1 Bu taslak nedir
TouchStone V3, bugünkü V2'nin yerine önerilen puanlama yöntemidir. Taslaktır: bugün hiçbir puan V3 ile hesaplanmaz, canlıdaki bütün ölçümler ve belgeler V2 ile yapılır.
Amaç, puanı "iyi yapılmış site" ölçüsünden "güvenip iş yapılabilecek site" ölçüsüne taşımaktır. Sorulan soru: bir insan, bir alıcı ya da bir yapay zeka asistanı bu siteye güvenip iş yapabilir mi?
Üç şey değişir
- Yüksek not kıtlaşır (emsale göre verilir).
- Zayıf bir alan başka alanla telafi edilemez.
- Not, eldeki kanıtın taşıdığından yüksek olamaz.
Değişmeyenler
- Ölçüm ücretsizdir.
- Puan satın alınamaz.
- Her kontrolün dayanağı yayımlanır.
- Aynı kural herkese ve kendimize uygulanır.
- Test pasiftir (izinsiz Load Test ya da Security Scan yapılmaz).
2 Altı sütun ve ağırlıklar
V2'nin sekiz katmanı altı sütunda toplanır. Ağırlıklar toplamı 100'dür.
| Sütun | Ağırlık | Sorduğu soru | V2'deki karşılığı |
|---|---|---|---|
| Güvenlik ve Dayanıklılık | 20 | Bağlantı, site ayarları ve e-posta güvenli mi; site tek bir arızayla düşer mi? | Güvenlik (20), E-posta (10) |
| Deneyim ve Performans | 18 | Gerçek ziyaretçi siteyi hızlı ve sorunsuz kullanabiliyor mu? | Hız (20) |
| Yapay Zeka Uyumu | 18 | Bir yapay zeka asistanı siteyi okuyup doğru anlayabilir ve işini bitirebilir mi? | Görünürlük (10) |
| Güven ve Otorite | 18 | Sitenin arkasındaki kuruluş gerçek mi, söyledikleri doğrulanabiliyor mu? | Güven (10) |
| Etik ve Karbon | 14 | Site ziyaretçisine ve doğaya ne kadar yük bindiriyor; söylediğini yapıyor mu? | Gizlilik (10), Çevre (5) |
| Erişilebilirlik | 12 | Herkes kullanabiliyor mu? | Erişilebilirlik (15) |
Erişilebilirliğin ağırlığı düşmüş görünür ama etkisi artar: düğme, bağlantı ve form adları Yapay Zeka Uyumu'nda da sayılır.
3 Sütunlarda ne ölçülür
Her satırın yanında durumu yazar:
- bugün V2'de ölçülüyor
- Faz 1 taslağın yayımından sonraki ilk 3 ay
- Faz 2 sonraki 3-9. aylar
Güvenlik ve Dayanıklılık
- bugün Bağlantı güvenliği, sertifika, güvenlik başlıkları, alan adı imzası
- bugün Sahte e-postaya karşı alan adı kayıtları
- Faz 1 Sitede görünen yazılım sürümlerinin, fiilen sömürüldüğü bilinen açıklarla eşleşmesi
- Faz 1 Kuantum sonrası anahtar değişimi desteği; dayanak NIST IR 8547
- Faz 1 Yönlendirme ve e-posta sunucusu doğrulaması; dayanak RFC 6480 ve RFC 7672
- Faz 1 Üçüncü taraf betik envanteri ve bütünlük denetimi; ödeme sayfasında PCI DSS 6.4.3
- Faz 2 Tek sağlayıcıya bağımlılık: içerik dağıtımı, alan adı, ödeme
Deneyim ve Performans
- bugün Gerçek ziyaretçi verisiyle Core Web Vitals; yoksa laboratuvar ölçümü
- Faz 1 Gerçek ziyaretçi verisinin eğilimi ve emsal içindeki yeri
- Faz 1 Laboratuvar ölçümü ile gerçek ziyaretçi verisi arasındaki fark: yalnız test aracına iyi davranan site
Yapay Zeka Uyumu
- bugün Arama ve paylaşım temeli: başlık, açıklama, site haritası, yapılandırılmış veri
- Faz 1 Erişim ve politika: yapay zeka botlarına açık ve tutarlı kural; engellemek ceza değildir, çelişkili kural puan kırar
- Faz 1 İşlemeden okunabilirlik: ana içeriğin ne kadarı betik çalışmadan geliyor
- Faz 1 Anlamsal mimari: yapılandırılmış veri görünen içerikle aynı mı; düğme, bağlantı ve form adları
- Faz 2 İş bitirme: asistan, site türüne uygun görevleri bitirebiliyor mu; en az iki farklı model, görev başına üç deneme, ortanca
- Faz 2 Dayanak sadakati: model, sayfadan sorulan olgu sorularını doğru yanıtlıyor mu
- Faz 2 Manipülasyon direnci: sayfada asistana yönelik gizli talimat var mı
- Modellerin siteyi ne sıklıkla kaynak gösterdiği nota girmez; popülerlik ölçüsüdür.
