Güvenlik

Cliux tek bir sanal sunucuda çalışır (sağlayıcı: Amazon Web Services; yeri: İsveç (Stockholm)). Her istek sunucuya Cloudflare üzerinden ulaşır: Cloudflare, TLS bağlantısını kendi ağının ucunda sonlandırır ve isteği sunucuya şifreli bir bağlantıyla iletir; sunucuda bir ters vekil sunucu (reverse proxy) isteği uygulamaya teslim eder. İkinci bir bölge ya da bekleyen bir yedek sunucu yoktur: makine çalışmıyorsa hizmet de çalışmaz. Bu yüzden hizmet taahhütleri sayfası hiçbir erişilebilirlik oranı vaat etmez.

Cliux adreslerine gönderilen e-postalar ayrı bir e-posta sunucusunda alınır (sağlayıcı: Hetzner Online GmbH; yeri: Almanya (Nürnberg)). Bu sunucu iletileri tutar; siteleri ya da sitelerin verilerini tutmaz.

Veritabanı her gece yedeklenir; son 14 gecelik kopya sunucuda tutulur, her birinin şifreli bir kopyası sunucu dışında en çok 90 gün saklanır ve yüklenen dosyalar haftada bir sunucu dışına kopyalanır. Bir silme, satırı ya da dosyayı tutan kopyaların süresi dolduğunda tamamlanır. Doğrulanan her veritabanı yedeği şifrelenir ve Backblaze B2'ye, yazabilen ama silemeyen bir erişim anahtarıyla kopyalanır; böylece sunucuyu ele geçiren biri yedekleri de yok edemez. Bu kopyayı, özel anahtarı sunucuya hiç girmeyen bir anahtar açar; aylık geri yükleme denemesi gözetimsiz yapılabilsin diye, özel anahtarı sunucuda duran ikinci bir anahtar da açabilir. Ayda bir, bir betik en yeni sunucu dışı kopyayı geçici bir veritabanına geri yükler ve canlı veritabanıyla karşılaştırır: yedeklerin geri yüklenebildiği varsayılmaz, sınanır.

Panelde oturum açmayı Clerk yürütür. Bir sitenin üyelerinin ve paylaşılan bir önizlemenin ziyaretçilerinin belirlediği parolalar argon2id ile özetlenerek saklanır. Bir sitenin verilerine dokunan her sunucu işlemi ve API yolu, isteği yapanın o siteye erişimi olup olmadığını denetler ve olmayanı reddeder; yeni bir işlem bu denetimi atlarsa, kod tabanının otomatik taraması test paketini başarısız kılar.

Gizli anahtarlar yönetilen bir anahtar kasasında değil, sunucunun ortam yapılandırmasında durur; veritabanına erişim yalnızca Cliux'u işleten kişidedir ve ayrı bir hazırlık (staging) ortamı yoktur. Cliux'u bir kişi ve tek bir platform sunucusu çalıştırır; bunu bir erişim denetimi programıymış gibi değil, olduğu gibi anlatırız. Cliux'un kendi yönetim panelinde yetkilendirdiği bir destek görevlisi, bir site hakkındaki talebi yanıtlamak için o sitenin verilerini okuyabilir; böyle her okuma kayda alınır.

Kişisel veriler kaybolur, açıklanır ya da erişmemesi gereken birinin eline geçerse, verileri ilgilendiren site sahiplerine bunu gecikmeksizin, bildiklerimizle ve ne yaptığımızla birlikte bildiririz. Sitelerinizin tuttuğu veriler için veri sorumlusu siz olduğunuzdan, Kişisel Verileri Koruma Kuruluna ve ilgili kişilere bildirim size düşer; veri işleme sözleşmesi bunu ayrıntısıyla anlatır.

Veri sorumlusu olduğumuz veriler için, yani hesap sahiplerinin ve Cliux web sitesini kullananların verileri için, ihlali öğrendiğimiz andan itibaren 72 saat içinde Kişisel Verileri Koruma Kuruluna, ilgili kişiler belirlendikten sonra makul olan en kısa sürede de onlara bildiririz (KVKK md. 12/5 ve Kurulun 24.01.2019 tarihli ve 2019/10 sayılı kararı). Avrupa Birliği'ndeki kişilerin verileri için, kanunun gerektirdiği durumlarda GDPR md. 33 uyarınca yetkili makama da 72 saat içinde bildiririz; GDPR md. 34 uyarınca kişilerin kendilerine, onlar için risk yüksek olduğunda bildiririz.

