Güvenlik
Güvenliği her katmanda ciddiye alıyoruz.
Müvekkil belgeleri sağlık verisi içerir. Bu sayfa her güvenlik denetimini bugünkü durumuyla yazar: bu sitede çalışan, sunucuda hazır ve test edilen, üretimde etkinleştirilecek olan. Almadığımız bir belgeyi yazmayız.
- Bu sitede çalışıyor · 4
- Sunucuda hazır · test edildi · 9
- Üretim gereksinimi · 8
- Belge yuvası · boş · 4
01 ·Kimlik ve giriş
Kimlik ve giriş
| Denetim | Ne demek | Durum |
|---|---|---|
| Şifresiz giriş | E-postaya tek kullanımlık bağlantı ve 6 haneli kod. Bağlantı 15 dakika geçerlidir, bir kez açılır ve istendiği tarayıcıya bağlıdır. Görün | Sunucuda hazır · test edildi |
| Hesap sayımına karşı aynı yanıt | Kayıtlı olsun olmasın her adrese aynı yanıt, aynı sürede verilir; adresin kayıtlı olup olmadığı anlaşılmaz. | Sunucuda hazır · test edildi |
| İkinci adım | Doğrulama uygulaması (TOTP, RFC 6238) ve tek kullanımlık kurtarma kodları. Beş hatalı denemeden sonra giriş 15 dakika durur. | Sunucuda hazır · test edildi |
| Geçiş anahtarı (WebAuthn) | Parmak izi, yüz tanıma ya da güvenlik anahtarı; sahte sayfada çalışmaz. Sunucu tarafı doğrulama üretimde etkinleştirilir. | Üretim gereksinimi |
| Kurumsal SSO ve SCIM | Kurum planında SAML 2.0 ya da OpenID Connect ile giriş; kullanıcılar SCIM ile eklenir ve kapatılır. | Üretim gereksinimi |
| Oturum | Oturum çerezi HttpOnly, Secure, SameSite=Lax ve __Host- önekli; 12 saatte kapanır, 30 dakika hareketsizlikte kilitlenir. | Sunucuda hazır · test edildi |
02 ·Veri
Veri
| Denetim | Ne demek | Durum |
|---|---|---|
| Aktarımda şifreleme | Bütün bağlantılar TLS üzerinden; tarayıcıya yalnız HTTPS kullanması HSTS ile bildirilir (RFC 6797). | Sunucuda hazır · test edildi |
| Ücretsiz araçlar tarayıcıda | Fark, faiz ve başvuru yolu araçları tutarları sunucuya göndermez; hesap tarayıcıda yapılır. Görün | Bu sitede çalışıyor |
| Saklamada şifreleme | Belgeler ve veritabanı saklama katmanında AES-256 ile şifrelenir; anahtarlar ayrı tutulur. | Üretim gereksinimi |
| Barındırma bölgesi | Verinin tutulacağı bölge ve yurt dışına aktarım durumu, hizmet sözleşmesinde yazılır. [bölge: işletmeci karar verir] | Üretim gereksinimi |
| Yedekleme | Günlük şifreli yedek, düzenli geri yükleme denemesi; kurtarma hedefleri hizmet sözleşmesinde. | Üretim gereksinimi |
| Veri işleyen sözleşmesi | Müvekkil belgelerinde veri sorumlusu avukat ya da büro, IADEOS veri işleyendir (KVKK m.12); sözleşme hizmet sözleşmesinin ekidir. Görün | Üretim gereksinimi |
03 ·Uygulama
Uygulama
| Denetim | Ne demek | Durum |
|---|---|---|
| Tarayıcı güvenlik başlıkları | İçerik Güvenlik Politikası (CSP), çerçeveye gömme yasağı, MIME koklama yasağı, sıkı Referrer-Policy ve Permissions-Policy. | Sunucuda hazır · test edildi |
