jskelet 0.6.3 → 0.6.4

package/src/config/defaults.js

@@ -1,534 +1,541 @@
-/**
- * Framework varsayılanları.
- *
- * Buradaki hiçbir değer domain bilgisi taşımaz: uygulamaya özel her şey
- * `jskelet.config.mjs` üzerinden gelir. Varsayılanların ayrı dosyada olması,
- * "framework ne yapıyor, uygulama ne ekliyor" ayrımını okunur tutar.
- */
-
-/** Uzun süre cache'lenecek hash'li çıktı dizini. */
-export const IMMUTABLE_CACHE = "public, max-age=31536000, immutable";
-
-/**
- * Proje kökündeki dizin adları. `jskelet.config.mjs` içinde `paths` ile
- * tek tek ezilebilir.
- */
-export const DEFAULT_DIRS = {
-  /** Layout + sayfalar + bileşenler (klasik kök). */
-  views: "views",
-  /** Feature-first dikey dilimler (`features/<name>/{server,views,client}`). */
-  features: "features",
-  /** Özellikler arası paylaşılan server/views/client. */
-  shared: "shared",
-  /** Statik dosyalar; build çıktısı da buraya yazılır. */
-  public: "public",
-  /** Island runtime ve entry'ler. */
-  client: "client",
-  /** Route modülleri. */
-  routes: "routes",
-  /** Tailwind/PostCSS giriş dosyası. */
-  styles: "styles/globals.css",
-  /** Build ara çıktıları (manifest, metafile, images, templates). */
-  generated: ".jskelet",
-};
-
-/**
- * Uzantı ve önek bazlı statik dosya tespiti. Bu listeye uyan yollara
- * `IMMUTABLE_CACHE` yazılır.
- */
-export const DEFAULT_STATIC = {
-  extensions: [".svg", ".png", ".webp", ".avif", ".ico", ".woff2"],
-  prefixes: ["/assets/", "/fonts/"],
-};
-
-/** Dev gate'in hiçbir koşulda kapatmadığı yollar. */
-export const DEFAULT_DEV_GATE_BYPASS = [
-  "/api/healthcheck",
-  "/robots.txt",
-  "/sitemap.xml",
-  "/site.webmanifest",
-  "/favicon.ico",
-];
-
-/**
- * Klasik (liste tabanlı) prewarm ayarları. `onVisit` modu bunlarla birlikte
- * kullanılamaz — ya açılış/`prewarmPaths` turu, ya ziyaret edilen sayfadaki
- * linkleri ısıtma.
- */
-export const DEFAULT_PREWARM = {
-  enabled: true,
-  max: 400,
-  intervalSeconds: 0,
-  /** Paralel ısıtma isteği; dev'de sunucu tek süreç olduğu için düşürülür. */
-  concurrency: 4,
-  /** İki tur arasında beklenen süre: upstream'e ani yük binmesin. */
-  delayMs: 0,
-  /**
-   * Saniyedeki en fazla ısıtma isteği. 0 → sınırsız (yalnızca `concurrency`
-   * frenler). Upstream'i kota sınırının altında tutmanın en doğrudan yolu bu:
-   * paralellik ne kadar yükselse de tur bu hızın üstüne çıkmaz.
-   */
-  rps: 0,
-  /**
-   * Tekrar turundan önce beklenen süre. Rate limit pencereleri saniye
-   * mertebesinde; hemen tekrar denemek aynı 429'u almak demek.
-   */
-  retryDelayMs: 2000,
-  /**
-   * Liste `max`'tan uzunsa periyodik turlar kaldığı yerden devam eder.
-   * Böylece 10.000 yolluk bir site tek turda değil, turlar boyunca ısınır.
-   * `priority` eşleşen yollar her turda ısıtıldığı için rotasyon yalnızca
-   * kuyruğu dolaşır.
-   */
-  rotate: true,
-  /**
-   * Isıtma sırasını belirleyen desenler. String (`/haber/:slug`) ya da
-   * `RegExp` kabul eder; önce yazılan önce ısınır.
-   * @type {(string | RegExp)[]}
-   */
-  priority: [],
-  /**
-   * Klasik turda ısıtılacak origin listesi. Boşsa `http://127.0.0.1:<port>`.
-   * `cache().vary.host` açıkken locale host'ları buraya yazılmazsa yalnızca
-   * loopback anahtarı ısınır.
-   * @type {string[]}
-   */
-  origins: [],
-};
-
-/**
- * Ziyaret tabanlı ısıtma. Bir sayfa servis edilince HTML'deki aynı-origin
- * linkler kuyruğa alınır; bir sonraki tıklama (veya başka ziyaretçi) çoğu
- * zaman HIT görür. Klasik `prewarm` alanlarıyla karşılıklı dışlayıcıdır.
- */
-export const DEFAULT_PREWARM_ON_VISIT = {
-  enabled: false,
-  /** Sayfa başına üstten alta en fazla kaç link kuyruğa alınır. */
-  perPage: 20,
-  /**
-   * Paralel işçi. `null` yalnızca kapalı modda durur; açıkken tavan
-   * (`ON_VISIT_CONCURRENCY_CEILING`) uygulanır. Klasik prewarm'daki
-   * prod 4 burada geçerli değil — onVisit sürekli çalışır.
-   * @type {number | null}
-   */
-  concurrency: null,
-  /**
-   * Saniyedeki istek tavanı. `null` yalnızca kapalı modda durur; açıkken
-   * `0` (sınırsız) dahil her şey `ON_VISIT_RPS_CEILING` ile kesilir.
-   * @type {number | null}
-   */
-  rps: null,
-};
-
-/**
- * onVisit sürekli tur olduğu için klasik prewarm'daki "sınırsız" burada yok.
- * Config daha yükseğini yazsa da çözümlenen değer bu tavanları geçemez.
- */
-export const ON_VISIT_PER_PAGE_CEILING = 20;
-export const ON_VISIT_RPS_CEILING = 2;
-export const ON_VISIT_CONCURRENCY_CEILING = 2;
-
-/**
- * Bekleyen onVisit yolları. Bir sayfa düzinelerce link basınca kuyruk
- * birikmesin; taşan link bu turda alınmaz.
