@@ -0,0 +1,38 @@
+-- Reddedilen ajan eylemleri.
+--
+-- `orbit_action_log` yalnız BAŞARILI işleri tutuyor ve tutmalı: birincil
+-- anahtarı `(subject, idempotency_key)` ve görevi tekrar korumasıdır. Reddi
+-- oraya yazmak, reddedilen bir denemeyi sonsuza kadar "tekrar" olarak
+-- döndürmek olurdu — ikinci deneme hiç çalışmazdı.
+--
+-- Bu yüzden ayrı tablo. Sorusu farklı: "kim ne denedi ve neden geçmedi".
+--
+-- BURAYA YALNIZ İMZASI DOĞRULANMIŞ İSTEKLER YAZILIYOR ve bu sınır önemli.
+-- `/api/orbit-eylem` herkese açık bir adres; imzasız çöp gönderen biri her
+-- istekte bir satır yazdırabilseydi bu tablo bir yazma silahına dönerdi.
+-- İmzasız istekler yalnız Worker günlüğüne düşüyor (observability açık).
+-- İmzalı bir istek ise gerçekten Orbit'ten geliyor demektir; oraya ulaşmak
+-- için önce Orbit'te kimlik ve açık bir ajan erişimi gerekiyor.
+CREATE TABLE orbit_action_denials (
+  id            INTEGER PRIMARY KEY AUTOINCREMENT,
+
+  -- Belgedeki insan ve aktör. İmza doğrulandığı için ikisi de güvenilir.
+  subject       TEXT NOT NULL,
+  actor_subject TEXT NOT NULL,
+
+  -- Gövdedeki işlem. Belgedekiyle uyuşmadığı için reddedildiyse ikisi de
+  -- ilgi çekici, o yüzden ayrı ayrı saklanıyor.
+  operation_id  TEXT,
+  document_operation TEXT,
+
+  status        INTEGER NOT NULL,
+  reason        TEXT NOT NULL,
+  created_at    TEXT NOT NULL
+);
+
+-- Girdi SAKLANMIYOR. Reddedilen bir istekte ne olduğu değil, kimin neyi
+-- denediği önemli; gövdeyi tutmak yayımlanmamış haber metnini ve base64
+-- görseli veritabanında biriktirmek olurdu.
+
+CREATE INDEX orbit_action_denials_created_idx ON orbit_action_denials (created_at DESC);
+CREATE INDEX orbit_action_denials_actor_idx ON orbit_action_denials (actor_subject, created_at DESC);
@@ -22,7 +22,7 @@ function json(body: unknown, status = 200): Response {
   });
 }
 
-/* Her reddetme loglanıyor.
+/* Her reddetme günlüğe yazılıyor.
  *
  * Orbit sitenin hata GÖVDESİNİ ajana taşımıyor — bilerek, çünkü içeriğini
  * bilmediği bir metni kendi cevabı gibi göstermek olurdu. Doğru karar ama
@@ -33,6 +33,44 @@ function reddet(status: number, mesaj: string): Response {
   return json({ error: mesaj }, status);
 }
 
+/* İmzası doğrulanmış bir isteğin reddi ayrıca VERİTABANINA yazılıyor.
+ *
+ * Sebebi: reddedilen deneme ajanın ekranında içeriksiz bir 502 olarak
+ * görünüyor, yani "kim denedi" sorusunun cevabı yalnız bizde olabilir. Site
+ * başkalarına açıldığında bu tek denetim izi.
+ *
+ * Kapı `verified`: imzasız istekler buraya HİÇ gelmiyor, yalnız Worker
+ * günlüğüne düşüyor. `/api/orbit-eylem` herkese açık bir adres ve imzasız çöp
+ * her istekte bir satır yazdırabilseydi bu bir yazma silahı olurdu.
+ *
+ * Yazma başarısız olursa istek reddedilmeye devam ediyor: denetim izi
+ * tutulamaması güvenlik kararını değiştirmez, sadece kaydı eksiltir. */
+async function denetimeYaz(
+  env: Env,
+  verified: { subject: string; actorSubject: string; operation: string },
+  operationId: string,
+  status: number,
+  reason: string,
+): Promise<void> {
+  try {
+    await env.DB.prepare(
+      `INSERT INTO orbit_action_denials
+         (subject, actor_subject, operation_id, document_operation, status, reason, created_at)
+       VALUES (?,?,?,?,?,?,?)`,
+    ).bind(
+      verified.subject,
+      verified.actorSubject,
+      operationId.length > 0 ? operationId : null,
+      verified.operation,
+      status,
+      reason,
+      new Date().toISOString(),
+    ).run();
+  } catch (error) {
+    console.error(`orbit-eylem: reddetme kaydedilemedi: ${String(error)}`);
+  }
+}
+
 async function digest(value: string): Promise<string> {
   const bytes = await crypto.subtle.digest("SHA-256", new TextEncoder().encode(value));
   return [...new Uint8Array(bytes)].map((b) => b.toString(16).padStart(2, "0")).join("");
@@ -54,15 +92,20 @@ async function digest(value: string): Promise<string> {
  * reddetme olarak çıkıyor. */
 const KARAR_DURUMLARI = new Set([400, 404, 409, 413, 422]);
 
