---
title: "AWS WAF, CloudFront üzerinden JavaScript SDK'yı otomatik ekliyor"
description: "AWS WAF SDK, CloudFront distribution'larında HTML'e otomatik ekleniyor. Konsolda varsayılan açık, CLI ve CloudFormation ile oluşturulan web ACL'lerde…"
url: "https://sezer.in/haberler/aws-waf-sdk-cloudfront-otomatik-entegrasyon/"
date: "2026-11-02T16:41:04+03:00"
updated: "2026-11-02T16:41:04+03:00"
author: "Sezer Şanlıkan"
lang: "tr"
source: "https://sezer.in/haberler/aws-waf-sdk-cloudfront-otomatik-entegrasyon/"
---

# AWS WAF, CloudFront üzerinden JavaScript SDK'yı otomatik ekliyor

AWS WAF SDK artık Amazon CloudFront distribution'larına otomatik eklenebiliyor: ayar açıldığında CloudFront, sunduğu HTML'e JavaScript SDK'nın script tag'ini kendisi koyuyor. SDK; Bot Control (targeted seviye), Fraud Control ATP (account takeover prevention) ve ACFP (account creation fraud prevention) managed rule group'larının kullandığı client-side sinyalleri topluyor. Özellik için ek ücret alınmıyor.

## AWS WAF nedir, ne işe yarar?

AWS WAF, Amazon Web Services'in yönettiği bir web uygulama firewall'udur. CloudFront, Application Load Balancer ve API Gateway gibi servislerin önünde HTTP isteklerini kurallara göre inceler, engeller ya da izler. Kurallar web ACL içinde toplanır; AWS'nin hazırladığı managed rule group'lar bot ve dolandırıcılık tespiti gibi işler için kullanılır. Cloudflare WAF ve Azure Web Application Firewall bilinen alternatiflerdir.

## AWS WAF SDK neden eksik kalıyordu

Bot Control'ün targeted seviyesi ve iki Fraud Control kuralı, tarayıcıdan gelen sinyallere bakıyor. Bu sinyalleri AWS WAF SDK topluyor. Şimdiye kadar script tag'ini her uygulamanın her sayfasına elle koymanız ve her release'te korumanız gerekiyordu.

Sonuç tanıdık bir hata: rule group web ACL'de açık, ama sayfada SDK yok. Koruma panelde görünüyor, pratikte eksik çalışıyor. Yeni ayar bu boşluğu CloudFront katmanında kapatıyor. Uygulama koduna, build'e ya da deployment'a dokunmuyorsunuz.

## Varsayılan değer oluşturma yoluna göre değişiyor

Asıl tuzak burada. Konsoldan, bu üç rule group'tan biriyle yeni web ACL oluşturursanız ayar açık geliyor. CLI, SDK, CDK ya da CloudFormation ile oluşturursanız kapalı geliyor. Duyurudan önce oluşturulan web ACL'ler olduğu gibi kalıyor.

Yani altyapısını kodla yöneten ekipler bir şey yapmazsa hiçbir şey değişmiyor. Konsoldan açılan web ACL ile şablondan açılan web ACL'in farklı davranması da drift kaynağı. Ayarı şablonlarınızda açıkça tanımlarsanız iki yol aynı sonucu verir.

## Açmadan önce kontrol listesi

- CloudFront'a bağlı web ACL'leri listeleyin; Bot Control targeted, ATP ya da ACFP içerenleri ayırın.
- Script tag'i elle eklenmiş uygulamaları not edin. Otomatik ekleme ile birlikte davranışı Developer Guide'daki gereksinim ve kısıtlama bölümünden doğrulayın.
- Content Security Policy (CSP) kullanan sayfalarda enjekte edilen script'in policy'ye takılıp takılmadığını staging'de deneyin. Guide'da CSP için ayrı yönerge var.
- Kontrolünüzde olmayan sistemlerin ürettiği sayfalar bu ayardan en çok kazanan grup.

## CloudFront arkasında olmayan uygulamalar

Özellik yalnızca CloudFront ile kullanılan web ACL'lerde çalışıyor. Aynı rule group'lar CloudFront arkasında olmayan bir uygulamayı koruyorsa AWS WAF SDK script tag'ini eskisi gibi elle yöneteceksiniz. Hangi uygulamanın hangi katmandan korunduğunu bu yüzden tek tek çıkarın.