Cloudflare Rules > Settings > Managed Transforms Nedir? Tüm Ayarların Detaylı Açıklaması

Cloudflare’ın “Rules” başlığı altındaki Settings sekmesinde bulunan Managed Transforms bölümü, HTTP istek ve yanıt başlıkları (headers) üzerinde otomatik dönüşümler gerçekleştirmenizi sağlar. Bu dönüşümler genellikle güvenlik, gizlilik ve uyumluluk için kullanılır.

Bu makalede Managed Transforms altında yer alan tüm seçenekleri tek tek detaylı açıklıyor, ne işe yaradıklarını, hangi durumlarda etkinleştirmeniz gerektiğini adım adım anlatıyoruz.

HTTP Request Headers Dönüşümleri (Gelen İstekler)

1. Add TLS Client Auth Headers

Bu seçenek Mutual TLS (mTLS) kimlik doğrulamasını kullanıyorsanız, istemci sertifikasına ait bilgileri özel HTTP başlıkları olarak istekle birlikte iletir.
Eklenen başlıklar:
- Cf-Tls-Client-Cert-Subject-Dn
- Cf-Tls-Client-Cert-Issuer-Dn
- Cf-Tls-Client-Cert-Serial
Ne zaman kullanılmalı? Eğer sunucu tarafında istemci sertifikasına göre özel işlem yapılacaksa gereklidir.

2. Add Visitor Location Headers

Ziyaretçilerin IP adresinden coğrafi konum bilgilerini içeren başlıkları ekler:
- CF-IPCountry, CF-Region, CF-City, CF-Longitude, CF-Latitude
Kullanım amacı: Konuma dayalı içerik gösterimi (örneğin ülkeye göre yönlendirme) ya da analiz

3. Remove Visitor IP Headers

Ziyaretçiye ait IP bilgisini barındırabilecek olan HTTP başlıklarını siler (örneğin X-Forwarded-For).
Not: Bu özellik açıkken Add True-Client-IP aktif edilemez.
Gizlilik amacıyla IP saklamak istemiyorsanız aktif edilmelidir.

4. Add "True-Client-IP" Header

Ziyaretçinin gerçek IP adresini içeren True-Client-IP başlığını ekler.
Özellikle Cloudflare proxy'si arkasında çalışan sunucular için orijinal IP adresini tespit etmeye yarar.
Not: “Remove Visitor IP Headers” ile birlikte kullanılamaz.

5. Add Leaked Credentials Checks Header

Bu seçenek etkinleştirildiğinde, Exposed-Credential-Check adında özel bir başlık eklenir.
Eğer sistemde form verisi, kullanıcı adı veya parola gibi bilgiler sızmışsa Cloudflare bu başlık üzerinden bildirir.
Güvenlik zafiyetlerini tespit etme amaçlıdır. Kimlik bilgilerinin sızdığı durumlarda devreye girer.

HTTP Response Headers Dönüşümleri (Sunucudan Gelen Yanıtlar)

1. Remove "X-Powered-By" Headers

Sunucudan gelen yanıtlarda kullanılan altyapıyı belirten X-Powered-By başlığı (örneğin PHP/7.4) kaldırılır.
Güvenlik açısından önerilir, çünkü altyapınızla ilgili bilgi sızmasını engeller.

2. Add Security Headers

Aşağıdaki güvenlik başlıklarını otomatik olarak yanıt başlığına ekler:
- X-XSS-Protection
- X-Content-Type-Options
- Referrer-Policy
- X-Frame-Options
XSS, Clickjacking gibi saldırılara karşı korunmak için bu başlıklar çok önemlidir.

URL Normalizasyon Ayarları

1. Normalize Incoming URLs

Cloudflare edge (kenar) sunucularında, gelen isteklerdeki URL’ler normalize edilir.
Yani %2F gibi kodlanmış karakterler çözülür, /./, // gibi gereksiz tekrarlar sadeleştirilir.
Page Rules, WAF, Workers gibi sistemler normalize edilmiş URL’yi esas alır.
Varsayılan olarak önerilen ayardır.

2. Normalize URLs to Origin

Bu seçenekle normalize edilen URL, sadece Cloudflare’a değil, orijinal sunucuya da normalleştirilmiş haliyle iletilir.
Bazı uygulamalar orijinal URL formatına duyarlıdır, bu yüzden bu seçenek dikkatle kullanılmalıdır.

3. Normalization Type

RFC-3986: URI standardına uygun sadeleştirme (en katı)
Cloudflare: Ekstra dönüşümler içerir. Örneğin:
- \ → /
- //// → /
Tavsiye: Karmaşık URL'lerle çalışıyorsanız Cloudflare tipi daha toleranslı olabilir

Sonuç

Cloudflare Managed Transforms, sadece performans değil, güvenlik ve gizlilik açısından da web sitenizi iyileştirmenize olanak tanır. Bu ayarlar sayesinde:

Kullanıcı başlıkları sadeleştirilir
Hassas bilgiler korunur
Header ve URL manipülasyonları düzenli hale getirilir

Eğer web siteniz ziyaretçi coğrafyasına göre özelleştirme yapıyor, sunucu güvenliğine önem veriyor ya da sunucu başlıklarını kontrol etmek istiyorsanız, bu ayarları etkinleştirmeniz kesinlikle önerilir.