Güvenlik

İş yükü izolasyonu

Her proje kendi Kubernetes namespace'inde, her uygulama kapsayıcısı gVisor (runsc) altında çalışır — kodunuz ile fiziksel makine arasında kullanıcı-alanı bir çekirdek. Kapsayıcıdan kaçan bir süreç bile komşularınızın çalıştığı makineyle değil, gVisor ile konuşur.

Ağ da aynı şekilde çevrilidir: küme genelinde bir politika (Cilium), tenant iş yüklerinin yalnızca DNS ile ve 80/443 portlarından açık internetle konuşmasına izin verir. Özel adres alanı erişilemezdir — bir müşterinin uygulaması ne başka bir müşteriye ne platformun iç servislerine bağlanabilir — ve dışa 25. port kapalıdır; platform spam göndermek için kullanılamaz.

Derleme ve imaj güvenliği

Uygulamalar kaynağınızdan izole derleme işlerinde derlenir ve yalnızca platformun erişebildiği özel bir kayıt defterine gönderilir. Gönderilen her imaj varışta bilinen zafiyetlere karşı otomatik taranır (Trivy).

Aktarım şifrelemesi

• Tüm trafik HTTPS'tir. Düz HTTP yalnızca yönlendirmeyle (ve sertifika doğrulama isteğiyle) yanıtlanır.
• Platform adresleri HTTP Strict Transport Security gönderir, alt alan adları dahil.
• Özel alan adları kendi Let's Encrypt sertifikasını alır; verilmesi ve yenilenmesi otomatiktir.
• Özel bir alan adı, sahipliğini DNS TXT kaydıyla kanıtlamanızdan sonra yayınlanır — kimse bizim uca kendisine ait olmayan bir alan adı bağlayamaz.

Sırlar

• Ortam değişkeni değerleri veritabanına yazılmadan önce şifrelenir (AES-256-GCM). Anahtar verinin yanında değil, bir sır yöneticisinde (OpenBao) durur.
• Her şifreli değer kriptografik olarak kendi projesine ve anahtar adına bağlıdır — kopyalanan bir veritabanı satırı başka bir projede açılamaz.
• Platformun kendi kimlik bilgileri (veritabanı, kayıt defteri, posta) de depodaki dosyalardan değil, sır yöneticisinden gelir.

Hesaplar ve erişim

• Parolalar kimlik servisinde (Keycloak) saklanır ve doğrulanır. Platform veritabanına hiçbir zaman yazılmaz.
• Ekip rolleri (owner, admin, member, viewer) her API çağrısında sunucu tarafında zorlanır — yalnızca arayüzde gizlenmez.
• Erişim token'ları SHA-256 özeti olarak saklanır; platform bir token'ı ikinci kez gösteremez. İptal bir sonraki istekte geçerlidir ve token'ın hakları canlı ekip rolünüzü izler — ekipten ayrılırsanız token'larınız orada çalışmayı durdurur.
• Giriş ve kayıt uçları kaynak adres başına hız sınırlıdır. Uygulamanızın kendi trafiği bizim tarafımızdan asla sınırlanmaz.

Ödemeler

Kart ödemeleri bankanın 3D Secure sanal POS altyapısında işlenir. Kart numaraları sunucularımıza hiçbir zaman ulaşmaz — yalnızca bankanın ödeme referansını ve son dört haneyi saklarız; faturanız hangi karttan çekildiğini böyle söyleyebilir.

Verileriniz

• Müşteri uygulamaları ve verileri Türkiye'de (İstanbul), NESNET tarafından işletilen altyapıda çalışır.
• Yönetilen veritabanları her gece yedeklenir; kaç yedeğin saklandığını her plan açıkça söyler.
• Veritabanı içeren bir eklentiyi silmek, veriyi tıklama anında düşürmez — veritabanı önce erişime kapatılır ve mezar taşı olarak saklanır; yanlışlıkla silme geri kurtarılabilir.
• Platformun hesabınız hakkında tuttuğu her şeyi tek arşiv olarak dışa aktarabilir ve hesabı kendiniz kapatabilirsiniz. İkisi de konsolda ve CLI'da; hesap sayfasında belgelidir.

Alt işleyiciler

Hizmetin işletilmesi kapsamında müşteri verisine dokunan taraflar:

• NESNET (Türkiye) — barındırma ve ağ altyapısı.
• GitHub — yalnızca bir depo bağlarsanız: kaynak çekme ve webhook iletimi.
• Let's Encrypt — sertifika verme; yalnızca alan adlarını görür.
• E-posta aktarımı — işlemsel postaların (bildirim, davet) iletimi.

Zafiyet bildirimi

nesly@nesly.net adresine yazın. Her bildirimi okur ve yanıtlarız; dilerseniz düzeltme yayınlandığında adınızı anarız. Makine-okunur ayrıntılar /.well-known/security.txt adresinde (RFC 9116). Bugün bir ödül programı yok — ima etmek yerine bunu açıkça söylüyoruz.

İddia etmediklerimiz

Güvenilir bir güvenlik sayfası, henüz olmayanı da söyler:

• Henüz SOC 2 veya ISO 27001 sertifikası yok.
• Tek bölge. İstanbul sahası düşerse platform düşer — devralacak ikinci bölge yok.
• İki adımlı doğrulama henüz ekip başına zorunlu kılınamıyor; kimlik servisinin politikasına bağlı.