TLS Doğrulamasının Kapatılması (ARCH7119)

Anahtar php.security.disabled-tls-validation · Önem error · Kategori security · CWE CWE-295

Sertifika veya host adı doğrulamasını koşulsuz kapatmak, TLS’in kimlik doğrulama amacını yok eder. Saldırgan araya girip (MITM) sahte sertifika sunabilir ve trafiği okuyabilir.

Hatalı

<?php
$response = $client->get('https://api.example.com', [
    'verify' => false, // sertifika doğrulaması kapalı
]);

Doğru

<?php
$response = $client->get('https://api.example.com', [
    'verify' => true, // sistem CA paketiyle doğrula
]);

Düzeltme

TLS sertifika ve host adı doğrulamasını her zaman açık tutun; özel CA gerekiyorsa verify değerine CA paketi yolunu verin.