Güvenlik
Yatırımcılarınızın verilerini nasıl koruyoruz.
Yöneticiler, yatırımcılarının kimlik belgelerini, vergi numaralarını ve banka bilgilerini EasyHaus’a emanet eder. Bu sayfa, bugün uygulanan önlemleri sade bir dille açıklar.
Uygulanan önlemler
Şifreleme
Veriler aktarım sırasında şifrelenir ve en hassas alanlar veritabanında ayrıca şifrelenir.
- Tüm trafik TLS ve HSTS kullanır.
- Vergi kimlik numaraları, kimlik belgesi numaraları, banka hesap numaraları, gerçek faydalanıcı tanımlayıcıları, ikinci faktör sırları ve kurtarma kodları AES-256-GCM ile şifrelenir. Anahtar veritabanı dışında tutulur ve değiştirilebilir.
- Şifrelenmiş alanlar yalnızca sahiplere ve yöneticilere tam olarak gösterilir, diğer yerlerde maskelenir ve günlüklere asla yazılmaz.
- Denetim kaydı şifrelenmiş alanları, e-posta adreslerini ve telefon numaralarını maskeler.
Kuruluşlar arasında ayrım
Her kuruluş yalıtılmış bir kiracıdır.
- Her veritabanı sorgusu tek bir kuruluşla sınırlıdır ve otomatik bir kontrol bu şekilde sınırlanmamış sorguları reddeder.
- Bir yalıtım test paketi, aynı verilere sahip iki kuruluş oluşturur ve hiçbir uç noktanın diğerinin kayıtlarını döndürmediğini veya değiştirmediğini kontrol eder.
- Başka bir kuruluşa ait bir kayıt bulunamadı olarak yanıt verir, böylece varlığı açığa çıkmaz.
- Bir portal oturumu tek bir kuruluşa ve tek bir adrese aittir ve başka her yerde reddedilir.
Hesaplar ve giriş
Giriş, tahmin saldırılarına ve oturum hırsızlığına karşı korunur.
- Parolalar argon2id ile hash’lenir, en az 10 karakter içermelidir ve bilinen veri ihlallerine karşı kontrol edilir.
- Kimlik doğrulayıcı uygulama ve kurtarma kodlarıyla iki faktörlü kimlik doğrulama. Sahipler bunu her üye için zorunlu kılabilir.
- Art arda girilen on yanlış kod ikinci faktörü bir saatliğine kilitler ve kullanıcıya e-posta gönderir.
- Oturum belirteçleri yalnızca hash olarak saklanan rastgele 256 bitlik değerlerdir ve boşta kalma ile mutlak süre sonuna sahiptir. Kullanıcılar oturumlarını görebilir ve sonlandırabilir.
- Parolayı sıfırlamak tüm oturumları sonlandırır; parolayı değiştirmek ise diğer tüm oturumları sonlandırır.
- Giriş, sıfırlama ve e-postayla bağlantı istekleri hız sınırlamasına tabidir ve e-postayla gönderilen bağlantılar yalnızca bir kez çalışır.
EasyHaus personelinin erişimi
Personelimiz müşteri verilerine göz atmaz.
- Destek ekibi kuruluşunuzda yalnızca sahibiniz destek erişimini açtıktan sonra işlem yapabilir ve her seferinde bir neden belirtmelidir.
- Destek oturumları sınırlı sayıda kaydı değiştirebilir. Üye davet edemez, güvenlik ayarlarını değiştiremez veya şifresi çözülmüş tanımlayıcıları okuyamaz.
- Her destek işlemi denetim kaydınıza işlenir ve destek erişimini kapatmak devam eden destek oturumlarını sonlandırır.
- Platform yönetim alanı iki faktörlü kimlik doğrulama ve kısa oturumlar gerektirir.
Uygulama güvenliği
Yaygın web saldırılarına tasarım aşamasında önlem alınır.
- İstek başına nonce kullanan katı bir İçerik Güvenliği Politikası uygulanır ve sayfalar başka siteler tarafından çerçeve içine alınamaz.
- Durum değiştiren her istek özel bir başlık gerektirir; çerezler HttpOnly, Secure ve SameSite özniteliklerine sahiptir.
- Yüklenen dosyalar boyutuna ve gerçek içeriğine göre denetlenir, izin verilen türlerle sınırlıdır ve indirme olarak sunulur. Görseller çözülüp yeniden kodlanır; bu işlem meta verileri temizler.
- Yükleme bağlantıları kısa ömürlüdür ve yalnızca bir kez kullanılabilir.
- CSV dışa aktarımlarında, bir elektronik tablonun formül olarak çalıştıracağı hücreler kaçışlanır.
- İstekler sıkı biçimde doğrulanır ve hata mesajları hiçbir zaman iç ayrıntıları göstermez.
- Bağımlılıklar govulncheck ve pnpm audit ile bilinen güvenlik açıklarına karşı taranır.
Kayıtlar ve hesap verebilirlik
Neyin ne zaman olduğunu gösterebilirsiniz.
- Her değişikliğin denetim kaydı: kim, ne, önce ve sonra, ne zaman, hangi adresten. Bu kayıt silinemez.
- Belge onayları kullanıcıyı, sürümü, zamanı ve dosya özetini (hash) kaydeder.
- Her belge indirmesi denetlenir ve kaydedilir.
Gizlilik ve veri hakları
Yatırımcılarınızın taleplerini yanıtlamanız için araçlar.
- Tek bir müşterinin verilerini ZIP olarak ya da tüm kuruluşunuzun verilerini dışa aktarın.
- Bir müşteriyi silin: kişisel alanlar değiştirilir ve belgeler silinir; finansal kayıtlar ise anonimleştirilmiş bir adla korunur.
- Silinen bir kuruluş 30 gün boyunca geri yüklenebilir kalır, ardından verileri ve dosyaları kalıcı olarak temizlenir.
- Varsayılan olarak yalnızca kesinlikle gerekli çerezler kullanılır. Pazarlama sitesinde ve uygulamada Google Analytics, yasanın gerektirdiği yerlerde yalnızca onayınızla çalışır. Reklam çerezi yoktur.
İncelemeler ve testler
Uygulamanın dahili güvenlik incelemesi Ekim 2026’da tamamlandı ve bulguları giderildi. Bağımsız bir sızma testi henüz yapılmadı.
Güvenlik açığı bildirme
Bir güvenlik sorunu bulduğunuzu düşünüyorsanız lütfen bunu iletişim formu üzerinden Güvenlik bildirimi konusuyla bize iletin ve biz yanıt verene kadar istismar ayrıntılarını paylaşmayın. Test sırasında lütfen size ait olmayan verilere erişmeyin ve hizmeti aksatmayın.
Uyum ekibinizin soruları mı var?
Bu önlemleri sizinle birlikte değerlendirmekten memnuniyet duyarız.
