Öne çıkan bulgular
- Ölçülen 159 kamu sitesinden 136'sı (%85,5) WCAG'ın A seviyesindeki iki temel kriterinden en az birini otomatik testte bile karşılamıyor. İki kontrolü de geçen yalnızca 23 belediye var.
- 81 valiliğin 81'inde sayfa dili hatalı tanımlanmış. Kodda
lang='tr'yerinelang='tr'yazıyor. Tarayıcı bunu tırnak işaretleriyle birlikte'tr'olarak okuyor, bu da geçerli bir dil kodu değil. Aynı altyapıyı kullanan 9 belediyede de aynı hata var. - Bu hata tek bir şablondan kaynaklanıyor. Tek bir düzeltme 90 kamu sitesini birden düzeltir.
- Belediyelerin %74,4'ü HTTP isteklerini HTTPS'e yönlendiriyor, 14 belediye sitesi ise şifresiz HTTP üzerinden de içerik sunuyor.
- Belediye sitelerinin %41'inde incelenen altı güvenlik başlığından hiçbiri yok. Valiliklerde dört başlık var, ancak HSTS ve CSP hiçbirinde yok.
- 36 belediye sitesi ziyaretçi takip kodunu (çoğunlukla Google Analytics) sayfanın ilk yüklemesinde çağırıyor. Bunların 17'sinde sayfada hiçbir çerez bildirimi izi bulunmuyor.
Neden şimdi?
"Web Siteleri ve Mobil Uygulamaların Erişilebilirliği Hakkında" 2025/10 sayılı Cumhurbaşkanlığı Genelgesi, 21 Haziran 2025 tarihli Resmî Gazete'de yayımlandı. Genelge; kamu kurumları, belediyeler ve üniversitelerin yanı sıra bankalar, özel hastaneler ve elektronik haberleşme şirketlerini de kapsıyor. Bu kurumlara bir yıllık uyum süresi tanındı. E-ticaret sitelerine ise iki yıl verildi. Uyumun ölçütü, Aile ve Sosyal Hizmetler Bakanlığının yayımladığı A seviyesi kontrol listesi ve WCAG 2.2.
Süre yayım tarihinden itibaren sayılırsa, kamu kurumları için Haziran 2026'da doldu. Türkiye'nin 81 il belediyesi ve 81 valiliği için güncel, bağımsız ve tekrarlanabilir bir ölçüm bulamadık. Bu araştırma, bu kurumların ana sayfalarına ilk bakışı sunuyor.
Bulgu 1: Valiliklerin tamamında aynı dil hatası
Ekran okuyucular, bir sayfayı hangi dilde seslendireceklerine sayfanın lang niteliğine bakarak karar verir. Dil yanlış ya da geçersizse, Türkçe metin başka bir dilin telaffuz kurallarıyla okunabilir. WCAG'ın 3.1.1 (Sayfanın Dili) kriteri bu yüzden en temel, A seviyesindeki kriterler arasında.
81 valiliğin hepsinde ana sayfanın ilk satırı aynı: <html lang='tr'>. Kod, tırnak işaretlerini HTML karakter koduna çevirerek yazmış. Tarayıcı bu karakter kodlarını çözünce dil değeri, tırnaklarla birlikte 'tr' oluyor. Bu da geçerli bir dil etiketi değil. Aynı altyapıyı kullandığı anlaşılan 9 belediyede (Artvin, Erzurum, Hakkari, Isparta, Kars, Mardin, Niğde, Siirt, Bartın) de aynı satır var.
Valilik sitelerinin hepsinde yazı boyutu ve kontrast gibi ayarlar sunan bir erişilebilirlik menüsü bulunuyor. Bu tür menüler kullanıcıya kolaylık sağlar, ancak sayfa dili gibi kodlama hatalarını gidermez. İyi haber şu: hata merkezi şablonda olduğu için tek bir düzeltme 90 siteyi birden düzeltir.
Bulgu 2: Görsellerin metin karşılığı eksik
Görme engelli kullanıcılar görselleri, alt niteliğine yazılan metin karşılığı sayesinde anlar. Süs amaçlı görsellerde bile bu niteliğin boş olarak (alt="") bulunması gerekir. Niteliğin hiç olmaması, WCAG 1.1.1 kriterinin otomatik olarak saptanabilen bir ihlalidir.
