Güvenlik

Son güncelleme: 22 Ekim 2026

Bu çeviri kolaylık sağlamak amacıyla sunulmaktadır; İngilizce sürüm ile arasında bir farklılık olması hâlinde İngilizce sürüm esas alınır.

Güvenlik, Waslo'nun temelidir. Hassas ticari iletişimleri ve potansiyel müşteri verilerini işliyoruz ve bu sorumluluğu ciddiye alıyoruz. Verilerinizi nasıl koruduğumuz aşağıda açıklanmıştır.

Şifreleme

Aktarım Sırasında

Tarayıcınız ile Waslo arasındaki tüm iletişim TLS (HTTPS) kullanılarak şifrelenir. API istekleri, kimlik doğrulama token'ları ve tüm veri aktarımları aktarım sırasında şifrelenir.

Depolama Sırasında

Kanal kimlik doğrulama durumu (WhatsApp oturumları, Outlook / Google Calendar / Meta için OAuth yenileme token'ları, Telegram bot token'ları) ve üçüncü taraf entegrasyon kimlik bilgileri dâhil olmak üzere hassas veriler, saklanmadan önce sektör standardı kimliği doğrulanmış şifreleme kullanılarak depolama sırasında şifrelenir.

Kimlik Doğrulama ve Erişim Kontrolü

  • Token Tabanlı Kimlik Doğrulama — tüm API istekleri, yapılandırılabilir geçerlilik süresine sahip güvenli token'lar kullanılarak doğrulanır.
  • Parola Karma İşlemi — parolalar saklanmadan önce güçlü, tuzlanmış karma algoritmaları kullanılarak karma değere dönüştürülür.
  • İki Adımlı Doğrulama (isteğe bağlı) — her kullanıcı, Ayarlar → Hesap bölümünden bir kimlik doğrulayıcı uygulamanın (Google Authenticator, Microsoft Authenticator, 1Password ve diğerleri) kodlarını açabilir. Açıldığında web sitesinde ve iOS uygulamasında her oturum açma yönteminden sonra — parola, Google veya Apple — istenir. Her kod yalnızca bir kez geçerlidir, hatalı kodlar hesap başına sınırlandırılır ve on adet tek kullanımlık kurtarma kodu telefonun kaybolması durumunu karşılar.
  • OAuth Desteği — Google, Apple ve GitHub ile oturum açma, ek güvenli kimlik doğrulama seçenekleri sunar.
  • Oturum Açma Koruması — art arda yanlış parola girilirse hesap 15 dakika kilitlenir; "parolamı unuttum" ve doğrulama formları, e-posta kayıtlı olsun ya da olmasın aynı yanıtı verir.
  • Tek Kullanımlık Bağlantılar Karma Olarak Saklanır — parola sıfırlama, e-posta doğrulama ve ekip daveti bağlantıları yalnızca karma değer olarak saklanır; bu nedenle veritabanının bir kopyası çalışan bir bağlantı içermez.
  • Hız Sınırlama — API uç noktaları, kaba kuvvet ve kötüye kullanım saldırılarını önlemek için hız sınırlama ile korunur.
  • Güvenlik Başlıkları — Content Security Policy, X-Frame-Options ve diğerleri dâhil olmak üzere güvenlik odaklı HTTP başlıklarını uygularız.

Çok Kiracılı Veri İzolasyonu

Waslo çok kiracılı bir platformdur. Her veri sorgusu, kimliği doğrulanmış oturumdan elde edilen kuruluş bazında kapsamlandırılır. Bu sayede bir kuruluşun başka bir kuruluşun verilerine — potansiyel müşteriler, konuşmalar, yapılandırmalar ve entegrasyonlar dâhil — hiçbir zaman erişememesi sağlanır.

Güvenlik İzleme

Waslo, reddedilen ve şüpheli isteklerin güvenlik denetim kaydını tutar: başka bir çalışma alanının verilerini okuma veya değiştirme girişimleri, imza kontrolünden geçemeyen webhook'lar, kendi ağımızı gösteren bağlantılar, başarısız oturum açmalar ve iki adımlı kodlar, geçersiz API anahtarları ve reddedilen istek yığılmaları. Tek bir adresten gelen yığılmalar tek tek kaydedilmek yerine gruplanır. Yüksek önemdeki olaylar gerçekleştiği anda ekibimizi uyarır ve günlük bir özet incelenir. Kayıt; mesaj içeriği, parola veya token tutmaz ve 180 gün sonra silinir.

Altyapı

Platformumuz, aşağıdakileri içeren kurumsal düzeyde bulut altyapısında barındırılır:

  • Otomatik HTTPS ve DDoS koruması
  • Hızlı ve güvenilir erişim için küresel CDN
  • Hizmetler arasında ağ izolasyonu
  • Şifrelenmiş veritabanı bağlantıları ve düzenli yedeklemeler
  • Dahili hizmet iletişimi için özel ağ

Uygulama Güvenliği Uygulamaları

  • Enjeksiyon saldırılarını önlemek için tüm API uç noktalarında girdi doğrulaması
  • Yetkisiz kaynaklar arası istekleri önlemek için CORS kısıtlamaları
  • Mükerrer işlemeyi önlemek için mesaj işlemede idempotency (tekrar güvenliği) kontrolleri
  • Varsayılan kimlik bilgisi yok — tüm yönetici erişimleri açık yapılandırma gerektirir
  • Güvenilir ve güvenli veri akışı için şifrelenmiş mesaj kuyruğu işleme

Web Sitesi Sohbeti

  • Karma değere dönüştürülmüş ziyaretçi token'ları — ziyaretçiyi konuşmasına yeniden bağlayan token, bizim tarafımızda yalnızca SHA-256 karma değeri olarak saklanır.
  • Yalnızca listelenen web siteleri — widget yalnızca işletmenin listelediği web sitesi adreslerinde yanıt verir; başka herhangi bir kaynaktan gelen istekler reddedilir.
  • Bot kontrolü — bir ziyaretçi sohbeti ilk açtığında Cloudflare Turnstile çalışır.
  • Ayrı alan adı — widget, waslo.io kontrol panelinden ayrı olarak waslo.org üzerinden sunulur; bu nedenle onunla hiçbir zaman çerez veya oturum paylaşmaz.

