Güvenlik
Platformun her katmanına yerleşik güvenlik
Mağazanızda bakiyeler, kodlar ve müşteri belgeleri durur.
Giriş ve hesaplar
- Şifreler argon2 ile hash’lenir; hiçbir zaman okunabilir hâlde saklanmaz.
- Doğrulama uygulamasıyla iki adımlı giriş (TOTP) ve tek kullanımlık kurtarma kodları.
- Oturum açılmış cihazların ve oturumların listesi; her cihazdan ayrı ayrı çıkış.
- Art arda hatalı girişte hesap kilitlenir; ayrıca IP başına istek sınırı vardır.
- Kayıtta geçici (tek kullanımlık) e-posta adresleri kabul edilmez.
- Ödeme bildirimi, satıcı başvurusu, satış talebi ve kimlik doğrulaması için onaylı e-posta adresi gerekir.
Bakiyeler ve siparişler
- Her cüzdan hareketi yeni ve değiştirilemez bir defter kaydıdır. Bakiye asla üzerine yazılmaz.
- Her para yatırma işlemi bir kez kaydedilir: ağ ve işlem hash’i çifti benzersizdir.
- Bayi siparişleri çift kayda karşı korunur: aynı API anahtarı ve harici sipariş numarasıyla gelen ikinci istek yeni sipariş açmaz, ikinci kez tahsilat yapmaz.
Kimlik belgeleri ve veriler
- Yüklenen kimlik belgeleri yeniden kodlanır; EXIF ve GPS bilgileri silinir.
- Belgeler şifreli saklanır; bir çalışanın belgeyi her görüntülemesi denetim kaydına yazılır.
- Kullanıcının yazdığı her metin sunucuda doğrulanır: ad ve formlarda HTML, betik ya da şablon sözdizimi kabul edilmez, gösterilirken her şey kaçışlanır.
Yönetim paneli ve çalışanlar
- Çalışan yetkileri role göre verilir: herkes yalnız rolünün izin verdiğini görür ve değiştirir.
- Yönetim panelindeki her işlem denetim kaydına yazılır: kim, neyi, ne zaman yaptı.
Bayi API’si
- API anahtarı oluşturulurken bir kez gösterilir, yalnız hash’i saklanır.
- Her anahtar izin verilen IP adresleri listesiyle sınırlanabilir.
- Her anahtarın kendi istek hızı sınırı vardır.
Web sitesi ve tarayıcı
- Oturum çerezleri HttpOnly ve Secure’dır; sayfa betikleri bunlara erişemez.
- HSTS tarayıcıyı HTTPS’te tutar.
- Sıkı bir İçerik Güvenliği Politikası (CSP), sayfanın hangi betikleri çalıştırabileceğini sınırlar.
Hazır web siteleri
Hazır kurumsal siteler ayrı bir üründür ve kendi korumaları vardır:
- Panel şifresi tuzlanmış scrypt hash’i olarak saklanır; ilk şifre rastgele üretilir ve zamanlamaya karşı güvenli karşılaştırmayla doğrulanır.
- Oturum çerezi HttpOnly, SameSite=Strict ve Secure’dır.
- Panel istekleri CSRF’e karşı korunur.
- Hız sınırları: IP başına 15 dakikada 6 panel girişi denemesi, 10 dakikada 8 iletişim formu gönderimi.
- İstek boyutu sınırlıdır, kaydedilen içerik sunucuda doğrulanır, yüklenen görsellerin dosya imzası kontrol edilir.
- Panel işlemleri denetim kaydına yazılır; içeriğin son 50 sürümü yedek olarak tutulur.
- Lisans anahtarı Ed25519 ile imzalıdır; alan adına ve temaya bağlıdır.
- Sayfalar statik HTML olarak üretilir, tüm metinler kaçışlanır.
HTTPS, sitenin çalıştığı sunucuya bağlıdır; ürünün kendisi sağlamaz.
İddia etmediklerimiz
ISO 27001, SOC 2 ya da PCI DSS sertifikamız yok ve yayımlanmış bir sızma testi raporumuz bulunmuyor. Şirketiniz güvenlik anketi istiyorsa yazılı olarak yanıtlıyoruz.
Bir güvenlik açığı mı buldunuz? Nasıl bildireceğiniz Güven Merkezi’nde yazıyor. Güven Merkezi
Projenizi konuşalım
Neye ihtiyacınız olduğunu kısaca anlatın. Genellikle bir iş günü içinde yanıt veriyoruz.