Güvenlik
Mail.Land'de güvenlik
Bugün işlettiğimiz kontroller, güvenlik incelemeleri ve tedarikçi anketleri için yazılmıştır. Yalnızca şu anda uygulanan önlemleri listeliyor ve henüz sunulmayan bir şey olduğunda bunu belirtiyoruz.
Sertifika durumu
Mail.Land'in bugün herhangi bir güvenlik sertifikası yoktur: ISO 27001 sertifikası, SOC 2 raporu veya yayımlanmış bir bağımsız sızma testi bulunmamaktadır. Bu sayfa, kontrollerimizi mevcut halleriyle açıklar. Bu durum değiştiğinde bu sayfa da değişecektir.
Uygulanan kontroller
Aşağıdaki her madde, bugün canlı ortamda çalışan bir kontrolü açıklar.
Barındırma ve ağ
- Canlı sistemler Almanya'da, Nürnberg ve Falkenstein'da Hetzner üzerinde çalışır. Veritabanlarımız ve posta sunucularımız Nürnberg'dedir.
- Şifreli ikincil yedek kopya, Varşova, Polonya'da işlettiğimiz altyapıda tutulur.
- Web sitesine, kontrol paneline ve API'ye giden web trafiği, DDoS koruması sağlayan Cloudflare üzerinden geçer.
- Sunucular güvenlik duvarlarıyla korunur ve uygulama ile mesaj kuyruğu sunucularında otomatik tespit sistemi (CrowdSec) kötüye kullanım amaçlı bağlantı girişimlerini engeller.
Şifreleme
- Kontrol paneline ve API'ye yapılan bağlantılar HTTPS kullanır.
- SMTP rölesi, oturum açmayı yalnızca bağlantı STARTTLS ile şifrelendikten sonra kabul eder.
- Alıcıların posta sunucularına teslimat, alıcı sunucu desteklediğinde TLS kullanır.
- API anahtarları yalnızca özet (hash) olarak saklanır, bu nedenle geri okunamaz. Parolalar bcrypt özetleri olarak saklanır.
- İki faktörlü kimlik doğrulama gizli anahtarları ve webhook imzalama gizli anahtarları şifreli olarak saklanır.
- Harici yedekler sunucularımızdan çıkmadan önce şifrelenir. Anahtarlar depolama sağlayıcısında değil, bizdedir.
Hesap güvenliği
- Kimlik doğrulama uygulamasıyla iki faktörlü kimlik doğrulama, tek kullanımlık kurtarma kodlarıyla birlikte her kullanıcıya sunulur.
- Google, Microsoft, Okta veya herhangi bir OpenID Connect sağlayıcısıyla çoklu oturum açma (SSO) her plana dahildir. E-posta alan adınız için SSO'yu zorunlu kılabilirsiniz; bu, o alan adı için parolayla oturum açmayı kapatır.
- Ekip rolleri: Owner, Admin, Member ve Viewer.
- Bir etkinlik günlüğü, hesabınızda gerçekleştirilen işlemleri kaydeder.
- Art arda başarısız oturum açma girişimleri geçici olarak engellenir.
Henüz sunulmayanlar
- Bir hesap, iki faktörlü kimlik doğrulamayı henüz tüm üyeleri için zorunlu kılamaz; her kullanıcı bunu kendisi için açar.
- SAML ile çoklu oturum açma ve geçiş anahtarları (passkey) desteklenmez.
API anahtarları
- Her anahtar API veya SMTP ile, seçilen gönderim alan adlarıyla ve izin verilen IP adresleri listesiyle sınırlandırılabilir.
- Anahtarlara bir son kullanma tarihi ve kendilerine ait hız sınırları atanabilir.
- Bir anahtarı yenilediğinizde önceki anahtar, belirlediğiniz bir geçiş süresi boyunca çalışmaya devam eder; böylece yeni anahtarı kesinti olmadan devreye alabilirsiniz.
- Yalnızca günlüğe kaydedecek şekilde ayarlanmış bir sandbox anahtarı, hiçbir e-posta teslim etmeden test yapmanızı sağlar.
E-posta kimlik doğrulaması
- Yalnızca DNS üzerinden doğruladığınız bir alan adından gönderim yapabilirsiniz. Doğrulama; SPF, DKIM, DMARC ve return-path kayıtlarınızı kontrol eder.
- Mail.Land her iletiye kendi ikinci DKIM imzasını ekler; böylece posta kutusu sağlayıcıları iletiyi hangi platformun gönderdiğini anlayabilir.
