Security

1. Yaklaşımımız

Müşterilerimizin platformlarını ve verilerini korumak, sunduğumuz hizmetin ayrılmaz bir parçasıdır. Güvenliği projenin sonuna eklenen bir adım olarak değil, tasarımdan barındırmaya kadar her aşamada ele alıyoruz.

2. Altyapı ve iletişim güvenliği

• Tüm trafik HTTPS/TLS ile şifrelenir; HSTS uygulanır.
• Sunucular güvenlik duvarı ve CDN katmanı arkasında, DDoS ve bot korumasıyla çalışır.
• Sunucular ve bağımlılıklar düzenli olarak güncellenir; kritik güvenlik yamaları öncelikli uygulanır.
• Platformlar 7/24 izlenir ve kesintiler otomatik olarak bildirilir.

3. Veri koruma

• Parolalar güçlü ve tek yönlü algoritmalarla (hash) saklanır; düz metin olarak tutulmaz.
• Veritabanları düzenli olarak yedeklenir; yedekler ayrı bir konumda saklanır.
• Kart verileri NexusBase sistemlerine hiç ulaşmaz; ödemeler STRIPE güvenli ödeme sayfasında alınır.
• Yönetim panellerine erişim rol bazlı yetkilendirme ile sınırlandırılır ve kayıt altına alınır.

4. Erişim kontrolü

Ekibimizin üretim sistemlerine erişimi "en az yetki" ilkesine göre verilir, iki adımlı doğrulama ile korunur ve proje bittiğinde kaldırılır. Müşteri erişim bilgileri şifreli bir parola kasasında tutulur.

5. Olay müdahalesi

Bir güvenlik olayından şüphelendiğimizde etkiyi sınırlandırır, nedeni inceler ve etkilenen müşterileri gecikmeksizin bilgilendiririz. Kişisel veri ihlallerinde KVKK ve GDPR'da öngörülen bildirim yükümlülüklerini (72 saat) yerine getiririz.

6. Sorumlu açıklama (Responsible Disclosure)

Bir güvenlik açığı bulduğunuzu düşünüyorsanız lütfen ayrıntıları [email protected] adresine gönderin. Bildiriminizi 3 iş günü içinde onaylar, düzeltme sürecini sizinle paylaşırız.

• Açığı doğrulamak için gerekenden fazla veriye erişmeyin ve verileri değiştirmeyin.
• Hizmet kesintisine yol açabilecek testler (DoS, spam, sosyal mühendislik) yapmayın.
• Açık giderilene kadar bilgileri üçüncü kişilerle paylaşmayın.

Bu kurallara iyi niyetle uyan araştırmacılara karşı hukuki yola başvurmayız. Şu anda ücretli bir ödül programımız bulunmamaktadır.

1. Our approach

Protecting our clients' platforms and data is an integral part of what we deliver. Security is not a step added at the end of a project — we address it at every stage, from design to hosting.

2. Infrastructure and transport security

• All traffic is encrypted with HTTPS/TLS and HSTS is enforced.
• Servers run behind a firewall and CDN layer with DDoS and bot protection.
• Servers and dependencies are updated regularly; critical security patches are prioritised.
• Platforms are monitored 24/7 and outages are alerted automatically.

3. Data protection

• Passwords are stored with strong one-way hashing, never in plain text.
• Databases are backed up regularly and backups are stored in a separate location.
• Card data never reaches NexusBase systems; payments are taken on STRIPE secure payment page.
• Access to admin panels is restricted with role-based permissions and logged.

4. Access control

Our team's access to production systems follows the principle of least privilege, is protected by two-factor authentication and is revoked when a project ends. Client credentials are kept in an encrypted password vault.

5. Incident response

If we suspect a security incident, we contain it, investigate the cause and inform affected clients without undue delay. For personal data breaches we meet the notification duties set out in the KVKK and GDPR (72 hours).

6. Responsible disclosure

If you believe you have found a vulnerability, please send the details to [email protected]. We acknowledge reports within 3 business days and keep you informed while we fix the issue.

• Do not access more data than needed to demonstrate the issue, and do not modify data.
• Do not run tests that could disrupt service (DoS, spam, social engineering).
• Do not share details with others until the issue is fixed.

We will not take legal action against researchers who follow these rules in good faith. We do not currently run a paid bug bounty programme.

1. Unser Ansatz

Der Schutz der Plattformen und Daten unserer Kunden ist fester Bestandteil unserer Leistung. Sicherheit ist bei uns kein Schritt am Projektende, sondern Thema in jeder Phase – vom Design bis zum Hosting.

