Güvenlik

Güvenlik ve veri koruma

Bu sayfa yalnızca sistemde fiilen uygulanan önlemleri anlatır. Pazaryeri alıcı verileri (ad, telefon, e-posta, adres) yalnızca siparişi karşılamak için işlenir, şifreli saklanır ve süresi dolduğunda silinir.

Veri lokasyonu ve barındırma

Konu	Durum
Sunucu konumu	Hollanda (Amsterdam metropol bölgesi)
Barındırma tipi	Özel fiziksel sunucu (dedicated, bare-metal) — bulut değil
Barındırma sağlayıcısı	[Barındırma sağlayıcısının ticari ünvanı] — ağ: NovoServe B.V. (AS24875)
Çıkış IP adresi (pazaryeri API çağrıları)	185.229.240.40
Kişisel verinin işlendiği yerler	Yalnızca yukarıdaki sunucu; alt işleyiciler listesi ayrı sayfadadır

Şifreleme

Aktarımda

Ne yapar: Tüm dış trafik HTTPS ile şifrelidir; TLS 1.2 ve TLS 1.3 kabul edilir, daha eski sürümler reddedilir.
Nasıl çalışır: HTTP istekleri HTTPS'e 301 ile yönlendirilir; HSTS (1 yıl) her yanıtta gönderilir. Pazaryeri API'lerine çağrılar TLS sertifika doğrulaması açık olarak yapılır.
Çözdüğü problem: Ağ üzerinde dinleme ve araya girme.
Teknik detay: İç servisler (uygulama, veritabanı) aynı sunucudaki özel Docker ağında haberleşir; veritabanı portu yalnızca 127.0.0.1'e bağlıdır, internetten erişilemez.

Depolamada (uygulama seviyesi)

Ne yapar: Alıcı adı, telefonu, e-postası, adresi ve pazaryeri API kimlik bilgileri veritabanına yazılmadan önce şifrelenir.
Nasıl çalışır: AES-256-GCM, her değer için rastgele 96-bit IV ve 128-bit doğrulama etiketi; şifreli değer alan adına bağlanır (AAD), başka kolona taşınırsa çözülemez.
Çözdüğü problem: Veritabanı veya yedek dosyası ele geçirildiğinde alıcı verisinin okunması.
Teknik detay: Saklama biçimi: v<sürüm>:base64(iv|tag|şifreli metin). Arama için HMAC-SHA256 blind index; düz değer saklanmaz.

Anahtar yönetimi ve rotasyon

Ne yapar: Şifreleme anahtarları veritabanında tutulmaz; yalnızca uygulama sunucusundaki erişimi kısıtlı (600) yapılandırma dosyasında bulunur.
Nasıl çalışır: Anahtarlar sürümlüdür. Rotasyonda yeni sürüm eklenir, aktif sürüm yükseltilir ve rotasyon betiği eski sürümle şifrelenmiş kayıtları yeni anahtarla yeniden şifreler.
Çözdüğü problem: Anahtarın veriyle birlikte sızması.
Teknik detay: Panel API anahtarları SHA-256 özeti olarak saklanır ve yalnızca oluşturulduğu anda bir kez gösterilir. Kullanıcı şifreleri bcrypt ile özetlenir.

Erişim kontrolü

Rol bazlı erişim (RBAC)

Ne yapar: Dört rol vardır: Yönetici, Operasyon, Salt okunur, Müşteri. Her uç nokta merkezi bir izin tablosuyla korunur; tanımsız her şey varsayılan olarak reddedilir.
Nasıl çalışır: Rol her istekte veritabanından okunur (token'daki değere güvenilmez). Salt okunur rol alıcı verisini yalnızca maskeli görür; tam görüntüleme yalnızca yetkili rollerde ve kayıt altına alınarak yapılır.
Çözdüğü problem: Gereğinden fazla yetki ve gereksiz kişisel veri erişimi.
Teknik detay: need-to-know / least privilege · alıcı verisi listelerde maskeli (A*** Y***, *** *** ** 12).