- */
-export const ON_VISIT_QUEUE_MAX = 64;
-
-/** `onVisit` açıkken `cache().prewarm` kökünde yasak olan klasik alanlar. */
-export const CLASSIC_PREWARM_KEYS = [
-  "enabled",
-  "max",
-  "intervalSeconds",
-  "concurrency",
-  "delayMs",
-  "rps",
-  "retryDelayMs",
-  "rotate",
-  "priority",
-  "origins",
-];
-
-/**
- * HTML önbelleğinin girdi sınırı. 500 girdi ortalama bir sayfa boyutunda
- * yaklaşık 100-200 MB tutar; uzun kuyruklu siteler bunu yükseltmek yerine
- * veri önbelleğine yaslanmalı (bkz. `DEFAULT_DATA_CACHE`).
- *
- * Config daha yükseğini istese de girdi sayısı `HTML_CACHE_MAX_ENTRIES_CEILING`
- * değerini geçemez. Asıl bellek freni bayt bütçesidir: şişman sayfa ve
- * `vary.host` kopyası sayı tavanının altında da RSS'i şişirir.
- */
-export const DEFAULT_HTML_CACHE_MAX_ENTRIES = 500;
-
-/** `cache().maxEntries` için sert tavan. Üstü uyarıyla bu değere çekilir. */
-export const HTML_CACHE_MAX_ENTRIES_CEILING = 800;
-
-/**
- * Süreç içi HTML string + sıkıştırılmış gövde tavanı (256 MB).
- * `install()` bunu uygular; config yükseltemez. Tek sayfa bütçeden büyükse
- * saklanmaz, yanıt yine gider.
- */
-export const HTML_CACHE_BYTE_BUDGET = 256 * 1024 * 1024;
-
-/**
- * Süreç içi veri önbelleğinin JSON bayt tavanı (64 MB). Sayı tavanı
- * şişman gövdeleri tutmaz; config yükseltemez. Tek değer bütçeden büyükse
- * saklanmaz, çağıran sonucu yine alır.
- */
-export const DATA_CACHE_BYTE_BUDGET = 64 * 1024 * 1024;
-
-/**
- * Uzak görsel disk önbelleğinin tavanı (256 MB). `.jskelet/image-cache/`
- * bu boyutu aşınca en eski dosya düşer. Config yükseltemez.
- */
-export const IMAGE_CACHE_BYTE_BUDGET = 256 * 1024 * 1024;
-
-/** `cache().data.maxEntries` için sert tavan. Uzun kuyruk burada durur, HTML'de değil. */
-export const DATA_CACHE_MAX_ENTRIES_CEILING = 20_000;
-
-/**
- * `notFound()` geçici bir upstream hatasına denk geldiğinde sayfanın kaç kez
- * daha denenmesi gerektiği.
- *
- * Varsayılan tek deneme: maliyeti upstream'e binen ikinci bir istek turu, ama
- * alternatifi var olan bir sayfayı 404 olarak servis etmek — arama motoru için
- * geçici bir rate limit'in kalıcı kayba dönüşmesi. `attempts: 0` tekrarı
- * kapatır ve doğrudan önbelleğe girmeyen 503'e düşer.
- */
-export const DEFAULT_TRANSIENT_RETRY = {
-  attempts: 1,
-  delayMs: 300,
-};
-
-/**
- * Upstream veri önbelleği.
- *
- * HTML önbelleğinden bilinçli olarak çok daha büyük: JSON, aynı sayfanın
- * HTML'ine göre onlarca kat küçük. Uzun kuyruğu (on binlerce haber/etiket)
- * HTML olarak tutmak imkânsız, verisini tutmak ise ucuz — ve API kotasını
- * koruyan katman burası.
- */
-export const DEFAULT_DATA_CACHE = {
-  maxEntries: 10000,
-  /**
-   * TTL dolduktan sonra girdinin kaç TTL boyunca daha kullanılabileceği.
-   * HTML'deki 1 katsayısından yüksek: bayat veri, eksik sayfadan iyidir ve
-   * upstream düştüğünde tek elde kalan şey budur.
-   */
-  staleFactor: 10,
-};
-
-/**
- * Upstream API'ye giden isteklerin host başına hız freni.
- *
- * Varsayılan **kapalı** (`rate: 0`): fren, kotasını bilen bir uygulamanın
- * bilinçli kararı. Açıldığında `rate` bir tavan olur ve gerçek hız 429
- * cevaplarına göre kendini aşağı çeker (bkz. `src/server/upstream-limiter.js`).
- *
- * `hosts` ile tek tek uçlar ayrılabilir; API'lerin kotası aynı olmak zorunda
- * değil:
- *
- *   upstream: { rate: 10, hosts: { "api.example.com": { rate: 3 } } }
- */
-export const DEFAULT_UPSTREAM_LIMIT = {
-  /** Saniyedeki en fazla çağrı. 0 → fren tamamen kapalı. */
-  rate: 0,
-  /** Kova boyu; verilmezse bir saniyelik bütçe kadar patlamaya izin verilir. */
-  burst: 0,
-  /** Aynı anda uçabilecek çağrı. Ortalama hızdan bağımsız: anlık baskıyı bağlar. */
-  concurrency: 8,
-  /** Azalmanın dibi: hız buranın altına inmez, yoksa site tamamen durur. */
-  minRate: 0.5,
-  /** Toplamsal artışın adımı (çağrı/saniye) ve periyodu. */
-  increaseStep: 1,
-  increaseIntervalMs: 5000,
-  /**
-   * İki azalma arasındaki en kısa süre. Aynı anda uçan on çağrının hepsi 429
-   * dönerse hız on kez yarılanıp dibe vurmasın.
-   */
-  decreaseIntervalMs: 1000,
-  /** Devre kesici: art arda kaç 429'dan sonra host'a hiç gidilmeyeceği. */
-  breakerFailures: 5,
-  breakerCooldownMs: 10_000,
-  /** @type {Record<string, Record<string, number>>} */
-  hosts: {},
-};
-
-/**
- * Opsiyonel Redis ikinci kademesi (L2).
- *
- * Redis **birincil store değil**: bellek içi önbellek (L1) aynen kalır, Redis
- * iki iş yapar — L1'de bulunmayan bir sayfa için render'ı atlatmak ve
- * invalidation'ı bütün node'lara yaymak. Tek instance çalışan bir kurulumda
- * kazanç neredeyse yok; bu yüzden `enabled` varsayılan olarak kapalı.
- *
- * `storeEncoded` kapalı, çünkü sıkıştırılmış gövdeleri de paylaşmak girdi
- * başına boyutu iki-üç katına çıkarır ve brotli'yi yeniden üretmek Redis'ten
- * indirmekten çoğu zaman daha ucuz.
