BrandShip
Güvenlik
BrandShip işletmeniz adına çalışan yapay zekâ ajanları yürütür; bu yüzden en önemli güvenlik ilkesi basittir: bir ajan yalnızca sizin bağladığınız iş için hareket edebilir, para harcayan ya da markanız adına herkese açık konuşan her şey sizi bekler.
Güvenlik açığı bildirin
security@getbrandship.com adresine “Security report” konulu bir e-posta gönderin. Adresi veya özelliği, yeniden üretme adımlarını ve bir saldırganın neler yapabileceğini ekleyin. 3 iş günü içinde yanıt verir, sorun giderilene kadar sizi bilgilendiririz. Makine tarafından okunabilir iletişim bilgisi: /.well-known/security.txt.
Kapsam: getbrandship.com ve app.getbrandship.com. Test ederken lütfen:
- Yalnızca size ait hesapları kullanın. Başkalarının verilerine erişmeyin, bunları değiştirmeyin ya da silmeyin; erişirseniz durun ve bize bildirin.
- Hizmet reddi, spam, sosyal mühendislik veya fiziksel testler yapmayın; otomatik tarayıcıları hizmeti yavaşlatacak yoğunlukta kullanmayın.
- Sorunu kamuoyuyla paylaşmadan önce düzeltmemiz için bize makul bir süre tanıyın.
Bu kurallar dahilinde iyi niyetle hareket ederseniz araştırmanız nedeniyle size karşı yasal yola başvurmayız. Henüz ücretli bir hata ödül programımız yok.
Bağlı hesaplarınız
- En az yetki. Her hizmetten işi yapan en dar izni isteriz. Gmail yalnızca gönderme yetkisiyle bağlanır; posta kutunuzu okuyamayız.
- Anahtarlar sunucuda kalır. Google, LinkedIn, Slack ve diğer hizmetlerin erişim anahtarları sunucuda saklanır ve asla tarayıcınıza gönderilmez. Ajanlar bunlara doğrudan değil, tek bir iç erişim noktası üzerinden ulaşır.
- Bağlamak, işlem yapma izni değildir. Reklam bütçesi değişiklikleri yalnızca o değişikliği onayladıktan sonra uygulanır. Sosyal medya gönderileri, otomatik yayını kendiniz açmadığınız sürece onayınızı bekler. Ajanlar takvimde yalnızca kendi oluşturdukları etkinlikleri taşıyabilir ya da iptal edebilir, sizinkileri asla.
- Herhangi bir hizmetin bağlantısını Bağlantılar bölümünden istediğiniz zaman kaldırabilir ya da erişimi sağlayıcının kendi ayarlarından iptal edebilirsiniz.
Uygulama
- Tüm trafik TLS ile şifrelenir ve her iki alan adı da yalnızca HTTPS ile çalışır (HSTS, tarayıcıların önyükleme listesine gönderildi).
- Şifreler bcrypt özeti olarak saklanır. Kurulum ve sıfırlama bağlantıları tek kullanımlıktır, süresi dolar ve yalnızca SHA-256 özeti olarak saklanır.
- Giriş ve API, IP ve hesap başına istek sınırına tabidir.
- Uygulamada sıkı bir İçerik Güvenliği Politikası (CSP), tıklama korsanlığı koruması ve no-referrer politikası vardır.
- Dış hizmetlerden gelen web kancaları işlenmeden önce imzayla doğrulanır; tekrarlanan gönderimler yok sayılır.
- Her çalışma alanının verisi tarayıcıda değil, sunucuda o çalışma alanıyla sınırlandırılır.
Veri
- Veritabanı AB’de (Frankfurt) yönetilen PostgreSQL’dir (Neon); veriler depolamada şifrelenir ve belirli bir zamana geri yükleme desteklenir.
- Bir ajanın sizin adınıza gönderdiği her mesaj uygulamada kaydedilir (Apex → Gönderilenler); hesaplarınızdan tam olarak neyin çıktığını görebilirsiniz.
- Verilerinizi işleyen hizmetler Gizlilik Politikamızda listelenmiştir. Yapay zekâ sağlayıcıları yalnızca o anki görevin ihtiyaç duyduğunu alır.
- Kurumsal müşteriler için bir Veri İşleme Sözleşmesi mevcuttur.
Sertifikalar
BrandShip, Cloud Security Alliance STAR Kaydı’nda Seviye 1 (öz değerlendirme) olarak listelenmiştir. CSA’nın Consensus Assessments Initiative Questionnaire (CAIQ v4.1) anketinin 283 sorusunun tamamına verdiğimiz yanıtlar, henüz sahip olmadığımız kontroller dahil orada herkese açıktır. Seviye 1 bağımsız bir denetim değil, yayımlanmış bir öz değerlendirmedir.
Henüz SOC 2 veya ISO 27001 sertifikamız yok ve aksini iddia etmeyeceğiz. Ekibinizin bir güvenlik anketinin yanıtlanmasına ihtiyacı varsa bize e-posta gönderin.
Teşekkürler
Geçerli sorunları bildiren araştırmacıların adlarını, izinleriyle burada paylaşırız.