Hesap bazlı veri kapsamı

Ne yapar: Her müşteri yalnızca kendi mağaza bağlantılarını, siparişlerini ve alıcı verilerini görür.
Nasıl çalışır: Pazaryeri ve sipariş sorgularının tamamı oturum sahibinin kiracı kapsamına göre filtrelenir; başka hesaba ait kayıt istenirse 404 döner.
Çözdüğü problem: Bir satıcının başka bir satıcının verisine ulaşması.
Teknik detay: Ürün API'sinde de paket kapsamı uygulanır: deneme ve ürün sınırlı paketlerde yalnızca izinli ürün listesi döner.

Ayrılan veya rolü değişen personel

Ne yapar: Hesap kapatma, rol değişikliği ve oturum iptali anında uygulanır.
Nasıl çalışır: Hesap kapatıldığında tüm oturumlar geçersiz olur, API anahtarları iptal edilir ve kullanıcının mağaza senkronları durdurulur. Rol değiştiğinde tüm oturumlar kapanır, yeni yetkiler bir sonraki girişte uygulanır.
Çözdüğü problem: İşten ayrılan kişinin erişiminin açık kalması.
Teknik detay: Oturumlar token sürümüyle bağlıdır; sürüm artırıldığında eski token'lar en geç 30 saniye içinde reddedilir. İşlemler denetim kaydına yazılır.

Kimlik doğrulama

Ne yapar: Şifre politikası: en az 8 karakter, büyük/küçük harf, rakam ve özel karakter.
Nasıl çalışır: Başarısız girişler IP ve hesap bazında sınırlanır (15 dakikada 10 deneme); şifre değişikliğinde tüm diğer oturumlar kapanır.
Çözdüğü problem: Kaba kuvvet ve kimlik bilgisi doldurma saldırıları.
Teknik detay: Oturum süresi 12 saat.

Kayıt (log) tutma

İç kullanıcı sorguları

Ne yapar: Alıcı verisi içeren her liste ve her tam görüntüleme; ayrıca oturum açmış kullanıcıların tüm değiştirici işlemleri denetim kaydına yazılır.
Nasıl çalışır: Kayıt: kim (kullanıcı, rol), ne zaman, hangi IP, hangi panel sayfası, hangi uç nokta, hangi kayıt, istek özeti ve yanıt özeti.
Çözdüğü problem: Kişisel veriye kimin, neden eriştiğini sonradan gösterememek.
Teknik detay: Kayıtlar kişisel veri içermez (istek gövdesinden yalnızca alan adları). Tablo append-only'dir: güncelleme, silme ve truncate veritabanı tetikleyicisiyle engellenir. Saklama: 365 gün.

Harici (API) sorgular

Ne yapar: API anahtarıyla yapılan her istek anahtar, metot, yol, durum kodu, IP ve zamanla kaydedilir.
Nasıl çalışır: Kayıtlar müşterinin panelinde 'Son istekler' olarak ve yönetici panelinde anahtar bazında görünür.
Çözdüğü problem: Hangi entegrasyonun ne zaman veri çektiğini izleyememek.
Teknik detay: Saklama: 365 gün. Gerçek istemci IP'si ters vekil başlığından güvenli şekilde alınır.

Saklama ve silme süreleri

Veri	Süre
Pazaryeri alıcı verisi (ad, telefon, e-posta, adres)	Sipariş kapandıktan 30 gün sonra; kapanmayan siparişlerde sipariş tarihinden en geç 90 gün sonra kalıcı olarak silinir
Pazaryeri API kimlik bilgileri	Mağaza bağlantısı kaldırıldığında silinir (eşleşmeler ve siparişlerle birlikte)
Denetim kaydı	365 gün
API istek kaydı	365 gün
Senkron kaydı	90 gün
İletişim formu mesajları	2 yıl

Olay müdahalesi ve güvenlik iletişimi

Kişisel veriyi etkileyen bir güvenlik olayı tespit edildiğinde etkilenen erişimler derhal kapatılır (oturum ve anahtar iptali, mağaza senkronlarının durdurulması), denetim kayıtları incelenir ve etkilenen müşteriler ile ilgili pazaryeri en geç 24 saat içinde bilgilendirilir. KVKK kapsamındaki bildirim yükümlülükleri ayrıca yerine getirilir.

Güvenlik açığı bildirimleri için iletişim sayfasındaki formda konu olarak 'Güvenlik' seçebilirsiniz. Bildirimler öncelikli olarak incelenir.