Güvenlik
Misafir verisi ve 5651 kayıtları için neyi nasıl koruduğumuzu açıkça yazıyoruz.
Bu sayfadaki her madde üründe çalışan bir kontrole dayanır. Henüz yapmadığımız şeyleri de ayrıca belirtiyoruz.
Kontroller
Platformda bugün çalışan güvenlik önlemleri
Pazarlama vaadi değil, uygulanmış kontrollerin özeti.
Şifreli bağlantı (HTTPS)
Panel, API ve Hotspotly'nin barındırdığı misafir giriş sayfaları yalnızca HTTPS üzerinden sunulur; tarayıcılara HSTS ile düz HTTP kullanmamaları bildirilir. Router'ın kendi yerel giriş yönlendirmesi cihazın ayarına bağlıdır.
Sırlar veritabanında şifreli
Router şifreleri, entegrasyon anahtarları, 2FA sırları ve TC kimlik / pasaport numaraları uygulama veritabanında AES-256-GCM ile şifreli saklanır. Anahtarlar veritabanında ve yedeklerde bulunmaz.
Panel şifreleri geri döndürülemez
Panel hesaplarının şifreleri bcrypt özetiyle saklanır; düz metin panel şifresi tutulmaz.
İki adımlı doğrulama
Yönetici, bayi ve müşteri hesaplarında (ekip üyeleri dahil) doğrulayıcı uygulamayla (TOTP) iki adımlı doğrulama varsayılan olarak zorunludur; bir işletmeyi yalnızca platform yöneticisi gerekçe kaydıyla muaf tutabilir. Kurtarma kodları tek kullanımlıktır.
Müşteri verisi ayrımı
Her kayıt bir müşteriye bağlıdır; panel uçları erişimi rol ve müşteri kimliğine göre denetler. Bir müşteri başka bir müşterinin cihazını, misafirini ya da kaydını göremez.
Denetim kaydı
Girişler, başarısız denemeler, şifre ve 2FA değişiklikleri, oturum iptalleri ile 5651 kayıtlarının her görüntülenmesi ve dışa aktarılması denetim kaydına yazılır.
Değişikliğe karşı korumalı 5651 kayıtları
Erişim kayıtları her gece SHA-256 özetleri, zincirleme manifest ve Merkle ağacıyla mühürlenir; mühürlendikten sonra yapılan bir değişiklik doğrulamada ortaya çıkar.
Değiştirilemeyen onay ve sözleşme kayıtları
Misafir onay kayıtları ve sözleşme kabulleri yalnızca eklenir: uygulama bu kayıtları güncellemez ya da silmez; onayın geri çekilmesi yeni bir kayıt olarak yazılır.
Günlük yedek ve geri yükleme betiği
Veritabanları her gün otomatik yedeklenir, son 14 yedek tutulur. Geri yükleme, canlı veritabanına dokunmadan şemayı, satır sayılarını ve 5651 mühürlerini doğrulayan bir tatbikat betiğiyle düzenli olarak denenmek üzere hazırlanmıştır.
Alt işleyenler
Veriyi işleyen üçüncü taraflar
Hizmeti sunmak için çalıştığımız sağlayıcılar. Bazıları yalnızca ilgili özelliği açtığınızda devreye girer.
| Sağlayıcı | Amaç | Kapsam |
|---|---|---|
| Barındırma sağlayıcısı | Sunucu, veritabanı ve yedekler. Sağlayıcı unvanı ve veri merkezi konumu teyit edildiğinde burada yayınlanır. | Tüm müşteriler |
| Cloudflare, Inc. | DNS, TLS sonlandırma ve saldırı koruması: panel ve API trafiği bu ağ üzerinden geçer. | Tüm müşteriler |
| iyzico (İyzi Ödeme ve Elektronik Para Hizmetleri A.Ş.) | Abonelik ve kredi ödemeleri; kart bilgisi Hotspotly sunucularına ulaşmaz. | Tüm müşteriler |
| TÜBİTAK BİLGEM Kamu SM | 5651 günlük mühürleri için RFC 3161 zaman damgası; abonelik etkinleşince devreye girer. Kişisel veri almaz; yalnızca günlük özet değeri gönderilir. | Yakında |
| NetGSM · İleti Merkezi · Mutlucell | Misafir SMS doğrulama kodları; seçtiğiniz SMS sağlayıcısı üzerinden gönderilir. | Açarsanız |
| Google · Meta (Facebook) | Sosyal hesapla misafir girişi; yalnızca bu yöntemi açan mekânlarda. | Açarsanız |
| Mews · Cloudbeds | Otel misafirinin oda ve soyadı doğrulaması; yalnızca PMS entegrasyonu kuran otellerde. | Açarsanız |
| Meta Platforms (WhatsApp Business) | WhatsApp ile doğrulama ve bildirimler; kanal henüz sunulmuyor. | Yakında |
Veri işleme sözleşmesi (DPA) talep üzerine paylaşılır. Güncel liste her zaman bu sayfada yayınlanır.
Sorumlu ifşa
Bir açık mı buldunuz?
Güvenlik araştırmacılarının bildirimlerini memnuniyetle karşılıyoruz. Lütfen açığı kamuya duyurmadan önce bize e-postayla bildirin.
- 1.Açığı, etkilenen adresi ve yeniden üretme adımlarını e-postayla gönderin.
- 2.En geç 5 iş günü içinde bildiriminizi aldığımızı yanıtlarız.
- 3.Doğrulama ve düzeltme sürecinde sizi bilgilendiririz; kritik ve yüksek açıkları 30 gün içinde kapatmayı hedefleriz.
- 4.Düzeltme yayına girdikten sonra, isterseniz adınızla teşekkür ederiz.
Kapsamda
hotspotly.net üzerindeki web sitesi, panel ve API, misafir giriş sayfaları (portal) ve security.txt.
Kapsam dışı
Hizmet dışı bırakma (DoS) denemeleri, sosyal mühendislik, fiziksel erişim, müşterilerimizin kendi ağ cihazları ve üçüncü taraf hizmetler. Gerçek misafir verisine erişmeyin; erişirseniz durup bize bildirin.
İyi niyet güvencesi
Bu kurallara uyarak iyi niyetle yapılan araştırmalar için hukuki işlem başlatmayız. Şu an ödüllü bir hata avı programımız yoktur.
Veri ihlali olursa
Yazılı olay müdahale planımız var. Kişisel veri ihlalinde etkilenen müşterileri gecikmeden bilgilendirir, KVKK uyarınca Kişisel Verileri Koruma Kurulu'na ihlalin öğrenilmesinden itibaren 72 saat içinde bildirim yapılması için gereken bilgileri hazırlarız.
Henüz iddia etmediklerimiz
- ISO 27001 ya da benzeri bir sertifikamız yoktur.
- Bağımsız bir sızma testi henüz yapılmadı; kapsam ve hazırlık belgeleri hazır, yıllık dış test planlanıyor.
- Ödüllü hata avı programı yoktur.