Ana dala yapılan her gönderim (push) ve ana dala açılan her çekme isteği (pull request), kod denetleyicisini (linter), tür denetleyicisini, test paketini, derlemeyi, bir veritabanı geçişi (migration) denetimini ve bir gizli anahtar taramasını çalıştırır. Üretimde kullanılan bağımlılıklar her çalıştırmada denetlenir: kimsenin incelemediği bir güvenlik uyarısı hattı durdurur; bilerek taşıdıklarımız ise gerekçeleri ve her birini kapatacak değişiklikle birlikte, depodaki security/audit-allowlist.json dosyasında adlarıyla listelenir.

Ağustos ile Ekim 2026 arasında bizimle çalışan bir güvenlik uzmanı platforma birkaç tur sızma testi uyguladı; bulduklarının çoğunu kapattık, ama hepsini değil. Bu bir iç çalışmaydı, bağımsız bir dış denetim değildi; düzenli bir program değildir ve öyle olana kadar bunu böyle söyleyeceğiz.

Kart bilgileri Cliux'a hiç ulaşmaz. Planınızın ödemesi, panelde Stripe'ın ödeme formuyla alınır: kart bilgilerinizi bu forma girersiniz ve bilgiler doğrudan Stripe'a gider. Ziyaretçilerinizin size yaptığı ödemeler Stripe Checkout ya da bağladığınız sağlayıcının (PayPal, Square, Mollie, Adyen, iyzico, PayTR, Moka United, Tami ya da Sipay) kendi adresinden sunulan ödeme sayfası üzerinden sizin hesabınıza gider; kart verisinin işlendiği ortam bizim değil, o sağlayıcınındır. Bu sağlayıcılardan birini bağlamak için yapıştırdığınız anahtarlar şifrelenmiş olarak saklanır ve size bir daha gösterilmez.

• SOC 2 raporumuz ve ISO 27001 sertifikamız yok; ikisine göre de denetlenmedik. Satın alma süreciniz bunlardan birini istiyorsa, henüz sizin için doğru platform değiliz.
• İkinci bir bölge, bekleyen bir yedek sunucu ya da hazırlık (staging) ortamı yok.
• Cloudflare'in ve barındırma sağlayıcısının varsayılan olarak sunduğunun ötesinde bir web uygulaması güvenlik duvarı (WAF) ya da DDoS koruma ürünü yok.
• Ödüllü bir açık bildirim programı (bug bounty) yok; araştırmacılara teşekkür ederiz, ama henüz ödeme yapmıyoruz.

Cliux'ta bir güvenlik açığı bulursanız, security.txt dosyamızın da gösterdiği [email protected] adresine yazın ya da iletişim formu üzerinden bize bildirin. Bildiriminizi Türkçe ya da İngilizce yazabilirsiniz.

Bildiriminizde şunlar bulunsun:

• açığın bulunduğu adres ya da paneldeki ekran;
• açığı yeniden üretmek için izlenecek adımlar;
• açığın neye yol açabileceği ve varsa bunu gösteren bir ekran görüntüsü ya da istek örneği.

Bir açık fark ettiğinizde orada durun ve bize yazın: başkasına ait verilere erişmeyin ya da erişmeyi sürdürmeyin, hiçbir veriyi değiştirmeyin ya da silmeyin, hizmeti yavaşlatacak ya da durduracak bir şey yapmayın ve kimseyi kandırarak bilgi almaya çalışmayın. Bu bölüm, kabul edilebilir kullanım politikasının yasakladığı bir davranışa, örneğin platformu yoklamaya, izin vermez. Açığı herkese duyurmadan önce düzeltebilmemiz için bize makul bir süre tanıyın. Her bildirimi yanıtlarız ve isteyen araştırmacıların adını teşekkürle anarız.

Kurallara aykırı bir siteyi ya da içeriği bildirmek için ise [email protected] adresini kullanın; o adres güvenlik açıkları için değil, kötüye kullanım bildirimleri içindir.