Web servis, farklı yazılım sistemleri ve cihazlar arasında, ağ üzerinden (genellikle internet) standart protokoller kullanarak veri alışverişi ve işlevsellik paylaşımını sağlayan bir yazılım mimarisidir. İki ana bileşenden oluşur: istemci (hizmeti talep eden) ve sunucu (hizmeti sağlayan). Bu yapı, heterojen platformların sorunsuz bir şekilde birlikte çalışabilmesini mümkün kılar.

Web servislerinin çekirdeğinde, veri alışverişinin XML (eXtensible Markup Language) gibi platformdan bağımsız bir biçimde gerçekleşmesi yatar. Bir web servis, sunduğu işlevleri bir arayüz (API) ile tanımlar. Bu arayüz, Web Servis Tanım Dili gibi dillerle açıkça belirtilir, böylece istemciler servisin neler yapabileceğini, nasıl çağrılacağını ve hangi verileri beklediğini anlaybilir. Servislerin bulunabilirliği genellikle bir UDDI (Universal Description, Discovery, and Integration) gibi bir dizin hizmeti aracılığıyla sağlanır.

Tarihsel Gelişimi

Web servis teknolojisinin kökleri, 1990'ların sonundaki dağıtık uygulama ihtiyaçlarına dayanır. İlk girişimler, karmaşık ve sıkı bağlı (tightly-coupled) RPC (Remote Procedure Call) tabanlı çözümlerdi. Ancak, internetin ve e-ticaretin patlamasıyla birlikte, daha esnek, standart ve gevşek bağlı (loosely-coupled) sistemlere olan ihtiyaç arttı. Bu ihtiyaç, başta IBM ve Microsoft olmak üzere büyük teknoloji firmalarının öncülüğünde, XML tabanlı protokollerin geliştirilmesine yol açtı.

2000'li yılların başında, SOAP (Simple Object Access Protocol), WSDL (Web Services Description Language) ve UDDI üçlüsü, web servis dünyasının temel standartlarını oluşturdu. Bu dönm "SOAP Web Servisleri" veya "Big Web Services" olarak adlandırıldı. SOAP, mesajlaşma için katı bir XML formatı ve güvenlik, işlem gibi kurumsal düzeyde özellikler tanımlarken, WSDL servis arayüzünü betimledi.

SOAP tabanlı servisler güçlü ve özellik zengini olmasına rağmen, karmaşıklığı ve ağırlığı, özellikle hafif istemciler (mobil cihazlar, AJAX tabanlı web uygulamaları) için daha basit bir alternatifin doğmasına neden oldu. 2000'lerin ortalarında, REST (Representational State Transfer) mimari stilinin Roy Fielding tarafından popülerleştirilmesi, web servis evriminde bir dönüm noktası yarattı. REST, HTTP protokolünün mevcut yöntemlerini (GET, POST, PUT, DELETE) kullanarak, daha basit ve performanslı bir yaklaşım sundu.

  • 1999-2000: SOAP ve WSDL'in ilk spesifikasyonlarının yayımlanması.
  • 2000'lerin Başı: UDDI'nin ortaya çıkışı ve SOAP/WSDL/UDDI üçlüsünün kurumsal standart haline gelmesi.
  • 2004: REST mimari stilinin web servisler için ana akım bir alternatif olarak benimsenmeye başlaması.
  • 2008 ve Sonrası: JSON formatının RESTful API'lerle birlikte yaygınlaşması, SOAP'ın payının azalması.

Bugün, RESTful API'ler modern web ve mobil uygulama geliştirmede de facto standart haline gelmiş durumdadır. Ancak SOAP, finans, sağlık gibi yüksek güvenlik ve işlem bütünlüğü gerektiren kurumsal entegrasyonlarda önemini korumaktadır. GraphQL gibi daha yeni teknolojiler de bu ekosisteme dahil olmuştur.

Mimari Yapı ve İletişim Modelleri

Web servis mimarisi, temelde istemci-sunucu modeline dayanır, ancak burada iletişim servis odaklıdır. Sunucu, bir dizi işlemi belirli bir ağ adresinde (endpoint) servis olarak yayınlar. İstemci ise bu adrese bir istek mesajı göndererek servisi çağırır ve yanıtı alır. Bu süreçte, servisin nasıl bulunacağı, nasıl çağrılacağı ve verilerin nasıl formatlanacağı kritik öneme sahiptir.

