Güvenliği bir kontrol listesi değil, yayınlama gerekliliği olarak ele alıyoruz. Bu sayfa bugün uygulanan kontrolleri ve bir şey doğru görünmediğinde bize nasıl ulaşacağınızı açıklar.
Aktarım halindeki veriler
- Hem
api.kunavo.comhem dekunavo.comiçin uçta TLS 1.2+ zorunlu tutulur. - HSTS, 12 aylık max-age ile etkinleştirilmiştir.
- OAuth geri çağrıları doğrulanmış yönlendirme URI'leriyle sınırlandırılır; magic-link token'ları tek kullanımlık ve kısa ömürlüdür.
Bekleyen veriler
- Hesap, faturalandırma ve kullanım verileri tek bir birincil bölgede Fly Postgres'te depolanır; şifreli birim anlık görüntüleri günlük olarak alınır.
- API anahtarları tek yönlü hash olarak saklanır; düz metin yalnızca oluşturma sırasında gösterilir.
- Kullanıcı yüklemeleri, yalnızca o bucket kapsamındaki kimlik bilgileri kullanılarak tarafsız ve özel bir bucket'tan (
files.kunavo.com) sunulur.
Erişim kontrolleri
- En az ayrıcalık ilkesi: üretim erişimi, yetkilendirilmiş az sayıda mühendisle sınırlandırılmıştır.
- Her altyapı sağlayıcısında iki faktörlü kimlik doğrulama zorunludur.
- Yönetim konsolundaki idari işlemler için denetim günlükleri saklanır.
Güvenilirlik
- Yukarı akış modelleri için çok sağlayıcılı sıcak yük devretme — sınırlamalar için ana sayfaya ve Hizmet Şartları'na bakın.
- Durum sayfası: kunavo.com/status.
- Dispatcher başına TTFB ve bağlantı kesilme oranı izlenir; kullanıcıya görünen olaylar /changelog adresinde olay sonrası değerlendirmeye alınır.
Sorumlu bildirim
Bir güvenlik açığı bulduğunuza inanıyorsanız lütfen açığı yeniden ortaya çıkarma adımlarıyla birlikte security@kunavo.com adresine e-posta gönderin. Bildirimleri aldığımızı 48 saat içinde teyit eder ve iyi niyetli araştırmacılar hakkında işlem yapmayız.