1. Kapsam
Bu politika, Beyne Yedeyk Kelimeleri mobil uygulamasında (iOS ve Android) ve web sürümünde (https://365gunarapca.com/dersinkelimeleri/by/) hesabınızı ve verilerinizi korumak için aldığımız önlemleri ve sizden beklediklerimizi açıklar.
2. Hesap ve Giriş
- Şifreler bcrypt ile tek yönlü şifrelenerek saklanır; düz metin hâlinde hiçbir yerde tutulmaz ve kayıtlara yazılmaz.
- Google ve Apple ile girişte kimlik token'ı sunucu tarafında sağlayıcının imzasıyla doğrulanır; uygulamadan gelen bilgiye tek başına güvenilmez.
- Mobil uygulama kısa ömürlü erişim token'ı ve ayrı bir yenileme token'ı kullanır. Yenileme token'ı her kullanımda değiştirilir; çıkış yaptığınızda sunucuda geçersiz kılınır.
- Token'lar cihazda Android Keystore / iOS Keychain ile şifreli olarak saklanır; çıkışta cihazdan silinir.
3. Veri Aktarımı ve Sunucu
- Uygulama ile sunucu arasındaki tüm iletişim HTTPS ile şifrelenir.
- Her API isteği kimlik token'ıyla doğrulanır; kullanıcı yalnızca kendi ilerleme, ayar ve bildirim kayıtlarına erişebilir.
- Veritabanı sorguları parametreli hazırlanır (SQL enjeksiyonuna karşı).
- Web sürümünde ilerleme kaydeden her istek oturum ve CSRF token'ıyla doğrulanır; sayfalara basılan tüm içerik kaçış işleminden (XSS koruması) geçirilir.
- Sunucudaki yapılandırma, ortak kod ve veritabanı betiği klasörleri dışarıdan erişime kapalıdır.
- Hata durumlarında kullanıcıya teknik ayrıntı gösterilmez; ayrıntılar yalnızca sunucu kayıtlarına yazılır.
- İşlem kayıtlarında şifre ve token gibi gizli alanlar maskelenir.
4. Uygulama ve Cihaz
- Uygulama yalnızca işlevi için gereken izinleri ister: bildirim (hatırlatmalar için) ve profil fotoğrafı seçerken kamera veya galeri. Konum, rehber veya mikrofon izni istenmez.
- Çevrimdışı kullanım için indirilen kelime, görsel ve ses dosyaları uygulamanın kendi alanında saklanır; diğer uygulamalar bu alana erişemez.
- Ana ekran widget'ı yalnızca günün kelimesini ve tekrar sayısını gösterir; hesap bilgisi içermez.
5. Sizden Beklediklerimiz
- En az 8 karakterli, harf ve rakam içeren ve başka sitelerde kullanmadığınız bir şifre seçin.
- Şifrenizi kimseyle paylaşmayın; biz şifrenizi e-posta veya mesajla asla istemeyiz.
- Ortak kullanılan cihazlarda işiniz bitince çıkış yapın; "Beni hatırla" seçeneğini yalnızca kendi cihazınızda kullanın.
- Uygulamanın ve cihazınızın işletim sisteminin güncel sürümünü kullanın; ekran kilidini açık tutun.
6. Güvenlik Açığı Bildirimi
Hesabınızda şüpheli bir hareket fark ederseniz ya da uygulamada bir güvenlik açığı bulduğunuzu düşünüyorsanız lütfen ayrıntılarıyla [email protected] adresine yazın. İyi niyetle yapılan bildirimleri inceler, gerekli düzeltmeyi yaparak size dönüş sağlarız. Başka kullanıcıların verilerine erişmeye veya hizmeti aksatmaya çalışmayın.
7. Güncellemeler
Güvenlik düzeltmeleri web sürümüne doğrudan, mobil uygulamaya App Store ve Google Play güncellemeleriyle ulaşır. Bu politikadaki önemli değişiklikler bu sayfada duyurulur.
İlgili belgeler: Gizlilik Politikası · Kullanım Şartları
English Summary
Passwords are stored as bcrypt hashes. Google/Apple sign-in tokens are verified server-side. The mobile app uses short-lived access tokens with rotating refresh tokens, stored in Android Keystore / iOS Keychain and revoked on logout. All traffic uses HTTPS; every API request is authenticated and users can only access their own records. Queries are parameterised, web requests are CSRF-protected and output is escaped. The app only asks for the notification permission and, when choosing a profile photo, camera/gallery access. To report a vulnerability, e-mail [email protected].