Belediye ana sayfalarındaki 5.264 görselin 1.001'inde (%19) bu nitelik hiç yok. 78 belediyenin 54'ünde en az bir görsel metin karşılığından yoksun. Valiliklerde 1.219 görselin 486'sında (%39,9) nitelik eksik ve sorun 81 sitenin hepsinde görülüyor. Bunların bir kısmı kaynağı boş bırakılmış yer tutucu görseller.
Bulgu 3: Şifresiz bağlantı ve eksik güvenlik ayarları
78 belediye sitesinin 58'i HTTP isteklerini HTTPS'e yönlendiriyor. 14 site ise aynı içeriği şifresiz HTTP üzerinden de sunuyor. Bu durumda ziyaretçinin bağlantısı, araya giren biri tarafından okunabilir ya da değiştirilebilir. Tarayıcıya siteye yalnızca HTTPS ile bağlanmasını söyleyen HSTS başlığı yalnızca 26 belediyede var.
Belediye sitelerinin 32'sinde incelenen altı güvenlik başlığının hiçbiri yok. Sitenin hangi kaynaklardan kod yükleyebileceğini sınırlayan Content-Security-Policy yalnızca 14 sitede bulunuyor. Valilik şablonu dört başlığı (X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy) eksiksiz kullanıyor, ancak HSTS ve CSP 81 sitenin hiçbirinde yok.
Sorumlu bildirim notu: Ölçüm sırasında bazı sitelerin yanıt başlıklarında yazılım sürümlerinin açıkça göründüğünü (32 belediye), 3 sitenin artık güvenlik güncellemesi almayan PHP sürümleri kullandığını, 7 sitenin bilinen güvenlik açıkları bulunan 3.5 öncesi jQuery sürümleriyle yüklendiğini ve 1 sitenin TLS sertifikasının süresinin dolduğunu gördük. Bu bulguları kötüye kullanıma zemin hazırlamamak için site adı vermeden, yalnızca toplam olarak paylaşıyoruz. Veri setinde de sürüm bilgileri yer almıyor.
Bulgu 4: KVKK bağlantısı yaygın, çerez yönetimi değil
Belediye ana sayfalarının 63'ünde kişisel verilerin korunmasıyla ilgili bir bağlantı ya da metin bulunuyor. 36 belediye sitesi ise ziyaretçi takip kodlarını sayfanın ilk yüklemesinde çağırıyor: Google Analytics 36, Meta Pixel 7, Yandex Metrica 5 sitede. Bu sitelerin 17'sinde sayfada hiçbir çerez bildirimi ya da onay aracı izi yok.
Bu ölçüm bir alt sınırdır. Bazı siteler takip kodunu onaydan sonra çalışacak şekilde ayarlamış olabilir. Ancak çerez bildiriminin hiç görünmediği sitelerde, ziyaretçinin bilgilendirilmeden takip edildiği güçlü bir ihtimal.
Bulgu 5: Hız sorun değil, sayfa ağırlığı değişken
Belediye sitelerinde sunucunun ilk yanıt süresinin (TTFB) medyanı 414 ms. 13 site bir saniyenin üzerinde yanıt veriyor. Ana sayfa HTML boyutunun medyanı 168 KB, en büyüğü ise 2,5 MB. Valilik şablonunda medyan yanıt süresi 401 ms, sayfa boyutu 427 KB civarında.
Kurumlar için kontrol listesi
- Sayfa dilini düzeltin:
<html lang="tr">. Valilik şablonu için tek satırlık bir değişiklik. - Her görsele alt niteliği ekleyin: anlam taşıyan görsellere açıklama, süs amaçlı olanlara
alt="". - HTTP'yi HTTPS'e yönlendirin ve HSTS ekleyin.
- Yazılım sürümlerini yanıt başlıklarından kaldırın, desteklenen sürümlere geçin.
- Takip kodlarını çerez onayından sonra çalıştırın.
- Otomatik testi bir başlangıç sayın: klavyeyle gezinme, ekran okuyucu ve kontrast testleri için insan denetimi gerekir.