- */
-export const DEFAULT_REDIS = {
-  enabled: false,
-  /** `redis://` ya da `rediss://`. Boşsa ioredis varsayılanı (localhost:6379). */
-  url: /** @type {string | null} */ (null),
-  /** Aynı Redis'i paylaşan birden fazla uygulamayı ayırır. */
-  namespace: "default",
-  keyPrefix: "_jskelet",
-  /** HTML gövdeleri paylaşılsın mı. */
-  html: true,
-  /** Veri önbelleği paylaşılsın mı. */
-  data: true,
-  /** Brotli/gzip gövdeleri de paylaşılsın mı. */
-  storeEncoded: false,
-  /** pub/sub üzerinden invalidation yayını. */
-  events: true,
-  /**
-   * Tek bir komutun en fazla bekletebileceği süre. Önbellek okuması isteği
-   * bloklayan bir adım: Redis takıldığında render'a düşmek, ağı beklemekten
-   * iyidir.
-   */
-  commandTimeoutMs: 200,
-};
-
-/**
- * Kalıcı log sink'leri (dosya + S3).
- *
- * Varsayılan her şey kapalı: stdout ve admin ring mevcut davranışını korur.
- * `kinds` hangi structured kayıtların sink'lere gideceğini seçer; `console`
- * runtime `http`/`event`/`error` satırlarının terminalde görünmesini kontrol
- * eder (banner/build satırlarına dokunmaz).
- *
- * S3 credential'ları config'e yazılmaz — `JSKELET_S3_ACCESS_KEY_ID` /
- * `JSKELET_S3_SECRET_ACCESS_KEY` (ve isteğe bağlı `JSKELET_S3_SESSION_TOKEN`).
- * Bucket için `JSKELET_LOG_BUCKET` (veya `JSKELET_S3_BUCKET`) env'i config'i
- * ezer ve `ayberkenis/jskelet/logs` gibi `bucket/prefix` yolunu kabul eder.
- * Uyumlu API adresi `JSKELET_S3_API_URL` (S3-compatible endpoint).
- */
-export const DEFAULT_LOGS = {
-  console: true,
-  /** @type {Array<"http" | "event" | "error">} */
-  kinds: ["http", "event", "error"],
-  file: {
-    enabled: false,
-    /** Proje köküne göre relative. */
-    dir: "logs",
-    /**
-     * Artık kullanılmıyor. Parçalar en fazla 5 dakika durur; alan çözülen
-     * config'te durur ki eski okuyucular kırılmasın.
-     */
-    rotate: /** @type {"daily"} */ ("daily"),
-  },
-  s3: {
-    enabled: false,
-    /** @type {string | null} */
-    bucket: null,
-    prefix: "jskelet/logs/",
-    /** @type {string | null} */
-    region: null,
-    /** MinIO vb. için; null → AWS. */
-    /** @type {string | null} */
-    endpoint: null,
-    flushIntervalMs: 5000,
-    maxBatch: 100,
-  },
-};
-
-/**
- * Framework yönetim paneli (`/_jskelet/admin`).
- *
- * `enabled` varsayılan olarak **kapalı** ve ortama bakmaz: panel açıldığında
- * production'da da çalışır, ama açılması bilinçli bir karar olmalı. Kapalıyken
- * router hiç mount edilmez — yolun kendisi de yok, yani 404 dönen bir uç bile
- * ortaya çıkmaz.
- *
- * Şifre her süreç başlangıcında yeniden üretilir (bkz. `src/server/admin/`):
- * panelin ömrü sürecin ömrü kadardır ve bir deploy eski erişimi otomatik
- * olarak iptal eder. Bu yüzden config'te şifre alanı yok.
- */
-export const DEFAULT_ADMIN = {
-  enabled: false,
-  basePath: "/_jskelet/admin",
-  /**
-   * Boş dizi = IP kısıtı yok. Exact IP veya CIDR (`10.0.0.0/8`); listede
-   * olmayan her istek 404 (login dahil).
-   * @type {string[]}
-   */
-  allowIps: [],
-  /** Bilinen crawler / bot UA'ları 404 ile reddedilsin mi. */
-  blockBots: true,
-  /** Kaç başarısız denemeden sonra IP yasaklanır. */
-  banAttempts: 3,
-  /** Yasağın süresi. */
-  banHours: 24,
-  /** Oturumun ömrü; süreç yeniden başladığında zaten sıfırlanır. */
-  sessionHours: 12,
-  /** Canlı log ring boyutu (HTTP + framework olayları). */
-  logSize: 500,
-};
-
-/**
- * Cloudflare cache yüzeyi.
- *
- * JSkelet'in önbelleği origin önbelleği; ziyaretçinin gördüğü kopya CDN'de.
- * Bu bölüm ikisini aynı panelden yönetilebilir kılar (bkz.
- * `src/server/cloudflare.js`).
- *
- * Token **config'e yazılmamalı**: `JSKELET_CLOUDFLARE_KEY` env'i önceliklidir
- * ve önerilen yol odur. Zone kimliği sır değil, ama o da env'den okunabilir
- * (`JSKELET_CLOUDFLARE_ZONE_ID`).
- *
- * Gereken token izinleri: purge için `Zone.Cache Purge`, ayarlar için
- * `Zone.Zone Settings`, analitik için `Zone.Analytics` (salt okunur).
- */
-export const DEFAULT_CLOUDFLARE = {
-  /** `false` verilirse env'de token olsa bile yüzey kapalı kalır. */
-  enabled: true,
-  /** @type {string | null} */
-  zoneId: null,
-  /** @type {string | null} Env tercih edilir; burada tutmak sırrı repoya sokar. */
-  apiToken: null,
-  /**
-   * Purge, tam URL istiyor; panel elinde yalnızca yol tutuyor. Site adı
-   * verilmezse purge isteğinin geldiği istek origin'i kullanılır.
-   * @type {string | null}
-   */
-  hostname: null,
-  /** Analitik penceresi (saat). Cloudflare'in izin verdiği aralıkla sınırlı. */
-  analyticsHours: 24,
-};
-
-/** Oturuma bağlı sayfalar ısıtılmaz; uygulama kendi listesini verebilir. */
-export const DEFAULT_PREWARM_SKIP = [
-  "/api/",
-  "/_fragment/",
-  "/__jskelet/",
-  "/_jskelet/",
-];
-
-/**
- * Site içi gezinme ipuçları (Speculation Rules + view transition).
