Güvenlik ve denetim

Kimlik ve oturum#

• Şifreler geri döndürülemez biçimde (bcrypt) saklanır.
• Oturumlar HttpOnly + Secure çerezlerle yönetilir; istemci doğrulama başlığı CSRF'yi engeller.
• Başarısız giriş denemeleri hız sınırına takılır (kaba kuvvet koruması).
• Oturum çerezi tüm org alt alan adlarında geçerlidir; çıkış her yerde oturumu kapatır.

Veri erişim denetimi#

• Erişim kararları sunucu tarafında verilir: profil ve paylaşım kuralları API katmanında uygulanır, arayüz atlatılarak aşılamaz.
• Dosya erişimi kayıt görme yetkisine bağlıdır: kaydı göremeyen, dosyasını da indiremez.
• Org'lar arası erişim mimari olarak kapalıdır (çok kiracılı yalıtım).

Denetim günlüğü#

Kurulum > Denetim Günlüğü kritik işlemleri kaydeder: girişler, ayar değişiklikleri, silmeler, dışa aktarmalar, süper admin org girişleri. Kayıtlar filtrelenebilir ve dışa aktarılabilir.

Hız sınırları#

Giriş, kayıt olma, e-posta gönderimi ve web form uçları hız sınırlıdır; kötüye kullanım ve taşkın (flood) engellenir.

Yedekleme ve süreklilik#

• Org verisi her gece otomatik yedeklenir; son kopyalar saklanır.
• Silinen kayıtlar önce Geri Dönüşüm Kutusu'na düşer; kalıcı imhalarda imha günlüğü tutulur (bkz. KVKK).

Sizin payınıza düşenler#

1. Güçlü ve benzersiz şifre kullanın; ekipte şifre paylaşmayın (herkese kendi kullanıcısı).
2. Ayrılan çalışanın kullanıcısını hemen pasifleştirin.
3. API token'larını sır gibi saklayın, kullanılmayanı iptal edin.
4. Profilleri "en az yetki" ilkesiyle kurun.