Fonksiyonel olmayan test disiplinlerini (Performans, Güvenlik, Erişilebilirlik) teorik olarak bilmek harika bir temeldir. Ancak sahaya çıktığında bu testleri elle, tek tek tıklayarak yapamazsın. Sisteme aynı anda 10.000 sanal kullanıcı sokmak veya binlerce güvenlik parametresini saniyeler içinde taramak için özel test cephanelerine ihtiyacın vardır.
Sektörde en çok karşına çıkacak 4 temel aracı, görev alanlarını ve birbirlerinden farklarını inceleyelim:
4 Büyük Aracın Karşılaştırma Matrisi
| Araç | Birincil Test Disiplini | Çalışma Tarzı (Arayüz) | Kime Hitap Eder? | Tipik Kullanım Senaryosu |
| Apache JMeter | Performans (Yük, Stres, Dayanıklılık) | Görsel Panel (GUI) & Raporlama | Test Mühendisleri, Performans Uzmanları | Karmaşık bankacılık/sigorta iş akışlarında 5.000 eşzamanlı kullanıcının sisteme yüklenmesi. |
| Grafana k6 | Performans (Yük, Sıçrama, Spike) | Kod Tabanlı (JavaScript / CLI) | Otomasyon Mühendisleri, Geliştiriciler | CI/CD otomatik üretim bandında her yeni kod atıldığında mikro performans testlerinin koşulması. |
| OWASP ZAP | Güvenlik (DAST – Zafiyet Taraması) | Ara Sunucu (Proxy) & Web Arayüzü | Güvenlik Meraklısı QA’ler, Sızma Uzmanları | Form alanlarına otomatik SQLi/XSS saldırıları fırlatıp güvenlik açıklarını ve başlık eksiklerini listelemek. |
| Google Lighthouse | İstemci Performansı & Erişilebilirlik (A11y) | Tarayıcı İçi (Chrome F12 Eklentisi) | Tüm Testçiler, Frontend Geliştiricileri | Web sayfasının renk zıtlığını, klavye odaklarını ve ilk açılış hızını 100 üzerinden puanlamak. |
1. Apache JMeter — “Ağır İş Makinelerinin Sultanı”
Yazılım sektöründe yük testi dendiğinde akla gelen en kıdemli araçtır. Java tabanlıdır ve tamamen ücretsiz (açık kaynak) bir devdir.
-
Nasıl Çalışır? Bilgisayarına kurarsın, karşına butonları ve menüleri olan pencereli bir masaüstü uygulaması çıkar. Kod yazmadan; sağ tıklayıp “Kullanıcı Grubu Ekle”, “HTTP İsteği Ekle” diyerek senaryonu adım adım bloklar halinde inşa edersin.
-
En Güçlü Yönü: Veritabanı sorgularından (JDBC), web servislerine (REST/SOAP), dosya transferlerine (FTP) kadar neredeyse her protokolle konuşabilir. Test sonuçlarını renkli grafikler ve detaylı HTML raporları olarak döker.
-
Zayıf Karnı: Çok fazla sistem kaynağı (RAM ve CPU) tüketir. Tek bir bilgisayardan yüz binlerce kullanıcı simüle etmek zordur; dağıtık sunucu kurulumu gerektirir.
2. Grafana k6 — “Hafif, Çevik ve Hızlı Formula 1 Aracı”
Modern bulut dünyasının ve yazılımcıların gözdesidir. Go diliyle yazılmıştır, hafiftir ve işletim sistemini yormaz.
-
Nasıl Çalışır? Görsel bir menüsü veya tıklanacak butonu yoktur. Bir metin editöründe birkaç satır basit JavaScript kodu yazarak testi tanımlarsın:
export default function () { http.get('[https://test.site.com](https://test.site.com)'); }Ardından terminalden tek bir komutla testi ateşlersin.
-
En Güçlü Yönü: JMeter’a kıyasla bilgisayar belleğini neredeyse hiç tüketmez; tek bir makinayla on binlerce sanal kullanıcı üretebilir. Otomatik entegrasyon hatlarına (GitLab CI, GitHub Actions) bir yapboz parçası gibi anında oturur.
-
Zayıf Karnı: Kodlama çekincesi olan adaylar için başlangıçta öğrenme bariyeri oluşturabilir.
3. OWASP ZAP (Zed Attack Proxy) — “Dijital Güvenlik Röntgencisi”
Dünyanın en büyük kâr amacı gütmeyen web güvenlik kuruluşu olan OWASP’ın geliştirdiği resmi güvenlik tarayıcısıdır.
