# Sunucu Taşıma Runbook'u

Zaten kurulu bir uygulamayı, şifreli ayarları veya 2FA verisini kaybetmeden yeni bir sunucuya taşımak için kopyala-yapıştır kontrol listesi. Buradaki herhangi bir adım tanıdık gelmiyorsa önce `docs/encryption.tr.md`'yi okuyun.

**En önemli tek kural:** mevcut `.env` dosyasını taşıyın, hedef sunucuda `php artisan key:generate` **çalıştırmayın**.

## Başlamadan önce

- [ ] Kaynak sunucuda tam bir veritabanı yedeği alın.
- [ ] Kaynak sunucunun `.env` dosyasının tam bir kopyasına sahip olduğunuzu doğrulayın — yeniden üretilmiş bir dosya değil, hafızadan doldurulmuş bir `.env.example` değil.
- [ ] Kaynak uygulamada aktif trafik varsa bir bakım penceresi planlayın.

## 1. Ortam dosyasını kopyalayın

- [ ] Kaynak sunucunun `.env` dosyasını hedef sunucuya olduğu gibi kopyalayın, **her ikisi dahil**:
  - `APP_KEY`
  - `DATA_ENCRYPTION_KEY` ve `DATA_ENCRYPTION_PREVIOUS_KEYS` (`DATA_ENCRYPTION_KEY` boş olsa bile — bu boşluk anlamlıdır ve "düzeltilmeden" olduğu gibi taşınmalıdır)
- [ ] `.env.example`'dan sıfır bir `.env` oluşturup değerleri elle yapıştırmayın. Gerçek dosyayı kopyalayın.

## 2. Hedef sunucuda ÇALIŞTIRMAYIN

- [ ] **`php artisan key:generate` çalıştırmayın.** Bu komut `APP_KEY`'in üzerine yazar. Bu kurulumda `DATA_ENCRYPTION_KEY` boşsa, birincil veri şifreleme anahtarı `APP_KEY`'DİR — üzerine yazmak her şifreli ayarı ve her kullanıcının 2FA sırrını, hatanın olduğu noktada hiçbir uyarı vermeden kalıcı olarak okunamaz yapar.
- [ ] Bu taşımanın bir parçası olarak hedef sunucuda `php artisan encryption:key` çalıştırmayın. Bu komut *yeni* bir anahtar üretir; rotasyon içindir, taşıma için değil. Taşıma mevcut anahtarı değiştirmeden taşır.
- [ ] Hedef sunucuda, saklamak istediğiniz veriye karşı `migrate:fresh`, `migrate:refresh`, `migrate:reset` veya `db:wipe` çalıştırmayın.

## 3. Uygulama kodunu deploy edin ve migration'ları çalıştırın

- [ ] Kod tabanını deploy edin (kaynak ile aynı sürüm, ya da hedeflediğiniz yükseltme sürümü).
- [ ] Bağımlılıkları kurun (deploy sürecinize göre `composer install --no-dev`, `npm ci && npm run build`).
- [ ] `php artisan migrate` çalıştırın (yalnızca şema — migration'lar hiçbir şifreleme anahtarına dokunmaz).
- [ ] Hedef sunucuda çoğaltılmış/stream edilmiş değil de sıfır bir veritabanı varsa "Başlamadan önce" adımındaki yedeği geri yükleyin.

## 4. Trafik göndermeden ÖNCE doğrulayın

Aşağıdaki ikisi de geçmeden hedef sunucuya DNS/load balancer trafiği yönlendirmeyin:

- [ ] `php artisan encryption:health`

  Kaynak sunucu zaten `encryption:rekey` çalıştırıp previous-keys listesini temizlediyse `safe-to-clear` (exit 0), bekleyen previous key'leri varsa `rekey-required` (exit 1) bekleyin — bu aşamada ikisi de sorun değil, ikisi de verinin okunabilir olduğu anlamına gelir. **`unreadable` (exit 2) veya `key-error` (exit 2) DUR demektir** — trafik göndermeyin, aşağıdaki kurtarma bölümüne bakın.

- [ ] `php artisan sk:doctor`

  Başarısız hiçbir kontrol olmadığını, özellikle şifrelemeyle ilgili herhangi bir kontrolü (`Data Encryption Key`) doğrulayın. Ortamınıza göre bir uyarı kabul edilebilir olabilir; bir başarısızlık kabul edilemez.

