Backend: GET /api/v1/messages/unread-count (MANAGER+ kapılı, Türkçe koruma)

AppShell: Mesajlar nav girişine kırmızı badge (sidebar + mobil drawer), 60 sn periyodik yenileme

messages sayfası: okundu/sil mutasyonları badge'i anında invalidation ediyor

lib/roles.ts: ROLE_LABELS/ROLE_OPTIONS/roleLabel ortaklaştırıldı, sayfa bazlı rol kopyaları kaldırıldı

Sayfa bazlı hata Alert'leri kaldırıldı; hatalar api.ts üzerinden merkezi toast'a düşüyor

toast.tsx: kullanılmayan toastSuccess kaldırıldı, error borderColor'a _dark varyantı eklendi

teams/planning/reports/projects sayaflarında detay modal, eye/Excel ve responsive iyileştirmeler

theme.ts + ProjectProgressBar koyu mod semantic token uyarlaması

Frontend: next 15.5.28 / postcss 8.5.31 (override) / sharp 0.35.5 / source-map-js 1.2.2 — npm audit 0 açık

Backend: lxml>=6.1 (CVE-2026-41066 XXE fix) — pip-audit 0 açık

JWT artık httpOnly Secure cookie (buksu_token) ile taşınıyor; Bearer header geriye uyumlu kaldı, yeni POST /auth/logout eklendi

Frontend credentials:"include" ile cookie kullanıyor; localStorage'dan token kaldırıldı

Rate-limiter ve IP kayıtları sahtelenebilir X-Forwarded-For yerine nginx'in X-Real-IP'sini kullanıyor

source_ip body'den varsayılan olarak kabul edilmiyor (MESSAGE_INGEST_TRUST_SOURCE_IP=false)

CORS method/header listeleri daraltıldı; token ömrü 12h -> 8h

Hakediş endpoint'lerinde path project_id doğrulaması; upload'lara magic-byte imza kontrolü

Limiter bellek evict (sınırsız büyüme DoS kapanıyor)

nginx: HTTPS şablonuna /api/ limit_req eklendi, server{} içindeki limit_req_zone hatası düzeltildi, CSP + HSTS preload; /health sürüm info disclosure korunmasına rağmen deploy-detection feature'ı için bekletildi — bilinen kabul

deploy.sh: sunucu IP/kullanıcı .env'e taşındı (SERVER_HOST/SERVER_USER)

Yeni testler: test_cookie_auth.py, test_guard_batch.py (backend 47/47 geçiyor; frontend typecheck+build OK)

Deploy sonrası kullanıcıların bir kez tekrar login olması gerekir

api.ts buildQuery(): null/boş değerler query string'den atlanır

teams/reports/projects/planning tüm query çağrıları buildQuery'ye geçti

'Input should be a valid UUID' → 'Ekip geçerli bir kayıt kimliği (UUID) olmalı' çevirisi

query./path. prefix'leri de Türkçe alan eşlemesine dahil edildi

Lucide ikon prop tip hatası (flexShrink style içine alındı)

Yeni: sparkles ikonu + emerald, İyileştirme: arrow-up + blue, Düzeltme: bug + red

text-[9px] yuvarlak pill, opacity'li zemin/kenarlık, light/dark uyumlu

Release notu metinlerinde Türkçe ilk harf büyütme + kurallar güncellendi

Sürüm maddeleri tip bazlı gösteriliyor: Yeni / Düzeltme / İyileştirme etiketleriyle

Sürüm başlıkları 80 karakterde kesilmiyor — commit satırı tam olarak yazılıyor

Hook commit gövdesindeki madde işaretlerini okuyup tipiyle birlikte notlara aktarıyor

Semver kuralı: feat içeren commit'ler minor sürüm artırıyor (1.8.x → 1.9.0)

Geçmiş sürümler (1.0.0–1.8.9) yeni tipli formata dönüştürüldü

Manifest'e (AGENTS.md) sunucu akışı kuralı eklendi — sunucuda başka hiçbir release aracı çalıştırılmaz

AI agentlar release notunu elle yazmaz; post-commit hook commit'i okuyup notu üretir

deploy.sh artık push'u da yapıyor — önceki deploy'da lokal sürüm remote'a gitmemişti

Post-commit hook: her commit'te versiyon patch +1, başlık release-notes'a not olarak eklenir ve commit'e katlanır

AGENTS.md: AI agentlar için 10 zorunlu kural manifest'i

scripts/release.py --hook modu ayrıldı; chore(release) ve bump içeren commit'lerde döngü guard'ı

Sürüm bildirim toast'ı mavi renk temasına geçti (kenarlık, başlık ve Yenile butonu)

