> ## Documentation Index > Fetch the complete documentation index at: https://docs2.openclaw.ai/llms.txt > Use this file to discover all available pages before exploring further. # Güvenlik denetimi kontrolleri `openclaw security audit`, `checkId` ile anahtarlanan yapılandırılmış bulgular üretir. Bu sayfa, bu kimlikler için başvuru kataloğudur. Üst düzey tehdit modeli ve sağlamlaştırma rehberi için bkz. [Güvenlik](/tr/gateway/security). Gerçek dağıtımlarda büyük olasılıkla göreceğiniz yüksek sinyalli `checkId` değerleri (kapsamlı değildir): | `checkId` | Önem derecesi | Neden önemli | Birincil düzeltme anahtarı/yolu | Otomatik düzeltme | | ------------------------------------------------------------- | ------------- | ----------------------------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------- | ----------------- | | `fs.state_dir.perms_world_writable` | kritik | Diğer kullanıcılar/süreçler tüm OpenClaw durumunu değiştirebilir | `~/.openclaw` üzerindeki dosya sistemi izinleri | evet | | `fs.state_dir.perms_group_writable` | uyarı | Grup kullanıcıları tüm OpenClaw durumunu değiştirebilir | `~/.openclaw` üzerindeki dosya sistemi izinleri | evet | | `fs.state_dir.perms_readable` | uyarı | Durum dizini başkaları tarafından okunabilir | `~/.openclaw` üzerindeki dosya sistemi izinleri | evet | | `fs.state_dir.symlink` | uyarı | Durum dizini hedefi başka bir güven sınırına dönüşür | durum dizini dosya sistemi düzeni | hayır | | `fs.config.perms_writable` | kritik | Başkaları kimlik doğrulama/araç ilkesi/yapılandırmasını değiştirebilir | `~/.openclaw/openclaw.json` üzerindeki dosya sistemi izinleri | evet | | `fs.config.symlink` | uyarı | Sembolik bağlı yapılandırma dosyaları yazma için desteklenmez ve başka bir güven sınırı ekler | normal bir yapılandırma dosyasıyla değiştirin veya `OPENCLAW_CONFIG_PATH` değerini gerçek dosyaya yönlendirin | hayır | | `fs.config.perms_group_readable` | uyarı | Grup kullanıcıları yapılandırma tokenlarını/ayarlarını okuyabilir | yapılandırma dosyasındaki dosya sistemi izinleri | evet | | `fs.config.perms_world_readable` | kritik | Yapılandırma tokenları/ayarları açığa çıkarabilir | yapılandırma dosyasındaki dosya sistemi izinleri | evet | | `fs.config_include.perms_writable` | kritik | Yapılandırma include dosyası başkaları tarafından değiştirilebilir | `openclaw.json` içinden başvurulan include dosyası izinleri | evet | | `fs.config_include.perms_group_readable` | uyarı | Grup kullanıcıları dahil edilen gizli bilgileri/ayarları okuyabilir | `openclaw.json` içinden başvurulan include dosyası izinleri | evet | | `fs.config_include.perms_world_readable` | kritik | Dahil edilen gizli bilgiler/ayarlar herkes tarafından okunabilir | `openclaw.json` içinden başvurulan include dosyası izinleri | evet | | `fs.auth_profiles.perms_writable` | kritik | Başkaları saklanan model kimlik bilgilerini ekleyebilir veya değiştirebilir | `agents//agent/auth-profiles.json` izinleri | evet | | `fs.auth_profiles.perms_readable` | uyarı | Başkaları API anahtarlarını ve OAuth tokenlarını okuyabilir | `agents//agent/auth-profiles.json` izinleri | evet | | `fs.credentials_dir.perms_writable` | kritik | Başkaları kanal eşleştirme/kimlik bilgisi durumunu değiştirebilir | `~/.openclaw/credentials` üzerindeki dosya sistemi izinleri | evet | | `fs.credentials_dir.perms_readable` | uyarı | Başkaları kanal kimlik bilgisi durumunu okuyabilir | `~/.openclaw/credentials` üzerindeki dosya sistemi izinleri | evet | | `fs.sessions_store.perms_readable` | uyarı | Başkaları oturum dökümlerini/metadata bilgilerini okuyabilir | oturum deposu izinleri | evet | | `fs.log_file.perms_readable` | uyarı | Başkaları redakte edilmiş ama hâlâ hassas günlükleri okuyabilir | Gateway günlük dosyası izinleri | evet | | `fs.synced_dir` | uyarı | iCloud/Dropbox/Drive içindeki durum/yapılandırma, token/döküm açığa çıkma alanını genişletir | yapılandırmayı/durumu eşitlenen klasörlerin dışına taşıyın | hayır | | `gateway.bind_no_auth` | kritik | Paylaşılan giz olmadan uzak bağlama | `gateway.bind`, `gateway.auth.