# Güvenliği her katmanda ciddiye alıyoruz.

> Şifresiz giriş, ikinci adım, oturum, şifreleme, tarayıcı başlıkları, izinsiz izlemenin olmaması ve güvenlik açığı bildirimi: her denetim bugünkü durumuyla.

Kaynak: https://av.iadeos.com/guvenlik/ · Güncelleme: 2026-10-12

Müvekkil belgeleri sağlık verisi içerir. Bu sayfa her güvenlik denetimini bugünkü durumuyla yazar: bu sitede çalışan, sunucuda hazır ve test edilen, üretimde etkinleştirilecek olan. Almadığımız bir belgeyi yazmayız.

- Bu sitede çalışıyor · 4
- Sunucuda hazır · test edildi · 9
- Üretim gereksinimi · 8
- Belge yuvası · boş · 4

## Kimlik ve giriş

| Denetim | Ne demek | Durum |
| --- | --- | --- |
| Şifresiz giriş | E-postaya tek kullanımlık bağlantı ve 6 haneli kod. Bağlantı 15 dakika geçerlidir, bir kez açılır ve istendiği tarayıcıya bağlıdır. [Görün](https://av.iadeos.com/giris/) | Sunucuda hazır · test edildi |
| Hesap sayımına karşı aynı yanıt | Kayıtlı olsun olmasın her adrese aynı yanıt, aynı sürede verilir; adresin kayıtlı olup olmadığı anlaşılmaz. | Sunucuda hazır · test edildi |
| İkinci adım | Doğrulama uygulaması (TOTP, RFC 6238) ve tek kullanımlık kurtarma kodları. Beş hatalı denemeden sonra giriş 15 dakika durur. | Sunucuda hazır · test edildi |
| Geçiş anahtarı (WebAuthn) | Parmak izi, yüz tanıma ya da güvenlik anahtarı; sahte sayfada çalışmaz. Sunucu tarafı doğrulama üretimde etkinleştirilir. | Üretim gereksinimi |
| Kurumsal SSO ve SCIM | Kurum planında SAML 2.0 ya da OpenID Connect ile giriş; kullanıcılar SCIM ile eklenir ve kapatılır. | Üretim gereksinimi |
| Oturum | Oturum çerezi HttpOnly, Secure, SameSite=Lax ve \_\_Host- önekli; 12 saatte kapanır, 30 dakika hareketsizlikte kilitlenir. | Sunucuda hazır · test edildi |

## Veri

| Denetim | Ne demek | Durum |
| --- | --- | --- |
| Aktarımda şifreleme | Bütün bağlantılar TLS üzerinden; tarayıcıya yalnız HTTPS kullanması HSTS ile bildirilir (RFC 6797). | Sunucuda hazır · test edildi |
| Ücretsiz araçlar tarayıcıda | Fark, faiz ve başvuru yolu araçları tutarları sunucuya göndermez; hesap tarayıcıda yapılır. [Görün](https://av.iadeos.com/araclar/) | Bu sitede çalışıyor |
| Saklamada şifreleme | Belgeler ve veritabanı saklama katmanında AES-256 ile şifrelenir; anahtarlar ayrı tutulur. | Üretim gereksinimi |
| Barındırma bölgesi | Verinin tutulacağı bölge ve yurt dışına aktarım durumu, hizmet sözleşmesinde yazılır. \[bölge: işletmeci karar verir\] | Üretim gereksinimi |
| Yedekleme | Günlük şifreli yedek, düzenli geri yükleme denemesi; kurtarma hedefleri hizmet sözleşmesinde. | Üretim gereksinimi |
| Veri işleyen sözleşmesi | Müvekkil belgelerinde veri sorumlusu avukat ya da büro, IADEOS veri işleyendir (KVKK m.12); sözleşme hizmet sözleşmesinin ekidir. [Görün](https://av.iadeos.com/yasal/#hizmet) | Üretim gereksinimi |

