Verin şifreli, erişim senin elinde.
Burada yalnız sistemde gerçekten olanı yazdık; olmayanı da açıkça söylüyoruz.
- Google erişim anahtarları kayıt başına ayrı tuzla şifreli.
- AES-256-GCM
- Tüm trafik şifreli; tarayıcı HTTP'ye düşmez.
- TLS + HSTS
- Doğrulama uygulaması + 10 tek kullanımlık kurtarma kodu.
- 2FA
- Kartı iyzico saklar; bizdeki anahtarı da şifreli.
- Kart bizde yok
01 · Bağlantı
Altyapı ve trafik
Cloudflare arkasında
Sunucu web trafiğini yalnız Cloudflare'den kabul eder; doğrudan erişim kapalı.
HSTS ve içerik güvenliği politikası (CSP)
Tarayıcı siteyi yalnız HTTPS ile açar; izin verilmeyen kaynaktan betik yüklenemez.
İstek kaynağı denetimi
Başka bir siteden panel adına istek gönderilemez (CSRF koruması).
02 · Google
Google hesabına erişim
Resmi OAuth bağlantısı
Google şifreni hiç görmeyiz; erişimi Google hesabından istediğin an kaldırırsın.
Anahtarlar şifreli saklanır
Erişim ve yenileme anahtarları AES-256-GCM ile şifreli tutulur.
Hesabını silince Google'da da iptal
Silme sırasında anahtarlar iptal için Google'a gönderilir.
03 · Hesap
Giriş ve oturumlar
İki adımlı doğrulama
Doğrulama uygulaması kodu ve 10 tek kullanımlık kurtarma kodu.
Deneme sınırı
Aynı IP'den dakikada 5, aynı hesaba 10 dakikada 10 giriş denemesi.
Aktif oturumlar ve güvenlik geçmişi
Her cihazı görür, istediğini uzaktan kapatırsın. Şifreler bcrypt ile saklanır.
04 · Ekip ve destek
Kimin neye eriştiği
Rol bazlı yetki
Sahip, yönetici, editör, görüntüleyici: herkes gerekeni görür.
Destek erişimi kayıtlı
Destek ekibi hesabına yalnız gerekçe yazıp 5 dakikalık tek kullanımlık izinle girer; her giriş kaydedilir.
Personel için 2FA zorunlu
Yönetim paneline iki adımlı doğrulama olmadan girilemez.
05 · Verin
Yedek, saklama, silme
Şifreli gece yedeği
Veritabanı her gece şifrelenip ayrı bir depoya alınır; yedekler 30 gün tutulur.
Kayıtlar süre dolunca silinir
Giriş kayıtları 90, e-posta kayıtları 60, hata kayıtları 30 gün. Tam tablo Gizlilik'te.
Verini indir, hesabını sil
Ayarlar › Hesabım'dan. Silme hemen uygulanır ve geri alınamaz.
Açık olalım
ISO 27001 ya da SOC 2 belgemiz yok; bağımsız bir sızma testi henüz yaptırmadık. Bunlar olduğunda burada tarihiyle yazacağız.
Verinin nasıl işlendiği: Gizlilik Politikası · KVKK Aydınlatma Metni
Bir açık mı buldun?
security@localghost.co adresine adımları ve etkilenen adresi yaz; 3 iş günü içinde dönüş yaparız. Lütfen başka kullanıcıların verisine erişme, hizmeti yavaşlatma ve düzeltilene kadar açığı paylaşma.