*` | hayır | | `gateway.loopback_no_auth` | kritik | Ters proxy uygulanmış geri döngü kimlik doğrulamasız hâle gelebilir | `gateway.auth.*`, proxy kurulumu | hayır | | `gateway.trusted_proxies_missing` | uyarı | Ters proxy başlıkları mevcut ancak güvenilir sayılmıyor | `gateway.trustedProxies` | hayır | | `gateway.http.no_auth` | uyarı/kritik | Gateway HTTP API'leri `auth.mode="none"` ile erişilebilir | `gateway.auth.mode`, `gateway.http.endpoints.*`, `plugins.entries.admin-http-rpc` | hayır | | `gateway.http.session_key_override_enabled` | bilgi | HTTP API çağırıcıları `sessionKey` değerini geçersiz kılabilir | `gateway.http.allowSessionKeyOverride` | hayır | | `gateway.tools_invoke_http.dangerous_allow` | uyarı/kritik | Sahip/yönetici çağırıcıları için HTTP API üzerinden tehlikeli araçları yeniden etkinleştirir | `gateway.tools.allow` | hayır | | `gateway.nodes.allow_commands_dangerous` | uyarı/kritik | Yüksek etkili düğüm komutlarını etkinleştirir (kamera/ekran/kişiler/takvim/SMS) | `gateway.nodes.allowCommands` | hayır | | `gateway.nodes.deny_commands_ineffective` | uyarı | Desen benzeri deny girdileri kabuk metniyle veya gruplarla eşleşmez | `gateway.nodes.denyCommands` | hayır | | `gateway.tailscale_funnel` | kritik | Genel internet erişimine açılma | `gateway.tailscale.mode` | hayır | | `gateway.tailscale_serve` | bilgi | Tailnet erişimi Serve üzerinden etkinleştirilmiştir | `gateway.tailscale.mode` | hayır | | `gateway.control_ui.allowed_origins_required` | kritik | Açık tarayıcı kaynak izin listesi olmadan geri döngü olmayan Control UI | `gateway.controlUi.allowedOrigins` | hayır | | `gateway.control_ui.allowed_origins_wildcard` | uyarı/kritik | `allowedOrigins=["*"]`, tarayıcı kaynak izin listesini devre dışı bırakır | `gateway.controlUi.allowedOrigins` | hayır | | `gateway.control_ui.host_header_origin_fallback` | uyarı/kritik | Host başlığı kaynak yedeğini etkinleştirir (DNS yeniden bağlama sertleştirmesini düşürür) | `gateway.controlUi.dangerouslyAllowHostHeaderOriginFallback` | hayır | | `gateway.control_ui.insecure_auth` | uyarı | Güvensiz kimlik doğrulama uyumluluk anahtarı etkinleştirildi | `gateway.controlUi.allowInsecureAuth` | hayır | | `gateway.control_ui.device_auth_disabled` | kritik | Cihaz kimliği denetimini devre dışı bırakır | `gateway.controlUi.dangerouslyDisableDeviceAuth` | hayır | | `gateway.real_ip_fallback_enabled` | uyarı/kritik | `X-Real-IP` yedeğine güvenmek, proxy yanlış yapılandırması üzerinden kaynak IP sahteciliğini etkinleştirebilir | `gateway.allowRealIpFallback`, `gateway.trustedProxies` | hayır | | `gateway.token_too_short` | uyarı | Kısa paylaşılan token kaba kuvvet saldırısıyla daha kolay kırılır | `gateway.auth.token` | hayır | | `gateway.auth_no_rate_limit` | uyarı | Hız sınırlaması olmayan açık kimlik doğrulama, kaba kuvvet riskini artırır | `gateway.auth.rateLimit` | hayır | | `gateway.trusted_proxy_auth` | kritik | Proxy kimliği artık kimlik doğrulama sınırına dönüşür | `gateway.auth.mode="trusted-proxy"` | hayır | | `gateway.trusted_proxy_no_proxies` | kritik | Güvenilir proxy IP'leri olmadan trusted-proxy kimlik doğrulaması güvenli değildir | `gateway.trustedProxies` | hayır | | `gateway.trusted_proxy_no_user_header` | kritik | Trusted-proxy kimlik doğrulaması kullanıcı kimliğini güvenli şekilde çözümleyemez | `gateway.auth.trustedProxy.userHeader` | hayır | | `gateway.trusted_proxy_no_allowlist` | uyarı | Trusted-proxy kimlik doğrulaması, kimliği doğrulanmış herhangi bir upstream kullanıcıyı kabul eder | `gateway.auth.trustedProxy.allowUsers` | hayır | | `gateway.trusted_proxy_allow_loopback` | warn | Trusted-proxy kimlik doğrulaması açıkça izin verilen loopback proxy kaynaklarını kabul eder | `gateway.auth.trustedProxy.allowLoopback` | hayır | | `gateway.probe_auth_secretref_unavailable` | warn | Derin yoklama bu komut yolunda kimlik doğrulama SecretRefs değerlerini çözemedi | derin yoklama kimlik doğrulama kaynağı / SecretRef kullanılabilirliği | hayır | | `gateway.probe_failed` | warn/critical | Canlı Gateway yoklaması başarısız oldu | gateway erişilebilirliği/kimlik doğrulama | hayır | | `discovery.mdns_full_mode` | warn/critical | mDNS tam modu yerel ağda `cliPath`/`sshPort` meta verilerini duyurur | `discovery.mdns.mode`, `gateway.bind` | hayır | | `config.insecure_or_dangerous_flags` | warn | Güvensiz/tehlikeli bir hata ayıklama bayrağı etkinleştirildi | bulgu ayrıntısında adlandırılan anahtar | hayır | | `security.audit.suppressions.active` | info | Denetim çıktısında yapılandırılmış bastırmalar var ve filtrelenmiş olabilir | `security.audit.suppressions` | hayır | | `config.secrets.gateway_password_in_config` | warn | Gateway parolası doğrudan yapılandırmada saklanıyor | `gateway.auth.password` | hayır | | `config.secrets.hooks_token_in_config` | warn | Hook bearer belirteci doğrudan yapılandırmada saklanıyor | `hooks.token` | hayır | | `hooks.token_reuse_gateway_token` | critical | Hook giriş belirteci Gateway kimlik doğrulamasının kilidini de açıyor | `hooks.token`, `gateway.auth.token`, `gateway.auth.password` | hayır | | `hooks.token_too_short` | warn | Hook girişi üzerinde brute force saldırısı daha kolay | `hooks.token` | hayır | | `hooks.default_session_key_unset` | warn | Hook agent çalıştırmaları, oluşturulan istek başına oturumlara yayılıyor | `hooks.defaultSessionKey` | hayır | | `hooks.allowed_agent_ids_unrestricted` | warn/critical | Kimliği doğrulanmış hook çağıranları, yapılandırılmış herhangi bir agent'a yönlendirebilir | `hooks.allowedAgentIds` | hayır | | `hooks.request_session_key_enabled` | warn/critical | Harici çağıran sessionKey seçebilir | `hooks.allowRequestSessionKey` | hayır | | `hooks.request_session_key_prefixes_missing` | warn/critical | Harici oturum anahtarı biçimleri üzerinde sınır yok | `hooks.allowedSessionKeyPrefixes` | hayır | | `hooks.path_root` | critical | Hook yolu `/`; bu, girişin çakışmasını veya yanlış yönlendirilmesini kolaylaştırır | `hooks.path` | hayır | | `hooks.installs_unpinned_npm_specs` | warn | Hook kurulum kayıtları değişmez npm belirtimlerine sabitlenmemiş | hook kurulum meta verileri | hayır | | `hooks.installs_missing_integrity` | warn | Hook kurulum kayıtlarında bütünlük meta verileri yok | hook kurulum meta verileri | hayır | | `hooks.installs_version_drift` | warn | Hook kurulum kayıtları kurulu paketlerden sapıyor | hook kurulum meta verileri | hayır | | `logging.redact_off` | warn | Hassas değerler günlükler/durum bilgisine sızar | `logging.redactSensitive` | evet | | `browser.control_invalid_config` | warn | Browser control yapılandırması çalışma zamanından önce geçersiz | `browser.*` | hayır | | `browser.control_no_auth` | critical | Browser control belirteç/parola kimlik doğrulaması olmadan açığa çıkarılmış | `gateway.auth.*` | hayır | | `browser.remote_cdp_http` | warn | Düz HTTP üzerinden uzak CDP, aktarım şifrelemesinden yoksun | tarayıcı profili `cdpUrl` | hayır | | `browser.remote_cdp_private_host` | warn | Uzak CDP özel/dahili bir ana makineyi hedefliyor | tarayıcı profili `cdpUrl`, `browser.ssrfPolicy.