-async function sonucaCevir(response: Response): Promise<{ output: Record<string, unknown> } | Response> {
+async function sonucaCevir(
+  response: Response,
+  reddetVeYaz: (status: number, mesaj: string) => Promise<Response>,
+): Promise<{ output: Record<string, unknown> } | Response> {
   const govde = await response.json<any>().catch(() => ({}));
   if (response.ok) return { output: { uygulandi: true, ...govde } };
 
+  /* Editoryal karar denetim izine yazılmıyor: reddedilmedi, cevaplandı.
+   * Ajan sebebini gövdede görüyor ve "kim denedi" sorusu doğmuyor. */
   if (KARAR_DURUMLARI.has(response.status)) {
     console.error(`orbit-eylem: yayın kapısı reddetti ${response.status} ${JSON.stringify(govde).slice(0, 300)}`);
     return { output: { uygulandi: false, durum: response.status, ...govde } };
   }
-  return reddet(response.status, `yayın hattı reddetti: ${JSON.stringify(govde).slice(0, 300)}`);
+  return reddetVeYaz(response.status, `yayın hattı reddetti: ${JSON.stringify(govde).slice(0, 300)}`);
 }
 
 export async function siteAction(request: Request, env: Env): Promise<Response> {
@@ -99,15 +142,22 @@ export async function siteAction(request: Request, env: Env): Promise<Response>
 
   /* Belgedeki işlem gövdedekiyle aynı olmak ZORUNDA. Aksi halde "pano yaz"
    * için alınmış bir belge, gövdesi değiştirilerek "yayımla"ya çevrilirdi. */
+  /* Buradan sonraki her reddetme denetim izine de yazılıyor: belge doğrulandı,
+   * yani istek gerçekten Orbit'ten geliyor ve arkasında bir kimlik var. */
+  const reddetVeYaz = async (status: number, mesaj: string) => {
+    await denetimeYaz(env, verified, operationId, status, mesaj);
+    return reddet(status, mesaj);
+  };
+
   if (verified.operation !== operationId) {
-    return reddet(403, "belge bu işlem için verilmemiş");
+    return reddetVeYaz(403, "belge bu işlem için verilmemiş");
   }
   if (!(OPERATIONS as readonly string[]).includes(operationId)) {
-    return reddet(404, `bilinmeyen işlem: ${operationId}`);
+    return reddetVeYaz(404, `bilinmeyen işlem: ${operationId}`);
   }
 
   const auth = await authorizeAction(verified, env);
-  if (!auth.ok) return reddet(auth.status, auth.error);
+  if (!auth.ok) return reddetVeYaz(auth.status, auth.error);
 
   const inputDigest = await digest(JSON.stringify({ operationId, input }));
 
@@ -123,7 +173,7 @@ export async function siteAction(request: Request, env: Env): Promise<Response>
      * Sessizce ilk cevabı döndürmek, ajanın yaptığını sandığı işin hiç
      * yapılmaması olurdu. */
     if (gecmis.input_digest !== inputDigest) {
-      return reddet(409, "aynı Idempotency-Key farklı bir istekle kullanıldı");
+      return reddetVeYaz(409, "aynı Idempotency-Key farklı bir istekle kullanıldı");
     }
     return json({ status: "replayed", output: JSON.parse(gecmis.output) });
   }
@@ -132,7 +182,7 @@ export async function siteAction(request: Request, env: Env): Promise<Response>
     ? await writeBriefAs(auth.identity, input, env)
     : await publishAs(auth.identity, input, env);
 
-  const sonuc = await sonucaCevir(response);
+  const sonuc = await sonucaCevir(response, reddetVeYaz);
   if (sonuc instanceof Response) return sonuc;
 