İki ana iletişim modeli vardır: Senkron (Eş Zamanlı) ve Asenkron (Eş Zamanlı Olmayan). Senkron modelde, istemci isteği gönderir ve sunucudan yanıt gelene kadar işlemini durdurur veya bekler. Bu, anında yanıt gerektiren basit sorgular için idealdir. Asenkron modelde ise istemci isteği gönderir ve yanıtı beklemeden diğer işlemlerine devam edebilir. Sunucu, işlemi tamamladığında yanıtı başka bir kanaldan iletebilir veya istemci daha sonra sonucu sorgulayabilir. Mesaj kuyrukları (Message Queues) asenkron iletişimin temel taşıdır.

Mimariyi daha iyi anlamak için, üç katmanlı bir yapı düşünülebilir. En altta, HTTP, SMTP, JMS gibi taşıma protokolleri bulunur. Ortada, SOAP, REST ilkeleri veya gRPC gibi mesajlaşma formatları ve kuralları yer alır. En üstte ise Uygulama Katmanı bulunur; burada gerçek iş mantığı çalışır ve WSDL, OpenAPI (Swagger) gibi tanım dilleri ile arayüzler belgelenir. Bu katmanlı yapı, bağımsızlık ve esneklik sağlar.

Model Açıklama Avantajı Kullanım Alanı
Senkron (RPC) İstemci, uzaktaki bir prosedürü çağırır gibi istekte bulunur ve sonucu bekler. Basit, anlaşılır, hızlı geri dönüş. Hesap sorgulama, kullanıcı doğrulama.
Asenkron (Mesaj Odaklı) İstemci bir mesaj bırakır ve yanıt farklı bir kanaldan/ zamanda gelir. Yüksek ölçeklenebilirlik, sistem hatasına dayanıklılık. Rapor oluşturma, batch işlemler, bildirimler.
RESTful (Kaynak Odaklı) HTTP yöntemleri kullanılarak sunucudaki kaynaklarla (resource) etkileşim kurulur. Hafif, ölçeklenebilir, web ile doğal uyum. Genel amaçlı API'ler, mobil uygulama arka uçları.

Web Servis Türleri

Web servisler, kullandıkları teknoloji ve tasarım felsefesine göre sınıflandırılabilir. En yaygın iki tür, SOAP Web Servisleri ve RESTful Web API'leridir. SOAP, katı bir protokol ve standartlar kümesi iken, REST bir mimari stildir ve daha esnek kurallar sunar. Her ikisi de farklı ihtiyaçları karşılamak üzere tasarlanmıştır ve seçim, uygulamanın gerektirdiği güvenlik, karmaşıklık, performans ve esneklik gibi faktörlere bağlıdır.

SOAP (Simple Object Access Protocol) tabanlı servisler, XML mesajlaşma formatını ve genellikle HTTP, SMTP gibi çeşitli taşıma protokollerini kullanır. Bir SOAP mesajı, zorunlu bir zarfa (Envelope) sahiptir ve içinde Header (güvenlik, işlem bilgisi) ve Body (gerçek istek/yanıt) bölümleri bulunur. Bu yapı, WS-* (WS-Security, WS-Transaction vb.) adı verilen ve güvnlik, güvenilirlik, işlem yönetimi gibi gelişmiş özellikler ekleyen bir dizi uzantıyı destekler. Bu, onu finansal işlemler gibi kritik kurumsal entegrasyonlar için güçlü kılar.

RESTful API'ler ise HTTP protokolünün temel ilkelerini ve yöntemlerini (GET, POST, PUT, DELETE, PATCH) kullanır. Veri taşıma formatı olarak genellikle daha hafif olan JSON (JavaScript Object Notation) tercih edilir, ancak XML de kullanılabilir. REST, sunucudaki her veri parçasını benzersiz bir URI (Uniform Resource Identifier) ile tanımlanan bir "kaynak" olarak ele alır. İstemci, bu kaynaklar üzerinde HTTP yöntemleri ile işlem yapar. REST, stateless (durumsuz) olması, önbellekleme için uygun olması ve basitliği sayesinde modern web ve mobil uygulama geliştirmede hakim tür haline gelmiştir.

