Bot token'ınız, herkesin kullanıcılarınızın mesajlarını okumasına ve botunuz adına konuşmasına izin verir. Bu sayfa, onu tam olarak nasıl koruduğumuzu — ve henüz neyi inşa etmediğimizi anlatır.
Telegram bot token'ınız botunuz için tam bir kimlik bilgisidir; bu nedenle veritabanına veya yedeklemeye ulaşmadan önce AES-256-GCM ile mühürlenir, yalnızca Telegram'ı çağırmak için çözülür, asla günlüğe kaydedilmez ve üründe her yerde maskeli gösterilir.
Her bağlantı için TLS 1.2+ ile HTTPS, HSTS ile zorunlu kılınır. Bot token'ları ve iki faktörlü kimlik doğrulama sırları, yalnızca sizin dağıtımınızın sahip olduğu bir anahtarla saklanırken şifrelenir.
scrypt ile karma haline getirilmiş parolalar, kurtarma kodlarıyla isteğe bağlı TOTP iki faktörlü kimlik doğrulama, CSRF korumalı httpOnly oturum çerezleri, oturum açma ve parola sıfırlamada hız sınırlaması ve tekrarlanan hatalardan sonra otomatik kilitleme.
Sahibinden görüntüleyiciye kadar beş çalışma alanı rolü, yalnızca arayüzde gizlenmek yerine her istekte sunucu tarafında zorunlu kılınır. Personelin bir müşteri çalışma alanına erişimi yalnızca her zaman kaydedilen kimlik taklidi yoluyla mümkündür.
Oturum açmalar, bot değişiklikleri, yayınlar, faturalama olayları, ekip değişiklikleri ve personel kimlik taklidi, konsolunuzda okuyabileceğiniz yalnızca ekleme yapılabilen bir denetim günlüğüne yazılır.
Yapılandırılabilir saklama süresi ve belgelenmiş, test edilmiş bir geri yükleme prosedürü ile her gece şifrelenmiş veritabanı yedeklemeleri. Bot bağlantıları birkaç dakikada bir kontrol edilir ve Telegram tarafından kesilirse otomatik olarak yeniden bağlanır.
OVH ve Hetzner üzerinde çalışıyoruz; her ikisi de veri merkezi güvenliği ve uyumluluğu konusunda tanınan standartlara göre denetlenen barındırma sağlayıcılarıdır. Bunun yanında kendi sunucu düzeyinde güvenlik testlerimizi yürütüyor, üçüncü taraf sızma testleri ve sistemin tamamının bağımsız doğrulamasını görevlendiriyoruz.
Birçok sağlayıcı bu bölümü atlar. Biz sizin buna göre planlama yapabilmenizi tercih ediyoruz.
| Alan | Kontrol |
|---|---|
| Aktarımda şifreleme | Her yerde TLS 1.2+, HSTS etkin |
| Saklamadaki sırlar | Bot token'ları ve 2FA sırları için AES-256-GCM |
| Parolalar | scrypt (N=32768), sabit zamanlı doğrulama |
| Oturumlar | Opak 256 bit token'lar, httpOnly çerezler, karma olarak saklanır, kayan 30 günlük son kullanma tarihi |
| Tarayıcı sertleştirme | Content-Security-Policy, X-Frame-Options, nosniff, katı referrer politikası |
| Kötüye kullanım önleme | Kimlik doğrulama, parola sıfırlama ve genel formlarda hız sınırlaması |
| Yetkilendirme | Rol kontrolleri her istekte sunucu tarafında zorunlu kılınır |
| Denetim izi | Hesap, bot, faturalama ve personel eylemlerinin yalnızca ekleme yapılabilen günlüğü |
| Yedeklemeler | Her gece şifrelenmiş dökümler, yapılandırılabilir saklama süresi, belgelenmiş geri yükleme tatbikatı |
| Bağımlılıklar | Yalnızca herkese açık npm kayıt defterinden kurulan sabitlenmiş bağımlılık sürümleri |
| Altyapı | OVH ve Hetzner veri merkezleri, bağımsız denetimli |
| Sızma testi | Görevlendirilmiş üçüncü taraf testleri ve süregelen bağımsız doğrulama |
Meshwire içinde bir güvenlik açığı bulduğunuzu düşünüyorsanız, herhangi bir kamuya açıklamadan önce inceleyip yanıt verebilmemiz için lütfen bunu gizli olarak bildirin. Raporları 24 saat içinde onaylıyor ve kritik sorunları 7 gün içinde çözmeyi hedefliyoruz. Bu politikayı izleyen iyi niyetli araştırmacılara karşı yasal işlem başlatmıyoruz.