Mühendislik Standartları & Güven Şartı

CRY Güven Merkezi: Savunma Odaklı Yazılım ve Altyapı Standartları

Yazılımlarımızı ve altyapımızı üçüncü taraf iddialar veya pazarlama etiketleriyle değil; kod incelemesi, veri izolasyonu, güvenli yapılandırma ve sorumlu mühendislik prensipleriyle yönetiyoruz.

01 CRY Standartları

Güvenlik Yaklaşımı ve Temel Felsefemiz

Güvenlik, proje tamamlandıktan sonra dışarıdan eklenen bir katman değil; mimarinin ilk satırından itibaren uygulanan bir savunma disiplinidir.

CRY olarak "Varsayılan Olarak Güvenli" (Secure by Default) ve "En Az Yetki" (Least Privilege) prensiplerini benimsiyoruz. Yazılım projelerimizde ve sistemlerimizde yalnızca ihtiyaç duyulan portlar, servisler ve yetkiler açık tutulur.

Pazarlama amaçlı doğrulanmamış sertifika veya rozetler iddia etmek yerine; doğrudan kod düzeyinde test edilebilir, denetlenebilir ve production ortamında doğrulanmış savunma mekanizmaları kurarız.

02 CRY Standartları

Uygulama Güvenliği (Application Security)

Web uygulamalarında en sık karşılaşılan saldırı vektörlerine karşı çerçeve (framework) düzeyinde sıkı önlemler alıyoruz.

Kimlik Doğrulama (Authentication)

Parolalar bcrypt/argon2id ile tuzlanarak (salt) özetlenir. Zamanlama saldırılarına (timing attack) dayanıklı karşılaştırmalar, oturum yenileme ve brute-force saldırılarına karşı otomatik hesap kilitleme uygulanır.

Yetkilendirme (Authorization & RBAC)

Rol ve yetkiler doğrudan controller veya rota seviyesinde Gate ve Policy sınıfları ile kontrol edilir. IDOR (Insecure Direct Object Reference) riskini önlemek için her kaynak talebi sahiplik doğrulamasına tabidir.

CSRF Savunması (Cross-Site Request Forgery)

Durum değiştiren (POST, PUT, DELETE, PATCH) tüm HTTP istekleri şifreli ve oturuma bağlı CSRF token doğrulaması olmaksızın işleme alınmaz.

XSS ve Girdi Sanitizasyonu (Cross-Site Scripting)

Kullanıcıdan gelen tüm girdiler Blade şablon motorunda otomatik escape edilir. Zengin metin (HTML) kabul edilen alanlar HTMLPurifier ile tehlikeli script ve iframe etiketlerinden arındırılır.

Sıkı Doğrulama ve SQL Injection Koruması

Veritabanı sorguları ORM (Eloquent) ve PDO parametreli sorguları ile yürütülür; ham SQL birleştirmelerinden kaçınılır. Tüm form verileri tür, uzunluk ve biçim kurallarıyla sıkı doğrulamadan geçer.

Güvenli HTTP Başlıkları (Security Headers)

Uygulama sunucularımızda Content-Security-Policy (CSP), Strict-Transport-Security (HSTS), X-Frame-Options (DENY), X-Content-Type-Options (nosniff) ve Referrer-Policy zorunlu kılınır.

İstek Sınırlama (Rate Limiting & Throttling)

Giriş ekranları, iletişim formları, analiz araçları ve API uç noktaları IP ve oturum bazlı istek sınırlandırması (throttle middleware) ile korunur.

03 CRY Standartları

Veri Koruma ve Şifreleme

Verinin hem transfer halinde hem de saklanma anında gizliliğini ve bütünlüğünü koruyoruz.

Tüm web trafiği modern TLS 1.3 ve TLS 1.2 şifreleme protokolleriyle korunur. Zayıf şifreleme algoritmaları ve güvensiz cipher paketleri sunucu seviyesinde devre dışı bırakılır.

Veritabanında saklanan hassas kimlik bilgileri, API anahtarları ve entegrasyon token'ları AES-256-CBC veya AES-256-GCM ile uygulama anahtarı kullanılarak şifrelenir.

04 CRY Standartları

Yedekleme ve Kurtarma (Backup & Disaster Recovery)

Olası donanım arızaları veya veri bütünlüğü bozulmalarına karşı düzenli ve doğrulanabilir kurtarma planları.

Veritabanı dökümleri (dumps) günlük olarak otomatik alınır ve uygulama sunucusundan izole edilmiş şifreli harici depolama alanlarına aktarılır.

Yalnızca yedek almakla yetinmeyiz; belirli periyotlarda yedekten geri yükleme (restore test) denemeleri yapılarak veri dosyalarının bozulmadığı ve kurtarılabilir olduğu doğrulanır.

05 CRY Standartları

Günlük Kaydı ve İzleme (Logging & Monitoring)

Sistemdeki olağan dışı hareketleri erken tespit edebilmek için merkezi log mimarisi.

Başarısız yönetici giriş denemeleri, kritik yetki değişiklikleri, 404/403 anomalileri ve sunucu istisnaları (exceptions) zaman damgalı olarak kayıt altına alınır.

Log dosyalarında parola, kredi kartı veya kişisel hassas verilerin açık metin olarak yer almaması için filtreleme ve maskeleme uygulanır.

06 CRY Standartları

Bağımlılık Yönetimi ve Güvenlik Yamaları

Üçüncü taraf kütüphane ve paketlerin güvenlik durumunu proaktif olarak denetliyoruz.

