Güvenlik
Son güncelleme: 23.08.2026
Kısa özet: KriptoMercek asla private key, seed phrase, cüzdan anahtarı veya alım-satım yetkisi bulunan borsa API'si istemez. Böyle bir talebi karşınıza çıkarsak — gerçek değildir, size kimlik avı yapan biri vardır.
1. Kimlik Doğrulama
- Hesap oluşturmak için e-posta ve şifre gerekir.
- Şifreler modern bir kriptografik özetleme algoritması (Argon2 veya bcrypt) ile hash'lenir. Düz metin şifreler asla saklanmaz veya iletilmez.
- Şifre sıfırlama tokenları tek kullanımlıktır ve kısa süreli geçerlidir.
- İleride iki faktörlü kimlik doğrulama (2FA) eklenmesi planlanmaktadır.
2. Oturum Güvenliği
- Tüm trafik HTTPS üzerinden şifrelenir.
- Oturum çerezleri
Secure,HttpOnlyveSameSitenitelikleriyle işaretlenir. - Aynı anda birden fazla cihazdan oturum açılabilir; kullanıcı Hesap sayfasından aktif oturumları görebilir ve dilediğini sonlandırabilir.
- Şüpheli aktivite tespitinde otomatik olarak oturumlar sonlandırılabilir.
3. Ödeme Güvenliği
Kritik: Ödeme akışı manuel bir USDT / TRON (TRC20) sürecidir. Kullanıcı ödemesini kendi cüzdanından, Platform dışında gerçekleştirir. Platform yalnızca gönderen adres ve TxID'yi kayıt için ister. Private key, seed phrase, cüzdan bağlantısı, in-app imzalama hiçbir zaman istenmez.
- Alıcı TRON adresi sunucu tarafı yapılandırmadır; kullanıcı girdisinden türetilmez.
- Aynı TxID en fazla bir aboneliği aktifleştirebilir (veritabanı düzeyinde tekil kısıt).
- Onay/ret işlemleri denetim log'larına yazılır (kim, ne zaman, hangi IP'den, hangi not ile).
4. Yetkilendirme
- Kullanıcılar yalnızca kendi verilerine erişebilir. Başka kullanıcının hesabına, sinyaline, ödemesine erişim engellenmiştir (IDOR koruması).
- Yönetici endpointleri sunucu tarafında ayrıca yetki kontrolünden geçer.
- Hassas işlemler (hesap silme, ödeme onayı, konfigürasyon değişikliği) ek onay gerektirir.
5. Veri Güvenliği
- Veritabanı bağlantıları şifrelenir.
- Yedeklemeler düzenli alınır ve geri yükleme testleri periyodik olarak yapılır.
- Uygulama günlüklerine hassas veri (şifre, oturum tokenı, TxID vb.) yazılmaz.
6. Altyapı
- Sunucu tarafı bağımlılıklar düzenli güvenlik güncellemesi alır.
- Kritik dış API çağrıları (piyasa verisi) hata durumunda WAIT sinyaline döner — güvenilmeyen veriden sinyal üretilmez.
- Rate limiting, kaba kuvvet saldırılarına karşı kimlik doğrulama endpointlerine uygulanır.
7. Zafiyet Bildirimi
Güvenlik açığı tespit ederseniz, lütfen kamuya açıklamadan önce aşağıdaki adres üzerinden bildirin:
Bildirimlere 5 iş günü içinde yanıt verilir. İyi niyetli araştırmacıların çalışmalarını takdir ederiz.
8. Kullanıcı Sorumluluğu
Hesap güvenliği çift yönlüdür. Kullanıcı aşağıdakileri gözetmelidir:
- Güçlü, benzersiz şifre kullanmak (en az 10 karakter, ideal olarak parola yöneticisi ile üretilmiş).
- Şifreyi başka hizmetlerle paylaşmamak.
- Cihaz ve tarayıcıyı güncel tutmak.
- Şüpheli e-posta veya kimlik avı denemelerini bildirmek.
- Ortak cihazlarda oturum kapattığından emin olmak.
9. Sınırlamalar
Hiçbir sistem yüzde yüz güvenli değildir. Platform mümkün olan en iyi güvenlik önlemlerini almaya çalışır ancak kesin garanti veremez. Ciddi bir olay durumunda etkilenen kullanıcılara makul süre içinde bilgi verilir.