Özellik SOAP Web Servisi RESTful API
Mimari Yaklaşım Protokol ve standart odaklı. Mimari stil ve ilke odaklı.
Veri Formatı Yalnızca XML. JSON, XML, plain text, vb.
Taşıma Protokolü HTTP, SMTP, JMS, TCP. Genellikle yalnızca HTTP/HTTPS.
Güvenlik WS-Security, güçlü, yapılandırılmış. HTTPS, OAuth, JWT, API Keys.
Performans ve Hız XML ayrıştırma nedeniyle nispeten daha yavaş. JSON ve HTTP'nin sadeliği nedeniyle daha hızlı.
Esneklik ve Öğrenme Eğrisi Daha katı, daha karmaşık. Daha esnek ve basit.

Bu iki ana türün yanı sıra, daha modern ve niş ihtiyaçlara yönelik başka web servis türleri de gelişmiştir. GraphQL, istemcinin tam olarak ihtiyaç duyduğu verinin şeklini ve alanlarını sorgu dili ile belirlemesine izin vererek, aşırı veya eksik veri çekme (over-fetching/under-fetching) sorununu çözer. gRPC (Google Remote Procedure Call) ise yüksek performanslı, dil bağımsız bir RPC çerçevesidir ve HTTP/2 üzerinden Protocol Buffers (binary, verimli bir serileştirme formatı) kullanır. Mikroservisler arası iletişimde oldukça popülerdir.

  • SOAP: Kurumsal, yüksek güvenlik gerektiren, işlem tabanlı sistemler.
  • RESTful API: Genel amaçlı, halka açık API'ler, mobil/web uygulama arka uçları.
  • GraphQL: Kompleks veri gereksinimleri olan istemciler (örneğin, sosyal medya feed'leri).
  • gRPC: Yüksek performans gerektiren dahili mikroservis iletişimleri.

Kullanım Alanları ve Avantajları

Web servislerin kullanım alanları, modern dijital ekosistemin hemen her katmanına yayılmış durumdadır. En temel kullanımı, farklı sistem entegrasyonlarını sağlamaktır. Örneğin, bir şirketin kendi içindeki CRM (Müşteri İlişkileri Yönetimi) yazılımı ile ERP (Kurumsal Kaynak Planlama) yazılımı, web servisler aracılığıyla veri senkronizasyonu yapabilir. Benzer şekilde, iş ortakları arasında sipariş, fatura veya stok bilgisi gibi verilerin güvenli ve otomatik olarak paylaşılması (B2B Entegrasyonu) da web servislerle mümkündür.

Mobil ve web uygulama geliştirmede, arka uç servislerine erişim için RESTful API'ler standart hale gelmiştir. Bir mobil uygulama, sunucudaki kullanıcı vrilerine, ürün kataloğuna veya ödeme işlemlerine API çağrıları yaparak erişir. Ayrıca, üçüncü taraf hizmetlerin (haritalar, ödeme ağ geçitleri, sosyal medya, hava durumu verisi gibi) işlevselliğini kendi uygulamanıza entegre etmek için de halka açık API'ler (Public APIs) kullanılır. Bu, yeniden tekerlek icat etmeden, uzmanlaşmış servislerden faydalanmayı sağlar.

Mikroservis mimarileri, web servislerin en doğal uygulama alanlarından biridir. Bu mimaride, bir büyük uygulama, birbirinden bağımsız ve küçük servislere bölünür. Her bir mikroservis, kendi veritabanına ve iş mantığına sahiptir ve diğer mikroservislerle tamamen API'ler aracılığıyla (genellikle HTTP/REST veya gRPC) iletişim kurar. Bu, geliştirme hızını artırır, teknoloji çeşitliliğine izin verir ve sistemlerin bağımsız olarak ölçeklendirilmesine olanak tanır.