Yöntem
Örneklem: 81 il belediyesi (30 büyükşehir ve 51 il belediyesi) ile 81 valiliğin resmi web sitesi. Alan adları il.bel.tr ve il.gov.tr kalıbıyla belirlendi, istisnalar (örneğin İstanbul için ibb.istanbul) tek tek kontrol edildi.
Tarih: Veriler 10 Kasım 2026'da toplandı.
Ölçüm: Her sitenin yalnızca ana sayfası, /robots.txt ve /llms.txt dosyaları açık bir tarayıcı kimliğiyle (HititMedyaResearch/1.0), sırayla ve aralarında bekleme bırakılarak bir kez istendi. HTTPS yönlendirmesi için ayrıca http:// adresine tek bir istek atıldı. Ölçümler sunucudan gelen ilk HTML ve yanıt başlıkları üzerinde yapıldı. JavaScript çalıştırılmadı.
WCAG kontrolleri: 3.1.1 için html etiketindeki lang değerinin geçerli bir dil etiketi olup olmadığına bakıldı. 1.1.1 için ilk HTML'deki her img etiketinde alt niteliğinin bulunup bulunmadığı sayıldı. Alt metnin anlamlı olup olmadığı değerlendirilmedi.
Kapsam dışı kalanlar: 3 belediye sitesi ölçülemedi: Çorum (bot koruması, 468 yanıtı), Muğla (çerezsiz isteklerde yönlendirme döngüsü) ve Muş (zaman aşımı). Oranlar ölçülebilen 78 belediye ve 81 valilik üzerinden hesaplandı.
Sınırlar: Bu bir uyum denetimi değil, otomatik bir ön taramadır. Otomatik araçlar WCAG kriterlerinin yalnızca bir bölümünü yakalayabilir. Yalnızca ana sayfa incelendi. Sonradan JavaScript ile yüklenen içerik ve onay sonrası çalışan takip kodları ölçülmedi.
Verileri kullanın
İl il tüm sonuçlar CSV olarak indirilebilir ve kaynak gösterilerek serbestçe kullanılabilir (CC BY 4.0). Kendi ilinizin sonucunu aşağıdaki tabloda bulabilirsiniz. Grafikleri sitenize eklemek için:
WCAG grafiği:
<a href="https://www.hititmedya.com/tr/analizler/il-belediyeleri-ve-valilikler-web-sitesi-karnesi-2026"><img src="https://www.hititmedya.com/data/arastirma/kamu-web-wcag-tr.svg" alt="İl belediyeleri ve valiliklerde WCAG A seviyesi hata oranları" width="1200" style="max-width:100%;height:auto"></a>
<p>Kaynak: <a href="https://www.hititmedya.com/tr/analizler/il-belediyeleri-ve-valilikler-web-sitesi-karnesi-2026">Hitit Medya Araştırma</a></p>Güvenlik ayarları grafiği:
<a href="https://www.hititmedya.com/tr/analizler/il-belediyeleri-ve-valilikler-web-sitesi-karnesi-2026"><img src="https://www.hititmedya.com/data/arastirma/kamu-web-guvenlik-tr.svg" alt="Belediye sitelerinde temel güvenlik ayarları" width="1200" style="max-width:100%;height:auto"></a>
<p>Kaynak: <a href="https://www.hititmedya.com/tr/analizler/il-belediyeleri-ve-valilikler-web-sitesi-karnesi-2026">Hitit Medya Araştırma</a></p>Bu karneyi her yıl aynı yöntemle güncelleyeceğiz. Kurumunuzun sitesinde düzeltme yaptıysanız ya da bir hata gördüyseniz bize yazın, bir sonraki ölçümde yansıtalım.
Kaynaklar
- 2025/10 sayılı Cumhurbaşkanlığı Genelgesi, Resmî Gazete, 21 Haziran 2025, sayı 32933.
- W3C. Web Content Accessibility Guidelines (WCAG) 2.2.
- W3C. Understanding SC 3.1.1: Language of Page.
- W3C. Understanding SC 1.1.1: Non-text Content.
- OWASP. Secure Headers Project.