Web nasıl çalışır? HTTP, istek ve yanıt

Bir ürün sayfasını açtığında tarayıcın sunucudan o sayfayı ister, sunucu da içerikle cevap verir. Bir bağlantıya tıklamak, form göndermek veya yeni bir görsel yüklemek aynı temel döngüyü tekrarlar: istek ve yanıt. Bu konuşmanın ortak dili HTTP'dir.

İstek ve yanıt: webin tek döngüsü

Tarayıcı bu konuşmada istemcidir. İstemci bir kaynak veya işlem için istek (request) yollar; sunucu isteği işler ve bir yanıt (response) döner. Bir sayfa açılırken önce HTML, ardından sayfadaki görsel, stil ve program dosyaları için yeni istekler gönderilebilir.

Sunucu her isteği bağımsız olarak değerlendirir. İstemcinin ne istediğini istekten, işlemin sonucunu ise yanıttan okuyabiliriz.

HTTP mesajının anatomisi

İstek ve yanıt, HTTP adı verilen bir metin protokolüyle taşınır. Bir istek kabaca şöyle görünür:

GET /profil?id=42 HTTP/1.1
Host: siberlab.dev
Cookie: session=ab12cd...
User-Agent: Mozilla/5.0
 

Bu isteğin parçaları şunlardır:

• Yöntem (method): Ne yapmak istediğin. GET veri ister; POST genellikle veri gönderir veya bir işlem başlatır. PUT ve DELETE gibi başka yöntemler de vardır.
• Yol (path): Hangi kaynak — /profil — ve varsa sorgu parametreleri: ?id=42.
• Başlıklar (headers): İstek hakkında meta bilgi — hangi site (Host), kim (User-Agent), oturum çerezi (Cookie).
• Gövde (body): Genelde POST'ta bulunur; form verisi ya da JSON burada gider.

Yanıt da başlıklar ve gerekirse bir gövde taşır; ayrıca bir durum kodu (status code) içerir. 200 işlemin başarılı olduğunu, 404 kaynağın bulunamadığını, 500 ise sunucuda bir hata oluştuğunu bildirir. Durum kodu, sonucun kısa özetidir; ayrıntılı veri yanıt gövdesinde bulunur.

HTTP durumsuzdur: çerezler ve oturumlar

HTTP durumsuzdur (stateless): her istek, protokol açısından yeni ve bağımsız bir mesajdır. Bir site giriş yaptığını hatırlıyorsa bunu HTTP'nin üzerine eklenen çerez ve oturum gibi mekanizmalarla yapar. Bu bölüm için bilmen gereken yalnızca şudur: HTTP istekleri kendiliğinden önceki isteği hatırlamaz. Çerez, oturum ve token farklarını ilerleyen bölümde ayrı ayrı ele alacağız.

Tek güvenlik sonucu: istemciden gelen veri doğrulanmalı

URL, başlıklar, çerezler ve istek gövdesi istemci tarafından gönderilir; dolayısıyla değiştirilebilir. Örneğin /profil?id=42 adresindeki 42 değerini başka bir istemci farklı bir sayıyla gönderebilir. Sunucu bu değerin biçimini doğrulamalı ve isteyen kullanıcının o profile erişme yetkisini ayrıca kontrol etmelidir.

Temel kural şudur: istemciden gelen veri bir istek bildirir, gerçeği veya izni kanıtlamaz. Kararı sunucu kendi kurallarına göre vermelidir.

HTTPS: taşıma yolunu korumak

Düz HTTP, taşıma yolu üzerinde içeriği gizlemez. HTTPS, HTTP iletişimini TLS ile koruyarak verinin gizliliğini ve bütünlüğünü, ayrıca tarayıcının bağlandığı sunucunun kimliğini doğrulamayı amaçlar.

HTTPS taşıma yolunu korur; sunucunun yanlış bir yetki kararı vermesini veya istemciden gelen veriyi hatalı işlemesini düzeltmez.

Artık bir web isteğine baktığında üç şeyi ayırabilirsin: istemci ne istiyor, sunucu ne cevaplıyor ve HTTPS bu konuşmanın hangi bölümünü koruyor? Sıradaki Şifreleme temelleri konusu, HTTPS'in arkasındaki gizlilik, bütünlük ve kimlik doğrulama araçlarını birbirinden ayırır.