- *
- * Varsayılan bilinçli olarak ölçülü: `prefetch` açık, çünkü yalnızca belgeyi
- * indirir ve sayfanın JS'ini çalıştırmaz — yanlış tahmin edilse bile tek
- * maliyeti bir istektir. `prerender` kapalı, çünkü hedef sayfanın script'leri
- * gerçekten çalışır; ölçüm kodunu `prerenderingchange` olayına bağlamayan bir
- * uygulamada ziyaret sayıları şişer. `viewTransition` kapalı, çünkü uygulamanın
- * kendi geçiş animasyonlarıyla çakışabilir.
- */
-export const DEFAULT_NAVIGATION = {
-  /** `false` ya da eagerness: "conservative" | "moderate" | "eager". */
-  prefetch: /** @type {false | "conservative" | "moderate" | "eager"} */ ("moderate"),
-  /** @type {false | "conservative" | "moderate" | "eager"} */
-  prerender: false,
-  /** `@view-transition { navigation: auto }` basılsın mı. */
-  viewTransition: false,
-};
-
-/**
- * Hiçbir koşulda önden getirilmeyecek yollar. Yan etkisi olan ya da gezinme
- * hedefi olmayan uçların spekülatif istekle tetiklenmesi gerçek bir hata
- * kaynağı; uygulama kendi listesini `navigation.exclude` ile ekler.
- */
-export const DEFAULT_NAVIGATION_EXCLUDE = ["/api/*", "/_fragment/*", "/_jskelet/*"];
-
-/**
- * Güvenlik ayarları.
- *
- * `trustProxy` varsayılan olarak açık, çünkü JSkelet uygulamaları neredeyse
- * her zaman bir ters proxy arkasında koşuyor ve doğru protokol/IP buna bağlı.
- * Ama doğrudan internete açık bir sunucuda bu, istemcinin `X-Forwarded-For`
- * uydurabilmesi demek — rate limit ve audit log girdiğinde kapatılmalı.
- *
- * `csrf.enabled` açık: framework gövdeyi kendisi ayrıştırdığı için bu yüzey
- * onun sorumluluğu. Kontrol yalnızca **çapraz site olduğu belli** istekleri
- * reddeder (`Origin` uyuşmuyor ya da `Sec-Fetch-Site: cross-site`); başlık
- * hiç yoksa geçer, böylece webhook ve sunucudan sunucuya çağrılar bozulmaz.
- *
- * `csrf.token` kapalı: çift gönderim token'ı `Origin` göndermeyen eski
- * tarayıcılar için ikinci katman ve formlara `csrfField()` eklenmesini
- * gerektiriyor, yani açılması bilinçli bir karar olmalı.
- */
-export const DEFAULT_SECURITY = {
-  trustProxy: true,
-  /** @type {string | null} */
-  cookieSecret: null,
-  csrf: {
-    enabled: true,
-    token: false,
-    /** Ek olarak kabul edilen origin'ler (ör. ayrı bir admin alan adı). */
-    allowedOrigins: /** @type {string[]} */ ([]),
-    /** Kontrolden muaf yollar — webhook uçları buraya yazılır. */
-    exclude: /** @type {string[]} */ ([]),
-    cookieName: "csrf_token",
-    fieldName: "_csrf",
-    headerName: "x-csrf-token",
-  },
-};
-
-/**
- * Build-zamanı görsel adımı + opsiyonel runtime uzak görsel proxy.
- *
- * `remote` kapalıyken `image()` uzak URL'leri olduğu gibi basar (eski davranış).
- * Açılınca yalnızca `allowHosts` listesindeki host'lar proxy edilir — boş liste
- * açık proxy / SSRF kapısı olurdu, bu yüzden allowHosts olmadan remote hiç
- * mount edilmez.
- */
-export const DEFAULT_IMAGES = {
-  widths: [400, 640, 960, 1280, 1920],
-  quality: 78,
-  skip: /** @type {string[]} */ ([]),
-  remote: {
-    /** @type {string[]} */
-    allowHosts: [],
-    path: "/_jskelet/image",
-    /** İzin verilen en büyük `w` (retina üstü israf). */
-    maxWidth: 1920,
-    /** Disk önbelleği Cache-Control max-age (saniye). */
-    cacheMaxAge: 60 * 60 * 24 * 30,
-    fetchTimeoutMs: 10_000,
-    /** Upstream gövde üst sınırı; aşılırsa 502. */
-    maxBytes: 10 * 1024 * 1024,
-  },
-};
-
-/**
- * Markalama. Header adı ve dev overlay yolu tek yerden değişsin diye
- * config'ten okunur — fork eden proje kendi adını verebilir.
- */
-export const DEFAULT_BRAND = {
-  name: "JSkelet",
-  /** `<html lang>`; uygulama kendi dilini config'te bildirir. */
-  lang: "en",
-  poweredBy: "JSkelet",
-  cacheHeader: "X-JSkelet-Cache",
-  devBasePath: "/__jskelet/dev",
-  prewarmUserAgent: "jskelet-prewarm",
-  devTokenCookie: "dev_token",
-  /**
-   * Paylaşımlı cookie Domain kökleri (örn. `.investvio.com`, `.localhost`).
-   * `writeSharedCookie` host bunlardan birine uyuyorsa Domain olarak yazar.
-   * @type {string[]}
-   */
-  sharedCookieRoots: [],
-};
-
-/**
- * Kimlik / alt alan handoff. Framework oturum vermez; yalnızca çapraz-subdomain
- * cookie köprüsü opsiyoneldir.
- */
-export const DEFAULT_AUTH = {
-  /**
-   * `true` veya `{ allowedCookieNames, ttlSeconds?, path?, maxValueBytes?,
-   * maxPendingTickets?, maxMintsPerIpPerMinute? }`.
-   * Açıkken `POST /_jskelet/auth/handoff` ve `?handoff=` redeem middleware'i.
-   * Mint için `allowedCookieNames` dolu olmalı (aksi halde 400).
-   * @type {boolean | {
-   *   enabled?: boolean,
-   *   allowedCookieNames?: string[],
-   *   ttlSeconds?: number,
-   *   path?: string,
-   *   maxValueBytes?: number,
-   *   maxPendingTickets?: number,
-   *   maxMintsPerIpPerMinute?: number,
-   * }}
-   */
-  crossSubdomainHandoff: false,
-};
+/**
+ * Framework varsayılanları.
+ *
+ * Buradaki hiçbir değer domain bilgisi taşımaz: uygulamaya özel her şey
+ * `jskelet.config.mjs` üzerinden gelir. Varsayılanların ayrı dosyada olması,
+ * "framework ne yapıyor, uygulama ne ekliyor" ayrımını okunur tutar.
