Güvenlik Politikamız

Tüm tarayıcı–sunucu trafiği HTTPS (TLS) ile şifrelenir. Tarayıcınızın adres çubuğunda görünen kilit simgesi, bağlantınızın güvenli olduğunu gösterir.
Teknik: TLS 1.2+ kullanımı, modern şifreleme algoritmaları ve düzenli zayıflık taramaları.

Tarayıcınıza sitenin yalnızca HTTPS üzerinden açılması gerektiğini bildiriyoruz. Bu, ortadaki adam (MITM) saldırı riskini azaltır.
Teknik: `Strict-Transport-Security` başlığı ile uygun max-age ve includeSubDomains uygulanır.

Kişisel veriler ve medya dosyaları güvenli bulut altyapılarında (ör. Cloudinary gibi) saklanır. Erişim anahtarları ve hassas konfigürasyonlar sunucu ortam değişkenlerinde tutulur.
Teknik: `SECRET_KEY` gibi hassas değerler kod deposunda yer almaz; rota, erişim kontrolleri ve şifreleme uygulanır.

Kullanıcı girdilerinin güvenli hale getirilmesi ve tarayıcı bazlı XSS filtreleri ile zararlı betik çalıştırma riskini azaltıyoruz.
Teknik: İçerik Güvenlik Politikası (CSP) başlıkları, girdilerin sanitizasyonu/escape edilmesi ve template motoru güvenlik önlemleri uygulanır.

Oturumunuz açıkken başka bir sitenin sizin adınıza işlem yapmasını engellemek için doğrulama tokenları (CSRF token) kullanıyoruz.
Teknik: Form bazlı CSRF token doğrulaması ve SameSite cookie politikaları uygulanır.

İçeriğimizin başka bir site içinde görünmesini engelleyerek, kullanıcı arayüzüne gizli manipülasyonların önüne geçiyoruz.
Teknik: `X-Frame-Options: DENY` veya benzeri CSP çerçeve kontrolleri ile uygulanır.

Oturum çerezleri `Secure` ve uygun `SameSite` değerleriyle ayarlanır; böylece çerezlerin ağ üzerinden ele geçirilmesi veya cross-site gönderimi zorlaşır.

Yeni hesaplar e-posta doğrulaması ile aktive edilir; böylece sahte hesap oluşturma azaltılır ve hesap sahibi doğrulanır.

Şüpheli/tekrarlı başarısız giriş denemeleri tespit edilip geçici bloke uygulanır. Bu, parola tahmin saldırılarını önemli ölçüde engeller.
Teknik: AXES veya benzeri rate-limiting çözümleri; örn. 5 başarısız deneme sonrası IP geçici engelleme.

Kullanıcıları güçlü parola oluşturma konusunda yönlendiriyoruz; kritik hesaplar için çok faktörlü doğrulama (MFA) seçenekleri sunulmaktadır.

İç sistem erişimleri ve admin yetkileri rol bazlı olarak yönetilir; gereksiz ayrıcalıklar minimize edilir.
Teknik: RBAC (Role-Based Access Control) ve düzenli izin/denetim süreçleri.

Güvenilmeyen kaynaklardan betik ve içerik çalıştırılmasını engelliyoruz. CSP başlıkları ile hangi kaynakların izinli olduğunu tanımlıyoruz.

Sistem aktiviteleri merkezi loglama ve SIEM benzeri araçlarla izlenir. Anormallikler tespit edildiğinde uyarı ve otomatik/manuel müdahale süreçleri işler.

Yazılım ve altyapı düzenli güvenlik testlerinden (penetration test) geçirilir ve kritik güvenlik yamaları hızlıca uygulanır.

Veriler düzenli olarak yedeklenir ve olası veri kayıplarına karşı yedekten geri dönüş prosedürleri hazırlanmıştır.