Engineering-Standards & Vertrauenscharta

CRY Vertrauenszentrum: Standards für defensive Software und Infrastruktur

Wir sichern unsere Software und Infrastruktur durch nachprüfbare Code-Reviews, Datenisolation, gehärtete Konfigurationen und verantwortungsvolle Entwicklung ab – nicht durch Marketingversprechen.

01 CRY Standartları

Sicherheitsansatz & Grundphilosophie

Sicherheit ist kein nachträglich angefügtes Extra, sondern ein architektonisches Kernprinzip ab der ersten Zeile Code.

Bei CRY folgen wir den Prinzipien „Secure by Default“ und „Least Privilege“. In unseren Softwareprojekten bleiben ausschließlich zwingend erforderliche Ports, Dienste und Zugriffsrechte geöffnet.

Statt ungeprüfte Zertifikate oder Marketing-Siegel zu behaupten, implementieren wir greifbare, auditierbare Schutzmaßnahmen direkt auf Code- und Produktionsebene.

02 CRY Standartları

Anwendungssicherheit (Application Security)

Wir schützen Webanwendungen auf Framework-Ebene gegen gängige Angriffsvektoren.

Authentifizierung

Passwörter werden mit bcrypt oder argon2id gehasht und gesalzen. Zeitangriffsresistente Vergleiche, Session-Regenerierung und Drosselung schützen vor Brute-Force-Angriffen.

Autorisierung & RBAC

Rollen und Rechte werden an Controller- und Routing-Grenzen über Laravel-Policies durchgesetzt. Jede Ressourcenanfrage prüft Eigentumsrechte zur Verhinderung von IDOR-Lücken.

CSRF-Schutz

Zustandsändernde HTTP-Anfragen (POST, PUT, DELETE, PATCH) erfordern ausnahmslos gültige, sitzungsgebundene CSRF-Token.

XSS & Eingabebereinigung

Benutzereingaben werden in Blade-Templates automatisch maskiert. HTML-Felder werden über HTMLPurifier streng von schädlichen Skripten und Iframes bereinigt.

Validierung & SQL-Injection-Schutz

Datenbankoperationen nutzen Eloquent ORM und parametrisierte PDO-Bindings. Formulareingaben unterliegen strenger Validierung nach Typ, Länge und Format.

Sicherheits-Header

Unsere Server setzen Content-Security-Policy (CSP), Strict-Transport-Security (HSTS), X-Frame-Options (DENY), X-Content-Type-Options (nosniff) und Referrer-Policy strikt durch.

Ratenbegrenzung (Rate Limiting)

Login-Routen, Kontaktformulare, Analysetools und APIs sind durch IP- und sitzungsbasierte Ratenbegrenzung vor Überlastung geschützt.

03 CRY Standartları

Datenschutz & Verschlüsselung

Schutz der Vertraulichkeit und Integrität von Daten sowohl während der Übertragung als auch im Ruhezustand.

Der gesamte Datenverkehr wird über TLS 1.3 und TLS 1.2 verschlüsselt. Veraltete Cipher-Suiten und unsichere Protokolle sind auf Serverebene deaktiviert.

Sensible Zugangsdaten, API-Schlüssel und Integrationstoken in der Datenbank werden mit AES-256-GCM oder AES-256-CBC anwendungsbasiert verschlüsselt.

04 CRY Standartları

Datensicherung & Wiederherstellung (Backup & Recovery)

Regelmäßige und verifizierbare Notfallpläne gegen Hardwareausfälle oder Datenverlust.

Datenbank-Snapshots werden täglich automatisiert erstellt und auf verschlüsselte, vom Anwendungsserver isolierte Speicher übertragen.

Wir führen regelmäßige Wiederherstellungstests (Restore Tests) durch, um sicherzustellen, dass Backups unbeschädigt sind und im Ernstfall schnell eingespielt werden können.

05 CRY Standartları

Protokollierung & Monitoring

Zentrale Erfassung von Systemereignissen zur frühzeitigen Erkennung von Auffälligkeiten.

Fehlgeschlagene Login-Versuche, kritische Rechteänderungen, 404/403-Anomalien und Ausnahmen werden mit präzisen Zeitstempeln protokolliert.

Personenbezogene Daten, Passwörter und Zahlungsdaten werden vor dem Schreiben in Logdateien gefiltert und unkenntlich gemacht.

06 CRY Standartları

Abhängigkeitsmanagement & Sicherheitsupdates

Proaktive Überprüfung und Pflege von Open-Source-Bibliotheken und Framework-Paketen.

Composer- und npm-Abhängigkeiten werden regelmäßig gegen Schwachstellendatenbanken (CVE, GitHub Advisory) abgeglichen und aktualisiert.

