Bu metin kolaylık sağlamak amacıyla sunulan bir çeviridir. Korece sürüm asıl metindir ve çelişki hâlinde Korece sürüm geçerlidir.
Güvenlik Politikası
Kapsam
İşbu Güvenlik Politikası, Rexplore Inc.'in Nakama'yı ve kullanıcılarını nasıl koruduğunu açıklar. Nakama Chrome uzantısını, OAuth token değişimini gerçekleştiren durum bilgisi taşımayan sunucusuz fonksiyonları, account.orenonakama.com adresindeki oturum açma hizmetini ve orenonakama.com adresindeki pazarlama sitesini kapsar. Tüm Rexplore çalışanlarına ve bizim adımıza veri işleyen üçüncü taraflara uygulanır.
Güvenlik ilkeleri
Tasarımımız birkaç sağlam ilkeyi takip eder: veri asgariye indirme (mümkün olduğunca az veri tutarız ve sunucu tarafında ihtiyaç duymadığımız hiçbir şeyi tutmayız); en az yetki (her bileşen ve her OAuth kapsamı gerekli olan asgari düzeydedir); mümkün olduğunca kullanıcı verilerini kullanıcının cihazında tutmak; katmanlı savunma; ve varsayılan olarak güvenli yapılandırma. Güvenlik, sonradan eklenen bir özellik değil, mimarinin bir özelliğidir.
Mimariye genel bakış
Nakama, durum bilgisi taşımayan sunucusuz fonksiyonlar ve statik bir pazarlama sitesiyle eşleştirilmiş bir Manifest V3 Chrome uzantısıdır. Uzantı tarayıcıda çalışır ve doğrudan her sağlayıcının API'siyle konuşur. Sunucusuz fonksiyonlar yalnızca gizli bir istemci sırrı gerektiren OAuth token değişimlerini tamamlamak için mevcuttur; hiçbir veritabanı tutmazlar ve hiçbir kullanıcı verisini kalıcı hale getirmezler. Oturum açma hizmeti kimliğinizi doğrular ve bir oturum verir. Bu ayrım, ihlal edilecek merkezi bir kullanıcı içeriği deposu olmadığı anlamına gelir.
Aktarım sırasında şifreleme
Uzantı ile Google, Slack, Telegram, Zoom, GitHub, Figma ve diğer sağlayıcılar arasındaki ve tarayıcınız ile kendi fonksiyonlarımız ve sitelerimiz arasındaki tüm ağ trafiği, TLS 1.2 veya üzeri ile HTTPS kullanır. Alan adlarımızda HTTP Strict Transport Security (HSTS) zorunlu kılınmıştır. Hiçbir yerde düz metin aktarımı kullanılmaz.
Bekleyen veri
Kullanıcı OAuth token'ları yalnızca kullanıcının kendi cihazında, işletim sisteminin kullanıcı hesabı kontrolleriyle korunan Chrome'un korumalı uzantı depolama alanında saklanır ve bağlantı kesildiğinde veya kaldırıldığında silinir. Bağlı hesaplarınıza ilişkin hiçbir bilgi sunucularımızda saklanmaz: token değişim fonksiyonları durum bilgisi taşımaz ve hiçbir veritabanı bulunmaz. Gizli istemci sırları yalnızca barındırma platformunda şifrelenmiş ortam değişkenleri olarak bulunur ve asla uzantı içinde gönderilmez veya tarayıcıya açık edilmez. Oturum açma hizmetinin kendi veri deposu, bekleme durumunda şifrelenmiş, yönetilen bir Postgres (Neon) üzerinde barındırılır.
Kimlik doğrulama ve OAuth
Bağlantılar, yetkilendirme değişimini korumak için durum (state) ve desteklendiği yerlerde PKCE ile her sağlayıcının standart OAuth 2.0 / OpenID Connect akışını kullanır. Her özelliğin ihtiyaç duyduğu asgari kapsamları talep ederiz ve sağlayıcıların izin verdiği yerlerde bunları kademeli olarak talep ederiz. Nakama'nın erişimini istediğiniz zaman sağlayıcı üzerinden (örneğin Google Hesap izinleri, Slack Uygulamaları Yönet, Zoom Marketplace) ve Nakama içinde bağlantıyı keserek iptal edebilirsiniz.
