Son güncelleme: 20 Eylül 2026

Güvenlik ve altyapı

Bu sayfa tedarikçi değerlendirmesi yapan ekipler için yazıldı. Bugün uygulanan tedbirleri, bugün olmayanları ve altyapının gerçek halini ayrı ayrı yazıyoruz. Ürün değiştikçe sayfa da değişir.

Bugün uygulanan

Kimlik ve erişim

Her girişte iki adımlı doğrulama zorunludur. Parola doğrulandıktan sonra oturum anahtarı verilmez; e-posta ile altı haneli kod gönderilir ve anahtar ancak kod doğrulanınca üretilir. Kod on dakika geçerlidir.
Kod isteme ve kod deneme ayrıca sınırlıdır: deneme hem IP başına hem de o girişe ait geçici anahtar başına sayılır.
Yetki 26 başlıkta tanımlıdır ve üç rol vardır: Yönetici, Ekip Üyesi, Görüntüleyici. Rolün üzerine kullanıcı bazında tek tek yetki açılıp kapatılabilir. Başlık bazlı denetim önce silme, onaylama, kullanıcı ve ayar uçlarına konuldu; kalan uçlarda rol kapısı geçerlidir.
Onaylama, kullanıcı yönetimi ve şirket ayarları varsayılan olarak yalnız Yöneticidedir; başvuru kaydını silme ve tarama bulgusunu susturma da öyledir. Süreç ve yasal metin silme Ekip Üyesinde açıktır.
Her istekte kullanıcının hangi şirkete eriştiği tek bir yerde çözülür. Normal kullanıcıda kapsam her zaman kendi şirketidir; istekle gönderilen şirket başlığı dikkate alınmaz.
Kullanıcı pasife alındığında ya da silindiğinde açık oturumları ve bekleyen doğrulama kodları anında düşer.
Parolalar geri döndürülemez biçimde (tuzlanmış tek yönlü özet) saklanır. En az 10 karakter, yaygın parola ve kullanıcı bilgisine benzerlik kontrolü uygulanır.
Şifre sıfırlama bağlantısı bir saat geçerlidir, bir kez kullanılır ve kullanıldığında eski parolayla açılmış oturumlar kapanır.

Uygulama ve ağ

Üretimde HTTP istekleri HTTPS'e yönlendirilir ve tarayıcıya bir yıllık HSTS başlığı gönderilir. Sertifika Let's Encrypt'tir ve certbot ile yönetilir.
Her yanıta tarayıcı yetenek kısıtı (konum, mikrofon, kamera, ödeme, USB kapalı) ve pencere yalıtımı başlıkları eklenir; HTML yanıtlarda içerik güvenlik politikası uygulanır.
Çapraz kaynak erişimi ve CSRF için açık adres listeleri kullanılır; joker izin yoktur.
IP başına sınırlar yönlendirmeden önce uygulanır: giriş dakikada 10, kayıt 10 dakikada 5, iki adımlı doğrulama dakikada 20, şifre sıfırlama saatte 10, yönetim paneli girişi 5 dakikada 10.
Bu sayaçların kullandığı istemci adresi, vekil sunucunun yazdığı başlıktan alınır; istemcinin kendi yazabildiği X-Forwarded-For başlığı hiç okunmaz, yani sınırlar sahte başlıkla aşılamaz.
Yanlış yapılandırma kapalı tarafa düşer: hata ayıklama kipi varsayılan olarak kapalıdır ve üretimde gizli anahtar tanımlı değilse uygulama açılmaz.
İstek gövdesi ve tek dosya için üst sınır 10 MB'tır.

Veri ve kayıt

Site taramasında çerezlerin adı, alan adı, süresi ve güvenlik bayrakları kaydedilir; çerez değeri hiç okunmaz ve saklanmaz.
Müşterinin sitesine konan ölçüm etiketi, ziyaretçinin forma yazdığı hiçbir değeri göndermez. Formun yapısını okur: buton çevresindeki sabit metin, bağlantılar ve onay kutucuklarının etiketi ile durumu.
Başvuru ve ihlal kayıtlarında yapılan her işlem ayrı satır olarak tutulur: oluşturma, durum değişikliği, atama, not, yanıt ve süre değişikliği.
Yasal metinler sürüm sürüm saklanır; onaylayanın adı ayrı sütuna kopyalanır ve hesabı silinse bile kayıtta kalır.
Sınır aşımları, yönetim paneli giriş denemeleri ve kimlik doğrulama girişimleri ayrı bir güvenlik günlüğüne yazılır.
Tarayıcı ve iletişim formu denetim günlüklerine kişisel veri yazılmaz; iletişim formunda ham IP yerine gün içinde değişen türev bir anahtar tutulur.
Zamanlanmış silme işleri çalışır: ücretsiz site taraması verisi 30, iletişim formu kaydı 180 günde silinir (işler her gün çalışır); okunmuş bildirimler 90 günü geçince, ayda bir çalışan işle silinir.
Yapay zeka katmanları kapı arkasındadır. Başvuru yanıtı ve yasal metin incelemesi katmanlarının kendi ayarı vardır ve varsayılanları kapalıdır; kapalıyken uç çalışmaz ve hiçbir veri dışarı çıkmaz. İhlal bildirimi ile süreç açıklaması katmanları ise ortak yapay zeka anahtarı tanımlandığında açılır.