Backend başlatma zinciri (migration → seed → uvicorn) Dockerfile CMD'sinden entrypoint.sh'a taşındı; uvicorn exec ile başlatılarak sinyal iletimi düzeltildi

scripts/deploy.sh: tek komutla sürüm + release notu + push + sunucu deploy + health

scripts/release.py: commit başlıklarından release notu üretimi

Geliştirme kuralları manifest'i (GELISTIRME-KURALLARI.md) yazıldı

Form hataları artık toast olarak gösteriliyor (sayfalarda ham hata kutusu yok)

Doğrulama hataları Türkçeleştirildi: 'Miktar sayısal bir değer olmalı' gibi

Deploy sonrası eski arayüz takılması giderildi — HTML no-cache

Yeni sürüm yayında olduğunda sayfa üstünde yenileme bildirimi çıkar

Tüm 'bugün' hesapları ve tarih gösterimleri İstanbul saati — gece yarısı sonrası gün kayması bitti

Puantaj/ödeme/plan ekranlarında tarih varsayılanları doğru günü açar

Mac'teki yedek çekme (pull) artık Mac uyusa bile kaçırdığını telafi eder

SSH bağlantı hatasında yedek çekme 3 kez tekrar dener

Kalan ücret 0,00 ₺ iken 'Fazla ödenmiş: -0,00 ₺' yerine yeşil 'Tam ödenmiş' yazar

Ekipler listesi, kişi geçmişi ve raporlar sayfasında uygulanır; yuvarlama artığı (0.001 gibi) fazla ödeme gibi görünmez

ADMIN/SUPER_ADMIN kendi girdiği metrajı ve hakedişi onaylayabilir

ADMIN/SUPER_ADMIN şantiye şefi onayı aşamasını atlayabilir, taslak hakedişi direkt onaylayabilir

İki gözlü kural müdür/muhasebe/şef rolleri için aynen devam eder

Sır/şifre defaults kod ve compose'dan kaldırıldı; üretimde güvenli anahtar zorunlu

Şifre sıfırlamada tüm oturumlar iptal olur (token revocation)

Login brute-force koruması: 10 başarısız deneme/5 dk → 429

Yetki kapıları: proje/sözleşme/poz/fatura işlemleri yönetici rollere kilitli

Fatura XML'lerinde DTD/billion-laughs saldırılarına parser seviyesinde koruma

Excel raporlarında formula injection koruması

Güvenlik başlıkları (X-Frame-Options, nosniff) ve poweredByHeader kapalı

MinIO portları yalnızca localhost'a bind

Ekip üyesi düzenleme/silme, ekip silme (bağımlılık kontrolüyle)

Depo silme endpoint'i ve Depolar kartı

Geçmiş (arşiv) projeler için özel takip alanları

Metraj kaydı silme + detay görünümü

Yedek/pull script'leri ve zaman damgası düzeltmeleri

Puantaj (günlük işçilik) kayıtları ve ekip puantaj görünümü

Tedarikçiler modülü ve satın alma toplamları

Kâr analizi: poz giderleri ve gider sütunu

Hakediş PDF çıktısı (çoklu hakediş + çoklu sayfa düzeltmesi)

İşçilik ödemeleri, ekip geçmişi modalı, sözleşme zorunluluğu

Ekip listesinde hiyerarşik görünüm, ödeme düzenleme, kalan/fazla takibi

Aynı ad soyadlı işçiler işçilik özetinde ekip fark etmeksizin birleştirilir

401'de otomatik login yönlendirmesi + 'oturum süresi doldu' bildirimi

Sunucu nginx proxy yapısına geçiş (docker nginx kaldırıldı, 3006/8003)

HTTPS altyapısı (Let's Encrypt/certbot şablonları)

Backup/deploy script'leri

Güvenlik sertleştirmeleri ve env tabanlı yapılandırma

Fatura yüklemedeki 422 hatası giderildi (FormData JSON.stringify bug'ı)

Yazılımcı yöneticisi paneli: kullanıcı oluşturma, rol atama, şifre sıfırlama

Env tabanlı seed (sabit şifre kaldırıldı)

Sunucuda host'a eşlenik data volume'leri

Kapsamlı mobile responsive düzenlemeler

Malzeme reçetesi (metraj girilince otomatik stok düşümü) yönetimi

Para alanlarında binlik ayraçlı giriş

Takvim üzerinde iş emri modalı

Proje kodu otomatik üretimi (PRJ-2026-...)

Saha iş, hakediş, ekip ve stok yönetimi çekirdeği

Buksu Trafik marka paleti, logo ve açık/koyu tema

FastAPI + Next.js + PostgreSQL altyapısı