Güvenlik

İş verinizi korumak tasarımın bir parçası

Bu sayfada Biom business.'in bugün hangi korumaları uyguladığını açıkça anlatıyoruz. Abartı yok: neyin olduğunu ve neyin yol haritasında olduğunu ayrı ayrı yazıyoruz.

Güvenlik açığı bildirin Veri işleme sözleşmesi

Kimlik doğrulama

  • Parolalar scrypt ile tuzlanarak özetlenir; düz metin hiçbir yerde tutulmaz.
  • Oturum belirteçlerinin yalnız SHA-256 özeti saklanır.
  • Doğrulayıcı uygulamayla iki adımlı doğrulama ve tek kullanımlık kurtarma kodları.
  • Kurum hesabıyla giriş (OpenID Connect); istenirse zorunlu.
  • Giriş denemelerinde hız sınırı; kullanıcı adının varlığı yanıt süresinden anlaşılmaz.

Erişim kontrolü

  • Sahip, yönetici, üye ve misafir rolleri.
  • Misafirler yalnız davet edildikleri kanalları görür.
  • Özel kanal ve doğrudan mesaj içerikleri, olayları, arama sonuçları ve dosyaları yalnız üyelere gider; bu davranış otomatik testlerle doğrulanır.
  • Topluluklarda kanal bazında izin geçersiz kılma.
  • Cihaz ve oturum listesi; diğer cihazlardan tek tıkla çıkış.

Dosya güvenliği

  • Dosyalara yalnız imzalı ve süreli bağlantılarla erişilir.
  • Dosyalar ayrı ve sıkı bir içerik politikasıyla, yalıtılmış olarak sunulur.
  • Betik çalıştırabilecek türler (SVG, HTML, JS) kendi türüyle sunulmaz.
  • Dosya türü içerikten belirlenir; uzantıya güvenilmez.

Uygulama güvenliği

  • Sıkı içerik güvenliği politikası (CSP): satır içi betik yok, dış kaynak yok.
  • Mesaj biçimlendirmesi önce kaçırılır, sonra yalnız bilinen öğeler eklenir; bağlantılar yalnız http/https.
  • Bağlantı önizlemesi sunucu taraflı istek sahteciliğine (SSRF) karşı korunur: özel ağ adresleri engellenir, boyut ve süre sınırı vardır.
  • Mesaj, yükleme ve giriş uçlarında hız sınırları.

Veri yaşam döngüsü

  • Yönetici mesaj saklama süresini belirler; süresi dolan mesajlar otomatik silinir.
  • Kişisel veri ve çalışma alanı verisi makine okunur biçimde dışa aktarılabilir.
  • Kullanıcı hesabını silebilir; profil bilgileri anonimleştirilir.
  • Parola sıfırlama ve doğrulama bağlantıları tek kullanımlık ve sürelidir.

Geliştirme süreci

  • Her değişiklik gerçek HTTP ve WebSocket bağlantısı kuran uçtan uca testlerden geçer.
  • Yetki sınırlarını (özel kanal, misafir, yönetici işlemleri) doğrulayan ayrı testler.
  • Bağımlılık sayısı bilinçli olarak düşük tutulur.
  • Veritabanı şeması sürümlenir; göçlerden önce yedek alınır.
KVKK ve sözleşmeler

Roller ve sorumluluklar açık

Çalışma alanınızdaki içeriklerin veri sorumlusu kurumunuzdur; Biom business. veri işleyen olarak yalnız sizin talimatınızla işler. İhlal bildirimi, alt işleyen değişiklikleri ve veri iadesi sözleşmeyle güvence altındadır.

Şeffaflık

Henüz yapmadıklarımız

Kurumların doğru karar vermesi için açık olmak istiyoruz:

  • Bağımsız bir güvenlik sertifikamız (ör. ISO/IEC 27001) şu an yok; yol haritamızda.
  • Uçtan uca şifreli mesajlaşma sunmuyoruz: yöneticilerin saklama ve dışa aktarma gibi kurumsal ihtiyaçları için mesajlar sunucuda okunabilir biçimde tutulur.
  • Bağımsız bir sızma testi henüz yaptırılmadı; yol haritamızda.

Bir güvenlik açığı mı buldunuz?

Sorumlu açıklama politikamıza göre bize bildirin. Üç iş günü içinde yanıt veririz ve iyi niyetli araştırmacılara karşı hukuki işlem başlatmayız.

Sorumlu açıklama politikası security.txt