Token ve kimlik bilgisi işleme
Erişim ve yenileme token'ları cihazınızda bulunur ve sağlayıcı API'lerini doğrudan tarayıcınızdan çağırmak için kullanılır. Bunlar asla sunucu günlüklerimize yazılmaz ve veren sağlayıcı dışında hiçbir tarafa gönderilmez. Token değişimi sırasında kullanılan gizli istemci sırrı, sunucu tarafında şifrelenmiş yapılandırmada kalır ve bir açığa çıkma şüphesi durumunda derhal döndürülür (rotate edilir).
Uzantı sertleştirmesi
Uzantı, Manifest V3 kullanır ve hiçbir uzaktan kod çalıştırmaz: tüm çalıştırılabilir kod paket içinde gönderilir ve yayınlanmadan önce incelenir. Katı bir İçerik Güvenliği Politikası (CSP) zorunlu kılınmıştır, eval ve satır içi betik çalıştırma kullanılmaz ve uzantı, saldırı yüzeyini küçük tutarak hiçbir üçüncü taraf JavaScript çalışma zamanı kütüphanesi olmadan gönderilir. Ana bilgisayar ve API izinleri, her entegrasyonun ihtiyaç duyduğuyla sınırlıdır. Chrome'un uzantı otomatik güncellemesi, güvenlik düzeltmelerini tüm kullanıcılara herhangi bir işlem gerektirmeden sunar.
Ağ ve API güvenliği
Mümkün olan her yerde uzantı, kullanıcı içeriğinin altyapımızdan geçmemesi için sağlayıcı API'lerini doğrudan tarayıcıdan çağırır. Sunucusuz fonksiyonlarımız yalnızca OAuth token değişimiyle sınırlıdır ve mesaj, e-posta, dosya veya toplantı içeriğini proxy'lemez, incelemez veya saklamaz.
Altyapı ve platform
Sitelerimiz ve fonksiyonlarımız, kimlik bilgileri ve sırların şifrelenmiş ortam değişkenleri olarak tutulduğu yönetilen bir bulut platformunda (Vercel) çalışır. Yanıtlar, HSTS, X-Content-Type-Options: nosniff, X-Frame-Options: DENY, kısıtlayıcı bir Referrer-Policy ve Permissions-Policy dahil olmak üzere sertleştirilmiş güvenlik başlıklarıyla sunulur. TLS sertifikaları platform tarafından yönetilir ve otomatik olarak yenilenir.
Günlükleme ve izleme
Durum bilgisi taşımayan fonksiyonlarımız istek gövdelerini, token'ları veya kullanıcı içeriğini günlüklemez. Platform düzeyindeki erişim günlükleri (zaman damgaları, yollar, durum kodları, yük olmadan), kötüye kullanımı önleme ve hata ayıklama amacıyla barındırma sağlayıcısı tarafından kısa bir süre saklanır, ardından atılır. Platform ve bağımlılık güvenlik uyarılarını sürekli olarak gözden geçiririz.
Erişim kontrolü
Üretim yapılandırmasına, sırlara ve barındırma platformuna erişim, bilmesi gerekenle sınırlı olarak Rexplore mühendislik personeliyle sınırlıdır ve güçlü, çok faktörlü kimlik doğrulama destekleyen kimlik doğrulamayla korunur. Sırlar, personel değişikliklerinde ve bir açığa çıkma şüphesi olduğunda döndürülür.
Güvenli geliştirme yaşam döngüsü
Tüm değişiklikler sürüm kontrolü altındadır ve kod incelemesinden geçer, yayınlanmadan önce sözdizimi ve davranış açısından kontrol edilir. Küçük, denetlenebilir değişiklikleri tercih ederiz. Uzantının kasıtlı asgari bağımlılık tasarımı (üçüncü taraf çalışma zamanı JavaScript olmadan), savunmasız veya kötü niyetli bir bağımlılığın kullanıcılara ulaşma olasılığını azaltır.
