Güvenlik ve denetim

Oturum güvenliği, erişim denetimi, denetim günlüğü, hız sınırları ve yedekleme: platformun güvenlik katmanları.

Kimlik ve oturum

• Şifreler geri döndürülemez biçimde (bcrypt) saklanır.
• Oturumlar HttpOnly + Secure çerezlerle yönetilir; istemci doğrulama başlığı CSRF'yi engeller.
• Başarısız giriş denemeleri hız sınırına takılır (kaba kuvvet koruması).
• Oturum çerezi tüm org alt alan adlarında geçerlidir; çıkış her yerde oturumu kapatır.

Veri erişim denetimi

• Erişim kararları sunucu tarafında verilir: profil ve paylaşım kuralları API katmanında uygulanır, arayüz atlatılarak aşılamaz.
• Dosya erişimi kayıt görme yetkisine bağlıdır: kaydı göremeyen, dosyasını da indiremez.
• Org'lar arası erişim mimari olarak kapalıdır (çok kiracılı yalıtım).

Denetim günlüğü

Kurulum > Denetim Günlüğü kritik işlemleri kaydeder: girişler, ayar değişiklikleri, silmeler, dışa aktarmalar, süper admin org girişleri. Kayıtlar filtrelenebilir ve dışa aktarılabilir.

Hız sınırları

Giriş, kayıt olma, e-posta gönderimi ve web form uçları hız sınırlıdır; kötüye kullanım ve taşkın (flood) engellenir.

Yedekleme ve süreklilik

• Org verisi her gece otomatik yedeklenir; son kopyalar saklanır.
• Silinen kayıtlar önce Geri Dönüşüm Kutusu'na düşer; kalıcı imhalarda imha günlüğü tutulur (bkz. KVKK).

Sizin payınıza düşenler

1. Güçlü ve benzersiz şifre kullanın; ekipte şifre paylaşmayın (herkese kendi kullanıcısı).
2. Ayrılan çalışanın kullanıcısını hemen pasifleştirin.
3. API token'larını sır gibi saklayın, kullanılmayanı iptal edin.
4. Profilleri "en az yetki" ilkesiyle kurun.