diff --git a/docs/quality/uygulama-durumu.md b/docs/quality/uygulama-durumu.md
index e4420a4..738eca8 100644
--- a/docs/quality/uygulama-durumu.md
+++ b/docs/quality/uygulama-durumu.md
@@ -2314,3 +2314,9 @@ Kanıt [`qa-live-runtime.json`](evidence/qa-live-runtime.json) içinde güncelle
 Üretim Docker imajı yerelde build edilip nginx yapılandırması `nginx -t` ile doğrulandı. Container içinde `/api/ready` ve `/api/health` 200 döndü; ana sayfa ve API yanıtlarında `X-Content-Type-Options`, `Referrer-Policy`, `Permissions-Policy`, `X-Frame-Options`, CSP ve HSTS başlıkları görüldü. Node ve nginx aynı başlığı iki kez göndermesin diye proxy yanıtlarında üç ortak başlık gizleniyor. Live probe artık readiness için doğru `{ok:true}` sözleşmesini denetliyor ve kanıt dosyası yolu ortam değişkeniyle ayrılabiliyor.
 
 Doğrulama: yerel container probe `pass:true`; kanıt [`qa-container-runtime.json`](evidence/qa-container-runtime.json) içinde. Bu yalnız yerel imaj kabulüdür; `https://ihaleist.com` üzerinde deploy edilene kadar production sonucu değişmez.
+
+### 2026-09-06 · Güvenlik başlıkları ve readiness probe sözleşmesi
+
+Nginx CSP, HSTS ve `X-Frame-Options` başlıklarını da yayınlıyor; Node upstream'inin üç ortak başlığı nginx'te gizlenerek tekrar gönderim önleniyor. Drift probe readiness yanıtında gerçek `{ok:true}` sözleşmesini denetliyor, HTTPS hedeflerinde HSTS'i zorunlu tutuyor ve HTTP yerel container kontrollerinde HSTS'i gözlemlemeye devam ediyor.
+
+Doğrulama: `nginx -t`, Docker üretim build'i ve yerel container probe `pass:true`; CSP, HSTS, clickjacking ve temel güvenlik başlıklarının tamamı görüldü. Production probe'u deployment yapılana kadar başarısız kalmaya devam ediyor.