Güvenlik

1. Barındırma ve şifreleme

QR Wait, Cloudflare'in ağında (Workers ve Durable Objects) çalışır ve verisini orada saklar. Her bağlantı HTTPS (TLS) ile şifrelidir; tarayıcılara qrwait.app ve tüm alt alan adlarında yalnızca HTTPS kullanmaları söylenir (HSTS, bir yıl).

Sayfalar sıkı bir İçerik Güvenliği Politikası (CSP) ile gelir: betikler yalnızca QR Wait'ten ve Cloudflare'den yüklenir, başka hiçbir site QR Wait'i bir çerçeve içinde gösteremez.

Cloudflare, ISO/IEC 27001, ISO/IEC 27701 ve ISO/IEC 27018 doğrulamalarına sahip olduğunu belirtir (Cloudflare Trust Hub). Bunlar Cloudflare'indir; QR Wait'in kendi sertifikası yoktur.

2. Hesaplar ve giriş

• Parolalar yalnızca tuzlanmış PBKDF2-SHA-256 özeti olarak saklanır. Bilinen veri sızıntılarında geçen yeni bir parola reddedilir; bu kontrol için QR Wait'ten yalnızca parolanın SHA-1 özetinin ilk 5 karakteri çıkar (k-anonimlik).
• Doğrulama uygulamasıyla (TOTP) iki adımlı giriş ve tek kullanımlık kurtarma kodları. Hesap sahipleri hangi ekip üyelerinin bunu açtığını görür.
• Ekip üyelerinin bir rolü vardır (sahip, yönetici ya da görevli); kısıtlanmışlarsa yalnızca kendilerine verilen kuyrukları açarlar.
• Bir hesaba 24 saat içinde 5 başarısız girişten sonra giriş için bot kontrolü de gerekir (Cloudflare Turnstile).
• Hesaba yeni bir tarayıcıdan girildiğinde e-posta gönderilir.
• Oturum 14 gün kullanılmazsa kapanır; parola değiştirmek ya da "diğer cihazlardan çıkış" diğer tüm oturumları kapatır.
• Doğrulama, parola sıfırlama ve davet linkleri tek kullanımlıktır ve yalnızca özetleri saklanır.

3. Hız sınırları

İstekler Cloudflare'in ucunda IP adresi başına sınırlanır: giriş, kayıt ve parola sıfırlama dakikada 10, sıraya girme dakikada 60, REST API anahtar başına dakikada 120 ve IP adresi başına dakikada 120.

4. Ziyaretçi verisi

• Ziyaretçiden hiçbir zaman telefon numarası ya da e-posta adresi istenmez. İsim yalnızca işletme o kuyrukta açtıysa sorulur.
• Bilet, içindeki isim ve katılım formu cevaplarıyla birlikte, kuyruğun ayarları ne olursa olsun sıraya girişten en geç 24 saat sonra silinir.
• Konum saklanmaz. Kuyruk konum kontrolü yapıyorsa biletle birlikte yalnızca kuyruğa olan mesafe ve ölçüldüğü zaman tutulur.
• Görevlinin ekranında gösterilen QR kod 15 ile 75 saniyede bir değişir ve her kod 1 ile 5 dakika geçerlidir; başka yerde paylaşılan bir fotoğrafla kimse sıraya giremez.
• Görevlilerin panelde yaptıkları 30 gün kayıt altında tutulur; görevli linkleri her an geri alınabilir.

5. Yedekler

Yeniden oluşturulamayan veri (hesaplar, kuyruk ayarları, bilet bakiyeleri) her gün Cloudflare R2'ye aktarılır ve yazılmadan önce şifrelenir: her parça kendi AES-256-GCM anahtarıyla, o anahtar da bir açık anahtarla (RSA-OAEP) şifrelenir. Bunları açan özel anahtar çevrimdışı tutulur. Yedekler 35 gün saklanır.

Biletler hiçbir zaman yedekte yer almaz: ziyaretçi isimlerini taşırlar ve en fazla bir gün yaşarlar.

6. Entegrasyonlar

• Webhook'lar bir kez gösterilen bir sırla imzalanır (zaman damgalı HMAC-SHA256) ve yalnızca herkese açık https adreslerine gider. İşletme bir adres için isimlere izin vermedikçe yalnızca numara ve zaman taşırlar.
• API anahtarları bir kez gösterilir ve yalnızca SHA-256 özeti olarak saklanır. Bir anahtar ya yalnızca okur ya da yazar da; her an iptal edilebilir.
• Geliştiriciler için ayrıntılar: API ve webhook başvuru belgesi (İngilizce).

7. Alt işleyenler

Hizmetin çalışması için şu şirketler QR Wait adına veri işler:

Tarayıcı bildirimleri ziyaretçinin kendi tarayıcısının bildirim servisinden geçer. Verinin Türkiye ve AB dışına nasıl aktarıldığı gizlilik politikasında anlatılır.

8. Güvenlik açığı bildirmek

hello@qrwait.app adresine "Security" konulu bir e-posta yazın. 3 iş günü içinde aldığımızı bildirir, 10 iş günü içinde ilk değerlendirmeyi göndeririz. Sorun düzelene kadar kimseyle paylaşmayın ve yalnızca kendi hesaplarınız ve kuyruklarınızla deneyin.

Bu kurallara iyi niyetle uyan araştırmalar için hukuki yola başvurmayız. Ücretli ödül programı yoktur. Aynı iletişim bilgisi makinece okunur biçimde: security.txt.