Pactinel'de Güvenlik

Bu sayfa Pactinel'in nasıl tasarlandığını ve işletildiğini anlatır. Ekim 2026 itibarıyla uygulanmış olanı yazar.

Şifreleme

Pactinel'e gelen trafik, HTTP Strict Transport Security ile TLS 1.2 veya üstünü kullanır. Diskler şifrelidir. Belgeler nesne depolamada zarf şifrelemeyle şifrelenerek saklanır. Banka bilgileri, vergi numaraları, API ve webhook sırları ile doğrulayıcı uygulama sırları ayrıca alan düzeyinde AES-256-GCM ile şifrelenir; her çalışma alanının anahtarı ana anahtardan türetilir. Anahtar döndürme işi vardır. Müşteri yönetimli anahtar sunulmaz.

Kiracı izolasyonu

Müşteri verisinin her satırı çalışma alanını taşır. Uygulama her sorguda çalışma alanına göre süzer; uygulamanın veritabanı rolleri için zorunlu PostgreSQL satır düzeyi güvenliği ikinci savunma hattıdır. Bir kiracı tablosunda satır düzeyi güvenlik eksikse otomatik bir test derlemeyi başarısız kılar. Önbellek anahtarları, nesne anahtarları, mesajlar ve yapay zekâ kullanım kayıtları çalışma alanıyla etiketlenir. Dosyalar yalnızca yetki denetiminden sonra, kısa ömürlü imzalı bağlantılarla sunulur. Başka bir çalışma alanının kaydı istendiğinde "bulunamadı" yanıtı döner; böylece varlığı sezdirilmez.

Erişim denetimi

Erişim rol tabanlıdır; kayıt düzeyinde kapsamlar ve hassas sözleşmeler için gizlilik ayarı vardır. Yetkilendirmeyi API uygular; bir düğmeyi gizlemek hiçbir zaman kontrol sayılmaz. Oturumlar; opak, HttpOnly, Secure çerezler, origin denetimi, sunucu tarafı oturum deposu, uzaktan çıkış yaptırılabilen cihaz listesi ve yeniden kullanım tespitli yenileme rotasyonu kullanır. Parolalar güncel bir algoritmayla özetlenir, dış bir çağrı yapılmadan paketle gelen yaygın parola listesine karşı denetlenir ve tekrarlanan hatalar hesabı kilitler. Authenticator uygulamasıyla iki adımlı doğrulama, Sahip ve Yönetici rolleri için varsayılan olarak zorunludur; tam arşiv dışa aktarımı için her zaman zorunludur. OIDC ile tek oturum açma, IP izin listesi ve indirme filigranı yalnızca bunları listeleyen planda sunulur ya da planlanmıştır.

Uygulama güvenliği

OWASP Uygulama Güvenliği Doğrulama Standardı 2. seviyeyi hedef olarak alırız. Site katı bir içerik güvenlik politikası kullanır. Belgeler, ayrı bir origin üzerindeki korumalı bir görüntüleyicide gösterilir. Yüklemeler izin verilen dosya türleriyle sınırlıdır; içerik üzerinden denetlenir, zararlı yazılım taramasından geçer ve boyutu sınırlıdır; tarama geçmeden dosya indirilemez. Bağımlılıklar bilinen açıklara karşı taranır. Lansmandan önce OWASP ZAP ile otomatik tarama, iş belirli bir gelir eşiğine ulaştığında da harici sızma testi planlanmıştır. Ekim 2026 itibarıyla ikisi de tamamlanmamıştır.

Destek erişimi

Pactinel çalışanları sözleşmelerinizi varsayılan olarak göremez. Destek erişimi yalnızca siz izin verdiğinizde vardır. İzin süreli, kapsamlı, geri alınabilir ve görünürdür: her talep denetim kaydınıza yazılır ve size bildirilir. Hassas alanlar maskelenir, indirmeler engellenir, kesin gizli işaretlenen sözleşmeler hiçbir zaman görünmez.

Denetim kaydı

Pactinel her belge okumasını, her değişikliği, her dışa aktarımı, her yetki değişikliğini ve her yapay zekâ sorusunu; kim, ne zaman ve nereden bilgisiyle kaydeder. Her çalışma alanının kaydı uygulama için yalnızca eklenebilirdir ve değişiklik fark edilebilsin diye hash zinciriyle bağlanır. Kaydı süzebilir ve dışa aktarabilirsiniz.

Yapay zekâ ve verileriniz

Çıkarım için gönderilen belgeler ilgili sayfalara indirilir; e-posta, telefon ve kimlik numarası gibi gereksiz kişisel veriler önce maskelenir. Müşteri verisi hiçbir modeli eğitmez. Çalışma alanınız için yapay zekâyı kapatabilirsiniz. Yapay zekâ ilkelerine bakın.

Yedekler ve süreklilik

Gece yedeği sunucudaki tüm veritabanlarını ve belge deposunu kopyalar; sağlama toplamı listesiyle 14 günlük ve 8 haftalık sürüm tutulur. Geri dönüş aylık denenir. Kurtarma noktası hedefi 24 saattir. Sunucu dışı kopya henüz yoktur ve sözleşmesel bir erişilebilirlik taahhüdü verilmez. E-posta, yapay zekâ ya da bir endeks kaynağı çalışmadığında iş kuyruğa alınır ve yeniden denenir; ürün veriyi kaybetmek yerine dürüst bir durum gösterir. Yazılı çalışma kılavuzları geri yükleme, anahtar kaybı, yapay zekâ sağlayıcısı kesintisi, faturalama webhook birikmesi, endeks kaynağı arızası, e-posta teslim edilebilirliği ve veri ihlallerini kapsar.

Olaylar

Bir kişisel veri ihlali verinizi etkilerse, çalışma alanı sahibine gecikmeden; ne olduğu, hangi verinin etkilendiği, ne yaptığımız ve sizin neleri yapmanız gerektiği bilgisiyle bildirim yaparız. Böylece kendi bildirim yükümlülüklerinizi yerine getirebilirsiniz.

Sertifikalar ve güvence

Ekim 2026 itibarıyla Pactinel'in üçüncü taraf güvenlik sertifikası ya da bağımsız doğrulama raporu yoktur. Burada anlatılan kontrolleri baştan kurduk ve ileride bağımsız güvence arayabiliriz. Var olmayan bir sertifikayı iddia etmeyiz. İhtiyacı olan müşteriler için anket yanıtları, alt işleyici listesi ve veri işleme sözleşmesinden oluşan bir güvenlik paketi hazırlanır; iletişim sayfasından isteyebilirsiniz.

Sorumlu ifşa

Bir güvenlik açığı bulduğunuzu düşünüyorsanız lütfen iletişim sayfası üzerinden güvenlik kategorisini seçerek bildirin. Sorunu yeniden üretmeye yetecek ayrıntıyı ekleyin. Lütfen size ait olmayan verilere erişmeyin, hizmeti aksatmayın ve paylaşmadan önce düzeltmemiz için makul süre tanıyın. Bildiriminizi onaylar, sizi bilgilendirir ve bu kurallara uyan iyi niyetli araştırmaya karşı işlem yapmayız. Ödüllü bir açık bulma programımız yoktur.