Web servislerin sağladığı en önemli avantajlardan biri platform ve dil bağımsızlığıdır. Bir Java ile yazılmış bir sunucu, .NET, Python veya JavaScript ile yazılmış bir istemciye hizmet verebilir. Çünkü iletişim, XML veya JSON gibi evrensel formatlar ve HTTP gibi standart protokoller üzerinden gerçekleşir. Bu, kurumsal BT ortamlarında sıklıkla karşılaşılan "eski sistemlerin (legacy systems)" daha yeni teknolojilerle entegre edilmesi sorununa güçlü bir çözüm sunar. Bu entegrasyon, sistemlerin yeniden yazılmasını gerektirmez, sadece bir web servis arayüzü sağlanmasını gerektirir.

Diğer bir kritik avantaj, gevşek bağlılık (loose coupling) prensibidir. İstemci ve sunucu, birbirlerinin iç işleyişinden haberdar olmak zorunda değildir; sadece paylaşılan arayüz (API kontratı) üzerinden anlaşırlar. Bu, bir tarafta yapılan değişikliklerin (örneğin, sunucu tarafında performans iyileştirmesi veya veritabanı değişikliği), arayüz bozulmadığı sürece diğer tarafı etkilememesi anlamına gelir. Bu, sistemlerin bakımını, güncellenmesini ve ölçeklendirilmesini büyük ölçüde kolaylaştırır. Ayrıca, yeniden kullanılabilirlik (reusability) avantajı da öne çıkar. Yazılan bir servis, farklı birçok istemci (mobil uygulama, web sitesi, başka bir sunucu) tarafından tekrar tekrar kullanılabilir.

Son olarak, merkezi iş mantığı ve veri yönetimi avantajından bahsedilebilir. Tüm istemciler aynı servisleri kullanarak aynı iş kurallarına ve veri kaynağına erişir. Bu, tutarlılığı ve güvenliği artırır. Örneğin, bir kullanıcının kredi skorunu hesaplayan tek bir servis varsa, bu hesaplamanın doğruluğundan ve güncelliğinden her yerde emin olunabilir. Güvenlik politikaları, kimlik doğrulama ve yetkilendirme de bu merkezi noktalarda daha etkili bir şekilde uygulanabilir.

Teknolojik Bileşenler ve Standartlar

Web servis ekosistemi, bir dizi birbirini tamamlayan teknolojik bileşen ve standart üzerine kuruludur. Bu standartlar olmadan, farklı üreticiler tarafından geliştirilen sistemlerin birlikte çalışabilmesi mümkün olmazdı. Bileşenler genellikle iletişim protokolü, veri formatı, servis tanımı ve keşif mekanizmaları olarak gruplandırılabilir. SOAP tabanlı ve REST tabanlı yaklaşımlar, bu bileşenleri farklı şekillerde ele alır.

SOAP dünyasının temel direkleri üçlüdür: SOAP, WSDL ve UDDI. SOAP, yapılandırılmış bilgiyi bir ağ üzerinden değiş tokuş etmek için bir protokol belirtimidir. Bir SOAP mesajı, işlenmesi gereken bir dizi kurala sahip bir XML belgesidir. WSDL (Web Services Description Language), bir web servisinin arayüzünü tanımlayan bir XML tabanlı dildir. WSDL dosyası, servisin nerede bulunduğunu (endpoint), hangi işlemleri (operations) sunduğunu, bu işlemlerin hangi parametreleri beklediğini ve ne tür veriler döndürdüğünü detaylı bir şekilde açıklar. Bu, makinelerin anlayabileceği bir servis sözleşmesidir ve istemci kodunun otomatik olarak üretilmesini sağlar.

UDDI (Universal Description, Discovery, and Integration) ise, web servislerin yayınlandığı ve arandığı, telefon rehberi benzeri bir dizin servisi olarak tasarlanmıştır. Ancak, pratikte UDDI, beklenen yaygınlığa ulaşamamış ve genellikle servislerin adresleri (endpoint URL'leri) doğrudan WSDL veya başka yollarla istemciye sağlanmıştır. SOAP ailesinin bir diğer önemli parçası, WS-* (WS-Star) spesifikasyonlarıdır. Bunlar, temel SOAP protokolüne güvenlik (WS-Security), güvenilir mesajlaşma (WS-ReliableMessaging), işlem yönetimi (WS-Transaction) gibi kurumsal özellikler ekleyen uzantılardır.

