Güvenlik
Güvenliği nasıl sağlıyoruz?
Güvenlik önlemlerini yalnızca sıralamak yerine hangi kararı neden aldığımızı anlatıyoruz. Bilinen sınırlarımızı da bu sayfada açıkça paylaşıyoruz.
Aldığımız önlemler
Yetki her zaman sunucuda kontrol edilir
Mesajın yazarı, giriş yapmış kişiden alınır ve dışarıdan değiştirilemez. Bir alanın zorunlu olup olmadığı da her zaman sunucuda kontrol edilir.
Yetkisiz istek “bulunamadı” yanıtı alır
“Erişim yasak” yanıtı, aranan kaydın var olduğunu ele verirdi. Aynı kural hesap sorgusunda da geçerlidir: e-posta kayıtlı olsun ya da olmasın yanıt aynıdır.
Ekip içi bilgiler müşteriye gitmez
Atanan personel, ekip içi notlar ve işlem geçmişi müşteriye hiçbir yolla gönderilmez. Müşteriye giden her bilgi aynı filtreden geçer.
Şifreler geri çözülemez
Panel şifreleri açık metin olarak saklanmaz. Müşteri giriş kodları da veritabanında açık tutulmaz, bu yüzden veritabanı ele geçirilse bile kodlarla giriş yapılamaz.
Oturum her istekte kontrol edilir
Ekip üyesinin oturumu kişiye ve firmaya bağlıdır. Kişinin hâlâ aktif olup olmadığı her istekte kontrol edilir, pasif yapılan kişinin erişimi anında kapanır.
Dosyalar herkese açık değildir
Ek dosyalar dışarıya kapalı bir depoda saklanır. Her indirmede yetki yeniden kontrol edilir ve ekip içi nota eklenen dosya müşteriye hiçbir koşulda açılmaz.
Yüklenen dosya içeriğinden kontrol edilir
Yüklemeden sonra dosyanın gerçek boyutu ve içeriği kontrol edilir. Uzantısı değiştirilmiş dosya reddedilir ve depodan silinir.
İşlem geçmişi değiştirilemez
İşlem kayıtlarına yalnızca yeni kayıt eklenebilir, var olanlar değiştirilemez ve silinemez. API de bu kayıtları yalnızca okuyabilir.
Firmaların verileri ayrıdır
Talepler, geri bildirimler ve talep numaraları her firma için ayrı tutulur. Bir firmanın personeli başka bir firmanın paneline giremez.
E-posta
E-posta şifresi şifrelenerek saklanır
Firmalar kendi e-posta sunucularını tanımlayabilir. Bu ayarda e-posta hesabının şifresi saklandığı için sayfayı yalnızca yönetici açabilir.
- Şifre AES-256 ile şifrelenir, şifreleme anahtarı yoksa kayıt yapılmaz
- Kaydedilen şifre ekranda bir daha gösterilmez
- İç ağ adreslerine bağlantı kurulması engellenir
- Ortak altyapıda gönderen adresi değiştirilemez, böylece kimse başka bir firma adına e-posta gönderemez
API
API anahtarları açık olarak saklanmaz
Anahtarlar firmanın kendi panelinden oluşturulur. Anahtar yalnızca oluşturulduğu anda bir kez gösterilir ve sistemde kendisi saklanmaz.
- Gizli anahtar tarayıcıdan kullanılamaz
- Yayın anahtarı yalnızca firmanın izin verdiği sitelerden çalışır
- Müşteri jetonu yalnızca kendi kullanıcısının taleplerini görür
- İstek sınırı anahtar ve kullanıcı başına uygulanır
İçerik güvenliği
Makalelerdeki zararlı kodlar temizlenir
Makaleler zengin metin editörüyle yazılır ve müşteriye açık bir sayfada gösterilir. Bu yüzden içerik, sunucuda zararlı kodlara karşı temizlenir.
- Betikler ve zararlı kodlar içerikten çıkarılır
- Video yalnızca izin verilen sitelerden eklenebilir
- Firmaya özel JavaScript yalnızca portalda çalışır, panelde çalışmaz
- Firmaya özel kodlar sayfaya güvenli biçimde eklenir
- Panel, yönetim konsolu ve API arama motorlarına her zaman kapalıdır
KVKK
Kişisel veriler ve rollerimiz
Portalınıza yüklenen talepler, müşteri kayıtları ve dosyalar bakımından veri sorumlusu sizsiniz. Solveron bu verileri yalnızca hizmeti sunmak için işler.
Sözleşme
Veri işleme koşulları, sözleşmemizin ekinde Türkçe ve KVKK’ya uygun olarak düzenlenir.
Veri yeri
Barındırılan kurulumda verileriniz hizmet sağlayıcımızın veri merkezlerinde tutulur. Kendi sunucunuza kurulumda verilerin tamamı sizin altyapınızdadır.
Dışa aktarma
Verilerinizi dışa aktarma ve silme taleplerinizi karşılıyoruz. Koşullar sözleşmede belirlenir.
Şeffaflık
Bilinen sınırlarımız
Bunları da açıkça yazıyoruz, çünkü bir güvenlik sayfasında sınırlar en az önlemler kadar önemlidir.
Kurucu anahtarı tüm kurulum için tektir
Acil durumlar için tutulan bu anahtar, çok firmalı kurulumda her firmanın paneline erişebilir. Önerimiz, bu anahtarı yalnızca ilk yöneticiyi tanımlamak için kullanmanız ve günlük işi kişisel hesaplarla yürütmenizdir.
Webhook bildirimleri tekrar denenmez
Karşı taraf hata verirse bildirim tekrar gönderilmez. Kritik entegrasyonlarda verileri düzenli aralıklarla eşitlemenizi öneriyoruz.
İstek sınırı tek sunucu için tasarlandı
Tek sunuculu kurulumlar için yeterlidir. Birden fazla sunucu çalıştırıldığında istek sayıları sunucular arasında paylaşılmaz.
Bildirim
Güvenlik açığı bildirimi
Bir güvenlik açığı bulduğunuzu düşünüyorsanız lütfen bize yazın. Bildirimlere en geç iki iş günü içinde dönüyor, doğrulanan bulgular için teşekkür ediyoruz.
Güvenlik değerlendirmenizi birlikte yapalım
Seçtiğiniz kuruluma göre verilerinizin nerede saklandığını ekibinizle birlikte gözden geçirelim.