Bağımlılık ve tedarik zinciri güvenliği
Bağımlılıkları asgari düzeyde ve sabitlenmiş (pinned) tutarız, güvendiğimiz bileşenler (Chrome uzantı API'leri, Node.js çalışma zamanı, barındırma platformu ve oturum açma hizmetinin kütüphaneleri) için güvenlik uyarılarını izleriz ve ilgili bir uyarı yayınlandığında derhal güncelleriz.
Veri asgariye indirme ve saklama
E-posta, dosya, mesaj ve toplantı içeriği talep üzerine alınır, panelde görüntülenir ve ardından atılır; sunucularımızda asla kalıcı hale getirilmez. Token'lar ve ayarlar, bağlantıyı kesene veya kaldırana kadar cihazınızda kalır. Ayrıntılar için Veri Saklama ve Koruma Politikamıza bakınız.
Güvenlik açığı bildirimi
Şüphelenilen güvenlik açıklarının help@rexplore.xyz adresine bildirilmesini memnuniyetle karşılarız ve bunları 3 iş günü içinde onaylarız. Kamuya açıklamadan önce düzeltme için makul bir süre isteriz ve adının anılmasını isteyen bildirenlere kredi veririz. Değerlendirme ve düzeltme hedefleri için Güvenlik Açığı Yönetimi Politikamıza bakınız.
Olay müdahalesi
Şüphelenilen olaylar 24 saat içinde gözden geçirilir, derhal kontrol altına alınır (örneğin kimlik bilgilerini iptal edip döndürerek veya etkilenen bir fonksiyonu devre dışı bırakarak), etkisi değerlendirilir ve kullanıcı verilerinin etkilenmesi halinde, gereksiz gecikme olmaksızın ve yasanın (GDPR gibi) gerektirdiği durumlarda 72 saat içinde etkilenenlere bildirilir. Olay Yönetimi ve Müdahale Politikamıza bakınız.
Uyumluluk duruşu
Nakama, GDPR'nin ilkeleriyle ve Sınırlı Kullanım gereksinimleri dahil olmak üzere Google'ın API Hizmetleri Kullanıcı Verileri Politikasıyla uyumlu olacak şekilde tasarlanmıştır: Google API'lerinden elde edilen veriler yalnızca kullanıcıya yönelik özellikleri sağlamak ve geliştirmek için kullanılır, satılmaz ve reklam için kullanılmaz. Kullanıcı verilerini kimseye satmayız.
Alt işleyiciler
Küçük bir işleyici kümesine güveniriz: sitelerimize hizmet veren ve fonksiyonlarımızı çalıştıran barındırma platformu ve oturum açma hizmetinin arkasındaki yönetilen veritabanı. Bir yapay zeka özelliğini kullandığınızda, isteğiniz kullanmakta olduğunuz yapay zeka sağlayıcısına (varsayılan olarak GPT veya kendi OpenAI/Anthropic anahtarınız) gönderilir; bu sağlayıcı isteği kendi şartları kapsamında işler; Nakama verileriniz üzerinde hiçbir modeli eğitmez.
Bildirim ve iletişim
Güvenlik endişelerini help@rexplore.xyz adresine bildiriniz. İşbu politika, periyodik olarak ve ürün veya altyapısında önemli bir değişiklik sonrasında gözden geçirilir.
Dil
İşbu politikanın Korece sürümü yetkili metindir. Bu Türkçe sürüm ve İngilizce sürüm dahil diğer tüm dil sürümleri, yalnızca kolaylık sağlamak amacıyla sunulan çevirilerdir ve herhangi bir çelişki, tutarsızlık veya belirsizlik halinde Korece sürüm geçerli olacaktır.
Geçerli hukuk ve yetki
İşbu politika, kanunlar ihtilafı kurallarına bakılmaksızın Kore Cumhuriyeti yasalarına tabidir. İşbu politikadan veya bununla ilgili her türlü uyuşmazlık üzerinde Seul Merkez Bölge Mahkemesi (Seoul Central District Court), ilk derece mahkemesi olarak münhasır yetkiye sahiptir. Bu husus, zorunlu tüketici koruma haklarını veya geçerli yasanın gerektirdiği hallerde saklı tutulan, ikamet ettiğiniz ülkede dava açma hakkını etkilemez.