RESTful servislerde ise, standartlar daha hafif ve mevcut web protokollerine dayalıdır. Temel taşı HTTP/HTTPS protokolüdür. REST, HTTP'nin GET, POST, PUT, DELETE, PATCH gibi yöntemlerini (verbs) ve durum kodlarını (200 OK, 404 Not Found, 201 Created) tam anlamıyla kullanır. Veri formatı için herhangi bir kısıtlama olmamakla birlikte, JSON (JavaScript Object Notation) fiilen standart haline gelmiştir. JSON, XML'e göre daha hafif, okunması ve işlenmesi daha kolay bir formattır.

RESTful servisler için WSDL benzeri bir servis tanımı standardı, OpenAPI Spesifikasyonudur (eski adıyla Swagger). OpenAPI, RESTful API'lerin yapısını insan ve makine tarafından okunabilen bir formatla (YAML veya JSON) tanımlamak için kullanılır. Bir OpenAPI belgesi, API'nin tüm endpoint'lerini, parametrelerini, yanıtlarını, kimlik doğrulama yöntemlerini ve daha fazlasını dokümante eder. Bu belge, otomatik dokümantasyon oluşturma, istemci SDK'ları üretme ve hatta sunucu kodu taslağı oluşturma gibi işlemlerde kullanılabilir.

Diğer önemli teknolojik bileşenler arasında kimlik doğrulama ve yetkilendirme protokolleri yer alır. SOAP için WS-Security kullanılırken, RESTful API'ler için OAuth 2.0 ve JWT (JSON Web Token) yaygın olarak kullanılır. API Gateway'ler, mikroservis mimarilerinde trafik yönlendirme, hız sınırlama, önbellekleme ve güvenlik politikaları uygulama gibi görevleri üstlenir. Serileştirme (serialization) için, JSON ve XML'in yanı sıra, gRPC ile birlikte gelen ve verimliliği ön planda tutan Protocol Buffers (Protobuf) da önemli bir standart haline gelmiştir.

  • SOAP/WSDL/WS-*: Katı, standartlaşmış, kurumsal özellik odaklı teknoloji yığını.
  • HTTP/JSON/OpenAPI: Hafif, esnek, web odaklı modern API ekosistemi.
  • OAuth 2.0 / JWT: RESTful API'ler için kimlik doğrulama ve yetkilendirme standartları.
  • Protobuf/gRPC: Yüksek performanslı, binary tabanlı serileştirme ve RPC çerçevesi.

Bu teknolojik bileşenlerin doğru seçimi ve kombinasyonu, geliştirilen web servisin performansını, güvenliğini, bakım maliyetini ve gelecekteki geliştirmelere uyum sağlama yeteneğini doğrudan etkiler. Bu nedenle, projenin ihtiyaçlarına ve kısıtlarına uygun bir teknoloji yığınının belirlenmesi, mimari tasarımın en kritik adımlarından biridir.

Güvenlik ve Gelecek Trendleri

Web servis güvenliği, servislerin ve taşınan verilerin gizliliğini, bütünlüğünü ve kullanılabilirliğini korumak için hayati öneme sahiptir. Temel tehditler arasında yetkisiz erişim, veri sızıntısı, enjeksiyon saldırıları, hizmet reddi (DoS/DDoS) ve API kötüye kullanımı yer alır. Bu tehditlere karşı koymak için çok katmanlı bir güvenlik yaklaşımı benimsenmelidir. İlk ve en temel adım, iletişim kanalının şifrelenmesi için TLS/SSL (HTTPS) kullanmaktır. Bu, verilerin ağ üzerinden geçişi sırasında dinleme (sniffing) ve ortadaki adam (man-in-the-middle) saldırılarını önler.

Kimlik doğrulama (authentication) ve yetkilendirme (authorization), güvenliğin temel taşlarıdır. Kimlik doğrulama, kullanıcının veya istemcinin kim olduğunu kanıtlamasıdır. Yetkilendirme ise, kanıtlanmış kimliğin hangi işlemleri yapmaya yetkili olduğunu belirler. RESTful API'lerde, API Anahtarları (API Keys) basit senaryolar için, OAuth 2.0 çerçevesi ve onunla birlikte kullanılan JWT (JSON Web Tokens) daha gelişmiş ve güvenli senaryolar için standart haline gelmiştir. JWT'ler, kullanıcı bilgilerini ve taleplerini (claims) imzalı bir token içinde taşıyarak, sunucunun durumsuz (stateless) kalmasını sağlar.