+ */
+
+/** Uzun süre cache'lenecek hash'li çıktı dizini. */
+export const IMMUTABLE_CACHE = "public, max-age=31536000, immutable";
+
+/**
+ * Proje kökündeki dizin adları. `jskelet.config.mjs` içinde `paths` ile
+ * tek tek ezilebilir.
+ */
+export const DEFAULT_DIRS = {
+  /** Layout + sayfalar + bileşenler (klasik kök). */
+  views: "views",
+  /** Feature-first dikey dilimler (`features/<name>/{server,views,client}`). */
+  features: "features",
+  /** Özellikler arası paylaşılan server/views/client. */
+  shared: "shared",
+  /** Statik dosyalar; build çıktısı da buraya yazılır. */
+  public: "public",
+  /** Island runtime ve entry'ler. */
+  client: "client",
+  /** Route modülleri. */
+  routes: "routes",
+  /** Tailwind/PostCSS giriş dosyası. */
+  styles: "styles/globals.css",
+  /** Build ara çıktıları (manifest, metafile, images, templates). */
+  generated: ".jskelet",
+};
+
+/**
+ * Uzantı ve önek bazlı statik dosya tespiti. Bu listeye uyan yollara
+ * `IMMUTABLE_CACHE` yazılır.
+ */
+export const DEFAULT_STATIC = {
+  extensions: [".svg", ".png", ".webp", ".avif", ".ico", ".woff2"],
+  prefixes: ["/assets/", "/fonts/"],
+};
+
+/** Dev gate'in hiçbir koşulda kapatmadığı yollar. */
+export const DEFAULT_DEV_GATE_BYPASS = [
+  "/api/healthcheck",
+  "/robots.txt",
+  "/sitemap.xml",
+  "/site.webmanifest",
+  "/favicon.ico",
+];
+
+/**
+ * Klasik (liste tabanlı) prewarm ayarları. `onVisit` modu bunlarla birlikte
+ * kullanılamaz — ya açılış/`prewarmPaths` turu, ya ziyaret edilen sayfadaki
+ * linkleri ısıtma.
+ */
+export const DEFAULT_PREWARM = {
+  enabled: true,
+  max: 400,
+  intervalSeconds: 0,
+  /** Paralel ısıtma isteği; dev'de sunucu tek süreç olduğu için düşürülür. */
+  concurrency: 4,
+  /** İki tur arasında beklenen süre: upstream'e ani yük binmesin. */
+  delayMs: 0,
+  /**
+   * Saniyedeki en fazla ısıtma isteği. 0 → sınırsız (yalnızca `concurrency`
+   * frenler). Upstream'i kota sınırının altında tutmanın en doğrudan yolu bu:
+   * paralellik ne kadar yükselse de tur bu hızın üstüne çıkmaz.
+   */
+  rps: 0,
+  /**
+   * Tekrar turundan önce beklenen süre. Rate limit pencereleri saniye
+   * mertebesinde; hemen tekrar denemek aynı 429'u almak demek.
+   */
+  retryDelayMs: 2000,
+  /**
+   * Liste `max`'tan uzunsa periyodik turlar kaldığı yerden devam eder.
+   * Böylece 10.000 yolluk bir site tek turda değil, turlar boyunca ısınır.
+   * `priority` eşleşen yollar her turda ısıtıldığı için rotasyon yalnızca
+   * kuyruğu dolaşır.
+   */
+  rotate: true,
+  /**
+   * Isıtma sırasını belirleyen desenler. String (`/haber/:slug`) ya da
+   * `RegExp` kabul eder; önce yazılan önce ısınır.
+   * @type {(string | RegExp)[]}
+   */
+  priority: [],
+  /**
+   * Klasik turda ısıtılacak origin listesi. Boşsa `http://127.0.0.1:<port>`.
+   * `cache().vary.host` açıkken locale host'ları buraya yazılmazsa yalnızca
+   * loopback anahtarı ısınır.
+   * @type {string[]}
+   */
+  origins: [],
+};
+
+/**
+ * Ziyaret tabanlı ısıtma. Bir sayfa servis edilince HTML'deki aynı-origin
+ * linkler kuyruğa alınır; bir sonraki tıklama (veya başka ziyaretçi) çoğu
+ * zaman HIT görür. Klasik `prewarm` alanlarıyla karşılıklı dışlayıcıdır.
+ */
+export const DEFAULT_PREWARM_ON_VISIT = {
+  enabled: false,
+  /** Sayfa başına üstten alta en fazla kaç link kuyruğa alınır. */
+  perPage: 20,
+  /**
+   * Paralel işçi. `null` yalnızca kapalı modda durur; açıkken tavan
+   * (`ON_VISIT_CONCURRENCY_CEILING`) uygulanır. Klasik prewarm'daki
+   * prod 4 burada geçerli değil — onVisit sürekli çalışır.
+   * @type {number | null}
+   */
+  concurrency: null,
+  /**
+   * Saniyedeki istek tavanı. `null` yalnızca kapalı modda durur; açıkken
+   * `0` (sınırsız) dahil her şey `ON_VISIT_RPS_CEILING` ile kesilir.
+   * @type {number | null}
+   */
+  rps: null,
+};
+
+/**
+ * onVisit sürekli tur olduğu için klasik prewarm'daki "sınırsız" burada yok.
+ * Config daha yükseğini yazsa da çözümlenen değer bu tavanları geçemez.
+ */
+export const ON_VISIT_PER_PAGE_CEILING = 20;
+export const ON_VISIT_RPS_CEILING = 2;
+export const ON_VISIT_CONCURRENCY_CEILING = 2;
+
+/**
+ * Bekleyen onVisit yolları. Bir sayfa düzinelerce link basınca kuyruk
+ * birikmesin; taşan link bu turda alınmaz.
+ */
+export const ON_VISIT_QUEUE_MAX = 64;
+
+/** `onVisit` açıkken `cache().prewarm` kökünde yasak olan klasik alanlar. */
+export const CLASSIC_PREWARM_KEYS = [
+  "enabled",
+  "max",
+  "intervalSeconds",
+  "concurrency",
+  "delayMs",
+  "rps",
+  "retryDelayMs",
+  "rotate",
+  "priority",
+  "origins",
+];
+
+/**
+ * HTML önbelleğinin girdi sınırı. 500 girdi ortalama bir sayfa boyutunda
+ * yaklaşık 100-200 MB tutar; uzun kuyruklu siteler bunu yükseltmek yerine
+ * veri önbelleğine yaslanmalı (bkz. `DEFAULT_DATA_CACHE`).