İmzalı webhook'lar
- Olay webhook istekleri, her webhook'a özgü bir gizli anahtar kullanılarak HMAC-SHA256 ile imzalanır.
- İmza başlığı bir zaman damgası içerir; böylece uç noktanız eski veya yeniden oynatılan istekleri reddedebilir. Belgelerimiz beş dakikalık bir zaman aralığı önerir.
Kötüye kullanımın önlenmesi
- Her müşteri Kabul Edilebilir Kullanım Politikamızı kabul eder.
- Bir hesap gönderim için onaylanmadan önce, kuruluşu ve gerçek faydalanıcılarını resmi yaptırım listelerine karşı tararız.
- Kampanyalardaki bağlantılar ve tıklandıklarında izlenen bağlantılar, kimlik avı ve kötü amaçlı yazılım açısından Google Web Risk ile kontrol edilir.
- Herkes, hizmetin kötüye kullanılmasını kötüye kullanım bildirim formumuz aracılığıyla bildirebilir.
Operasyonlar
- Canlı hizmetler merkezi metrikler, günlükler ve uyarılarla izlenir.
- Yedekten geri yükleme işlemleri yalıtılmış ortamlarda prova edilir.
- .NET bağımlılıklarımız derleme hattımızda bilinen güvenlik açıklarına karşı taranır ve yüksek veya kritik düzeyde bir bulgu derlemeyi durdurur.
- Canlı sistemlere ve kişisel verilere erişim, az sayıda yetkili personelle sınırlıdır.
Olay ve ihlal bildirimi
Bir Veri İhlali verilerinizi etkilerse, bundan haberdar olduktan sonra, GDPR'ın 33(2). Maddesinin gerektirdiği şekilde, gereksiz gecikme olmaksızın sizi bilgilendiririz. Bildirim, belirlediğiniz güvenlik irtibat kişisine veya hiç belirlenmemişse hesabınızdaki Owner ve Admin kullanıcılarına yöneltilir. VİS'in 6. Bölümü, bildirimin neleri içerdiğini ve kendi yükümlülüklerinizi yerine getirmenize nasıl yardımcı olduğumuzu düzenler.
Bir güvenlik açığı bildirin
Mail.Land'de bir güvenlik sorunu bulursanız bize e-posta gönderin. Lütfen sorunu yeniden oluşturma adımlarını ve hizmetin etkilenen bölümlerini belirtin. Bildirimlerin alındığını 72 saat içinde teyit etmeyi hedefliyoruz ve koordineli açıklama ilkesini izliyoruz. Ücretli bir hata ödül programı yürütmüyoruz.
- Güvenlik irtibatı:
- [email protected]
Güvenlik anketleri
Anketinizi güvenlik irtibatımıza gönderin. Bu sayfadaki, VİS'teki ve Gizlilik Politikamızdaki bilgilere dayanarak yanıtlarız. Veri koruma soruları için GDPR sayfamıza bakın.
Sık sorulan sorular
SOC 2 veya ISO 27001 belgeniz var mı?
Hayır. Mail.Land'in bugün herhangi bir güvenlik sertifikası yoktur. Bunun yerine bu sayfa, işlettiğimiz kontrolleri listeler.
Verilerim nerede barındırılıyor?
Canlı sistemlerimiz Almanya'da Hetzner üzerinde çalışır; şifreli bir yedek kopya Varşova, Polonya'dadır. Cloudflare, Stripe ve Google gibi bazı sağlayıcılar sınırlı verileri AB dışında işleyebilir. GDPR sayfamız bunların her birini listeler.
Ekibimiz için iki faktörlü kimlik doğrulamayı zorunlu kılabilir miyiz?
Henüz değil. Her kullanıcı iki faktörlü kimlik doğrulamayı açabilir ve e-posta alan adınız için SSO'yu zorunlu kılabilirsiniz; ancak bir hesap, iki faktörlü kimlik doğrulamayı henüz tüm üyelerine zorunlu kılamaz.
SAML'ı destekliyor musunuz?
Hayır. Çoklu oturum açma Google, Microsoft, Okta ve herhangi bir OpenID Connect sağlayıcısıyla çalışır.
Bir webhook'un Mail.Land'den geldiğini nasıl doğrularım?
X-MLND-Signature başlığını kontrol edin: webhook'unuzun gizli anahtarıyla oluşturulmuş, zaman damgası ve istek gövdesi üzerinden hesaplanan bir HMAC-SHA256 değeridir. Belgelerimizde sekiz dilde örnekler bulunur.
Güvenlikle ilgili sorularınız mı var?
Güvenlik irtibatımıza yazın veya önlemlerin tam listesi için VİS'i okuyun.