-
Nasıl Çalışır? ZAP, tarayıcın ile test ettiğin web sitesinin arasına bir “gizli aracı / kurye” (Proxy) gibi oturur. Sen sitede gezinirken geçen tüm istekleri izler, kaydeder. Ardından tek bir butonla: “Şimdi bu formlara bilinen 500 farklı saldırı kodunu (SQL Injection, XSS) otomatik olarak fırlat” diyebilirsin.
-
En Güçlü Yönü: Test uzmanına tek satır siber güvenlik kodu yazmadan, sitedeki unutulmuş güvenlik açıklarını (IDOR riskleri, eksik HTTPS başlıkları, açık kapılar) kırmızı, sarı, yeşil bayraklarla raporlar.
-
Zayıf Karnı: Körlemesine tarama yaptığı için sitenin bazı derin iş kurallarını anlayamaz; bazen zararsız durumları hata gibi gösteren “sahte alarmlar” (False Positives) üretebilir.
4. Google Lighthouse — “Cebindeki Hızlı Muayene İstasyonu”
Hiçbir kurulum yapmadan, bilgisayarındaki Google Chrome tarayıcısını açtığın her an elinin altında olan ücretsiz bir denetim mekanizmasıdır.
-
Nasıl Çalışır? Herhangi bir web sitesindeyken klavyeden
F12‘ye (veya Sağ Tık > İncele) basarsın. Açılan geliştirici panelinde “Lighthouse” sekmesini seçip “Sayfayı Analiz Et” butonuna tıklarsın. -
Neyi İnceler? 30 saniye içinde sayfayı tarar ve 4 ana başlıkta 0 ile 100 arasında bir karne verir:
-
Performance: Sayfa mobilde kaç saniyede boyanıyor, hangi devasa görsel sistemi yavaşlatıyor?
-
Accessibility (Erişilebilirlik): Renk kontrastı standartlara uyuyor mu? Görsellerin alternatif metni (
alt) var mı? -
Best Practices: Güvenli olmayan kütüphaneler kullanılıyor mu?
-
SEO: Arama motorları sayfayı doğru okuyabiliyor mu?
-
-
En Güçlü Yönü: Sıfır kurulum gerektirir. Hataları doğrudan satır satır işaret eder: “Şu butonun rengi ile arka plan arasındaki zıtlık yetersiz, #333333 yapmalısın” gibi net çözüm önerileri sunar.
4. “Bir de Şöyle Düşün” (Kutu İçeriği)
💡 Bir de Şöyle Düşün: Oto Servisindeki 4 Farklı Cihaz
Otomobil muayene istasyonunu hayal et:
JMeter: Arabanın tekerleklerini dönen silindirlere bağlayıp motora tam gaz yüklenen, arkasına devasa ekranlar bağlı ağır dinamometre test ünitesidir.
k6: Yarış mühendisinin kucağındaki laptopu motor beynine (OBD) bağlayıp arabayı pistte koştururken verileri canlı canlı toplayan hafif telemetri yazılımıdır.
OWASP ZAP: Arabanın kapı kilitlerini, cam fitillerini levye ve tel ile kurcalayıp içeri hırsız girip giremeyeceğini test eden güvenlik denetçisidir.
Lighthouse: Arabanın far ayarını, camındaki filmin koyuluğunu, sileceklerin durumunu ve emniyet kemerinin takılıp takılmadığını kontrol eden el fenerli muayene memurudur.
Bu cihazların hiçbiri diğerinin rakibi değildir; hepsi bir araya geldiğinde o araba yola güvenle çıkabilir.
5. Mini Alıştırma
Senaryo: Yeni yayına alınacak bir kamu hizmeti web portalında test uzmanı olarak çalışıyorsun. Senden şu üç farklı test faaliyeti talep ediliyor:
-
Ana sayfadaki metinlerin görme bozukluğu olan vatandaşlar için yeterli renk karşıtlığına (WCAG AA) sahip olup olmadığının taranması.
-
Sisteme aynı anda 8.000 vatandaş giriş yaptığında veritabanı sunucusunun yanıt sürelerinin ölçülmesi.
-
Giriş formuna otomatik güvenlik saldırıları (XSS ve SQLi) gönderilerek zafiyet raporu çıkarılması.
Soru: Bu 3 test faaliyeti için sırasıyla hangi araçları (JMeter/k6, OWASP ZAP, Lighthouse) seçmelisin?
Erişilebilirlik ve Renk Karşıtlığı: Google Lighthouse (Chrome DevTools üzerinden Accessibility sekmesi taranır).
8.000 Eşzamanlı Kullanıcı Yükü: Apache JMeter (veya kod tabanlı entegrasyon için Grafana k6).
Otomatik Güvenlik ve Zafiyet Taraması: OWASP ZAP (Girdi alanlarına dinamik enjeksiyon saldırıları koşturulur).