+ *
+ * Config daha yükseğini istese de girdi sayısı `HTML_CACHE_MAX_ENTRIES_CEILING`
+ * değerini geçemez. Asıl bellek freni bayt bütçesidir: şişman sayfa ve
+ * `vary.host` kopyası sayı tavanının altında da RSS'i şişirir.
+ */
+export const DEFAULT_HTML_CACHE_MAX_ENTRIES = 500;
+
+/**
+ * Edge taze penceresi bittikten sonra eski HTML'in sunulacağı süre (saniye).
+ * `cache().staleWhileRevalidate`. 0 ise `stale-while-revalidate` direktifi
+ * basılmaz. Süreç içi HTML cache'in stale penceresinden bağımsızdır.
+ */
+export const DEFAULT_STALE_WHILE_REVALIDATE = 60;
+
+/** `cache().maxEntries` için sert tavan. Üstü uyarıyla bu değere çekilir. */
+export const HTML_CACHE_MAX_ENTRIES_CEILING = 800;
+
+/**
+ * Süreç içi HTML string + sıkıştırılmış gövde tavanı (256 MB).
+ * `install()` bunu uygular; config yükseltemez. Tek sayfa bütçeden büyükse
+ * saklanmaz, yanıt yine gider.
+ */
+export const HTML_CACHE_BYTE_BUDGET = 256 * 1024 * 1024;
+
+/**
+ * Süreç içi veri önbelleğinin JSON bayt tavanı (64 MB). Sayı tavanı
+ * şişman gövdeleri tutmaz; config yükseltemez. Tek değer bütçeden büyükse
+ * saklanmaz, çağıran sonucu yine alır.
+ */
+export const DATA_CACHE_BYTE_BUDGET = 64 * 1024 * 1024;
+
+/**
+ * Uzak görsel disk önbelleğinin tavanı (256 MB). `.jskelet/image-cache/`
+ * bu boyutu aşınca en eski dosya düşer. Config yükseltemez.
+ */
+export const IMAGE_CACHE_BYTE_BUDGET = 256 * 1024 * 1024;
+
+/** `cache().data.maxEntries` için sert tavan. Uzun kuyruk burada durur, HTML'de değil. */
+export const DATA_CACHE_MAX_ENTRIES_CEILING = 20_000;
+
+/**
+ * `notFound()` geçici bir upstream hatasına denk geldiğinde sayfanın kaç kez
+ * daha denenmesi gerektiği.
+ *
+ * Varsayılan tek deneme: maliyeti upstream'e binen ikinci bir istek turu, ama
+ * alternatifi var olan bir sayfayı 404 olarak servis etmek — arama motoru için
+ * geçici bir rate limit'in kalıcı kayba dönüşmesi. `attempts: 0` tekrarı
+ * kapatır ve doğrudan önbelleğe girmeyen 503'e düşer.
+ */
+export const DEFAULT_TRANSIENT_RETRY = {
+  attempts: 1,
+  delayMs: 300,
+};
+
+/**
+ * Upstream veri önbelleği.
+ *
+ * HTML önbelleğinden bilinçli olarak çok daha büyük: JSON, aynı sayfanın
+ * HTML'ine göre onlarca kat küçük. Uzun kuyruğu (on binlerce haber/etiket)
+ * HTML olarak tutmak imkânsız, verisini tutmak ise ucuz — ve API kotasını
+ * koruyan katman burası.
+ */
+export const DEFAULT_DATA_CACHE = {
+  maxEntries: 10000,
+  /**
+   * TTL dolduktan sonra girdinin kaç TTL boyunca daha kullanılabileceği.
+   * HTML'deki 1 katsayısından yüksek: bayat veri, eksik sayfadan iyidir ve
+   * upstream düştüğünde tek elde kalan şey budur.
+   */
+  staleFactor: 10,
+};
+
+/**
+ * Upstream API'ye giden isteklerin host başına hız freni.
+ *
+ * Varsayılan **kapalı** (`rate: 0`): fren, kotasını bilen bir uygulamanın
+ * bilinçli kararı. Açıldığında `rate` bir tavan olur ve gerçek hız 429
+ * cevaplarına göre kendini aşağı çeker (bkz. `src/server/upstream-limiter.js`).
+ *
+ * `hosts` ile tek tek uçlar ayrılabilir; API'lerin kotası aynı olmak zorunda
+ * değil:
+ *
+ *   upstream: { rate: 10, hosts: { "api.example.com": { rate: 3 } } }
+ */
+export const DEFAULT_UPSTREAM_LIMIT = {
+  /** Saniyedeki en fazla çağrı. 0 → fren tamamen kapalı. */
+  rate: 0,
+  /** Kova boyu; verilmezse bir saniyelik bütçe kadar patlamaya izin verilir. */
+  burst: 0,
+  /** Aynı anda uçabilecek çağrı. Ortalama hızdan bağımsız: anlık baskıyı bağlar. */
+  concurrency: 8,
+  /** Azalmanın dibi: hız buranın altına inmez, yoksa site tamamen durur. */
+  minRate: 0.5,
+  /** Toplamsal artışın adımı (çağrı/saniye) ve periyodu. */
+  increaseStep: 1,
+  increaseIntervalMs: 5000,
+  /**
+   * İki azalma arasındaki en kısa süre. Aynı anda uçan on çağrının hepsi 429
+   * dönerse hız on kez yarılanıp dibe vurmasın.
+   */
+  decreaseIntervalMs: 1000,
+  /** Devre kesici: art arda kaç 429'dan sonra host'a hiç gidilmeyeceği. */
+  breakerFailures: 5,
+  breakerCooldownMs: 10_000,
+  /** @type {Record<string, Record<string, number>>} */
+  hosts: {},
+};
+
+/**
+ * Opsiyonel Redis ikinci kademesi (L2).
+ *
+ * Redis **birincil store değil**: bellek içi önbellek (L1) aynen kalır, Redis
+ * iki iş yapar — L1'de bulunmayan bir sayfa için render'ı atlatmak ve
+ * invalidation'ı bütün node'lara yaymak. Tek instance çalışan bir kurulumda
+ * kazanç neredeyse yok; bu yüzden `enabled` varsayılan olarak kapalı.
+ *
+ * `storeEncoded` kapalı, çünkü sıkıştırılmış gövdeleri de paylaşmak girdi
+ * başına boyutu iki-üç katına çıkarır ve brotli'yi yeniden üretmek Redis'ten
+ * indirmekten çoğu zaman daha ucuz.
