XXanons
Demo Talep Et
Güvenlik

Güvenlik ve mimari

Bu sayfa pazarlama dili değil, sistemin gerçekte nasıl kurulduğudur. IT ve bilgi güvenliği ekiplerinin soracağı soruları önden cevaplıyoruz — sahip olmadığımız sertifikaları da açıkça yazıyoruz.

Veri yalıtımı Kimlik ve erişim Aktarım güvenliği Ajan ne yapar, ne yapmaz Güncelleme bütünlüğü Kayıt ve kanıt KVKK Dağıtım seçenekleri Yol haritası

Veri yalıtımı

Kurumlar arası ayrım, uygulama kodundaki bir WHERE koşuluna bırakılmaz — yanlış yazılmış tek bir sorgunun veri sızdırmasına açık bir tasarımdır bu.

Ayrı veritabanıHer kurumun verisi kendi veritabanı dosyasında tutulur. Farklı kurumların kayıtları aynı tabloda yan yana durmaz.
Bağlam zorunluHer istek işlenmeden önce bir kurum bağlamına bağlanır; bağlam dışında veritabanına erişilmez.
Adres doğrulamasıKuruma özel adres kullanıldığında, başka bir kuruma ait oturum o adreste reddedilir (403). Kullanıcı adları platform genelinde benzersizdir.
Gerçek zamanlı iletimWebSocket yayınları da kurum bazlıdır; bir kurumun mesajı yalnızca o kurumun bağlı istemcilerine gider.
Kapalı kurumDevre dışı bırakılan kurumun oturumları geçersizleşir, adresi kapanır.

Kimlik ve erişim

Parola saklamascrypt ile, hesap başına rastgele tuz (salt) kullanılarak. Parolalar hiçbir yerde açık metin tutulmaz, geri çevrilemez.
Oturum belirteciSunucu sırrıyla HMAC-SHA256 imzalı, 8 saat ömürlü. İçeriği değiştirilmiş belirteç imza doğrulamasında elenir.
Cihaz kimliği ayrıAjan ve mobil uygulama, yönetici belirtecinden ayrı bir cihaz belirteci kullanır. Okundu ve yanıt kayıtları istemcinin beyanına değil bu imzalı kimliğe dayanır.
Rol bazlı yetkiadmin / editor / viewer. Yetki her uçta sunucu tarafında zorlanır; paneldeki gizleme yalnızca görsel bir katmandır. Departman kapsamlı yönetici, kendi departmanı dışına yayın yapamaz.
Kaba kuvvet korumasıGiriş denemeleri IP başına sınırlanır; eşik aşılınca istek reddedilir.
Kurumsal SSOOIDC ile Entra ID, Okta, Keycloak. Kimlikler kurum başına yapılandırılır; SCIM 2.0 ile kullanıcı ve grup provizyonu yapılabilir.
API erişimiEntegrasyonlar için ayrı API anahtarları; her anahtarın yetkisi ve kullanımı kayıt altındadır.

Aktarım güvenliği

Şifreli bağlantıTüm trafik TLS üzerinden; gerçek zamanlı kanal wss:// ile kurulur. HTTP istekleri HTTPS'e yönlendirilir.
HSTSTarayıcıya bir yıl boyunca yalnızca HTTPS kullanması bildirilir.
İçerik güvenlik politikasıKatı CSP: betik, stil, görsel ve font kaynakları kendi origin'imizle sınırlı. Sayfalarımız üçüncü taraf CDN'e istek atmaz — yazı tipleri dahil her varlık kendi sunucumuzdan gelir.
Diğer başlıklarX-Content-Type-Options: nosniff, X-Frame-Options (çerçeveleme/clickjacking koruması), Referrer-Policy: strict-origin-when-cross-origin.
Yükleme sınırlarıGörsel yüklemelerinde tür ve boyut denetimi; istek gövdeleri sınırlı.

Ajan ne yapar, ne yapmaz

Çalışan bilgisayarına kurulan yazılım, çalışanların en çok merak ettiği konudur. Kapsamı dar tutulmuştur.

Yapar

  • Sunucudan gelen mesajı ekranda gösterir (uyarı, kayan yazı, tam ekran, duvar kâğıdı, kilit ekranı)
  • Teslim edildi ve okundu bilgisini geri gönderir
  • Anket/quiz yanıtını iletir
  • Kullanıcı adı, departman, konum ve kıdem gibi yapılandırılmış kimlik bilgisini gönderir
  • Yalnızca iki klavye kısayolunu dinler: panik butonu ve yönetici çıkış doğrulaması
  • Yeni sürümü indirip doğruladıktan sonra kurar

Yapmaz

  • Ekran görüntüsü ya da ekran kaydı almaz
  • Tuş vuruşlarını kaydetmez
  • Dosyalarınıza, tarayıcı geçmişinize veya e-postanıza erişmez
  • Hangi uygulamaları kullandığınızı izlemez
  • Konum takibi yapmaz
  • Verinizi üçüncü taraflara göndermez

Güncelleme bütünlüğü

Kurumdaki her bilgisayara yazılım kuran bir kanal, saldırgan için en değerli hedeftir. Bu yüzden güncelleme zinciri sunucuya körü körüne güvenmez.

