Güvenlik ve veri koruma
Son güncelleme: 11 Eylül 2026
yigitfy, mağazanın API anahtarlarını ve müşterilerinin sipariş verilerini işler; bu yüzden güvenlik bir özellik değil, ön koşuldur. Bu sayfa neyi nasıl koruduğumuzu, neyi sakladığımızı ve bir açık bulursan bize nasıl ulaşacağını anlatır.
Veriler nasıl saklanıyor?
| Veri | Koruma |
|---|---|
| Mağaza API anahtarları, OAuth belirteçleri, yapay zekâ anahtarları | Sunucuda simetrik şifreleme (Fernet / AES) ile şifreli; anahtar uygulama dizini dışında; hiçbir ekranda geri gösterilmez |
| Parolalar | scrypt ile karma; düz metin hiçbir zaman saklanmaz |
| Oturumlar | Sunucuda tutulan belirteç; HttpOnly + SameSite=Lax çerez; giriş ve şifre sıfırlama hız limitli |
| Sipariş ve müşteri verileri | Hesap bazında yalıtılmış; her sorgu hesap kimliğiyle sınırlanır |
| Kart bilgileri | yigitfy'a hiç gelmez; ödeme sağlayıcısında kalır |
| Yedekler | Günlük otomatik yedek, erişimi kısıtlı dizin |
Uygulama katmanında hangi önlemler var?
- HTTPS zorunlu, HSTS açık (alt alan adları dahil).
- Content-Security-Policy: satır içi betik çalışmaz; yalnız kendi alan adımızdan betik yüklenir.
- Alan adı ayrımı: panel, API, webhook, OAuth ve medya ayrı alt alan adlarında; her biri yalnız kendi yollarını sunar.
- CSRF ve Origin denetimi: durum değiştiren her istek kaynağı doğrulanır.
- Webhook imzası: Shopify'dan gelen sipariş bildirimlerinin HMAC imzası doğrulanır.
- Bot koruması: giriş ekranında Cloudflare Turnstile; e-posta bombardımanına karşı adres başına limit.
- Yapay zekâ asistanı: araç sonuçları (sipariş, müşteri adı vb.) veri olarak ele alınır, talimat olarak değil; silme gibi geri dönüşü olmayan işlemlerde onay istenir.
- Public API: Bearer belirteç + kapsam + tekrar koruması (idempotency); belirteçler karma olarak saklanır.
Sunucu tarafında neler yapıldı?
- Uygulama ayrıcalıksız bir sistem kullanıcısıyla, sertleştirilmiş systemd servisi olarak çalışır (salt okunur sistem, özel /tmp).
- Güvenlik duvarı yalnız 22/80/443'ü açık tutar; SSH deneme saldırılarına karşı otomatik engelleme (fail2ban).
- Ters vekil (Caddy) her alan adını yalnız kendi yollarına açar; Cloudflare kenar koruması önde.
- Bağımlılıklar düzenli güncellenir.
Bağımsız denetim yapıldı mı?
Eylül 2026'da uygulama üzerinde bir güvenlik denetimi ve saldırı simülasyonu yürütüldü. Bulunan 11 bulgu (2 yüksek, 7 orta, 2 düşük — kalıcı XSS, eksik CSP, e-posta hız limiti, zamanlama ile hesap sayımı, Excel formül enjeksiyonu vb.) aynı dönemde kapatıldı ve doğrulandı. Denetim özeti talep hâlinde paylaşılabilir.
Bir açık bulursam ne yapmalıyım?
Lütfen [email protected] adresine "Güvenlik bildirimi" konusuyla yaz; 3 iş günü içinde dönüş yaparız. İyi niyetli araştırmacılara karşı hukuki işlem başlatmayız; bulgu kapatılana kadar kamuya açıklamamanı rica ederiz.
Sık sorulanlar
API anahtarımı yigitfy çalışanları görebilir mi?
Hayır. Anahtarlar şifreli saklanır ve yalnız senin hesabının istekleri için, sunucu içinde çözülür; hiçbir arayüzde gösterilmez.
Verilerim nerede tutuluyor?
Kendi yönettiğimiz sunucularda, Cloudflare koruması arkasında. Yurt dışı aktarım ve saklama süreleri KVKK Aydınlatma Metni'nde açıklanır.
Hesabımı kapatırsam veriler ne olur?
Mağaza bağlantıları ve anahtarlar hemen silinir; sipariş verileri makul bir süre sonra yok edilir. Ayrıntı: Gizlilik Politikası.