+ */
+export const DEFAULT_REDIS = {
+  enabled: false,
+  /** `redis://` ya da `rediss://`. Boşsa ioredis varsayılanı (localhost:6379). */
+  url: /** @type {string | null} */ (null),
+  /** Aynı Redis'i paylaşan birden fazla uygulamayı ayırır. */
+  namespace: "default",
+  keyPrefix: "_jskelet",
+  /** HTML gövdeleri paylaşılsın mı. */
+  html: true,
+  /** Veri önbelleği paylaşılsın mı. */
+  data: true,
+  /** Brotli/gzip gövdeleri de paylaşılsın mı. */
+  storeEncoded: false,
+  /** pub/sub üzerinden invalidation yayını. */
+  events: true,
+  /**
+   * Tek bir komutun en fazla bekletebileceği süre. Önbellek okuması isteği
+   * bloklayan bir adım: Redis takıldığında render'a düşmek, ağı beklemekten
+   * iyidir.
+   */
+  commandTimeoutMs: 200,
+};
+
+/**
+ * Kalıcı log sink'leri (dosya + S3).
+ *
+ * Varsayılan her şey kapalı: stdout ve admin ring mevcut davranışını korur.
+ * `kinds` hangi structured kayıtların sink'lere gideceğini seçer; `console`
+ * runtime `http`/`event`/`error` satırlarının terminalde görünmesini kontrol
+ * eder (banner/build satırlarına dokunmaz).
+ *
+ * S3 credential'ları config'e yazılmaz — `JSKELET_S3_ACCESS_KEY_ID` /
+ * `JSKELET_S3_SECRET_ACCESS_KEY` (ve isteğe bağlı `JSKELET_S3_SESSION_TOKEN`).
+ * Bucket için `JSKELET_LOG_BUCKET` (veya `JSKELET_S3_BUCKET`) env'i config'i
+ * ezer ve `ayberkenis/jskelet/logs` gibi `bucket/prefix` yolunu kabul eder.
+ * Uyumlu API adresi `JSKELET_S3_API_URL` (S3-compatible endpoint).
+ */
+export const DEFAULT_LOGS = {
+  console: true,
+  /** @type {Array<"http" | "event" | "error">} */
+  kinds: ["http", "event", "error"],
+  file: {
+    enabled: false,
+    /** Proje köküne göre relative. */
+    dir: "logs",
+    /**
+     * Artık kullanılmıyor. Parçalar en fazla 5 dakika durur; alan çözülen
+     * config'te durur ki eski okuyucular kırılmasın.
+     */
+    rotate: /** @type {"daily"} */ ("daily"),
+  },
+  s3: {
+    enabled: false,
+    /** @type {string | null} */
+    bucket: null,
+    prefix: "jskelet/logs/",
+    /** @type {string | null} */
+    region: null,
+    /** MinIO vb. için; null → AWS. */
+    /** @type {string | null} */
+    endpoint: null,
+    flushIntervalMs: 5000,
+    maxBatch: 100,
+  },
+};
+
+/**
+ * Framework yönetim paneli (`/_jskelet/admin`).
+ *
+ * `enabled` varsayılan olarak **kapalı** ve ortama bakmaz: panel açıldığında
+ * production'da da çalışır, ama açılması bilinçli bir karar olmalı. Kapalıyken
+ * router hiç mount edilmez — yolun kendisi de yok, yani 404 dönen bir uç bile
+ * ortaya çıkmaz.
+ *
+ * Şifre her süreç başlangıcında yeniden üretilir (bkz. `src/server/admin/`):
+ * panelin ömrü sürecin ömrü kadardır ve bir deploy eski erişimi otomatik
+ * olarak iptal eder. Bu yüzden config'te şifre alanı yok.
+ */
+export const DEFAULT_ADMIN = {
+  enabled: false,
+  basePath: "/_jskelet/admin",
+  /**
+   * Boş dizi = IP kısıtı yok. Exact IP veya CIDR (`10.0.0.0/8`); listede
+   * olmayan her istek 404 (login dahil).
+   * @type {string[]}
+   */
+  allowIps: [],
+  /** Bilinen crawler / bot UA'ları 404 ile reddedilsin mi. */
+  blockBots: true,
+  /** Kaç başarısız denemeden sonra IP yasaklanır. */
+  banAttempts: 3,
+  /** Yasağın süresi. */
+  banHours: 24,
+  /** Oturumun ömrü; süreç yeniden başladığında zaten sıfırlanır. */
+  sessionHours: 12,
+  /** Canlı log ring boyutu (HTTP + framework olayları). */
+  logSize: 500,
+};
+
+/**
+ * Cloudflare cache yüzeyi.
+ *
+ * JSkelet'in önbelleği origin önbelleği; ziyaretçinin gördüğü kopya CDN'de.
+ * Bu bölüm ikisini aynı panelden yönetilebilir kılar (bkz.
+ * `src/server/cloudflare.js`).
+ *
+ * Token **config'e yazılmamalı**: `JSKELET_CLOUDFLARE_KEY` env'i önceliklidir
+ * ve önerilen yol odur. Zone kimliği sır değil, ama o da env'den okunabilir
+ * (`JSKELET_CLOUDFLARE_ZONE_ID`).
+ *
+ * Gereken token izinleri: purge için `Zone.Cache Purge`, ayarlar için
+ * `Zone.Zone Settings`, analitik için `Zone.Analytics` (salt okunur).
+ */
+export const DEFAULT_CLOUDFLARE = {
+  /** `false` verilirse env'de token olsa bile yüzey kapalı kalır. */
+  enabled: true,
+  /** @type {string | null} */
+  zoneId: null,
+  /** @type {string | null} Env tercih edilir; burada tutmak sırrı repoya sokar. */
+  apiToken: null,
+  /**
+   * Purge, tam URL istiyor; panel elinde yalnızca yol tutuyor. Site adı
+   * verilmezse purge isteğinin geldiği istek origin'i kullanılır.
+   * @type {string | null}
+   */
+  hostname: null,
+  /** Analitik penceresi (saat). Cloudflare'in izin verdiği aralıkla sınırlı. */
+  analyticsHours: 24,
+};
+
+/** Oturuma bağlı sayfalar ısıtılmaz; uygulama kendi listesini verebilir. */
+export const DEFAULT_PREWARM_SKIP = [
+  "/api/",
+  "/_fragment/",
+  "/__jskelet/",
+  "/_jskelet/",
+];
+
+/**
+ * Site içi gezinme ipuçları (Speculation Rules + view transition).
