Güvenlik

IT ve güvenlik ekipleriniz için kısa bir özet. Daha fazla ayrıntı için [email protected] adresine yazın.

Veri yeri

Uygulama ve tüm verisi Microsoft Azure Kuzey Avrupa (İrlanda) bölgesindedir. Veri AB dışına taşınmaz.

Şifreleme

• Aktarımda: tüm trafik TLS 1.2 ve üstüyle taşınır. Veritabanı şifresiz bağlantıyı reddeder, dosya deposu yalnız HTTPS kabul eder.
• Depoda: veritabanı ve dosya deposu Azure’un platform anahtarlarıyla diskte şifrelidir.
• Alan düzeyinde: anlaşma sohbet mesajları ve IBAN bilgileri uygulama içinde ayrıca AES-256-GCM ile şifrelenir; veritabanını okuyan biri bu alanları düz metin görmez.
• Entegrasyon anahtarları hiçbir zaman saklanmaz. Her anahtarın yalnız sunucu anahtarıyla alınmış bir HMAC özeti tutulur; anahtar çıkarıldığı anda bir kez gösterilir. Webhook imza sırları da saklanmaz.

Şirketler arası ayrım

Her sorgu yalnız şirketinizin kendi verisiyle sınırlıdır. Bunu uygulama ve onun altında veritabanındaki satır güvenliği (PostgreSQL FORCE ROW LEVEL SECURITY) sağlar. Bir entegrasyon anahtarı yalnız şirketinizin sahibi ya da tarafı olduğu kayıtları okur; diğer her şey 404 döner.

Entegrasyon API’si kontrolleri

• Her planda açıktır ve güvenlik özellikleri her planda aynıdır. Quatlas ekibi bir şirket için hemen kapatabilir.
• Her şirket, hesabı açılmadan önce Quatlas ekibi tarafından davet edilir ve kontrol edilir. Kayıt herkese açılırsa canlı entegrasyonlar, ilk canlı anahtardan önce aynı şirket kontrolünden (yasal kimlik ve fatura bilgileri) geçer; deneme alanı açık kalır.
• Anahtarlar yalnız /api/integrations/v1 altında çalışır; platformun geri kalanı onları reddeder.
• Her anahtar, entegrasyonun kendi servis kimliğiyle ve yalnız kendi kapsamlarıyla çalışır; bir IP izin listesiyle sınırlanabilir.
• Her anahtarın süresi en geç 12 ayda dolar; 30, 7 ve 1 gün önce hatırlatılır; kesintisiz yenilenebilir ya da anında iptal edilebilir.
• İsteğe bağlı Yalnız OAuth modu, 15 dakikalık erişim belirteçleriyle.
• Webhook’lar imzalı (HMAC-SHA256) ve zaman damgalıdır; yalnız 443 portundan HTTPS ile herkese açık adreslere gönderilir. Özel, iç ağ ve bulut metadata adresleri reddedilir, yönlendirme izlenmez.

Ne kaydedilir, ne kadar saklanır

Kayıt	Ne tutulur	Saklama
Entegrasyon çağrı kaydı	Anahtar, yöntem, rota şablonu, durum kodu, süre, zaman ve idempotency anahtarının özeti	365 gün; Sahip ve Yöneticileriniz CSV olarak indirebilir
Anahtar denetim kaydı	Oluşturma, yenileme, iptal, kapsam ve IP izin listesi değişiklikleri; kimin yaptığı ve nedeni	Denetim izi olarak tutulur, Sahip ve Yöneticilerinize görünür
Webhook gönderim kaydı	Olay, hedef sunucu, sonuç, süre ve yanıtınızın ilk 256 baytı	365 gün, CSV olarak indirilir; gönderimin gövdesi yeniden gönderim için 30 gün
Platform personeli işlemleri	Quatlas personelinin bir müşteri üzerinde yaptığı her yazma işlemi, gerekçesiyle	Kalıcı
Uygulama ve erişim günlükleri	İstek satırları	30 gün

Çağrı kaydı rota şablonunu (örneğin /api/integrations/v1/deals/{id}) tutar; bir çağrının yol değerlerini, sorgu dizesini, başlıklarını ya da gövdesini asla tutmaz.

Hiçbir zaman kaydedilmeyenler

Şunlar hiçbir günlükte ya da kayıtta yer almaz:

• entegrasyon anahtarları,
• OAuth erişim belirteçleri,
• webhook imza sırları,
• istek gövdeleri.

Güvenlik bildirimi

Konu satırına “Güvenlik” yazarak [email protected] adresine yazın. Bir entegrasyon anahtarı sızmış olabilirse Sahip ya da bir Yönetici onu Ayarlar > Entegrasyonlar altında hemen iptal edebilir.