Web Sitesi Tarayıcısı

  • Kendini WasloSiteBot/1.0 olarak tanıtır ve robots.txt kurallarına uyar.
  • Yalnızca aynı sitedeki herkese açık HTTPS sayfalarını okur ve özel ağ adreslerini reddeder.
  • Çalışma alanı başına günde en fazla 3 tarama yapılır; herhangi bir şey içe aktarılmadan önce işletme sayfaları inceler.

Yapmadıklarımız

  • Kanal kimlik bilgilerini ham hâlde saklamayız — her WhatsApp oturumu, OAuth token'ı ve bot token'ı depolama sırasında şifrelenir
  • Verilerinizi reklam amacıyla üçüncü taraflarla paylaşmayız
  • Konuşma verilerinizi yapay zekâ modellerini eğitmek için kullanmayız

Bağımsız İnceleme

Waslo, entegre olduğu platformlar tarafından ve kendi kodumuza yönelik saldırgan bakış açılı denetimlerle incelenir.

  • Microsoft — doğrulanmış yayıncı (29 Mayıs 2026). Outlook erişimi Microsoft Graph üzerine kuruludur.
  • Google — OAuth doğrulaması tamamlandı (8 Haziran 2026). Yalnızca takvim kapsamları; kullanmadığımız posta kutusu kapsamlarını asla talep etmeyiz.
  • Meta — Uygulama İncelemesi onaylandı, uygulama yayımlandı (30 Haziran 2026). WhatsApp Cloud API, Instagram ve Messenger mesajlaşma izinlerini kapsar.

Temmuz 2026'da genel API yüzeyimiz üzerinde iki saldırgan bakış açılı güvenlik denetimi gerçekleştirdik. Her iki turda da sorunlar bulundu ve her iki gruptaki sorunlar da yayından önce düzeltilip regresyon testleriyle kapsama alındı — sunucu taraflı istek sahteciliği (SSRF) korumasının atlatılması, imzasız bir OAuth state parametresi ve kredi düşümündeki bir yarış durumu (race condition) dâhil. Bunu yayımlıyoruz, çünkü hiçbir şey bulmayan bir denetim genellikle gerçekten bakmamış bir denetimdir.

Verileriniz Nerede Bulunur

  • Uygulama ve veritabanı — şifrelenmiş bağlantılar, özel ağ ve otomatik yedeklemelerle AB'deki yönetilen bulut altyapısında barındırılır.
  • Alt işleyiciler — barındırma, veritabanı, kuyruk yönetimi, işlemsel e-posta, medya depolama, hata izleme, ödemeler ve web sitesi sohbeti bot kontrolleri (Cloudflare Turnstile) için isimleri belirli küçük bir sağlayıcı grubu kullanırız. Her biri kendi veri işleme şartlarıyla bağlıdır. Güncel liste Gizlilik Politikamızda yayımlanmaktadır ve Veri İşleme Sözleşmemizde atıfta bulunulmaktadır.
  • Yapay zekâ işleme — bir yanıt üretmek için mesaj içeriği model sağlayıcısına gönderilir. Bu içerik, sağlayıcının modellerini eğitmek için kullanılmaz.

Saklama ve Silme

  • Hesabınızı istediğiniz zaman kontrol panelinden silebilirsiniz; silme işlemi, kuruluşunuzun verilerini 30 günlük bir takvim içinde kaldırır.
  • Konuşma ve potansiyel müşteri verileri, ürünün bağlamı dikkate alarak yanıt verebilmesi için gerekli olduğundan hesabınız aktif olduğu sürece saklanır.
  • Anonim web sitesi sohbet ziyaretçileri, işletmenin seçtiği takvime göre (son mesajlarından 30 ila 365 gün sonra, varsayılan 180 gün), web sitesi tarama sonuçları ise 30 gün sonra silinir.
  • Geçici öğeler — barındırılan sesli yanıt dosyaları, medya bağlantıları, hız sınırlama sayaçları — genellikle dakikalar içinde otomatik olarak sona erer.

İddia Etmediklerimiz

SOC 2 veya ISO 27001 sertifikamız yoktur, HIPAA veya PCI onaylarına sahip değiliz ve henüz tek oturum açma (SSO veya SAML) sunmuyoruz. Denetlenmiş altyapı üzerinde çalışan küçük bir ekibiz ve sahip olmadığımız bir sertifikayı ima etmektense bunu size açıkça söylemeyi tercih ederiz. Satın alma süreciniz bunlardan birini gerektiriyorsa, satın almadan önce bize bildirin.

Güvenlik Sorunlarını Bildirme

Bir güvenlik açığı keşfederseniz, lütfen konu satırına "Security Report" yazarak hello@waslo.io adresine e-posta göndererek sorumlu bir şekilde bildirin. Tüm bildirimleri ciddiye alır ve en kısa sürede yanıt veririz.