Güven ve Otorite
- bugün Kırık bağlantı, iletişim bilgisi, tehdit listesi
- Faz 1 Kimlik: tüzel kişi adı ve sicil bilgisi resmi sicille eşleşiyor mu
- Faz 1 İşletme şeffaflığı: fiyat, iade, teslimat, sözleşme, şikayet yolu
- Faz 1 Sicil: bilinen veri ihlalleri ve kurum kararları, alan adının yaşı ve el değiştirmesi
- Faz 2 İçerik bütünlüğü: yazar, tarih, kaynak, düzeltme politikası; yapay zeka ile üretilen içeriğin işareti
- Faz 2 Yorum gerçekliği ve iddia doğrulama: belge, ödül, üyelik iddiaları kayıtla eşleşiyor mu
- Faz 2 Fiyat dürüstlüğü: üstü çizili eski fiyat gerçekten uygulandı mı
Etik ve Karbon
- bugün Onaydan önce konan izleme çerezleri, çerez onay aracı
- bugün Bir görüntülemenin karbon tahmini ve barındırmanın enerji kaynağı
- Faz 1 Karbon hesabında gerçek cihaz karışımı ve ülkenin şebeke yoğunluğu
- Faz 1 "Verimi satma" sinyaline (Global Privacy Control) uyum
- Faz 2 Beyan ile davranış farkı: gizlilik metninde adı geçen alıcılar ile gözlenen alıcılar aynı mı
- Faz 2 Onay ekranı dengesi: reddetmek kabul etmek kadar kolay mı
- Faz 2 Karanlık desenler: sahte geri sayım, sahte stok uyarısı, önceden işaretli kutu, sepette beliren ücret, zor iptal
Erişilebilirlik
- bugün WCAG 2.2 A/AA otomatik denetimi, sayfa dili, alternatif metin, başlık yapısı
- İnsan gözüyle denetim: klavye ve ekran okuyucu (yalnız E3 ve E4 kanıt düzeylerinde)
4 Hesap
Gösterge puanı. Sürekli ölçümler emsal dağılımındaki yüzdeliğe çevrilir. V2'deki "iyi eşiğini geçen 100 alır" kuralı kalkar; 100 yalnız en iyi yüzde 1'e yazılır. Evet-hayır ölçümleri puan değil, kapı olur. İstisna, doygun ölçüm: emsal grubunun yarısından fazlası en iyi değeri alıyorsa yüzdelik siteleri ayıramaz; o gösterge ham değerinden 0-100 puanlanır. Ölçeğin en iyi ucu 100, en kötü ucu 0 alır, arası orantılıdır: açılan bağlantı oranı 0,96 ise puan 96'dır. Sınırı olmayan sayılarda (ör. erişilebilirlik denetiminde bulunan hata sayısı) en kötü uç, emsal tablosuyla birlikte yayımlanan sabit bir değerdir; o değer ve daha kötüsü 0 alır.
Kurum ortancası. Aynı şeyi birden çok kurum ölçüyorsa ortanca alınır (V2'deki "bir kurum, bir oy"). Yapay zeka testlerinde her model sağlayıcısı bir kurumdur. Ölçmesi gereken kurumlardan birinin ölçümü kurumun kendi tarafındaki bir sorun yüzünden alınamazsa ölçüm 24 saat içinde yeniden denenir; yine alınamazsa gösterge kalan kurumlarla hesaplanır ve ölçüm geçici sayılır. Notun dayandığı son ölçüm geçiciyse not da geçicidir: sonuçta "geçici" diye yazılır, siteleri karşılaştıran sıralamalara girmez. Ölçüm, site o kurumu engellediği için alınamıyorsa bu kural uygulanmaz: o kurumun ölçümü o göstergede 0 puan sayılır ve ortanca öyle alınır (8. adım).
