Güvenlik ve veri koruma

Her müşteri için ayrı bir uygulama yığını kurulur: API, web uygulaması, Redis önbelleği, nesne depolama ve nginx, müşteriye ayrılmış bir sanal sunucuda çalışır. Verileriniz başka kurumların verisiyle aynı uygulamada işlenmez.

Veritabanı olarak Huawei Cloud'un yönetilen PostgreSQL hizmeti kullanılır; her müşterinin kendine ait veritabanı ve veritabanı kullanıcısı vardır. Tüm trafik Cloudflare üzerinden geçer.

SMS, e-posta ve yapay zekâ sağlayıcılarına ait API anahtarları veritabanında AES-256-GCM ile şifrelenerek saklanır. Şifreleme, denetim zinciri ve oturum imzaları için ayrı anahtarlar tek bir ana gizli anahtardan HKDF-SHA256 ile türetilir.

Personel kodları yalnızca Argon2id özetiyle saklanır. NFC etiketlerindeki güven anahtarları ve canlı ekran kimlik bilgileri de veritabanında yalnızca SHA-256 özeti olarak tutulur.

Yönetici kullanıcılar Logto kimlik altyapısı üzerinden giriş yapar. Herkese açık kayıt kapalıdır; hesaplar yalnızca 7 gün geçerli e-posta davetiyle açılır. Her kullanıcıya bir veya birden fazla rol verilir ve roller 35 yetki kapsamına bağlıdır.

Saha personeli 4 karakterli personel koduyla giriş yapar. Kod 15 dakikada 10 hatalı denemeden sonra kilitlenir. Personel, telefonunu geçiş anahtarı (passkey) ile kaydederek kodsuz hızlı giriş yapabilir; yöneticiler bu cihazları iptal edebilir.

Oluşturma, güncelleme, silme, geri yükleme, aktarma, yönlendirme, kapatma ve dışa aktarma işlemleri denetim kaydına yazılır. Her kayıtta işlemi yapan kullanıcı, IP adresi, tarayıcı bilgisi ve değişiklikten önceki ve sonraki veri bulunur.

Kayıtlar HMAC-SHA256 hash zinciriyle birbirine bağlıdır. Kayıt detayında her halkanın zinciri doğrulanıp doğrulanmadığı gösterilir; böylece sonradan yapılan bir değişiklik fark edilir. Denetim kayıtlarının dışa aktarılması da ayrıca kayda geçer.

Veritabanı, yönetilen PostgreSQL hizmetinin otomatik yedekleme ve belirli bir ana geri dönme (point-in-time recovery) özelliğiyle korunur. Her sürüm güncellemesinden önce ayrıca veritabanının tam bir dökümü alınır.

Dosya deposu için disk anlık görüntüsü (snapshot) önerilir. Yedekleme sıklığı, saklama süresi ve geri yükleme adımları sözleşme aşamasında sizinle birlikte netleştirilir.

Ziyaretçi geri bildirimleri varsayılan olarak anonimdir. Ad, telefon ve e-posta alanlarının gösterilip gösterilmeyeceğine ve zorunlu olup olmayacağına siz karar verirsiniz. Aydınlatma ve açık rıza metinlerini veri sorumlusu olarak kendi kurumunuz yazar; ürün varsayılan bir metin dayatmaz.

Anket oturumları yanıtlayan kişinin kimliğini tutmaz. Ziyaretçi sayfalarında analiz veya reklam amaçlı izleme betiği yoktur; yalnızca işlevsel birinci taraf çerezler kullanılır. Yönetim panelindeki personel, kullanıcı ve ekip listelerinde iletişim bilgileri maskelenerek gösterilir.

Genel ve uç nokta bazlı istek limitleri, ziyaretçi formlarında gizli bot tuzağı ve tekrar eden gönderim engeli ürünün içinde yer alır. Örneğin aynı lokasyondan aynı mesaj 15 dakika içinde ikinci kez gönderilemez.

Web uygulaması HSTS, içerik güvenliği politikası (CSP), nosniff ve sıkı referrer politikası başlıklarıyla sunulur. Çerezle kimlik doğrulanan yazma isteklerinde CSRF koruması uygulanır. Her sürüm yayımlanmadan önce statik kod analizi, gizli anahtar taraması ve bağımlılık güvenlik denetiminden geçer.

Bir güvenlik açığı tespit ettiyseniz lütfen support@enainnovation.com adresine yazın. Bildirimi inceler, size dönüş yapar ve düzeltme sürecini paylaşırız.

ENA Innovation'ın ISO 9001 kalite yönetimi ve ISO 27001 bilgi güvenliği yönetimi sertifikasyon süreçleri devam etmektedir.