TLS Doğrulaması Devre Dışı (ARCH5119)

Anahtar go.security.disabled-tls-validation · Önem error · Kategori security · CWE CWE-295

InsecureSkipVerify: true ayarı sertifika ve ana bilgisayar doğrulamasını tamamen kapatır. Bu, TLS kimlik doğrulamasını etkisiz kılar ve ortadaki adam (MITM) saldırılarına kapı açar.

Hatalı

tr := &http.Transport{
    TLSClientConfig: &tls.Config{InsecureSkipVerify: true},
}
client := &http.Client{Transport: tr}

Doğru

tr := &http.Transport{
    TLSClientConfig: &tls.Config{MinVersion: tls.VersionTLS12},
}
client := &http.Client{Transport: tr}

Düzeltme

InsecureSkipVerify’ı kaldırın; gerekiyorsa özel sertifikaları güvenilir bir RootCAs havuzuna ekleyin.