- [ ] Elle noktasal kontrol: admin panelinin Settings ekranını açın ve daha önce yapılandırılmış hassas bir değerin (örn. mail şifresi, yapılandırılmış bir storage secret'ı) hâlâ boş değil yapılandırılmış göründüğünü doğrulayın. 2FA açık bir kullanıcı olarak giriş yapın ve 2FA doğrulamasının hâlâ bir kodu kabul ettiğini doğrulayın.

Yalnızca her iki komut da geçtikten ve noktasal kontrol başarılı olduktan sonra trafiği hedef sunucuya kesin.

## 5. Kesimden sonra

- [ ] Hedef sunucunun kararlı olduğuna güvenene kadar kaynak sunucunun veritabanını ve `.env`'ini dokunulmadan, erişilebilir tutun (geri dönüş yolu).
- [ ] Yeni sunucuda veri şifreleme anahtarını rotasyona sokmayı planlıyorsanız, bunu ayrı, sonraki, bilinçli bir işlem olarak yapın — bkz. `docs/encryption.tr.md` → "Zaten benimsenmiş bir anahtarı rotasyona sokmak". Anahtar rotasyonunu sunucu taşımasıyla birleştirmeyin; önce taşımanın başarılı olduğunu doğrulayın.

## Kurtarma: eski anahtar gerçekten kayıp

`.env` doğru taşınmadıysa ve mevcut veriyi şifreleyen anahtar (kaynak sunucuda hangisi birincilse, `APP_KEY` ve/veya `DATA_ENCRYPTION_KEY`) gerçekten kayıpsa — hiçbir yerde yedeklenmemiş, eski `.env`'in hiçbir kopyasından kurtarılamıyorsa:

- **Bu kitteki hiçbir komut o veriyi kurtaramaz.** `encryption:health` `unreadable` veya `key-error` raporlar ve öyle kalır; bir onarım yolu yoktur.
- **Kurtarılamayan şeyler:**
  - Kayıp anahtar altında şifrelenmiş her hassas ayar (`mail.password`, `storage.spaces_secret`, `storage.aws_secret`, `storage.hetzner_secret`, `turnstile.secret_key`, `postman.api_key`, `apidog.access_token`) — hedef sunucu diğer açılardan sağlıklı hale geldikten sonra Settings ekranından **elle yeniden girilmelidir**.
  - Kayıp anahtar altında şifrelenmiş her kullanıcının 2FA sırrı ve kurtarma kodları — etkilenen her kullanıcı **iki faktörlü doğrulamayı kapatıp yeniden kaydolmalıdır**. Sır çözülemediği için mevcut doğrulama akışı üzerinden kendi kendine kurtaramazlar.
- **Etkilenmeyenler:** hâlâ elinizde olan bir anahtar altında şifrelenmiş her şey (örn. yalnızca `DATA_ENCRYPTION_PREVIOUS_KEYS` kaybolduysa ama mevcut birincil anahtar doğru taşındıysa, yalnızca hâlâ eski anahtarda kalan satırlar etkilenir — tam olarak hangileri olduğunu görmek için `encryption:health` çalıştırın).
- Bunu "hatayı yok etmek için" `DATA_ENCRYPTION_PREVIOUS_KEYS`'i temizleyerek veya `APP_KEY`/`DATA_ENCRYPTION_KEY`'i yeniden üreterek atlatmaya çalışmayın — bu veriyi geri getirmez ve gerçek anahtarı daha sonra bulma şansını da ortadan kaldırır.

## Bu dökümanda kullanılan yer tutucu değerler

Bu dökümanda veya `docs/encryption.tr.md`'de gösterilen herhangi bir anahtar (örn. bir `.env.example` bloğunda) bariz şekilde sahte bir yer tutucudur, örneğin `base64:REPLACE_ME_WITH_A_GENERATED_KEY=` — asla gerçek bir anahtar değildir. Gerçek bir `APP_KEY` veya `DATA_ENCRYPTION_KEY` değerini de bir ticket'a, sohbete veya commit mesajına yapıştırmayın; her ikisini de başka herhangi bir secret gibi işleyin.

## Ayrıca bakınız

- `docs/encryption.tr.md` — neyin şifrelendiği, anahtar çözümleme sözleşmesi, benimseme ve rotasyon prosedürleri.
- `docs/artisan-commands.tr.md` — `sk:doctor` dahil tam komut referansı.