add read only live runtime drift probe

docs/quality/evidence/qa-live-runtime.json

@@ -1,19 +1,37 @@
 {
-  "date": "2026-09-06",
-  "url": "https://ihaleist.com",
+  "base": "https://ihaleist.com",
+  "readOnly": true,
+  "checkedAt": "2026-09-06T16:13:35.286Z",
   "checks": {
-    "apiHealth": {"status": 200, "body": {"ok": true}},
-    "apiReady": {"status": 404, "body": {"success": false, "error": "not found"}},
-    "securityHeadersObserved": {
-      "apiHealth": {
-        "access-control-allow-origin": "*",
+    "home": {
+      "status": 200,
+      "headers": {
         "x-content-type-options": null,
         "referrer-policy": null,
         "permissions-policy": null
       }
     },
-    "servedAsset": "/assets/index-BtYUXYcw.js"
+    "health": {
+      "status": 200,
+      "headers": {
+        "x-content-type-options": null,
+        "referrer-policy": null,
+        "permissions-policy": null
+      }
+    },
+    "ready": {
+      "status": 404,
+      "headers": {
+        "x-content-type-options": null,
+        "referrer-policy": null,
+        "permissions-policy": null
+      }
+    }
   },
-  "scope": "Read-only live probe; no login, mutation, payment, message, or tender submission performed.",
-  "interpretation": "Live deployment does not yet contain the local readiness endpoint or the local API security headers. Deployment remains pending."
+  "pass": false,
+  "missingHeaders": [
+    "x-content-type-options",
+    "referrer-policy",
+    "permissions-policy"
+  ]
 }

docs/quality/uygulama-durumu.md

@@ -2200,3 +2200,9 @@ Doğrulama: browser QA başarılı; analitik erişilebilirlik kontrolü, ICS, ç
 Belge son kullanma uyarısı artık “bugün” anahtarını UTC tarihinden değil İstanbul tarihinden üretiyor. Yalnız tarih içeren son kullanma değerleri `+03:00` gece yarısı olarak ayrıştırılıyor; böylece Türkiye’de gün değişimi sırasında 30 gün/son kullanma uyarısı bir gün kaymıyor. Geçersiz tarih sessizce yaklaşan belge olarak sayılmıyor.
 
 Doğrulama: 293 otomatik test ve üretim derlemesi başarılı. Gece yarısı sınırı için gerçek saat kontrollü tarayıcı kabulü ayrıca yapılmalı.
+
+### 2026-09-06 · Tekrarlanabilir canlı drift probe’u
+
+`npm run qa:live -- https://ihaleist.com` komutu eklendi. Probe yalnızca ana sayfa, `/api/health` ve `/api/ready` uç noktalarını GET ile kontrol ediyor; authentication, veri yazma, ödeme veya sağlayıcı çağrısı yapmıyor. Ana sayfa ve health için güvenlik başlıklarını da zorunlu tutup JSON kanıtı `qa-live-runtime.json` içine yazıyor.
+
+6 Eylül 2026 çalıştırmasında ana sayfa ve health 200, readiness 404 döndü; üç güvenlik başlığı canlı yanıtlarda bulunmadı. Probe bu nedenle beklenen şekilde başarısız oldu. Bu sonuç yerel düzeltmelerin canlıya alınmadığını gösteren drift kanıtıdır.