+ *
+ * Varsayılan bilinçli olarak ölçülü: `prefetch` açık, çünkü yalnızca belgeyi
+ * indirir ve sayfanın JS'ini çalıştırmaz — yanlış tahmin edilse bile tek
+ * maliyeti bir istektir. `prerender` kapalı, çünkü hedef sayfanın script'leri
+ * gerçekten çalışır; ölçüm kodunu `prerenderingchange` olayına bağlamayan bir
+ * uygulamada ziyaret sayıları şişer. `viewTransition` kapalı, çünkü uygulamanın
+ * kendi geçiş animasyonlarıyla çakışabilir.
+ */
+export const DEFAULT_NAVIGATION = {
+  /** `false` ya da eagerness: "conservative" | "moderate" | "eager". */
+  prefetch: /** @type {false | "conservative" | "moderate" | "eager"} */ ("moderate"),
+  /** @type {false | "conservative" | "moderate" | "eager"} */
+  prerender: false,
+  /** `@view-transition { navigation: auto }` basılsın mı. */
+  viewTransition: false,
+};
+
+/**
+ * Hiçbir koşulda önden getirilmeyecek yollar. Yan etkisi olan ya da gezinme
+ * hedefi olmayan uçların spekülatif istekle tetiklenmesi gerçek bir hata
+ * kaynağı; uygulama kendi listesini `navigation.exclude` ile ekler.
+ */
+export const DEFAULT_NAVIGATION_EXCLUDE = ["/api/*", "/_fragment/*", "/_jskelet/*"];
+
+/**
+ * Güvenlik ayarları.
+ *
+ * `trustProxy` varsayılan olarak açık, çünkü JSkelet uygulamaları neredeyse
+ * her zaman bir ters proxy arkasında koşuyor ve doğru protokol/IP buna bağlı.
+ * Ama doğrudan internete açık bir sunucuda bu, istemcinin `X-Forwarded-For`
+ * uydurabilmesi demek — rate limit ve audit log girdiğinde kapatılmalı.
+ *
+ * `csrf.enabled` açık: framework gövdeyi kendisi ayrıştırdığı için bu yüzey
+ * onun sorumluluğu. Kontrol yalnızca **çapraz site olduğu belli** istekleri
+ * reddeder (`Origin` uyuşmuyor ya da `Sec-Fetch-Site: cross-site`); başlık
+ * hiç yoksa geçer, böylece webhook ve sunucudan sunucuya çağrılar bozulmaz.
+ *
+ * `csrf.token` kapalı: çift gönderim token'ı `Origin` göndermeyen eski
+ * tarayıcılar için ikinci katman ve formlara `csrfField()` eklenmesini
+ * gerektiriyor, yani açılması bilinçli bir karar olmalı.
+ */
+export const DEFAULT_SECURITY = {
+  trustProxy: true,
+  /** @type {string | null} */
+  cookieSecret: null,
+  csrf: {
+    enabled: true,
+    token: false,
+    /** Ek olarak kabul edilen origin'ler (ör. ayrı bir admin alan adı). */
+    allowedOrigins: /** @type {string[]} */ ([]),
+    /** Kontrolden muaf yollar — webhook uçları buraya yazılır. */
+    exclude: /** @type {string[]} */ ([]),
+    cookieName: "csrf_token",
+    fieldName: "_csrf",
+    headerName: "x-csrf-token",
+  },
+};
+
+/**
+ * Build-zamanı görsel adımı + opsiyonel runtime uzak görsel proxy.
+ *
+ * `remote` kapalıyken `image()` uzak URL'leri olduğu gibi basar (eski davranış).
+ * Açılınca yalnızca `allowHosts` listesindeki host'lar proxy edilir — boş liste
+ * açık proxy / SSRF kapısı olurdu, bu yüzden allowHosts olmadan remote hiç
+ * mount edilmez.
+ */
+export const DEFAULT_IMAGES = {
+  widths: [400, 640, 960, 1280, 1920],
+  quality: 78,
+  skip: /** @type {string[]} */ ([]),
+  remote: {
+    /** @type {string[]} */
+    allowHosts: [],
+    path: "/_jskelet/image",
+    /** İzin verilen en büyük `w` (retina üstü israf). */
+    maxWidth: 1920,
+    /** Disk önbelleği Cache-Control max-age (saniye). */
+    cacheMaxAge: 60 * 60 * 24 * 30,
+    fetchTimeoutMs: 10_000,
+    /** Upstream gövde üst sınırı; aşılırsa 502. */
+    maxBytes: 10 * 1024 * 1024,
+  },
+};
+
+/**
+ * Markalama. Header adı ve dev overlay yolu tek yerden değişsin diye
+ * config'ten okunur — fork eden proje kendi adını verebilir.
+ */
+export const DEFAULT_BRAND = {
+  name: "JSkelet",
+  /** `<html lang>`; uygulama kendi dilini config'te bildirir. */
+  lang: "en",
+  poweredBy: "JSkelet",
+  cacheHeader: "X-JSkelet-Cache",
+  devBasePath: "/__jskelet/dev",
+  prewarmUserAgent: "jskelet-prewarm",
+  devTokenCookie: "dev_token",
+  /**
+   * Paylaşımlı cookie Domain kökleri (örn. `.investvio.com`, `.localhost`).
+   * `writeSharedCookie` host bunlardan birine uyuyorsa Domain olarak yazar.
+   * @type {string[]}
+   */
+  sharedCookieRoots: [],
+};
+
+/**
+ * Kimlik / alt alan handoff. Framework oturum vermez; yalnızca çapraz-subdomain
+ * cookie köprüsü opsiyoneldir.
+ */
+export const DEFAULT_AUTH = {
+  /**
+   * `true` veya `{ allowedCookieNames, ttlSeconds?, path?, maxValueBytes?,
+   * maxPendingTickets?, maxMintsPerIpPerMinute? }`.
+   * Açıkken `POST /_jskelet/auth/handoff` ve `?handoff=` redeem middleware'i.
+   * Mint için `allowedCookieNames` dolu olmalı (aksi halde 400).
+   * @type {boolean | {
+   *   enabled?: boolean,
+   *   allowedCookieNames?: string[],
+   *   ttlSeconds?: number,
+   *   path?: string,
+   *   maxValueBytes?: number,
+   *   maxPendingTickets?: number,
+   *   maxMintsPerIpPerMinute?: number,
+   * }}
+   */
+  crossSubdomainHandoff: false,
+};