   /* Kayıt yazmadan önce iş bitmiş oluyor ve bu sıra bilerek: kaydı önce
 
@@ -52,8 +52,10 @@ async function belge({ claims = {}, key = pair.privateKey } = {}) {
  * biriktiriyor ki tekrar kaydının gerçekten yazıldığı görülebilsin. */
 function sahteDB({ yayinciSatiri, gecmis = null }) {
   const yazilanlar = [];
+  const reddedilenler = [];
   return {
     yazilanlar,
+    reddedilenler,
     prepare(sql) {
       return {
         bind(...args) {
@@ -74,7 +76,11 @@ function sahteDB({ yayinciSatiri, gecmis = null }) {
               if (sql.includes("FROM orbit_action_log")) return gecmis;
               return null;
             },
-            async run() { yazilanlar.push({ sql, args }); return { success: true }; },
+            async run() {
+              if (sql.includes("orbit_action_denials")) reddedilenler.push({ sql, args });
+              else yazilanlar.push({ sql, args });
+              return { success: true };
+            },
           };
         },
       };
@@ -247,6 +253,48 @@ console.log("\n── katalog ──");
     true);
 }
 
+console.log("\n── denetim izi ──");
+{
+  /* İmzası doğrulanmış bir isteğin reddi kaydedilmeli: ajan içeriksiz bir 502
+   * görüyor, "kim denedi" sorusunun cevabı yalnız bizde olabilir. */
+  const db = sahteDB({ yayinciSatiri: null });
+  await siteAction(istek(await belge(), { operationId: "haber.panoYaz", input: PANO }), { DB: db, ...ORTAM });
+  check("yetkisiz ajan denetim izine yazılıyor", db.reddedilenler.length, 1);
+  const [, actor, opId, belgeIslem, status, sebep] = db.reddedilenler[0].args;
+  check("  aktör kaydediliyor", actor, AJAN);
+  check("  işlem kaydediliyor", `${opId} · ${belgeIslem}`, "haber.panoYaz · haber.panoYaz");
+  check("  durum ve sebep kaydediliyor", `${status} ${sebep}`, "403 bu ajan yayıncı listesinde değil");
+}
+{
+  const db = sahteDB({ yayinciSatiri: SELENE });
+  await siteAction(istek(await belge(), { operationId: "haber.yayinla", input: {} }), { DB: db, ...ORTAM });
+  check("işlem uyuşmazlığı kaydediliyor", db.reddedilenler[0].args[4], 403);
+  check("  gövdedeki ve belgedeki işlem ayrı tutuluyor",
+    `${db.reddedilenler[0].args[2]} · ${db.reddedilenler[0].args[3]}`, "haber.yayinla · haber.panoYaz");
+}
+{
+  /* İMZASIZ istek denetim izine YAZILMAMALI. `/api/orbit-eylem` herkese açık;
+   * imzasız çöpün her istekte satır yazdırması bir yazma silahı olurdu. */
+  const db = sahteDB({ yayinciSatiri: SELENE });
+  await siteAction(istek(null, { operationId: "haber.panoYaz", input: PANO }), { DB: db, ...ORTAM });
+  const yabanci = await crypto.subtle.generateKey({ name: "ECDSA", namedCurve: "P-256" }, true, ["sign", "verify"]);
+  await siteAction(istek(await belge({ key: yabanci.privateKey }), { operationId: "haber.panoYaz", input: PANO }), { DB: db, ...ORTAM });
+  check("imzasız ve sahte imzalı istekler yazılmıyor", db.reddedilenler.length, 0);
+}
+{
+  const db = sahteDB({ yayinciSatiri: SELENE, gecmis: { input_digest: "baska-ozet", output: "{}" } });
+  await siteAction(istek(await belge(), { operationId: "haber.panoYaz", input: PANO }), { DB: db, ...ORTAM });
+  check("anahtar çakışması kaydediliyor", db.reddedilenler[0].args[4], 409);
+}
+{
+  /* Editoryal karar reddetme DEĞİL: cevaplandı, sebebi gövdede. */
+  const db = sahteDB({ yayinciSatiri: SELENE });
+  const r = await siteAction(istek(await belge(), { operationId: "haber.panoYaz", input: { board: "dizi değil" } }), { DB: db, ...ORTAM });
+  const govde = await r.json();
+  check("editoryal karar 2xx ile dönüyor", `${r.status} ${govde.output.uygulandi}`, "200 false");
+  check("  ve denetim izine yazılmıyor", db.reddedilenler.length, 0);
+}
+
 const failed = results.filter((r) => !r.ok);
 console.log(`\n${results.length - failed.length}/${results.length} geçti`);
 if (failed.length > 0) process.exit(1);