Güvenlik ve Şeffaflık

ÖğretmenXai, İstasyon Kitabevi tarafından yürütülen ve bir öğretmen tarafından geliştirilen bir projedir. "Güvenli" demek yerine, uygulanan önlemleri ve yapılmayanları burada olduğu gibi listeliyoruz. Bu sayfa kod her değiştiğinde gözden geçirilir.

Verileriniz nerede

• Öğrenci adları: sunucuda yalnızca baş harflerle ("A*** Y***"); tam ad ve okul numarası öğretmenin cihazında, tarayıcı deposunda.
• Veri tabanı ve kimlik doğrulama: Supabase, Frankfurt (Almanya, Avrupa Birliği) veri merkezi.
• Uygulama sunucusu: Vercel, Avrupa (Frankfurt) bölgesi.
• Yapay zekâ üretimi: Google Gemini. Yalnızca o istek için gereken bilgi (sınıf düzeyi, ders, öğrenme çıktısı, yönergeniz) gönderilir; öğrenci adı ve kişisel veri gönderilmez.
• Veriler satılmaz, reklam amacıyla işlenmez, üçüncü kişilerle paylaşılmaz.

Uygulanan teknik önlemler

• Şifreli bağlantı: Tüm trafik HTTPS (TLS 1.3) üzerinden akar; HSTS ile tarayıcı şifresiz bağlantıyı reddeder.
• Veri ayrımı: Veri tabanında her tabloda satır düzeyinde güvenlik (RLS) açıktır ve tarayıcıya doğrudan tablo erişimi yoktur. Her sorgu sunucuda kayıt sahibiyle sınırlanır; bir öğretmen başka öğretmenin sınıfını, öğrencisini veya notunu göremez ve değiştiremez.
• Kimlik doğrulama: E-posta doğrulaması zorunludur; Google ile giriş desteklenir. Şifreler uygulamada saklanmaz, Supabase Auth tarafından tek yönlü özet (hash) olarak tutulur.
• Dosyalar: Yüklenen dosyalar özel (herkese kapalı) bir depoda tutulur, yalnızca süreli imzalı bağlantıyla indirilir. Yükleme yolu sunucuda kurulur, dosya türü ve boyutu yükleme sonrasında depodaki gerçek dosya üzerinden yeniden doğrulanır.
• SQL enjeksiyonu: Tüm veri tabanı sorguları parametrelidir; kullanıcı girdisi sorgu metnine eklenmez.
• XSS: Kullanıcı ve yapay zekâ içeriği ekrana basılmadan önce HTML kaçışından geçirilir; ham HTML çalıştırılmaz.
• CSRF: Oturum çerezleri SameSite=Lax ile işaretlidir; başka bir siteden gönderilen istekler oturumunuzu taşıyamaz.
• Güvenlik başlıkları: X-Frame-Options DENY ve frame-ancestors none (başka siteye gömülemez), X-Content-Type-Options nosniff, Referrer-Policy, Permissions-Policy (kamera, mikrofon, konum kapalı).
• Sırlar: Veri tabanı ve yapay zekâ anahtarları yalnızca sunucuda tutulur; tarayıcıya giden kodda bulunmaz.
• Kötüye kullanım sınırları: Kayıt, giriş ve e-posta gönderimi hız sınırlıdır; yapay zekâ üretimi hesap başına günlük kotayla sınırlıdır.
• Yönetici erişimi: Site yöneticisi yalnızca destek amacıyla ve kimliği sunucuda doğrulanmış olarak bir hesabın verisine erişebilir; bu yetki tarayıcıdan taklit edilemez.

Yapılan kontroller

• İki bağımsız iç güvenlik denetimi (kod üzerinden, veri sahipliği, RLS, dosya yükleme, sır sızıntısı, enjeksiyon): Ağustos ve Eylül 2026. Son denetimde kritik veya yüksek seviyeli açık bulunmadı; tek düşük seviyeli tutarsızlık aynı gün kapatıldı.
• Dış bir yapay zekâ modeliyle (bağımsız ikinci göz) dört tur kod incelemesi; toplam 37 bulgu düzeltildi.
• Canlı sitede güvenlik başlıkları ve TLS sürümü doğrulandı (17 Eylül 2026).

Yapılmayanlar

• Bağımsız bir firma tarafından profesyonel sızma testi (pentest) henüz yapılmadı; kullanıcı sayısı büyüdükçe planlanmaktadır.
• Otomatik dinamik tarama (OWASP ZAP vb.) henüz çalıştırılmadı; planlanmaktadır ve sonucu bu sayfada paylaşılacaktır.
• Kaynak kod açık değildir.

Bir açık bulduysanız

Lütfen ayrıntıları nobetci.ogretmen@ogretmenxai.com adresine yazın. Bildirimler en geç 72 saat içinde yanıtlanır; doğrulanan açıklar kapatılıp bu sayfada belirtilir. Sorumlu bildirimde bulunan kişilere teşekkür ederiz.