# Kapalı kaynak değil

> Bir uygulamaya key gömdüm ve derledim. Key'i on saniyede geri okudum.

URL: https://iamcanturk.dev/shorts/kapali-kaynak-degil/
Pixel Shorts #11 · 25 Ekim 2026 · geliştirici

---

**Kısaca:** Derlenmiş bir uygulama içine gömülen key'i metin olarak taşır; strings komutu onu tek satırda çıkarır ve OWASP Mobile Top 10'un ilk maddesi de budur. Secret sunucuda kalsın, uygulama sadece kendi backend'ine istek atsın; key zaten uygulamadaysa önce revoke et.

Çoğu kişi böyle düşünür: kod derlendi, artık kimse içini göremez.


## Videoda ne anlatıyorum?
Bir uygulamaya key gömdüm ve derledim. Key'i on saniyede geri okudum. Çoğu kişi böyle düşünür: kod derlendi, artık kimse içini göremez. Derlenmiş dosya da metni aynen taşır. Strings komutu onu tek satırda çıkarır. Üstelik artık yapay zeka da okuyor. Ekim'de bir oyun geliştiricisi yazdı: AI eski oyunları toplu halde decompile ediyor. Bir Linux geliştiricisi de Claude'la bir film tarayıcısının sürücüsünü birkaç günde çıkardı. OWASP Mobile Top 10'un ilk maddesi tam bu: koda gömülü credential. Yani mobil uygulamadaki, oyundaki ya da frontend'deki her key okunabilir. Çözüm: secret sunucuda kalsın. Uygulama sadece kendi backend'ine istek atsın. Key zaten uygulamadaysa önce revoke et. Yenisini sadece sunucuya koy. Kendin dene: derlenmiş dosyanda strings çalıştır, key'inin ilk harflerini ara. Bu promptu asistanına ver ve videoyu kaydet. Yarın: bir uygulamanın bütün kullanıcılarını bir saniyede çekmek.

## Kendi projende kontrol et
- [ ] Mobil uygulama: okunur
- [ ] Oyun: okunur
- [ ] Frontend JS: okunur
- [ ] Sunucu: okunmaz