Güvenlik
Tasarımdan güvenlik
Genç ve çevik bir şirketiz. Önce denetçilere para harcamak yerine kaynaklarımız doğrudan teknik güvenliğe gidiyor. Önlemlerimiz ISO 27001 ve BSI IT-Grundschutz’a göre yönlendirilir ve doğrulayabilmeniz için burada açıkça belgelenir.
Sertifika rozetleri yok; gerçekten yaptıklarımızın açık bir listesi, kendi gereksinimlerinizle karşılaştırabilirsiniz. Aynı önlemler veri işleme sözleşmemizin bir parçasıdır ve size karşı sözleşmesel bir taahhüttür.
Kimlik ve erişim
- Her hesap için kurtarma kodlu iki faktörlü kimlik doğrulama (TOTP)
- Google veya Apple ile ya da bcrypt ile özetlenen e-posta + parola ile giriş
- HttpOnly, Secure, SameSite çerezlerde oturumlar; her yeni girişten haberdar edilirsiniz
- Roller (sahip, yönetici, düzenleyici, görüntüleyici); kimse işinin gerektirdiğinden fazlasına sahip olmaz
En az ayrıcalık
- API anahtarları yalnızca seçtiğiniz çalışma alanlarına erişir, süresi dolabilir, bir kez gösterilir ve özet olarak saklanır
- Hizmetler ayrı konteynerlerde ayrıcalıksız kullanıcılar olarak çalışır; işleyici uygulamayla yalnızca paylaşılan bir sırla konuşur
- Veritabanına kısıtlı bir rolle erişilir; Postgres satır düzeyi güvenliği, uygulamada hata olsa bile hesaplar arası okumayı engeller
- Her yönetim eylemi denetim günlüğüne yazılır
Veri koruma ve yalıtım
- AB’de barındırılır (Hetzner, Nürnberg); teknik ve kurumsal önlemleri içeren veri işleme sözleşmesi
- Saklanan sırlar (webhook imza anahtarları, kayıt defteri ve yedek kimlik bilgileri, 2FA sırları, şablon parolaları) AES-256-GCM ile şifrelenir
- Belgeler özeldir; indirmeler kısa ömürlü imzalı bağlantılarla yapılır
- Saklamayı siz kontrol edersiniz; her şeyi dışa aktarabilir veya silebilirsiniz; silmelerde bekleme süresi vardır
- Belgeler ve veritabanı Almanya’daki Hetzner sunucularında çalışır; günlük veritabanı yedekleri AB’deki Hetzner nesne depolamasına gider, 30 gün saklanır ve uygulama verilerinden ayrı tutulur
Belge bütünlüğü
- Tamamlanan her e-imza belgesi düzenlemeye karşı kilitlenir, dijital sertifikayla mühürlenir ve bir SHA-256 parmak izi alır
- İmzalayanlar bir onay beyanını kabul eder; denetim izi hash zinciriyle bağlıdır, hiçbir şey fark edilmeden değiştirilemez
- PDF’e sahip olan herkes onu halka açık doğrulama sayfamızda, yüklemeden doğrulayabilir Doğrulama sayfasını aç →
- Webhook’lar imzalanır (HMAC-SHA256) ve otomatik olarak yeniden denenir
Dayanıklılık ve kötüye kullanım koruması
- Plan başına hız sınırları ve kayıt kısıtlaması
- Belge boyutu ve sayfa sayısında katı sınırlar; işleyici zaman aşımlarıyla yalıtılmış çalışır, bozuk bir belge hizmeti asla çökertmez
- Giden istekler (şablonlardaki görseller) izin verilen sunucularla sınırlıdır; sunucu tarafı istek sahteciliği yok
- Hata izleme ve tesis dışı kopyalarla günlük yedeklemeler
- Katı bir Content Security Policy: satır içi script yok, herkese açık sayfalarda eval yok, scriptler yalnızca kendi kaynağımızdan ve izin verilen hizmetlerden
- Olay müdahalesi: bildirimler bir iş günü içinde değerlendirilir; etkilenen müşteriler doğrulanmış bir ihlalden sonraki 48 saat içinde bilgilendirilir — DPA’mızda taahhüt ettiğimiz gibi
Uyum sağladığımız standartlar
- ISO 27001 ve BSI IT-Grundschutz’a göre yönlendirilen, veri işleme sözleşmemize sözleşmesel bir taahhüt olarak yazılmış güvenlik önlemleri
- BSI teknik kılavuzu TR-02102’ye uygun kriptografi: AES-256-GCM, SHA-256, RSA-3072 belge mühürleri, TLS 1.2 veya üzeri
- GDPR Madde 32’nin gerektirdiği teknolojinin güncel durumu
- eIDAS kapsamında basit elektronik imzalar; ne olup ne olmadıklarını açıkça söyleriz
İddia etmediklerimiz
Henüz ISO 27001 veya SOC 2 sertifikamız yok ve aksini iddia etmiyoruz. O zamana kadar önlemlerimizi burada yayınlıyor ve değiştikçe bu sayfayı güncelliyoruz.
Sorumlu açıklama
Bir açık mı buldunuz? Bize yazın; her raporu okuruz ve iyi niyetli araştırmalara karşı yasal işlem yapmayız. security.txt dosyamız aynı adresi gösterir. [email protected]
Daha fazla ayrıntı mı gerekiyor?
Veri işleme sözleşmemiz teknik ve kurumsal önlemleri sözleşmesel bir taahhüt olarak listeler; güvenlik ekibi soruları doğrudan yanıtlar.