## Uygulama

| Denetim | Ne demek | Durum |
| --- | --- | --- |
| Tarayıcı güvenlik başlıkları | İçerik Güvenlik Politikası (CSP), çerçeveye gömme yasağı, MIME koklama yasağı, sıkı Referrer-Policy ve Permissions-Policy. | Sunucuda hazır · test edildi |
| İzinsiz izleme yok | Onay vermeden önce hiçbir ölçüm ya da reklam aracı yüklenmez; ölçüm onayı ayrı sorulur, Global Privacy Control sinyali onaylanmamış sayılır. [Görün](https://av.iadeos.com/yasal/#cerez) | Bu sitede çalışıyor |
| Giriş uçlarında hız sınırı | Adres ve ağ başına deneme sınırı; adres sınırı aşıldığında da yanıt aynıdır, hesabın varlığı anlaşılmaz. | Sunucuda hazır · test edildi |
| Siteler arası istek koruması | Durum değiştiren her istek JSON gövde ve aynı köken (Origin) denetimi ister; çerezler SameSite. | Sunucuda hazır · test edildi |
| Bağımlılık ve kod taraması | Bağımlılıklar her derlemede taranır; yüksek önem dereceli bulgu derlemeyi durdurur. | Üretim gereksinimi |

## Kayıt ve denetim izi

| Denetim | Ne demek | Durum |
| --- | --- | --- |
| Zincirli giriş kaydı | Her giriş olayı, bir öncekinin özetini içeren bir kayıtla yazılır; aradan bir kayıt silinirse zincir kırılır ve doğrulama bunu gösterir. | Sunucuda hazır · test edildi |
| Mühürlü delil paketi | Her hesap sonucu, girdisi ve kuralıyla birlikte SHA-256 ile mühürlenir (sitedeki araçlarda, API'de ve MCP'de aynı mühür); tek bayt değişse mühür değişir. [Görün](https://av.iadeos.com/#durumlar) | Bu sitede çalışıyor |

## Güvenlik açığı bildirimi

| Denetim | Ne demek | Durum |
| --- | --- | --- |
| security.txt | İletişim adresi, geçerlilik tarihi, politika ve kanonik adres /.well-known/security.txt dosyasında (RFC 9116). Şifreli bildirim için bir anahtar, yayından önce eklenir. | Bu sitede çalışıyor |
| Sorumlu açıklama | Bildirime bir iş günü içinde yanıt; düzeltilene kadar bilgi paylaşılmaz; iyi niyetli araştırmacıya karşı işlem yapılmaz. | Üretim gereksinimi |

## Belge yuvaları

Bağımsız bir denetimden geçmeden hiçbir sertifika adını “uyumlu” ya da “belgeli” diye yazmıyoruz. Yuvalar, denetim tamamlandığında doldurulur.

- ISO/IEC 27001 Bilgi güvenliği yönetim sistemi belgesi Belge yuvası · boş Denetim tamamlandığında belge ve tarihi burada yayımlanır.
- SOC 2 Type II Bağımsız denetçi raporu Belge yuvası · boş Denetim tamamlandığında belge ve tarihi burada yayımlanır.
- Sızma testi Bağımsız sızma testi özeti Belge yuvası · boş Denetim tamamlandığında belge ve tarihi burada yayımlanır.
- VERBİS Veri Sorumluları Sicil Bilgi Sistemi kaydı Belge yuvası · boş Denetim tamamlandığında belge ve tarihi burada yayımlanır.

HIPAA, Amerika Birleşik Devletleri'nin sağlık verisi düzenlemesidir. Türkiye'de hasta verisi için 6698 sayılı KVKK ve sağlık verilerine ilişkin ikincil düzenlemeler uygulanır; bu yüzden “HIPAA uyumlu” ifadesini kullanmıyoruz.

## Bir açık mı buldunuz?

Güvenlik açığını \[guvenlik@alanadi\] adresine yazın. İletişim bilgisi ve politika, makinelerin de okuyabileceği biçimde [/.well-known/security.txt](https://av.iadeos.com/.well-known/security.txt) dosyasındadır (RFC 9116).

## Güvenlik sorunuz mu var?

Kurum planı için güvenlik soru formunuzu gönderin; denetimleri, durumlarını ve kanıtlarını birlikte inceleyelim.

[Demo talep edin](https://av.iadeos.com/iletisim/)