Sütun puanı. Alt ölçümlerin ağırlıklı geometrik ortalaması. Aritmetik ortalamada zayıf bir alt ölçüm diğerleriyle örtülür; geometrikte örtülemez.
Toplam. Sütunların ağırlıklı geometrik ortalaması.
Kapılar. Tek bir bulgu bir sütunu ya da toplamı tavana vurur (7. bölüm).
Denge kuralı. Toplam not, en zayıf sütunun iki basamak üstünü geçemez. Güvenliği CCC olan site toplamda en çok BB alır.
Kanıt düzeyi. Not, eldeki kanıtın taşıyabileceğinden yüksek olamaz (6. bölüm).
Kapsam. Kapsam sütun düzeyinde sayılır: göstergelerinden en az biri ölçülen sütun ölçülmüş sayılır. Ölçülemeyen ağırlık yüzde 20'yi geçerse not verilmez: NR (notlanamadı). Her sütunda kaç göstergeden kaçının ölçüldüğü notun yanında yazılır. Siteyi ölçüme kapatmak NR'ye değil, ilgili sütunda en düşük puana götürür.
Zaman. Not, son 90 günün ölçümlerinden hesaplanır (sütun başına ortanca). Eğilim Görünüm'ü, olay İzleme'yi belirler (8. bölüm).
Harf. Toplam, emsal grubundaki yüzdeliğe göre harfe çevrilir (5. bölüm). Her sütun da kendi emsal dağılımına göre aynı dilimlerle harf alır; kapılar ve denge kuralı bu harflerle çalışır. Doygun dağılımda (emsal grubunun yarısından fazlası en yüksek puanda) en yüksek puanı alanlar AAA alır; ötekiler harfi puanından alır: 95'in üstü AA, 85'in üstü A, 65'in üstü BBB, 40'ın üstü BB, 15'in üstü B, kalanı CCC. Yoksa tek bir küçük kusur, harfi birkaç basamak düşürür.
Her not üç şeyle yeniden üretilebilir: yöntem sürümü, kanıt özeti ve emsal tablosunun sürümü. Üçü de Ölçüm Belgesi'ne yazılır.
5 Harf ölçeği
| Not | Koşul | Asgari kanıt |
|---|---|---|
| AAA | Emsallerin ilk yüzde 1'i; hiçbir sütun A altında değil | E4 |
| AA | İlk yüzde 5 | E3 |
| A | İlk yüzde 15 | E2 |
| BBB | İlk yüzde 35 | E1 |
| BB | İlk yüzde 60 | E1 |
| B | İlk yüzde 85 | E1 |
| CCC | Kalan yüzde 15 | E1 |
| D | Kapı: tehdit listesi ya da yerleştirilmiş gizli talimat | E1 |
| NR | Kapsam yetersiz; notlanamadı |
- Emsal grubu: aynı ülkede, aynı türde ölçülmüş siteler. Emsal tablosu tarihli ve sürümlüdür; en az 500 site içerir ve her sütunda en az 500 sitenin ölçümü bulunur. İlk tablo Faz 1'de yayımlanır; tablo yayımlanana kadar harf notu verilmez.
- Emsallerin yarısından fazlası en yüksek puandaysa yüzdelik dilimleri yerine 4. bölümün 10. adımındaki puan aralıkları kullanılır.
- Bu bir kredi notu değildir; bir web sitesinin ölçülebilir durumunu anlatır.
6 Kanıt düzeyleri
| Düzey | Kanıt | Nasıl elde edilir | Verilebilecek en yüksek not |
|---|---|---|---|
| E1 | Dışarıdan pasif ölçüm ve açık siciller | Herkes için, izinsiz | BBB |
| E2 | Sahiplik doğrulandı; sahibin bağladığı gerçek ziyaretçi ve onay verisi | Alan adı kaydıyla; ücretsiz | A |
| E3 | Derin Test: Load Test, Security Scan, insan gözüyle erişilebilirlik (Manual Test), hesaplı akış testleri | Sahibin izniyle; sabit ücret | AA |
| E4 | Bağımsız denetçi incelemesi ve yıllık gözetim | Denetçi ağıyla | AAA |
- E1 notu "kamuya açık veriye dayalı" ibaresiyle yayımlanır.