Özet doğrulamasıAjan indirdiği paketi kurmadan önce SHA-256 özetini hesaplar ve sunucunun bildirdiğiyle karşılaştırır; eşleşmezse paket silinir, kurulum yapılmaz.
Atomik yazımPaket önce geçici dosyaya indirilir, doğrulandıktan sonra yerine taşınır. Yarım inen dosya asla kurulmaz.
İmza doğrulamasıİmzalı dağıtımda ajan, paketin geçerli bir kod imzası taşıdığını ve yayıncının beklenen kurum olduğunu denetler. Sunucu ele geçirilse bile saldırgan sizin sertifikanızla imzalanmış bir paket üretemez.
Kontrollü dağıtımGüncelleme, seçilen kullanıcı ve gruplara yönlendirilir; hangi sürümün nerede olduğu panelden izlenir.

Kayıt ve kanıt

Denetim iziKim, ne zaman, hangi mesajı gönderdi, onayladı ya da hangi ayarı değiştirdi — kalıcı olarak kaydedilir ve dışa aktarılabilir.
İmzalı onay makbuzuPolitika onaylarında (okudum, kabul ediyorum) kayıt, sunucu sırrıyla üretilen bir imzaya bağlanır. Onayın kim tarafından ne zaman verildiği sonradan yeniden hesaplanıp doğrulanabilir; istemci tarafından taklit edilemez.
Onay akışıKritik duyurular yayından önce yetkili onayından geçirilebilir; onay zinciri kayıtta kalır.
RaporlamaTeslimat ve okunma verileri CSV/PDF olarak dışa aktarılır; isteğe bağlı olarak SIEM sistemine aktarım yapılandırılabilir.

KVKK ve kişisel veri

İşlenen veriÇalışanın adı/kullanıcı adı, departman, konum, kıdem gibi kurumsal alanlar ve mesaj etkileşim kayıtları (teslim, okundu, yanıt). İsteğe bağlı olarak e-posta ve telefon.
Saklama politikalarıVeri türü bazında saklama süresi tanımlanır; süresi dolan kayıtlar otomatik olarak temizlenir.
Veri sahibi haklarıBir çalışana ait kayıtların dışa aktarılması ve silinmesi panelden yapılabilir; talepler kayıt altına alınır.
Üçüncü taraf izleyici yokPanel ve web yüzeylerimizde reklam/analitik izleyicisi çalışmaz. Yazı tipleri dahil tüm varlıklar kendi sunucumuzdan sunulur; ziyaretçi tarayıcısı üçüncü bir tarafa istek atmaz.
SözleşmeVeri işleme şartları (DPA) sözleşme ekinde paylaşılır.

Dağıtım seçenekleri

Bulut (SaaS)

  • Kurumunuz kendi adresinde, kendi verisiyle ve markasıyla
  • Sertifika ve altyapı yönetimi bizde
  • Güncellemeler otomatik

Kurum içi (on-prem)

  • Kendi sunucunuzda, kendi ağınızda
  • Veri kurum sınırının dışına çıkmaz
  • Dış servis bağımlılığı olmadan çalışır; SMS, e-posta ve yapay zekâ özellikleri isteğe bağlıdır
  • Docker ya da doğrudan sunucu kurulumu

Yol haritası — henüz sahip olmadıklarımız

Bir güvenlik sayfasının değeri, yazmadıklarıyla ölçülür. Aşağıdakiler bugün ürünün parçası değil; üzerinde çalışıyoruz.

İki faktörlü doğrulamaYönetici hesapları için 2FA geliştirme aşamasında. Bugün ek faktör isteyen kurumlar SSO üzerinden kimlik sağlayıcının MFA politikasını kullanabilir.
Bağımsız denetimSOC 2 / ISO 27001 gibi bağımsız bir denetimden geçmedik. Bu sayfadaki her madde, talep hâlinde teknik ekibinizle birlikte doğrulanabilir.
Sızma testi raporuÜçüncü taraf sızma testi planlanıyor; sonuçları kurumsal müşterilerle paylaşılacaktır.
Güvenlik açığı bildirimi: Bir zafiyet fark ederseniz kamuya açıklamadan önce bizimle paylaşın — iletişim formundan ulaşabilirsiniz. Bildirimlere en geç iki iş günü içinde dönüş yapıyoruz.