Ortamlar arasında ayarları nasıl yönetirsiniz?

Question

Accepted Answer

Django yapılandırması `settings.py` dosyasında yaşar, ancak gerçek uygulamalar **ortam başına farklı ayarlara** (geliştirme, evreleme, üretim) ihtiyaç duyar ve **sırları kodun dışında tutmalıdır**. Bunu doğru şekilde yönetmek hem operasyonel bir gereklilik hem de bir güvenlik gereksinimidir.

## Tek bir settings.py ile ilgili sorun

```python
# ❌ hardcoded, environment-mixed, and INSECURE settings
DEBUG = True                                    # must be False in production!
SECRET_KEY = "hardcoded-secret-in-code"          # ❌ secret committed to git
DATABASES = {"default": {"PASSWORD": "prod-pw"}} # ❌ production password in code
```

Değerleri kodun içine gömülü olarak yazıldığında ortamlar karışır ve — kritik olarak — sırlar (SECRET_KEY, veritabanı parolaları, API anahtarları) sürüm kontrol sistemine kaydedilir; bu ciddi bir güvenlik ihlalidir.

## Çözüm 1: yapılandırmayı ortam değişkenlerinden okuyun

```python
import os
from pathlib import Path

SECRET_KEY = os.environ["DJANGO_SECRET_KEY"]    # from the environment, NOT code
DEBUG = os.environ.get("DJANGO_DEBUG", "False") == "True"
ALLOWED_HOSTS = os.environ.get("ALLOWED_HOSTS", "").split(",")
DATABASES = {
    "default": {
        "ENGINE": "django.db.backends.postgresql",
        "NAME": os.environ["DB_NAME"],
        "PASSWORD": os.environ["DB_PASSWORD"],   # injected per environment
    }
}
# tools like django-environ / python-decouple make this cleaner (+ .env file support)
```

Yapılandırmayı (özellikle sırları) **ortam değişkenlerinden** okumak, onu kodun dışında tutar — aynı kod tabanı her ortamda farklı enjekte edilen değerlerle çalışır (on iki faktörlü yaklaşım).

## Çözüm 2: ortam başına ayar dosyalarını ayırın

```text
settings/
  base.py          # shared settings (apps, middleware, templates)
  development.py   # from base import *; DEBUG=True, local DB, debug toolbar
  production.py    # from base import *; DEBUG=False, security hardening, real DB
  test.py          # test-specific settings
```

```python
# production.py
from .base import *
DEBUG = False
ALLOWED_HOSTS = ["example.com"]
SECURE_SSL_REDIRECT = True            # production-only security settings
# select via: DJANGO_SETTINGS_MODULE=config.settings.production
```

Ayarları ortak bir `base.py` ve ortama özel dosyalarına bölmek (`DJANGO_SETTINGS_MODULE` aracılığıyla seçilir) ortama özel yapılandırmayı temiz bir şekilde ayırırken ortak ayarları paylaşır.

## Kritik üretim ayarları

```python
DEBUG = False                  # ❗ NEVER True in production — leaks sensitive error info
ALLOWED_HOSTS = ["example.com"] # required when DEBUG=False
SECRET_KEY = os.environ[...]    # strong, secret, from the environment
# + SECURE_SSL_REDIRECT, SESSION_COOKIE_SECURE, HSTS, etc. for hardening
```

```text
✓ NEVER commit secrets — use env vars / a secret manager; gitignore .env
✓ DEBUG=False in production (DEBUG=True leaks tracebacks, settings → security risk)
✓ Commit a .env.example documenting required variables (no real values)
```

## Neden önemli

Ortamlar arasında ayarları yönetmek herhangi bir gerçek Django uygulaması için hem **operasyonel bir gereklilik** hem de **kritik bir güvenlik uygulaması**dır.

Uygulamalar ortamlar arasında farklı davranmalıdır — geliştirme `DEBUG=True` ve uygun yerel ayarlara ihtiyaç duyarken, üretim `DEBUG=False`, güvenlik sertleştirmesi, gerçek veritabanları ve uygun ana bilgisayarlar gerektirir — ve tek bir kodlanmış `settings.py` bunların tümüne hizmet edemez.

Daha da önemlisi, bu **büyük bir güvenlik endişesidir**: sırları (SECRET_KEY, veritabanı parolaları, API anahtarları) kodun içine gömülü olarak yazıldığında sürüm kontrolüne kaydedilir; bu en yaygın ve ciddi güvenlik ihlallerinden biridir (depo erişimi olan herkes veya herkese açık bir depoda, uygulamanız ve verileriniz için anahtarları alır).

Çözümleri anlamak — yapılandırmayı ve sırları **ortam değişkenlerinden** okumak (bunları kodun dışında tutmak, on iki faktörlü yaklaşım, genellikle django-environ gibi araçlar ve `.env` dosyalarıyla) ve ayarları **ortak bir temel artı ortama özel dosyalarına** bölmek — Django'yu güvenli ve doğru şekilde dağıtmak için gereklidir.

**Kritik üretim ayarlarını** bilmek (özellikle üretimde `DEBUG` değerinin `False` olması gerektiği, çünkü `DEBUG=True` izleme yollarını, kaynak yollarını ve ayarları saldırganlara sızıtır, ayrıca `ALLOWED_HOSTS` ve güvenlik sertleştirmesi) üretim bilgisindeki zorunluluktur.

Ayarları yönetimi doğru yapmak — sırları ortamda tutmak, ortama uygun yapılandırma, güvenli üretim varsayılanları — Django uygulamalarını profesyonelce çalıştırmak ve sızan sırlar veya yanlış yapılandırılmış üretim ortamlarından gelen ciddi güvenlik açıklarından kaçınmak için temeldir; bu herhangi bir gerçek dağıtım için önemli, pratik olarak kritik bilgidir.