Wir verfolgen einen Ansatz minimaler Abhängigkeiten und vermeiden ungepflegte oder überflüssige Drittanbieterpakete.

07 CRY Standartları

Sicherheitsvorfall-Management (Incident Handling)

Standardisierte Reaktionsschritte bei Verdacht auf Sicherheitsanomalien.

Wird eine Auffälligkeit festgestellt, wird die betroffene Systemkomponente isoliert und administrative Sitzungen werden beendet.

Die Ursache wird anhand von Logs analysiert, Sicherheitsupdates werden eingespielt und Betroffene transparent informiert.

08 CRY Standartları

Verantwortungsgrenzen bei Hosting & Infrastruktur

Klare Abgrenzung zwischen kundenseitiger Serververwaltung und CRY-Softwareverantwortung.

Bei Systemen auf kundeneigenen Servern liegen Betriebssystem-Updates, Firewalls (UFW/iptables) und SSH-Zugänge in der Verantwortung des Serverbetreibers.

CRY verantwortet die Sicherheit der gelieferten Anwendungsschicht und liefert praxiserprobte Härtungsrichtlinien für die Serverkonfiguration.

09 CRY Standartları

Sicherer Entwicklungslebenszyklus (Secure SDLC)

Qualitätssicherung von der lokalen Entwicklung bis zum produktiven Deployment.

Änderungen werden in separaten Staging-Umgebungen getestet. Automatisierte PHPUnit-Tests sichern die Geschäftslogik gegen Fehler ab.

Beim Deployment werden Debug-Tools deaktiviert, Source-Maps entfernt und Produktionsumgebungen strikt isoliert.

10 CRY Standartları

Verantwortungsvolle Offenlegung (Responsible Disclosure)

Strukturierter Meldeweg für externe Sicherheitsforscher.

Sollten Sie eine Schwachstelle in unseren Systemen entdecken, melden Sie diese bitte vertraulich an security@cry.com.tr vor einer öffentlichen Veröffentlichung.

Wir bestätigen Meldungen innerhalb von 48 Stunden und setzen geprüfte Korrekturen transparent und zügig um.

11 CRY Standartları

Datenschutz & DSGVO-Konformität

Entwicklungspraktiken nach den Vorgaben der europäischen Datenschutz-Grundverordnung.

Über Formulare erhobene Daten werden mit klaren Hinweisen und transparenten Einwilligungstexten verarbeitet.

Cookie-Präferenzen (notwendig vs. analytisch) werden respektiert; Analyse-Tags feuern erst nach ausdrücklicher Zustimmung.

12 CRY Standartları

Verantwortung von Kunden & Administratoren

Grundlegende Verhaltensregeln zur Aufrechterhaltung der Systemsicherheit.

Passwörter für Administrationszugänge müssen komplex gewählt und dürfen nicht im Team geteilt werden.

Arbeitsplätze von Administratoren sollten über aktuelle Betriebssysteme verfügen und Mitarbeiter für Phishing-Gefahren sensibilisiert sein.

Güvenlik ve Uyum

Güvenlik Hakkında Sıkça Sorulan Sorular

Führt CRY Penetrationstests durch? ↓

Ja. Entwickelte Softwarekomponenten durchlaufen vor dem Go-Live grundlegende Blackbox- und Whitebox-Sicherheitsprüfungen. Wir werben jedoch nicht mit ungeprüften Siegeln.

Werden Kundendaten an Dritte weitergegeben? ↓

Nein. Daten aus Formularen, Anfragen oder Kundenprojekten werden unter keinen Umständen an Werbenetzwerke oder Datenhändler verkauft oder weitergegeben.

Wird Zwei-Faktor-Authentifizierung (2FA) unterstützt? ↓

Ja. Unsere Laravel-Architektur unterstützt TOTP-basierte Zwei-Faktor-Authentifizierung (Google Authenticator etc.) für alle administrativen Zugänge.

Wie schnell werden Sicherheitsupdates eingespielt? ↓

Kritische Sicherheitsmeldungen werden bei Veröffentlichung umgehend geprüft und nach Kompatibilitätstests zeitnah im Live-System angewendet.

Verfügt CRY über ISO 27001- oder SOC 2-Zertifikate? ↓

CRY setzt auf transparente, direkt prüfbare Sicherheitsmaßnahmen im Code. Das Bewerben von Scheinzertifikaten widerspricht unseren ethischen Grundsätzen.

Bir güvenlik sorunuz veya bildiriminiz mi var?

Güvenlik ekibimiz doğrudan teknik taleplerinizi incelemektedir.

security@cry.com.tr