SOAP tabanlı servislerde güvenlik, WS-Security standardı ile sağlanır. WS-Security, SOAP mesajlarına dijital imzalar, şifreleme ve kimlik bilgisi token'ları eklemek için bir dizi mekanizma tanımlar. XML şifreleme ve XML imzalama gibi teknolojileri kullanır ve mesaj düzeyinde (end-to-end) güvenlik sağlar, bu da mesajın birden fazla aracı üzerinden geçtiği senaryolarda bile koruma sağladığı anlamına gelir. Hangi teknoloji kullanılırsa kullanılsın, giriş doğrulama (input validation), hız sınırlama (rate limiting) ve kapsamlı günlük kaydı (logging) uygulamaları da güvenlik postürünü güçlendiren temel uygulamalardır.

Web servislerin geleceği, mevcut trendlerin derinleşmesi ve yeni teknolojilerin yaygınlaşmasıyla şekillenecek. GraphQL, REST'in hakimiyetini, özellikle kompleks ve ilişkisel veri gereksinimlerinin olduğu alanlarda zorlamaya devam edecek. İstemci tarafından şekillendirilebilen veri sorguları sunması, onu mobil ağırlıklı ve verimlilik odaklı projeler için cazip kılmaktadır. gRPC ise, mikroservis mimarilerinde dahili iletişim için performans ve tip güvenliği (type safety) sağladığından, benimsemesi daha da artacak gibi görünüyor.

Olay Odaklı Mimari (Event-Driven Architecture - EDA) ve Mesaj Kuyrukları (Message Queues) ile entegre asenkron web servislerin kullanımı artacak. Bu, gerçek zamanlı veri işleme, bildirim sistemleri ve daha dayanıklı sistem tasarımları için kritik öneme sahiptir. Sunucusuz (serverless) hesaplama platformları (AWS Lambda, Azure Functions) ile birlikte, API'lerin geliştirilme ve dağıtılma şekli de değişiyor. Bu platformlar, geliştiricilere altyapı yönetimi derdi olmadan, yalnızca iş mantığına odaklanarak "mikro-API'ler" veya işlevler oluşturma imkanı sunar.

Yapay Zeka (AI) ve Makine Öğrenimi (ML) modellerinin API'ler aracılığıyla hizmet olarak sunulması (AI-as-a-Service) büyük bir büyüme alanıdır. Geliştiriciler, karmaşık AI modellerini kendi uygulamalarına, bu modellerin detaylarını anlamaya gerek kalmadan, basit bir API çağrısıyla entegre edebilir. Bu trend, AI yeteneklerinin demokratikleşmesini hızlandırmaktadır. Son olarak, güvenlik her zaman olduğu gibi en öncelikli konu olmaya devam edecek. Sıfır Güven (Zero Trust) mimarileri, API güvenlik duvarları (WAAP/API Security Gateways) ve otomatik güvenlik test araçları, API güvenliğini sağlamak için giderek daha fazla kullanılacak.

Kod örneği olarak, modern bir RESTful API çağrısında JWT ile kimlik doğrulama nasıl yapılır, basit bir JavaScript (fetch API) kodu ile gösterilebilir. Bu, istemci tarafında yetkilendirme başlığının nasıl eklendiğini göstermek için faydalıdır. 


// Önceden alınmış bir JWT token'ı
const jwtToken = 'eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...';

// API endpoint'i ve istek ayarları
const apiUrl = 'https://api.ornek.com/kullanici/profil';
const requestOptions = {
    method: 'GET',
    headers: {
        'Authorization': `Bearer ${jwtToken}`, // JWT Token'ı Bearer şeması ile header'a ekle
        'Content-Type': 'application/json'
    }
};

// API isteğini gönder
fetch(apiUrl, requestOptions)
    .then(response => {
        if (!response.ok) {
            throw new Error(`HTTP hatası! Durum: ${response.status}`);
        }
        return response.json();
    })
    .then(data => {
        console.log('Kullanıcı profili:', data);
        // Alınan verileri işle
    })
    .catch(error => {
        console.error('İstek sırasında hata oluştu:', error);
    });