*` | hayır | | `sandbox.docker_config_mode_off` | warn | Korumalı alan Docker yapılandırması mevcut ancak etkin değil | `agents.*.sandbox.mode` | hayır | | `sandbox.bind_mount_non_absolute` | warn | Göreli bind mount'lar öngörülemez şekilde çözümlenebilir | `agents.*.sandbox.docker.binds[]` | hayır | | `sandbox.dangerous_bind_mount` | critical | Korumalı alan bind mount'u engellenmiş sistem, kimlik bilgisi veya Docker soketi yollarını hedefliyor | `agents.*.sandbox.docker.binds[]` | hayır | | `sandbox.dangerous_network_mode` | critical | Korumalı alan Docker ağı `host` veya `container:*` namespace-katılım modunu kullanıyor | `agents.*.sandbox.docker.network` | hayır | | `sandbox.dangerous_seccomp_profile` | critical | Korumalı alan seccomp profili konteyner yalıtımını zayıflatıyor | `agents.*.sandbox.docker.securityOpt` | hayır | | `sandbox.dangerous_apparmor_profile` | critical | Korumalı alan AppArmor profili konteyner yalıtımını zayıflatıyor | `agents.*.sandbox.docker.securityOpt` | hayır | | `sandbox.browser_cdp_bridge_unrestricted` | warn | Korumalı alan tarayıcı köprüsü kaynak aralığı kısıtlaması olmadan açığa çıkarılmış | `sandbox.browser.cdpSourceRange` | hayır | | `sandbox.browser_container.non_loopback_publish` | critical | Mevcut tarayıcı konteyneri CDP'yi loopback olmayan arayüzlerde yayımlıyor | tarayıcı korumalı alan konteyner yayımlama yapılandırması | hayır | | `sandbox.browser_container.hash_label_missing` | warn | Mevcut tarayıcı konteyneri, geçerli yapılandırma hash etiketlerinden daha eski | `openclaw sandbox recreate --browser --all` | hayır | | `sandbox.browser_container.hash_epoch_stale` | warn | Mevcut tarayıcı konteyneri, geçerli tarayıcı yapılandırma döneminden daha eski | `openclaw sandbox recreate --browser --all` | hayır | | `tools.exec.host_sandbox_no_sandbox_defaults` | warn | `exec host=sandbox`, korumalı alan kapalıyken kapalı güvenli şekilde başarısız olur | `tools.exec.host`, `agents.defaults.sandbox.mode` | hayır | | `tools.exec.host_sandbox_no_sandbox_agents` | warn | Agent başına `exec host=sandbox`, korumalı alan kapalıyken kapalı güvenli şekilde başarısız olur | `agents.list[].tools.exec.host`, `agents.list[].sandbox.mode` | hayır | | `tools.exec.security_full_configured` | warn/critical | Ana makine exec `security="full"` ile çalışıyor | `tools.exec.security`, `agents.list[].tools.exec.security` | hayır | | `tools.exec.agent_skill_mcp_boundary_drift` | warn | Ana makine exec MCP istemcilerine/kayıtlarına erişebilirken agent skill izin listeleri mevcut | `agents.list[].tools.exec.*`, korumalı alan/İS yalıtımı, MCP sunucusu kimlik bilgileri | hayır | | `tools.exec.fs_tools_disabled_but_exec_enabled` | warn | Dosya sistemi aracı ilkesi, kabuk yürütmeyi salt okunur yapmaz | `tools.deny`, `agents.list[].tools.deny`, `agents.*.sandbox.workspaceAccess` | hayır | | `tools.exec.auto_allow_skills_enabled` | warn | Exec onayları skill bin'lerine örtük olarak güvenir | ana makine onayları dosyası | hayır | | `tools.exec.allowlist_interpreter_without_strict_inline_eval` | warn | Yorumlayıcı izin listeleri, zorunlu yeniden onay olmadan satır içi eval'e izin verir | `tools.exec.strictInlineEval`, `agents.list[].tools.exec.strictInlineEval`, exec onayları izin listesi | hayır | | `tools.exec.safe_bins_interpreter_unprofiled` | warn | Açık profiller olmadan `safeBins` içindeki yorumlayıcı/çalışma zamanı bin'leri exec riskini genişletir | `tools.exec.safeBins`, `tools.exec.safeBinProfiles`, `agents.list[].tools.exec.