Parolalar benzersiz tuzlu Argon2id ile hashlenir. AES ile parola saklamak veya tek başına SHA kullanmak bu projede tasarım gereği yasaktır.
Güvenlik
Verinizin değerini biliyoruz; mimariyi ona göre kurduk.
Aşağıdaki maddeler pazarlama vaadi değil, bugün üretimde çalışan ve otomatik testlerle korunan davranışlardır.
Kısa ömürlü JWT tek başına yetmez: her istekte oturumun hâlâ açık olduğu, token'ın çalınıp iptal edilmediği sunucuda doğrulanır.
Refresh token'lar rotasyonludur; kullanılmış token yeniden görülürse tüm token ailesi anında iptal edilir.
Hesap ele geçirmeye karşı katmanlı savunma
Saldırıların çoğu sıkıcı yollarla gelir: parola denemeleri, çalınan oturumlar, sahte sıfırlama istekleri. Ordelya her katmanda ayrı önlem alır.
- 15 dakikada beş hatalı parola denemesinde atomik hesap kilidi
- Hesap varlığını asla açığa çıkarmayan kayıt, giriş ve sıfırlama yanıtları
- Yeni cihaz girişinde güvenlik olayı ve anlık bildirim
- İki saat geçerli, tek kullanımlık, amaç ayrımlı parola sıfırlama bağlantısı
- Parola değişiminde diğer tüm oturumların otomatik kapanması
- Son beş parolanın yeniden kullanımının engellenmesi
Kontrol her zaman sizde
Güvenlik Merkezi hesabınıza nereden erişildiğini gösterir ve tek tıkla müdahale etmenizi sağlar.
- Aktif ve geçmiş oturumların cihaz, tarayıcı ve zaman bilgisiyle listesi
- Tek oturumu veya bu cihaz dışındaki tüm oturumları anında kapatma
- Cihazı güvenilir işaretleme veya tüm oturumlarıyla birlikte kaldırma
- Son 24 saatteki başarısız giriş denemelerinin görünürlüğü
Uygulama katmanında disiplin
Güvenlik yalnız girişte değil, her satır kodda uygulanan kurallardır.
- Bütün SQL sorguları parametreli; string birleştirme yasak
- Tarayıcıya API token'ı açılmaz; oturum anahtarları sunucuda saklanır
- CSRF koruması ve form doğrulaması tüm yazma işlemlerinde
- Denetim tablolarında açık e-posta veya IP değil SHA-256 özetleri
- Kritik uçlarda IP bazlı hız sınırlama
- Belgelerde tür/boyut doğrulaması ve yetkili indirme
Güvenliği varsayılan kabul edin.
Bu sayfadaki davranışların tamamı otomatik test paketiyle her sürümde yeniden doğrulanır.