PHP (Composer) ve JavaScript (npm) bağımlılıkları düzenli olarak bilinen güvenlik açıkları veritabanları (CVE, GitHub Advisory) taranarak güncellenir.

Gereksiz veya bakımı bırakılmış açık kaynak kütüphanelerin projeye dahil edilmesinden kaçınılır; minimum bağımlılık felsefesi uygulanır.

07 CRY Standartları

Güvenlik Olayı Yönetimi (Incident Handling)

Olası bir güvenlik ihlali şüphesinde izlenen standart müdahale adımları.

Bir anomali veya zafiyet şüphesi tespit edildiğinde ilk adım etkilenen sistem bileşenini izole etmek ve oturumları sonlandırmaktır.

Olayın kök nedeni (root-cause) loglar üzerinden incelenir, yama uygulanır ve etkilenen müşteriler şeffaf bir teknik raporla bilgilendirilir.

08 CRY Standartları

Barındırma ve Altyapı Sorumluluğu Sınırları

Müşteri sunucusu ile CRY geliştirme kapsamı arasındaki teknik ayrım.

Müşterinin kendi sunucusunda barındırılan sistemlerde işletim sistemi güncellemeleri, sunucu güvenlik duvarı (UFW/iptables) ve SSH erişim kontrolleri sunucu sahibinin sorumluluğundadır.

CRY, teslim edilen yazılımın uygulama katmanı güvenliğinden ve güvenli sunucu yapılandırma yönergelerinin sağlanmasından sorumludur.

09 CRY Standartları

Güvenli Geliştirme Yaşam Döngüsü (Secure SDLC)

Kodun taslak aşamasından canlıya alınmasına kadar uygulanan kalite kontrolleri.

Geliştirilen kodlar doğrudan canlı sunucuda değil, yerel ve test ortamlarında doğrulanır. Otomatik test paketleri (PHPUnit) çalıştırılarak iş mantığı korunur.

Canlıya geçiş (deployment) adımlarında debug modları kapatılır, kaynak haritaları ve geliştirici araçları production ortamından yalıtılır.

10 CRY Standartları

Sorumlu Bildirim Politikası (Responsible Disclosure)

Sistemlerimizde güvenlik açığı tespit eden araştırmacılar için şeffaf iletişim kanalı.

Sistemlerimizde olası bir güvenlik açığı tespit ederseniz, lütfen bunu kamuoyuna açıklamadan önce security@cry.com.tr adresine bildiriniz.

Sorumlu bildirimde bulunan araştırmacılara en geç 48 saat içinde teknik geri dönüş yapılır ve doğrulanmış açıklar ivedilikle kapatılır.

11 CRY Standartları

KVKK ve Veri Gizliliği Uyumu

6698 sayılı Kişisel Verilerin Korunması Kanunu gereksinimlerine saygılı mühendislik.

Web sitelerimizde ve geliştirdiğimiz formlarda toplanan kişisel veriler açık rıza metinleri ve aydınlatma bildirimleri ile şeffaf şekilde işlenir.

Kullanıcıların çerez tercihleri (zorunlu, analitik) açık rızaya tabi tutulur; rıza verilmeden analitik etiketler tetiklenmez.

12 CRY Standartları

Müşteri ve Yönetici Sorumlulukları

Güvenliğin tam anlamıyla sağlanması için proje sahiplerinin uygulaması gereken temel hijyen kuralları.

Yönetim paneli parolalarının tahmin edilemez karmaşıklıkta tutulması ve ortak paylaşımlı hesaplar kullanılmaması gerekir.

Yönetici bilgisayarlarında güncel güvenlik yazılımlarının bulunması ve şirket içi personelin oltalama (phishing) saldırılarına karşı bilinçli olması esastır.

Güvenlik ve Uyum

Güvenlik Hakkında Sıkça Sorulan Sorular

CRY sistemlerinde sızma testi (penetration test) yapılıyor mu? ↓

Evet. Geliştirdiğimiz yazılımlar ve altyapı araçları canlıya alınmadan önce temel blackbox ve whitebox kontrollerinden geçirilir. Ancak gerçeği yansıtmayan sahte bağımsız pentest sertifikaları iddia etmeyiz.

Müşteri verileri üçüncü taraflarla paylaşılıyor mu? ↓

Hayır. Müşteri verileri, iletişim formları veya proje bilgileri hiçbir koşulda reklam ağlarına veya üçüncü taraf şirketlere satılmaz ya da paylaşılmaz.

Yönetim panelinde iki aşamalı doğrulama (2FA) destekleniyor mu? ↓

Evet. Laravel altyapımız TOTP tabanlı (Google Authenticator vb.) iki aşamalı kimlik doğrulama mekanizmalarını destekler ve kritik yönetim panellerinde entegre edilebilir.

Güvenlik yamaları ne sıklıkla uygulanır? ↓

Kritik güvenlik güncellemeleri yayınlandığı anda incelenir ve geriye dönük uyumluluk testlerinin ardından canlı sistemlere uygulanır.

ISO 27001 veya SOC 2 sertifikanız var mı? ↓

CRY, kurumsal sertifikasyon iddiaları yerine şeffaf ve denetlenebilir mühendislik prensiplerini taahhüt eder. Doğrulanmamış veya kapsam dışı ISO/SOC sertifikaları pazarlamak etik politikamıza aykırıdır.

Bir güvenlik sorunuz veya bildiriminiz mi var?

Güvenlik ekibimiz doğrudan teknik taleplerinizi incelemektedir.

security@cry.com.tr