refresh live production drift evidence

docs/quality/evidence/qa-live-runtime.json

@@ -1,7 +1,7 @@
 {
   "base": "https://ihaleist.com",
   "readOnly": true,
-  "checkedAt": "2026-09-06T16:48:04.967Z",
+  "checkedAt": "2026-09-06T17:18:22.511Z",
   "checks": {
     "home": {
       "status": 200,
@@ -9,7 +9,10 @@
       "headers": {
         "x-content-type-options": null,
         "referrer-policy": null,
-        "permissions-policy": null
+        "permissions-policy": null,
+        "x-frame-options": null,
+        "content-security-policy": null,
+        "strict-transport-security": null
       }
     },
     "health": {
@@ -18,7 +21,10 @@
       "headers": {
         "x-content-type-options": null,
         "referrer-policy": null,
-        "permissions-policy": null
+        "permissions-policy": null,
+        "x-frame-options": null,
+        "content-security-policy": null,
+        "strict-transport-security": null
       },
       "json": {
         "ok": true
@@ -31,7 +37,10 @@
       "headers": {
         "x-content-type-options": null,
         "referrer-policy": null,
-        "permissions-policy": null
+        "permissions-policy": null,
+        "x-frame-options": null,
+        "content-security-policy": null,
+        "strict-transport-security": null
       },
       "json": {
         "success": false,
@@ -44,6 +53,9 @@
   "missingHeaders": [
     "x-content-type-options",
     "referrer-policy",
-    "permissions-policy"
+    "permissions-policy",
+    "x-frame-options",
+    "content-security-policy",
+    "strict-transport-security"
   ]
 }

docs/quality/uygulama-durumu.md

@@ -2338,3 +2338,9 @@ Doğrulama: `npm run qa:browser` başarılı; kanıt [`qa-browser-acceptance-run
 Kaynakta son teklif saati bulunmadığında Google/Outlook bağlantıları artık `#` gibi sahte bir hedefe gitmiyor; pasif seçenek ve açık “saat gerekli” açıklaması gösteriliyor. Geçerli tarih/saat akışı ile eksik saat akışı ayrı browser kontrollerine ayrıldı.
 
 Doğrulama: `calendarMissingTimeGuard` içinde iki provider seçeneği pasif ve gerçek provider bağlantısı sayısı 0; `npm run qa:browser` ve `npm test` (301/301) başarılı.
+
+### 2026-09-06 · Canlı drift probe güncellemesi
+
+`https://ihaleist.com` salt okunur probe'u 17:18 İstanbul kontrolünde yeniden çalıştırıldı. Ana sayfa ve `/api/health` 200/`ok:true`; `/api/ready` 404 ve home/health yanıtlarında altı zorunlu güvenlik başlığının tamamı eksik. Bu nedenle production kabul durumu değişmedi ve deploy edilmemiş düzeltmeler için kanıt güncellendi.
+
+Kanıt [`qa-live-runtime.json`](evidence/qa-live-runtime.json) içinde; ödeme, giriş, veri yazma veya teklif gönderme isteği yapılmadı.