Güvenlik Politikası

1Güvenlik Taahhüdümüz

MirPDF olarak kullanıcılarımızın dosyalarını ve kişisel verilerini korumak en öncelikli hedefimizdir. Güvenlik mimarimiz, dosyaların işlenmesi sırasında yetkisiz erişimi, veri sızıntısını ve sisteme yönelik saldırıları önlemek üzere tasarlanmıştır.

2Aktarım Güvenliği (HTTPS/TLS)

• TLS 1.2 ve 1.3: Tüm bağlantılar minimum TLS 1.2 ile şifrelenir. TLS 1.3 destekleyen tarayıcılarda daha güçlü şifreleme otomatik devreye girer.
• HSTS: HTTP Strict Transport Security aktif durumdadır; tarayıcılar siteye yalnızca HTTPS üzerinden bağlanmaya yönlendirilir.
• Güvenli HTTP başlıkları: Content-Security-Policy, X-Frame-Options, X-Content-Type-Options ve Referrer-Policy başlıkları uygulanmaktadır.
• Güvenli dosya yükleme: Dosya yüklemeleri şifreli kanal üzerinden gerçekleşir; aktarım sırasında dinleme (man-in-the-middle) mümkün değildir.

3Dosya Güvenliği

Yüklenen dosyaların güvenliğine ilişkin tüm süreçler aşağıdaki şekilde işlemektedir:

• Geçici depolama: Sunucu tabanlı işlemlerde dosyalar şifreli disk alanında tutulur ve işlem tamamlandığında silinir.
• Maksimum saklama süresi: Hiçbir dosya 1 saatten fazla sunucuda kalmaz. Genellikle bu süre çok daha kısadır.
• Dosya izolasyonu: Her kullanıcının dosyaları birbirinden izole çalışır; başka kullanıcının dosyasına erişim mümkün değildir.
• Dosya türü doğrulama: Yüklenen dosyaların gerçek formatı (magic bytes) kontrol edilir. Yanlış uzantılı veya zararlı içerik içeren dosyalar reddedilir.
• Boyut sınırı: Hizmet istikrarı ve güvenlik için dosya boyutu sınırlaması uygulanmaktadır.
• Tarayıcı tabanlı araçlar: Birleştirme, bölme ve döndürme gibi araçlarda dosyalar sunucuya hiç gönderilmez; tüm işlem tarayıcınızda gerçekleşir.

4Altyapı Güvenliği

• Cloudflare WAF: Web uygulama güvenlik duvarı, SQL injection, XSS ve diğer yaygın saldırı vektörlerine karşı aktif koruma sağlar.
• DDoS koruması: Cloudflare'in katmanlı DDoS önleme sistemi sürekli aktiftir.
• SSH anahtar kimlik doğrulaması: Sunuculara yalnızca anahtar tabanlı SSH erişimine izin verilir; parola girişi devre dışıdır.
• Güvenlik duvarı kuralları: Sunuculara gereksiz portlardan erişim bloke edilmiştir. Yalnızca zorunlu servis portları açıktır.
• Yazılım güncellemeleri: Sunucu işletim sistemleri ve bağımlılıklar güvenlik yamaları düzenli olarak uygulanarak güncel tutulur.
• Hız sınırlama (Rate limiting): API uç noktaları ve dosya yükleme işlemleri için istek sınırlaması uygulanır.

5Sistem Logları

MirPDF, güvenlik ve kötüye kullanım tespiti amacıyla sınırlı sistem logları tutmaktadır:

• Saklama süresi: Güvenlik logları 90 gün saklanır ve ardından silinir.
• Kullanım amacı: Loglar yalnızca güvenlik ihlali araştırması, kötüye kullanım tespiti ve yasal zorunluluklar kapsamında kullanılır.
• Erişim kısıtlaması: Sistem loglarına yalnızca yetkili sistem yöneticisi erişebilir.
• Yasal taleplere yanıt: Yetkili mahkeme kararı veya yasal zorunluluk durumunda ilgili loglar yetkili makamlara sağlanabilir.

★Veri Saklama ve Silme Politikası

MirPDF'te işlenen dosyaların ne zaman ve nasıl silindiğini şeffaf biçimde belirtiyoruz:

★Güvenlik Mimarisi

MirPDF, tamamen Cloudflare altyapısı üzerine inşa edilmiştir. Bu tercih kasıtlıdır: Cloudflare, 2024 itibarıyla Fortune 500 şirketlerinin %30'undan fazlasının güvendiği altyapı sağlayıcısıdır.

Katmanlar

Şifreleme

• Aktarımda (in-transit): TLS 1.2 minimum, TLS 1.3 tercih. HSTS başlığı zorunlu.
• Beklemede (at-rest): Cloudflare R2 AES-256-GCM ile şifreleme.
• Parolalar: PBKDF2-SHA256 ile 100.000 iterasyon, farklı salt. Plaintext parola asla saklanmaz.
• Token'lar: JWT HS256, kısa ömürlü (24 saat), refresh token rotasyonu.

Ağ Güvenliği

• Tüm API endpoint'leri rate limiting ile korunmaktadır (IP ve kullanıcı bazlı).
• CORS whitelist: yalnızca mirpdf.com origin kabul edilir.
• Admin endpoint'leri hem JWT hem ADMIN_SECRET_TOKEN çift doğrulama gerektirir.
• SQL injection: Cloudflare D1 parameterized queries — string concatenation yok.
• XSS: Content-Security-Policy ve X-Frame-Options başlıkları aktif.

6Güvenlik Açığı Bildirimi

MirPDF platformunda bir güvenlik açığı tespit ettiyseniz lütfen bunu sorumlu açıklama ilkelerine uygun biçimde bildirin.

• Bildirim e-postası: destek@mirpdf.com (konu: "Security Report")
• Yanıt süresi: Raporunuz en geç 48 saat içinde yanıtlanır.
• Düzeltme süreci: Kritik açıklar 7 iş günü içinde giderilmeye çalışılır.
• Kapsam dışı: Sosyal mühendislik, fiziksel güvenlik ve üçüncü taraf hizmetlere ait açıklar kapsam dışındadır.

7İletişim