Bugün olmayan

ISO/IEC 27001, ISO/IEC 27701, SOC 2: Belge yok, belgelendirme süreci başlamadı.
Bağımsız sızma testi: Yaptırılmadı. Depoda yalnız elle çalıştırılan bir bağımlılık açığı tarama betiği var.
Kurumsal tek oturum (SAML, OIDC) ve otomatik kullanıcı sağlama (SCIM): Yok. Giriş e-posta, parola ve e-postaya gelen kodla yapılır; kullanıcılar davetle eklenir.
Uygulama düzeyinde beklemede şifreleme: Yok. Alanlar uygulama tarafından şifrelenmez; parolalar bunun dışındadır.
Platform geneli denetim tablosu: Yok. İzler modül içinde tutulur; giriş, çıkış ve yetki değişikliği için sorgulanabilir tek bir tablo yoktur.
Yedekleme, geri yükleme ve felaket kurtarma: Yazılı yordam ve zamanlanmış yedek işi yok; ikinci sunucu, çoğaltma ve kurtarma hedefi tanımlı değil.
Sağlık kontrolü ucu, izleme ve durum sayfası: Yok. Servis durumu sunucudan bakılarak anlaşılıyor; kesinti duyurusu yayımlanan bir adres yok.
Hizmet seviyesi taahhüdü: Yazılı çalışma süresi, destek yanıt süresi ve olay bildirim süresi taahhüdü yok.
Müşteri API anahtarı ve giden webhook: Yok. Kendi sistemlerinize bağlanacağınız bir arayüz bugün bulunmuyor.
Veri ikamet yeri seçeneği: Yok. Tek bir sunucu ve tek bir veri tabanı var; konum müşteriye seçtirilmiyor.
Kimlik doğrulayıcı uygulaması ya da donanım anahtarı: Yok. İkinci adım yalnız e-postaya gelen koddur; yedek kod ve cihaz hatırlama yoktur.
Şirkete özel parola politikası, IP kısıtı ve oturum süresi ayarı: Yok. Kurallar platform genelinde sabittir.
Sürekli tümleştirme ve otomatik yayın kontrolü: Yok. Testler ve derleme elle çalıştırılıyor, yayın sunucuda bir betikle yapılıyor.
Alt işleyen listesi ve veri işleyen sözleşmesi: Yayımlanmış bir liste ve indirilebilir bir sözleşme metni henüz yok; hazırlanıyor.

Altyapı

Barındırma: DigitalOcean, New York bölgesi (Amerika Birleşik Devletleri). Tek sanal sunucu, Ubuntu 24.04.
Bileşenler: Önde nginx; uygulama arayüzü ve API aynı sunucuda ayrı servisler olarak çalışır. Uygulama sunucusu yalnız yerel adresi dinler, dışarıya açık değildir.
Veri tabanı: PostgreSQL 16, uygulama ile aynı sunucuda.
Kuyruk ve önbellek: Redis; tarama işleri ve zamanlanmış silme işleri Celery ile yürür.
Şifreleme: Aktarım sırasında TLS. Beklemede uygulama düzeyinde şifreleme yoktur.
Yayın: Kod tek bir özel depodan salt okunur anahtarla çekilir; yayın sunucuda elle çalıştırılan bir betikle yapılır.

Verilerinizle ne yapılıyor

Hesap verisi: ad soyad, e-posta, telefon, görev, rol ve yetki ayarları ile şirket künyesi.
İçerik verisi: veri işleme envanteri, yasal metinler, ilgili kişi başvuruları (başvuranın kimlik ve iletişim bilgileri dahil), veri ihlali kayıtları, tarama sonuçları ve raporlar.
Gmail bağlanırsa istenen izinler yalnız posta okuma ve gönderme ile sınırlıdır. Okunan mesajların gönderen, alıcı, konu ve gövde bilgisi veri tabanına yazılır ve bugün şifrelenmeden tutulur.
Yapay zekaya gönderilen veri katmana göre değişir. Süreç açıklaması önerisinde yalnız sürecin adı gönderilir. Başvuru metni çözümlemesinde ilgili kişinin yazdığı serbest metin gönderilir; bu katmanın kendi ayarı vardır ve kapalıyken hiçbir şey gönderilmez.
E-posta gönderim servisine giden bilgi, gönderilen postanın kendisidir: alıcı adresi, konu, gövde ve varsa ekler.
Platform operatörü (süper kullanıcı işaretli hesap) destek için müşteri şirketine geçebilir ve o şirkette tüm yetkilerle çalışır. Bu erişimin müşteriye gösterilen bir kaydı bugün tutulmuyor.
Dışa aktarma: envanter Excel ve CSV, yasal metinler ve başvuru yanıtı Word ve PDF, Kurul ihlal bildirim formu ve uyumluluk raporu PDF olarak alınır.
Hesap silindiğinde yasal kanıt zincirindeki adlar ayrı sütunlarda kalır; kim hangi işlemi yaptıysa kayıtta görünmeye devam eder.

Sırada

Yedekleme ve geri yükleme yordamı, kurtarma hedeflerinin yazılmasıtarih belirlenmedi
Alt işleyen listesinin ve veri işleyen sözleşmesinin yayımlanmasıtarih belirlenmedi
Bağımsız sızma testitarih belirlenmedi
Kurumsal tek oturum (SAML ya da OIDC)tarih belirlenmedi
Platform geneli denetim izi ve operatör erişiminin kaydıtarih belirlenmedi
ISO/IEC 27001 kararı ve varsa belgelendirme takvimitarih belirlenmedi

Tarihler belirlendikçe bu sayfada yayımlanır.

Güvenlik soruları ve bildirim

Bilgi güvenliği değerlendirmeniz ya da tedarikçi anketiniz varsa info@verikasifi.com adresine iletebilirsiniz. Bir güvenlik açığı fark ettiyseniz aynı adrese yazın; ayrı bir güvenlik kutusu açıldığında bu sayfada duyurulur.