*` | hayır | | `tools.exec.safe_bins_broad_behavior` | warn | `safeBins` içindeki geniş davranışlı araçlar, düşük riskli stdin filtresi güven modelini zayıflatır | `tools.exec.safeBins`, `agents.list[].tools.exec.safeBins` | hayır | | `tools.exec.safe_bin_trusted_dirs_risky` | warn | `safeBinTrustedDirs`, değiştirilebilir veya riskli dizinler içeriyor | `tools.exec.safeBinTrustedDirs`, `agents.list[].tools.exec.safeBinTrustedDirs` | no | | `skills.workspace.symlink_escape` | warn | Çalışma alanı `skills/**/SKILL.md`, çalışma alanı kökünün dışına çözümleniyor (sembolik bağlantı zinciri sapması) | çalışma alanı `skills/**` dosya sistemi durumu | no | | `plugins.extensions_no_allowlist` | warn | Plugin'ler açık bir Plugin izin listesi olmadan yüklenmiş | `plugins.allowlist` | no | | `plugins.installs_unpinned_npm_specs` | warn | Plugin dizini kayıtları değişmez npm belirtimlerine sabitlenmemiş | Plugin yükleme meta verileri | no | | `plugins.installs_missing_integrity` | warn | Plugin dizini kayıtlarında bütünlük meta verisi eksik | Plugin yükleme meta verileri | no | | `plugins.installs_version_drift` | warn | Plugin dizini kayıtları yüklü paketlerden sapıyor | Plugin yükleme meta verileri | no | | `plugins.code_safety` | warn/critical | Plugin kod taraması şüpheli veya tehlikeli örüntüler buldu | Plugin kodu / yükleme kaynağı | no | | `plugins.code_safety.entry_path` | warn | Plugin giriş yolu gizli veya `node_modules` konumlarının içine işaret ediyor | Plugin manifestosu `entry` | no | | `plugins.code_safety.entry_escape` | critical | Plugin girişi Plugin dizininin dışına kaçıyor | Plugin manifestosu `entry` | no | | `plugins.code_safety.scan_failed` | warn | Plugin kod taraması tamamlanamadı | Plugin yolu / tarama ortamı | no | | `skills.code_safety` | warn/critical | Skill yükleyici meta verisi/kodu şüpheli veya tehlikeli örüntüler içeriyor | Skill yükleme kaynağı | no | | `skills.code_safety.scan_failed` | warn | Skill kod taraması tamamlanamadı | Skill tarama ortamı | no | | `security.exposure.open_channels_with_exec` | warn/critical | Paylaşılan/herkese açık odalar, exec etkinleştirilmiş agent'lara ulaşabilir | `channels.*.dmPolicy`, `channels.*.groupPolicy`, `tools.exec.*`, `agents.list[].tools.exec.*` | no | | `security.exposure.open_groups_with_elevated` | critical | Açık DM'ler/gruplar + yükseltilmiş araçlar yüksek etkili prompt enjeksiyonu yolları oluşturur | üst düzey veya iç içe DM ilke yolları, hesap geçersiz kılmaları, `channels.*.groupPolicy` | no | | `security.exposure.open_groups_with_runtime_or_fs` | critical/warn | Açık DM'ler/gruplar, sandbox/çalışma alanı korumaları olmadan komut/dosya araçlarına ulaşabilir | DM/grup ilke yolları, `tools.profile/deny`, `tools.fs.workspaceOnly`, `agents.*.sandbox.mode` | no | | `security.trust_model.multi_user_heuristic` | warn | Yapılandırma çok kullanıcılı görünüyor, Gateway güven modeli ise kişisel asistana yönelik | ayrık güven sınırları veya paylaşımlı kullanıcı sıkılaştırması (`sandbox.mode`, araç reddi/çalışma alanı kapsamı) | no | | `tools.profile_minimal_overridden` | warn | Agent geçersiz kılmaları genel minimal profili atlıyor | `agents.list[].tools.profile` | no | | `plugins.tools_reachable_permissive_policy` | warn | Uzantı araçlarına izin verici bağlamlarda ulaşılabiliyor | `tools.profile` + araç izin/reddetme | no | | `models.legacy` | warn | Eski model aileleri hâlâ yapılandırılmış | model seçimi | no | | `models.weak_tier` | warn | Yapılandırılmış modeller güncel önerilen katmanların altında | model seçimi | no | | `models.small_params` | critical/info | Küçük modeller + güvenli olmayan araç yüzeyleri enjeksiyon riskini artırır | model seçimi + sandbox/araç ilkesi | no | | `summary.attack_surface` | info | Kimlik doğrulama, kanal, araç ve maruz kalma duruşunun toplu özeti | birden çok anahtar (bulgu ayrıntısına bakın) | no | ## İlgili * [Güvenlik](/tr/gateway/security) * [Yapılandırma](/tr/gateway/configuration) * [Güvenilen proxy kimlik doğrulaması](/tr/gateway/trusted-proxy-auth)