Anahtarlar ve erişim

Değerler

Değer	Gizli mi	Saklanacağı yer	Ele geçirilmesi durumunda
Site anahtarı	Hayır	Sayfanın kaynak kodu	Etkisi sınırlıdır. Tarayıcıda yalnızca doğrulanmış alan adlarınızda çalışır ve zaten herkese açık olan yorumları okur. Yorum yazmak için kullanılamaz; yorum yazmak satın alma doğrulaması gerektirir.
Sunucu anahtarı	Evet	Yalnızca mağazanızın sunucusunda, gizli yapılandırma değeri olarak	En ciddi durumdur. Anahtarı ele geçiren kişi sizin adınıza sipariş gönderebilir; sahte siparişlerle “doğrulanmış” yorum yazılmasını sağlayabilir. Ayrıca herhangi bir müşteri e-posta adresi için oturum açmış müşteri sorgusu yapabilir: adresin ürünü satın alıp almadığını ve yorum yazıp yazmadığını, sipariş numarasını biliyorsa siparişin ürünlerini öğrenir, yazabiliyorsa o müşteri adına yorum yazma token’ı alır. Anahtarı yalnızca sunucuda tutun; açığa çıktıysa hemen iptal edin. Panelden oluşturulan sunucu anahtarı Admin API’yi kullanamaz.
İmzalı gönderim şifresi (isteğe bağlı)	Evet	Yalnızca sipariş sisteminizde	Sunucu anahtarı gibi: şifreyi ele geçiren kişi sizin adınıza sipariş gönderebilir. Kullanmıyorsanız oluşturmayın.
Bildirim adresi şifresi	Evet	Davetleri alan sisteminizde	Şifreyi ele geçiren kişi, sisteminize Sayproof’tan geliyormuş gibi istek gönderebilir.
E-posta teslim bildirimi şifresi ve erişim kodu içeren adresler	Evet	E-posta hizmetinizin ayarlarında	Sahte teslim ya da geri dönme olayları gönderilebilir; adresler e-posta almak istemeyenler listesine eklenebilir.
Parola belirleme bağlantısı	Evet	Yalnızca hesabın sahibinde: e-posta adresine gönderilir, ekranda gösterilmez	Bağlantıyı ele geçiren kişi, geçerlilik süresi içinde (yeni hesap bağlantısı 3 gün, parola yenileme bağlantısı 1 saat) ve yalnızca bir kez kullanarak ilgili hesabın parolasını belirleyebilir. Hesapta iki adımlı giriş açıksa parola tek başına girişe yetmez.

Sayproof’ta saklama

• Sunucu anahtarının tamamı yalnızca oluşturulduğu anda bir kez gösterilir. Sayproof anahtarın kendisini değil, yalnızca doğrulama için yeterli olan hash değerini saklar.
• Şifreler de yalnızca oluşturuldukları anda gösterilir; daha sonra panelde görüntülenemez.
• Ürün kaynaklarının ve sipariş bağlantılarının giriş bilgileri şifrelenerek saklanır ve ekranda yeniden gösterilmez.
• Log kayıtlarına anahtar, şifre, imza ve e-posta adresi yazılmaz; bunların yerine [redacted] ya da bir hash değeri yazılır.

Sizin tarafınızda alınacak önlemler

• Gizli değerleri kaynak koduna, kod deposuna, tarayıcıya açılan ortam değişkenlerine (NEXT_PUBLIC_…), log kayıtlarına ve mesajlaşma araçlarına eklemeyin. Sunucunuzun gizli yapılandırma deposunu (secret manager) kullanın.
• Her sistem ve ortam için ayrı bir anahtar oluşturun ve anlamlı bir ad verin (örneğin “mağaza sunucusu – canlı”, “sipariş aktarımı – test”). Böylece bir anahtar ele geçirildiğinde yalnızca o anahtarı iptal edersiniz.
• Kurulumu bir ajans yaptıysa ya da ekipten biri ayrıldıysa anahtarları ve şifreleri yenileyin.
• Kullanıcılara yalnızca işleri için gereken rolü verin; Yönetici rolünü az sayıda kişiyle sınırlayın.

Bir anahtar ele geçirildiğinde

1. Kanallar ekranının Anahtarlar sekmesinde ilgili anahtarı ya da şifreyi hemen İptal et düğmesiyle iptal edin. İmzalı gönderim şifreleri aynı sekmedeki Gelişmiş: imzalı gönderim şifreleri bölümündedir. İptal işlemi geri alınamaz ve anında geçerli olur.
2. Yeni bir anahtar ya da şifre oluşturup sisteminizde güncelleyin.
3. İşlem geçmişi ve Bağlantı kayıtları ekranlarında beklenmeyen istekleri inceleyin. Sunucu anahtarı ya da imzalı gönderim şifresi ele geçirildiyse Entegrasyon › Sipariş aktarımı sekmesindeki Son istekler listesini ve ilgili dönemde gelen siparişleri kontrol edin.
4. Sayproof ekibini bilgilendirin ve ilgili dönemde yazılan yorumları gözden geçirin.

Kesinti yaşamadan yenilemek için önce yeni anahtarı oluşturup devreye alın, ardından eskisini iptal edin.

Panel erişimi

• Kanal, alan adı, anahtar ve şifre işlemlerini yalnızca Yönetici rolündeki kullanıcılar ve süreli destek oturumundaki Sayproof ekibi yapabilir. Bu işlemler hiçbir sunucu anahtarıyla yapılamaz; yalnızca panel oturumunda yapılabilir.
• Davet gönderim ayarları (gönderim yolu, bildirim adresi, gönderen e-posta adresi, destek sayfası adresi) ve kanalın Kanalı düzenle formundaki gönderen adresi ile destek sayfası da yalnızca panel oturumunda değiştirilebilir. Böylece ele geçirilen bir anahtarla davetler ve müşteri e-posta adresleri başka bir sisteme yönlendirilemez.
• Ayarları değiştirme (write) izni taşıyan anahtarları yalnızca Sayproof ekibi oluşturabilir.
• Her anahtar ve şifre oluşturma ya da iptal işlemi, işlemi yapan kullanıcıyla birlikte İşlem geçmişi ekranına kaydedilir.
• Markanın son yöneticisinin rolü düşürülemez ve kullanıcı kaldırılamaz.
• Bütün markalar panele aynı adresten girer; açılan markayı hesap belirler ve bir kullanıcı yalnızca bir markaya üyedir. Paneldeki her istek kullanıcının markasına bağlanır, veritabanı da yalnızca o markanın kayıtlarını döndürür: Panel adresi.
• Sayproof ekibi markanın kullanıcısı değildir; destek için açtığı süreli oturum İşlem geçmişi’nde gerekçesiyle görünür: Sayproof ekibinin destek erişimi. Ekibin kendi yönetim ekranına girişi her zaman iki adımlıdır.
• Kullanıcılar kendi hesapları için iki adımlı girişi açabilir. Parola bağlantıları yalnızca hesabın e-posta adresine gönderilir, onları isteyen kişiye de gösterilmez; parola ya da e-posta adresi değişince hesabın adresine bildirim gider: Giriş güvenliği.
• Giriş kuralları ve roller için: Kullanıcılar ve roller.

Yönetici hesapları için yalnızca o hesapta kullanılan güçlü parolalar belirleyin ve iki adımlı girişi açın: İki adımlı giriş.