Güvenlik

PratikYedek verilerimi okuyabilir mi?

Hayır. Uçtan uca şifreleme (zero-knowledge) sebebiyle:

• Dosyalarınız cihazınızda AES-256-GCM ile şifrelenir
• Şifreleme anahtarı (encryption key) sadece cihazınızda
• PratikYedek sunucusu sadece şifrelenmiş binary blob görür
• Sunucu yöneticileri (Berhan dahil) içeriği okuyamaz

Şifre güvenliğim nasıl?

Veri	Saklama
Hesap şifresi	bcrypt hash (plaintext yok; cost factor 12)
2FA TOTP secret	encrypted-at-rest
SMS OTP	bcrypt hash (5 dk TTL)
Encryption key passphrase	sadece cihazda — sunucuya gitmez

Brute-force koruması

• Login: 5 başarısız denemede 10 dk geçici kilit
• SMS OTP: 1 dk içinde 1 talep, 1 saat içinde 5 talep
• API: rate-limit (endpoint başına farklı limitler)

2FA önerilir mi?

Evet, kesinlikle. Mali müşavir + kurumsal pakette zorunlu. Bireysel pakette opsiyonel ama önemle önerilir.

Desteklenen 2FA:

• TOTP (Google Authenticator, Authy, 1Password)
• SMS OTP (yedek olarak)

Yedek dosyalarım kaybolur mu?

Çift koruma:

1. WAL+PITR (Postgres write-ahead log + point-in-time recovery)
   • 5 dk RPO (kaybınız maksimum 5 dk yakın geçmiş)
   • 14 günlük restore drill (otomatik)
2. Object storage chunk replikasyonu
   • 3 farklı disk (LUKS dm-crypt)
   • Faz 4 sonrası coğrafi replikasyon (TR farklı şehirler)

Encryption key kaybı durumunda PratikYedek kurtarma garantisi vermez (zero-knowledge).

SQL Injection / XSS / CSRF korumam?

• SQL injection: Drizzle ORM parametreli sorgular; raw SQL yok
• XSS: React + DOMPurify (kullanıcı içeriği sanitize edilir)
• CSRF: SameSite=strict cookie + CSRF token
• CSP: strict Content-Security-Policy headers

Penetrasyon testi yapıldı mı?

• Faz 3 pilot süresince: hayır (henüz pilot)
• Faz 4 lansman öncesi: bağımsız 3. taraf güvenlik firması ile yıllık pen-test
• Sonuçlar security.pratikyedek.com sayfasında özet halinde yayınlanır

Bug bounty programı?

Faz 4 sonrası HackerOne entegrasyonu planlanıyor. Şu an için güvenlik bildirimi: security@pratikyedek.com.

Yanıt SLA:

• Kritik (RCE, auth bypass): 24h
• Yüksek (data leak, privilege escalation): 72h
• Orta: 7 gün
• Düşük: 14 gün

Hesabım hacklendi gibi hissediyorum

1. Hemen şifre değiştirin (Ayarlar → Güvenlik)
2. Tüm cihazlardan çıkış yapın (Ayarlar → Aktif Oturumlar → Tümünü kapat)
3. 2FA aktif edin (eğer değilse)
4. Audit log inceleyin (son giriş + IP'ler)
5. security@pratikyedek.com ile iletişime geçin