| İzinsiz izleme yok | Onay vermeden önce hiçbir ölçüm ya da reklam aracı yüklenmez; ölçüm onayı ayrı sorulur, Global Privacy Control sinyali onaylanmamış sayılır. Görün | Bu sitede çalışıyor |
| Giriş uçlarında hız sınırı | Adres ve ağ başına deneme sınırı; adres sınırı aşıldığında da yanıt aynıdır, hesabın varlığı anlaşılmaz. | Sunucuda hazır · test edildi |
| Siteler arası istek koruması | Durum değiştiren her istek JSON gövde ve aynı köken (Origin) denetimi ister; çerezler SameSite. | Sunucuda hazır · test edildi |
| Bağımlılık ve kod taraması | Bağımlılıklar her derlemede taranır; yüksek önem dereceli bulgu derlemeyi durdurur. | Üretim gereksinimi |
04 ·Kayıt ve denetim izi
Kayıt ve denetim izi
| Denetim | Ne demek | Durum |
|---|---|---|
| Zincirli giriş kaydı | Her giriş olayı, bir öncekinin özetini içeren bir kayıtla yazılır; aradan bir kayıt silinirse zincir kırılır ve doğrulama bunu gösterir. | Sunucuda hazır · test edildi |
| Mühürlü delil paketi | Her hesap sonucu, girdisi ve kuralıyla birlikte SHA-256 ile mühürlenir (sitedeki araçlarda, API'de ve MCP'de aynı mühür); tek bayt değişse mühür değişir. Görün | Bu sitede çalışıyor |
05 ·Güvenlik açığı bildirimi
Güvenlik açığı bildirimi
| Denetim | Ne demek | Durum |
|---|---|---|
| security.txt | İletişim adresi, geçerlilik tarihi, politika ve kanonik adres /.well-known/security.txt dosyasında (RFC 9116). Şifreli bildirim için bir anahtar, yayından önce eklenir. | Bu sitede çalışıyor |
| Sorumlu açıklama | Bildirime bir iş günü içinde yanıt; düzeltilene kadar bilgi paylaşılmaz; iyi niyetli araştırmacıya karşı işlem yapılmaz. | Üretim gereksinimi |
06 ·Sertifikalar
Belge yuvaları
Bağımsız bir denetimden geçmeden hiçbir sertifika adını “uyumlu” ya da “belgeli” diye yazmıyoruz. Yuvalar, denetim tamamlandığında doldurulur.
ISO/IEC 27001
Bilgi güvenliği yönetim sistemi belgesi
Belge yuvası · boş
Denetim tamamlandığında belge ve tarihi burada yayımlanır.
SOC 2 Type II
Bağımsız denetçi raporu
Belge yuvası · boş
Denetim tamamlandığında belge ve tarihi burada yayımlanır.
Sızma testi
Bağımsız sızma testi özeti
Belge yuvası · boş
Denetim tamamlandığında belge ve tarihi burada yayımlanır.
VERBİS
Veri Sorumluları Sicil Bilgi Sistemi kaydı
Belge yuvası · boş
Denetim tamamlandığında belge ve tarihi burada yayımlanır.
HIPAA, Amerika Birleşik Devletleri'nin sağlık verisi düzenlemesidir. Türkiye'de hasta verisi için 6698 sayılı KVKK ve sağlık verilerine ilişkin ikincil düzenlemeler uygulanır; bu yüzden “HIPAA uyumlu” ifadesini kullanmıyoruz.
Bildirim
Bir açık mı buldunuz?
Güvenlik açığını [guvenlik@alanadi] adresine yazın. İletişim bilgisi ve politika, makinelerin de okuyabileceği biçimde /.well-known/security.txt dosyasındadır (RFC 9116).
Başlayın
Güvenlik sorunuz mu var?
Kurum planı için güvenlik soru formunuzu gönderin; denetimleri, durumlarını ve kanıtlarını birlikte inceleyelim.