Neleri koruyoruz, neler henüz açık?
Kasım 2026’da kodu kendimiz inceledik, OWASP ASVS Seviye 2 rehberimizdi. Bu bir dış denetim veya sertifika değildir. Burada neleri kanıtlayabildiğimizi ve neyin eksik olduğunu yazıyoruz.
İşletmen sana ait kalır
Birçok işletme tek kurulumu paylaşır. Veriler yine de ayrı kalmalı.
- Her veritabanı sorgusu otomatik olarak kendi işletmene filtrelenir.
- Başka bir işletmenin gerçek kimlikleriyle test: 43 yol kontrol edildi, veri sızıntısı yok.
- Bilinçli olarak açılanlar dışında her yol giriş yapmadan kapalıdır. Yeni açık yollar bir testte yakalanır.
- Tek şubeyle sınırlı roller arka ofiste yalnızca o şubeyi görür.
Giriş ve cihazlar
Arka ofis ve kasanın ihtiyaçları farklıdır, ikisi de korunur.
- Argon2id ile parolalar, işletme sahibi ve yöneticiler için iki adımlı giriş (TOTP).
- Yeni parolalar, üçüncü taraflara sorulmadan yerel bir yaygın parola listesiyle karşılaştırılır.
- Tek kullanımlık bağlantıyla “Parolamı unuttum”, 60 dakika geçerli; sonrasında tüm oturumlar kapanır, iki adımlı giriş kalır.
- Kasalar ve kiosklar tek kullanımlık kodla eşleştirilir ve iptal edilebilir.
- 5 hatalı denemeden sonra kilit; giriş ve açık yollarda IP bazında, kasa yollarında cihaz bazında istek sınırı.
- Oturum çerezini yalnızca sunucu okuyabilir, yenileme tekrar kullanılan belirteçleri fark eder.
İzlenebilir
Kasada ve hesapta olanlar sonradan belgelenebilir.
- Girişler, iptaller, kasa defteri, dışa aktarımlar, kullanıcı ve cihaz değişiklikleri için denetim kaydı.
- Kasa yevmiyesine yalnızca ekleme yapılır, karma zinciri ve kontrol işlevi vardır.
- Kayıtlarda ve denetim kaydında parola, PIN veya belirteç yok.
Girdiler ve tarayıcı
Dış içerikler formlar, görseller ve e-faturalarla sisteme girer.
- Nonce’lu sıkı Content Security Policy, tüm sayfalarda güvenlik başlıkları.
- Görseller içeriğe göre kontrol edilip yeniden kodlanır, SVG yüklenemez.
- E-fatura içe aktarımında boyut sınırları ve değiştirilmiş XML’e karşı koruma.
- Online sipariş fiyatları her zaman sunucudan gelir, asla tarayıcıdan gelmez.
Müşteri verileri ve yedekler
Müşteri verileri için üründe araçlar var. Şablonların ve sürelerin hukuki kontrolü henüz yapılmadı.
- Müşteri bazında veri dışa aktarma ve anonimleştirme, belgeler saklama yükümlülüğü nedeniyle kalır.
- Onaylar sürümle saklanır, hatırlatma e-postalarında tek tıkla çıkış bağlantısı vardır.
- Günlük şifreli yedek ve otomatik geri yükleme testi için betikler var; canlı kullanım henüz başlamadı.
- Bir veri işleme sözleşmesi şablonu var, avukat kontrolü henüz yapılmadı.
Henüz açık olanlar
Pilottan önce bu maddeler listemizde.
- Henüz dış güvenlik denetimi yapılmadı.
- Canlı kullanım için barındırma sağlayıcısı henüz seçilmedi.
- Gerçek TSE, S-POS, Adyen ve Mollie henüz gerçek servislere karşı test edilmedi, ilk pilot işletme de bekliyor.
- Tek sunucu örneğiyle çalışma test edildi. İstek sınırları ve anlık güncellemeler Redis üzerinden çalışabilir, ancak birden çok örnekle canlı kullanım henüz denenmedi.
- Tek şubeyle sınırlı roller de denetim kaydını ve yevmiye kontrolünü bütün işletme için görür.
Daha ayrıntılı bilmek ister misin?
Görüşmede inceleme sonuçlarını ayrıntılı olarak sor.