- E2 ücretsiz kalır: A notu parayla değil, sahipliği doğrulamakla alınır. Ücret yalnız insan emeği isteyen düzeylerde alınır ve sonuçtan bağımsızdır.
7 Kapılar
| Kapı | Sonuç |
|---|---|
| Tehdit listesinde (V2'deki kural) | Toplam D, "Şüpheli" |
| Site sahibinin yerleştirdiği, asistana yönelik gizli talimat | Toplam D |
| Geçerli HTTPS yok (V2'deki kural) | Toplam en çok CCC |
| Görünen yazılım sürümünde, fiilen sömürülen ve 30 günden eski açık | Güvenlik ve Dayanıklılık en çok B; toplam en çok BBB |
| Ticari sitede tüzel kişi doğrulanamıyor | Toplam en çok BBB |
| Onaydan önce çalışan reklam izleyicisi | Etik ve Karbon en çok BB |
| Kanıtlı iki karanlık desen | Etik ve Karbon en çok B |
| Yapılandırılmış veride uydurma puan ya da kayıtta olmayan belge iddiası | Güven ve Otorite en çok B |
| Ana içeriğin yarıdan azı betik çalışmadan geliyor | Yapay Zeka Uyumu en çok B |
| Yapılandırılmış verideki fiyat, stok ya da puan görünenle çelişiyor | Yapay Zeka Uyumu en çok B |
| Onay ekranında reddetme yolu yok; beyan edilmemiş oturum kaydı ya da veri alıcısı | Etik ve Karbon en çok B |
Sürüm tespiti yanılabilir: yamalı ama eski numaralı sürümler vardır. Bilinen açık kapısı bu yüzden önce İzleme olarak açılır; site sahibi 30 gün içinde yanıt vermezse tavana döner.
8 Görünüm ve İzleme
Görünüm
- Notun yönünü söyler: Pozitif, Durağan, Negatif.
- Son 30 günün ortancası, ondan önceki 60 günün ortancasıyla karşılaştırılır; fark 3 puanı geçerse yön yazılır.
- Her iki dönemde en az üç ölçüm yoksa Görünüm yazılmaz.
İzleme
- Bir olaydan sonra 30 gün açık kalır: duyurulmuş veri ihlali, tehdit listesine giriş, bilinen açık eşleşmesi, laboratuvar ile gerçek ziyaretçi verisi arasında büyük fark.
- İzleme notu değiştirmez; notun gözden geçirildiğini söyler.
9 Sektör profilleri
Profil, ağırlıkları en çok 5 puan oynatır (toplam 100 kalır) ve ek kapılar getirir. Hangi sütundan ne kadar düşüleceği profil tablosunda yazar; profil tabloları V3 yürürlüğe girmeden önce yayımlanır. Oynama daha büyük olursa notlar sektörler arasında karşılaştırılamaz.
| Profil | Ağırlığı artan sütun | Ek kapı |
|---|---|---|
| E-ticaret | Güven ve Otorite, Etik ve Karbon | Ödeme sayfasında betik envanteri; Türkiye'de e-ticaret sicil kaydı; iade koşulu |
| Medya ve yayın | Güven ve Otorite | Düzeltme politikası; yapay zeka içeriğinin işareti |
| Kamu, sağlık, eğitim | Erişilebilirlik, Güvenlik ve Dayanıklılık | Erişilebilirlik beyanı ile ölçüm arasındaki fark |
| Yazılım | Güvenlik ve Dayanıklılık, Yapay Zeka Uyumu | Olay bildirimi sayfası; bağımlılık haritası |
10 Not sözlüğü
| Terim | Anlamı | İngilizce adı |
|---|---|---|
| Not | Sitenin harfle yazılan sonucu (AAA ile D arası) | Grade |
| Sütun | Notu oluşturan altı alandan biri | Pillar |
| Emsal | Notun karşılaştırıldığı, aynı ülke ve türdeki siteler | Peer group |
| Doygun ölçüm | Emsallerin yarısından fazlasının en iyi değeri aldığı ölçüm; yüzdelik yerine ham değerle puanlanır | Saturated measure |
| Kapı | Tek başına bir sütunu ya da toplamı sınırlayan bulgu | Gate |
| Denge kuralı | Toplam not, en zayıf sütunun iki basamak üstünü geçemez | Balance rule |