2. Infrastruktur- und Transportsicherheit

• Der gesamte Datenverkehr ist per HTTPS/TLS verschlüsselt, HSTS ist aktiv.
• Server laufen hinter einer Firewall und einer CDN-Schicht mit DDoS- und Bot-Schutz.
• Server und Abhängigkeiten werden regelmäßig aktualisiert; kritische Sicherheitspatches haben Vorrang.
• Plattformen werden rund um die Uhr überwacht, Ausfälle automatisch gemeldet.

3. Datenschutz

• Passwörter werden mit starkem Einweg-Hashing gespeichert, nie im Klartext.
• Datenbanken werden regelmäßig gesichert, Backups an einem separaten Ort aufbewahrt.
• Kartendaten erreichen die Systeme von NexusBase nie; Zahlungen werden auf der sicheren Seite von STRIPE abgewickelt.
• Der Zugriff auf Admin-Panels ist rollenbasiert beschränkt und wird protokolliert.

4. Zugriffskontrolle

Der Zugriff unseres Teams auf Produktivsysteme folgt dem Prinzip der minimalen Rechte, ist mit Zwei-Faktor-Authentifizierung geschützt und wird nach Projektende entzogen. Zugangsdaten von Kunden werden in einem verschlüsselten Passwort-Tresor verwahrt.

5. Reaktion auf Vorfälle

Bei Verdacht auf einen Sicherheitsvorfall begrenzen wir die Auswirkungen, untersuchen die Ursache und informieren betroffene Kunden unverzüglich. Bei Datenschutzverletzungen erfüllen wir die Meldepflichten nach KVKK und DSGVO (72 Stunden).

6. Verantwortungsvolle Offenlegung

Wenn Sie glauben, eine Schwachstelle gefunden zu haben, senden Sie die Details bitte an [email protected]. Wir bestätigen Meldungen innerhalb von 3 Werktagen und halten Sie während der Behebung auf dem Laufenden.

• Greifen Sie nicht auf mehr Daten zu als nötig und verändern Sie keine Daten.
• Führen Sie keine Tests durch, die den Betrieb stören könnten (DoS, Spam, Social Engineering).
• Geben Sie keine Details weiter, bevor das Problem behoben ist.

Gegen Forschende, die diese Regeln in gutem Glauben einhalten, gehen wir rechtlich nicht vor. Ein bezahltes Bug-Bounty-Programm bieten wir derzeit nicht an.

1. Notre approche

Protéger les plateformes et les données de nos clients fait partie intégrante de notre travail. La sécurité n’est pas une étape ajoutée en fin de projet : nous la traitons à chaque phase, du design à l’hébergement.

2. Sécurité de l’infrastructure et des échanges

• Tout le trafic est chiffré en HTTPS/TLS et HSTS est activé.
• Les serveurs fonctionnent derrière un pare-feu et une couche CDN avec protection DDoS et anti-bots.
• Serveurs et dépendances sont mis à jour régulièrement ; les correctifs critiques sont prioritaires.
• Les plateformes sont supervisées 24/7 et les interruptions signalées automatiquement.

3. Protection des données

• Les mots de passe sont stockés avec un hachage fort et irréversible, jamais en clair.
• Les bases de données sont sauvegardées régulièrement et les sauvegardes conservées dans un lieu distinct.
• Les données de carte n’atteignent jamais les systèmes de NexusBase ; les paiements sont traités sur la page sécurisée de STRIPE.
• L’accès aux back-offices est restreint par rôles et journalisé.

4. Contrôle des accès

L’accès de notre équipe aux systèmes de production suit le principe du moindre privilège, est protégé par une authentification à deux facteurs et est révoqué à la fin du projet. Les accès clients sont conservés dans un coffre-fort de mots de passe chiffré.

5. Gestion des incidents

En cas de suspicion d’incident, nous en limitons l’impact, en analysons la cause et informons sans délai les clients concernés. En cas de violation de données personnelles, nous respectons les obligations de notification de la KVKK et du RGPD (72 heures).

6. Divulgation responsable

Si vous pensez avoir découvert une vulnérabilité, envoyez les détails à [email protected]. Nous accusons réception sous 3 jours ouvrés et vous tenons informé pendant la correction.

• N’accédez pas à plus de données que nécessaire et ne modifiez aucune donnée.
• Ne menez pas de tests susceptibles de perturber le service (DoS, spam, ingénierie sociale).
• Ne divulguez aucun détail avant la correction.

Nous n’engagerons pas de poursuites contre les chercheurs respectant ces règles de bonne foi. Nous ne proposons pas actuellement de programme de bug bounty rémunéré.