler gerekebilir.<\/p>\n Nginx limit_req, sunucuya gelen istek say\u0131s\u0131n\u0131 h\u0131zl\u0131ca s\u0131n\u0131rlar. ModSecurity ise uygulama katman\u0131nda daha ayr\u0131nt\u0131l\u0131 g\u00fcvenlik kurallar\u0131 \u00e7al\u0131\u015ft\u0131r\u0131r. \u0130kisi birlikte kullan\u0131labilir.<\/p>\n \u00d6nce normal trafi\u011finizi analiz edin. Login ve \u00f6deme sayfalar\u0131 i\u00e7in daha d\u00fc\u015f\u00fck, statik i\u00e7erikler i\u00e7in daha y\u00fcksek limitler belirleyin. Ard\u0131ndan loglar\u0131 izleyerek de\u011ferleri ayarlay\u0131n.<\/p>\n\n
\n
WAF Rate Limiting Nedir?<\/h2>\n
Hangi Sald\u0131r\u0131lar\u0131 Engeller?<\/h2>\n
![\"Bir](\"https:\/\/saviorhost.com\/blog\/wp-content\/uploads\/2026\/10\/waf-rate-limiting-yapilandirma-bir-giris-FoqL.webp\")
<\/figure>\nYap\u0131land\u0131rma \u00d6ncesi Gereksinimler<\/h2>\n
![\"Konfig\u00fcrasyon](\"https:\/\/saviorhost.com\/blog\/wp-content\/uploads\/2026\/10\/waf-rate-limiting-yapilandirma-konfigurasyon-dosyasini-7Wrq.webp\")
<\/figure>\nModSecurity ile Ad\u0131m Ad\u0131m Kurulum<\/h2>\n
apachectl -M | grep security<\/code><\/pre>\nsecurity2_module<\/code> ifadesi g\u00f6r\u00fcn\u00fcyorsa ModSecurity y\u00fckl\u00fcd\u00fcr.<\/p>\n\/etc\/modsecurity\/modsecurity.conf<\/code> veya \/etc\/httpd\/conf.d\/mod_security.conf<\/code> yolunda bulunur. Kural motorunu a\u00e7t\u0131\u011f\u0131n\u0131zdan emin olun.<\/p>\nsudo nano \/etc\/modsecurity\/modsecurity.conf<\/code><\/pre>\nSecAction \"id:100, phase:1, nolog, pass, initcol:ip=%{REMOTE_ADDR}, setvar:ip.requests=+1, expirevar:ip.requests=60\"\nSecRule ip:requests \"@gt 50\" \"id:101, phase:1, deny, status:429, log, msg:'IP rate limit exceeded'\"<\/code><\/pre>\nSecRule REQUEST_URI<\/code> ko\u015fulu ekleyebilirsiniz.<\/p>\nsudo apachectl configtest\nsudo systemctl restart apache2<\/code><\/pre>\n![\"Sunucu](\"https:\/\/saviorhost.com\/blog\/wp-content\/uploads\/2026\/10\/waf-rate-limiting-yapilandirma-sunucu-rafindaki-ZO5X.webp\")
<\/figure>\nNginx ile Rate Limiting<\/h2>\n
http<\/code> blo\u011fu i\u00e7ine a\u015fa\u011f\u0131daki sat\u0131r\u0131 ekleyin. Bu sat\u0131r, her IP adresi i\u00e7in saniyede 5 istek h\u0131z\u0131n\u0131 belirler.<\/p>\nlimit_req_zone $binary_remote_addr zone=login_limit:10m rate=5r\/s;<\/code><\/pre>\nlimit_req<\/code> y\u00f6nergesini kullan\u0131n. burst<\/code> parametresi, k\u0131sa s\u00fcreli ani art\u0131\u015flara izin verir.<\/p>\nlocation \/login {\n limit_req zone=login_limit burst=10 nodelay;\n proxy_pass http:\/\/backend;\n}<\/code><\/pre>\nsudo nginx -t\nsudo systemctl reload nginx<\/code><\/pre>\n![\"Gelen](\"https:\/\/saviorhost.com\/blog\/wp-content\/uploads\/2026\/10\/waf-rate-limiting-yapilandirma-gelen-istekleri-Ab0c.webp\")
<\/figure>\nBulut Tabanl\u0131 WAF Kullan\u0131m\u0131<\/h2>\n
S\u0131k Kar\u015f\u0131la\u015f\u0131lan Sorunlar<\/h2>\n
X-Forwarded-For<\/code> ba\u015fl\u0131\u011f\u0131n\u0131 do\u011fru \u015fekilde i\u015flemelisiniz. Nginx i\u00e7in real_ip_header<\/code> y\u00f6nergesi bu sorunu \u00e7\u00f6zer.<\/p>\nHangi Y\u00f6ntemi Se\u00e7melisiniz?<\/h2>\n
S\u0131k\u00e7a Sorulan Sorular<\/h2>\n
Rate limiting ne zaman devreye girer?<\/h3>\n
Brute force sald\u0131r\u0131lar\u0131n\u0131 tek ba\u015f\u0131na engeller mi?<\/h3>\n
Nginx limit_req ile ModSecurity rate limiting aras\u0131ndaki fark nedir?<\/h3>\n
E\u015fik de\u011ferlerini nas\u0131l belirlerim?<\/h3>\n