Güvenlik

Salt okunur mimari

Hiçbir bağlayıcı dış sisteme yazma yetkisi istemez veya kullanmaz. Shopify, WooCommerce, ikas ve Trendyol adaptörleri yalnızca okuma kapsamlarıyla çalışır; fazlası reddedilir.

Kimlik doğrulama ve oturum

• Şifreler argon2id ile özetlenir; 8 başarısız denemeden sonra hesap 15 dakika kilitlenir.
• Oturum, imzalı ve HttpOnly sd_session çerezinde tutulur; yazma istekleri X-Requested-With başlığı gerektirir (CSRF koruması).
• Şifre değişiminde diğer tüm oturumlar kapatılır.

Kimlik bilgisi ve anahtar yönetimi

• Bağlantı kimlik bilgileri AES-256-GCM ile şifrelenir ve API üzerinden asla geri döndürülmez.
• API anahtarları sunucuda CSPRNG ile üretilir; yalnızca SHA-256 karması saklanır. Token yalnızca oluşturulduğu anda bir kez gösterilir.
• Ingest istekleri HMAC-SHA256 ile imzalanır; 300 saniyelik zaman penceresi ve nonce tekrar koruması uygulanır.

Tenant izolasyonu

Tüm sorgular sunucu tarafında hesabın kiracı kimliğiyle sınırlandırılır. Rapor dosyaları kiracıya özel dizinlerde tutulur ve imzalı, kısa ömürlü bağlantılarla indirilir.

Denetim

Giriş, bağlantı, anahtar ve veri değişikliği işlemleri denetim kaydına yazılır. Güvenlik bildirimleri için security@obscura.technology.