| Kanıt düzeyi | Notun dayandığı kanıtın gücü: E1, E2, E3, E4 | Evidence level |
| Kamuya açık veriye dayalı | Site sahibinin katkısı olmadan, dışarıdan ölçümle verilen not | Based on public data |
| Görünüm | Notun yönü: Pozitif, Durağan, Negatif | Outlook |
| İzleme | Bir olaydan sonra notun gözden geçirildiğini bildiren işaret | Watch |
| NR | Notlanamadı: ölçülebilen kısım yetersiz | Not rated |
| Geçici not | Son ölçümünde bir kurumun ölçümü, kurumun kendi sorunu yüzünden alınamamış not; siteleri karşılaştıran sıralamalara girmez | Provisional grade |
| Ölçüm Belgesi | Tek bir ölçümün imzalı kaydı (bugün verilen belge) | Measurement Score |
| Derecelendirme | Harf notu, Görünüm ve 90 günlük pencere ile verilen sonuç | Rating |
| Doğrulanmış Derecelendirme | Sahipliği doğrulanmış ve derin testten geçmiş site için, 12 ay geçerli ve gözetimli sonuç | Verified rating |
11 Görüş dönemi
Taslak, yayımlandığı günden başlayarak 30 gün görüşe açıktır. Başlangıç ve bitiş tarihi sayfanın başında yazar.
Siz ne dersiniz?
Herkes görüş verebilir: site sahipleri, ajanslar, geliştiriciler, akademisyenler.
Düğme WhatsApp'ı açar.
E-postayla yazmak isterseniz: merhaba@traverta.dev
Her görüş kaydedilir. Dönem bitince gelen görüşlerin özeti ve verilen yanıtlar bu sayfada yayımlanır; görüş sahibinin adı izni olmadan yazılmaz.
- Görüşle değişebilecekler: ağırlıklar, eşikler, kapılar, harf ölçeğinin dilimleri, terimler. Değişmeyecekler: 1. bölümdeki ilkeler.
- V3'ün yürürlüğe girmesi için dört koşul birlikte aranır: görüş dönemi bitti, güvenilirlik çalışması yayımlandı, emsal tablosu yayımlandı, 3. bölümde Faz 1 diye işaretli göstergelerin hepsi ölçülüyor. Yürürlük tarihi en az 30 gün önce duyurulur.
- Taslakta değişenler bu bölümde tarihleriyle yazılır. 11 Kasım: TRAVERTA'nın V2 ile ölçülmüş 88 siteye bu taslağı uyguladığı denemeden dört değişiklik: doygun ölçüm ve doygun harf kuralı (4. bölüm, 1. ve 10. adım), eksik kurumda geçici not (2. adım), kapsamın sütun düzeyinde sayılması (8. adım), dördüncü yürürlük koşulu. Deneme, taslak harfiyen uygulanınca bugün hiçbir sitenin not alamadığını ve tek bir kırık bağlantının bir sütunu AAA'dan B'ye düşürdüğünü gösterdi.
- Geçişte V2 ile verilmiş Ölçüm Belgeleri geçerliliğini korur ve hangi yöntemle ölçüldüğü üzerinde yazar.
12 Ölçmediklerimiz
- Henüz kimsenin bilmediği güvenlik açıkları ölçülemez. Ölçülen, bilinen ve fiilen sömürülen açıklara maruz kalma ve yamalama hızıdır.
- Başka birinin sitesindeki gerçek ziyaretçinin gözü ve tıklaması izlenemez. Bu veri yalnız site sahibi bağlarsa kullanılır.
- Bir sitenin ziyaretçi verisini satıp satmadığı dışarıdan kanıtlanamaz. Ölçülen, satışın izleridir: onaydan önce izleme, beyan edilmemiş alıcı, sinyale uymama.
- Bir içeriğin doğru olup olmadığı otomatik ölçülmez. Ölçülen süreçtir: kaynak, yazar, düzeltme.
- Yapay zeka ile yapılan testler her çalıştırmada biraz farklı sonuç verir. Bu yüzden birden çok model ve birden çok deneme kullanılır, sürümler kaydedilir, oynama payı yayımlanır.
Bugün geçerli yöntem: TouchStone V2. Sitenizi ölçmek için: site testi.