Güvenlik Politikası
Güvenlik, teslimden sonra eklenen bir başlık değil, teslim edilen şeyin bir özelliğidir. Aşağıdakiler hem bu sitede hem de müşteri projelerinde standart olarak uyguladıklarımızdır.
Son güncelleme
Bu sitede
Site tamamen statik olarak yayınlanır: çalışan bir uygulama sunucusu, bir veritabanı veya ele geçirilebilecek bir oturum yoktur. Girilebilecek bir yönetim paneli de yoktur.
Tüm trafik HSTS ile zorunlu HTTPS üzerinden akar; içerik güvenliği politikası, çerçevelemeye karşı koruma ve MIME türü sabitleme başlıkları uç ağ düzeyinde tanımlıdır.
Geliştirme sürecinde
Sır niteliğindeki değerler depoya girmez; yapılandırma ortam değişkenleriyle sağlanır. Bağımlılıklar sürüm kilidiyle sabitlenir ve güvenlik güncellemeleri düzenli olarak takip edilir.
Hiçbir değişiklik, gözden geçirmeden ve otomatik denetimlerden (tip kontrolü, lint, test) geçmeden ana dala giremez.
Erişim yönetimi
Üretim ortamlarına erişim, işi yapmak için gereken en az yetkiyle ve iki adımlı doğrulamayla verilir. Bir iş bittiğinde açılan erişimler kapatılır.
Müşteri kimlik bilgilerini paylaşılan bir belgede veya sohbet geçmişinde tutmayız.
Açık bildirimi
Bir güvenlik açığı bulduğunuzu düşünüyorsanız ayrıntıyı aşağıdaki e-posta adresine gönderin. Bulguyu doğrulayıp kapatana kadar kamuya açık bir yerde paylaşmamanızı rica ederiz.
Bildirimlere üç iş günü içinde döner; bulgunun geçerli olup olmadığını ve geçerliyse planlanan düzeltme takvimini paylaşırız. İyi niyetle yapılan, veriye zarar vermeyen ve hizmeti kesintiye uğratmayan araştırmalara karşı hukuki yola başvurmayız.
Kapsam dışı
Otomatik tarayıcı çıktısının ham hâli, yalnızca eksik bir başlığa dayanan raporlar, sosyal mühendislik denemeleri ve hizmet kesintisi (DoS) testleri kapsam dışıdır.
Site statik olduğu için sunucu tarafında kod çalıştırma iddiaları büyük olasılıkla yanlış pozitiftir; yine de bildirmekten çekinmeyin.
Bir olay yaşanırsa
Sizi etkileyen bir güvenlik olayı yaşanırsa, doğruladığımız andan itibaren yetmiş iki saat içinde etkilenen tarafları bilgilendirir; ne olduğunu, hangi veriye dokunulduğunu ve ne yaptığımızı yazılı olarak paylaşırız. Mevzuatın öngördüğü resmî bildirimler ayrıca yapılır.
Bu belgeyle ilgili bir sorunuz mu var?
Yazın; aynı ekip cevaplasın. Arada bir hukuk departmanı yok.
development@esasw.comMerkez Mah. Kartaltepe Sok. No: 14, Beykoz / İstanbul, Türkiye