Güvenlik

Workflow Transactional Email, Code Creation Labs tarafından geliştirilmiş ve işletilmektedir. Bu sayfada, uygulamanın yapısı, nerede çalıştığı, mağazanızın verilerinin nasıl korunduğu ve her şeyi nasıl güncel tuttuğumuz açıklanmaktadır. Bu sayfa, mağaza sahipleri ve güvenlik anketini dolduran herkes için hazırlanmıştır. Uygulamanın hangi verileri ne kadar süreyle sakladığı Veriler, gizlilik ve güvenlik sayfasında; yasal konular (gizlilik politikası, veri işleme sözleşmesi, alt işleyiciler) ise Yasal bilgiler ve veri koruma sayfasında yer almaktadır.

Uygulamanın hangi platform üzerinde geliştirildiği

Katman	Kullandıklarımız
Uygulama kodu	Node.js üzerinde TypeScript; şu anda uzun vadeli destek sunulan bir sürüm. Yönetici sayfaları, düzen düzenleyicisi ve Shopify Flow adımlarınızı çalıştıran hizmetler tek bir kod tabanında yer almaktadır.
Veritabanı ve önbellek	PostgreSQL (Google Cloud SQL) ve Redis (Google Cloud Memorystore)
Barındırma	Google Cloud’un europe-west1 (Belçika, Avrupa Birliği) bölgesindeki Google Kubernetes Engine’de bulunan konteynerler. Veritabanları, önbellekler, dosya depolama alanı ve uygulama günlükleri bölgeye özeldir.
Shopify entegrasyonu	Shopify’un resmi uygulama kütüphaneleri, Shopify Flow eylemleri, isteğe bağlı izinler için Admin GraphQL API’si ve Shopify’un webhook’ları
E-posta gönderimi	Bağladığınız posta kutusu: kendi SMTP sunucunuz, Microsoft 365 veya Google Workspace. Uygulamanın size gönderdiği uyarı e-postaları, Frankfurt’taki Amazon SES üzerinden iletilir.
Mağazanızın vitrini	Temanızda veya ödeme sayfasında hiçbir şey çalışmıyor.

Hizmetin hiçbir yerinde PHP, WordPress, Java veya başka bir çalışma ortamı bulunmamaktadır. Uygulama, Shopify Uygulama Mağazası’nda listelenmiştir ve Shopify’ın güvenlik ile müşteri verilerinin korunmasına ilişkin gerekliliklerini kapsayan uygulama inceleme sürecinden geçmiştir.

Güvenlik uyarıları ve uygulamalarımızın bundan etkilenip etkilenmediği

Shopify uygulamalarıyla ilgili bir güvenlik açığı veya saldırı haberlere çıktığında, bunu geliştirdiğimiz tüm uygulamalarla karşılaştırarak kontrol eder ve sonucu buraya kaydederiz; böylece siz de sormak yerine cevabı buradan bulabilirsiniz.

Danışma	Ne zaman	Uygulamalarımız	Ayrıntılar
PHP2Shell (CVE-2026-109618, CVE-2026-109619): PHP motorunda uzaktan kod yürütme	21 Ekim 2026	Etkilenmemiştir. Uygulamalarımızın hiçbirinde PHP bulunmamaktadır.	Açıklama
Shopify ödeme sayfası ele geçirme kampanyası: Üçüncü taraf uygulamaların (Hulk Product Options, Selleasy, Swym Wishlist Plus; Temmuz ayında Qikify) mağaza ön yüz koduna yerleştirilen komut dosyaları, müşterileri sahte ödeme sayfalarına yönlendirdi	10-20 Ekim 2026	Etkilenmemiştir. Uygulamalarımızdan hiçbiri bu olayla ilgisi yoktur ve hiçbiri mağaza sayfanıza bu tür bir komut dosyası yerleştiremez.	Açıklama
Node.js güvenlik güncellemesi (CVE-2026-111497 ve Node.js çalışma zamanında tespit edilen dokuz başka CVE)	21 Ekim 2026	Uygulama tarafında. Uygulamalarımız Node.js üzerinde çalışıyor, bu nedenle bu durum bizi ilgilendirdi: Her uygulama, yamalı sürüm (22.23.4) üzerinde yeniden derlendi ve o haftadan beri üretim ortamında bu sürümle çalışıyor. Sizin tarafınızdan yapılacak bir şey yok.	Uygulamaları nasıl güncel tutuyoruz
nginx güvenlik güncellemesi (CVE-2026-15176, CVE-2026-93479, CVE-2026-97205, CVE-2026-95101, CVE-2026-97629)	14 Ekim 2026	Etkilenmemiştir. nginx, uygulamalarımızın bir parçası değildir ve her uygulama artık Google Cloud Armor ile donatılmış Google Cloud’un yönetilen yük dengeleyicisi arkasında çalışmaktadır. Daha önce kullanılan nginx girişi de istismar edilemezdi: bu yapılandırma ile beş sorundan hiçbirine ulaşılamaz (takma ad veya yeniden yazma yok, sunucu tarafı dahil etme yok, HTTP/3 yok, TLS oturum biletleri kapalı).	Açıklama
eMudhra (emSign) sertifika yetkilisi güvenliği ihlali: sekiz ara sertifika yetkilisinin anahtarları kurtarılabilir; emSign ECC Kök Sertifika Yetkilisi - G3’e güvenilmez	20 Ekim 2026	Etkilenmemiştir. Sistemlerimizden hiçbiri güvenilmez kök sertifikasına güvenmemektedir, sertifikalarımızın hiçbiri eMudhra’dan gelmemektedir ve kamuya açık Sertifika Şeffaflığı kayıtlarında, alan adlarımızdan hiçbirine ait bir eMudhra sertifikası bulunmamaktadır.	Açıklama

Tüm uygulamalarımız için geçerli olan bu tablo ve bunların ortak uygulama ilkeleri, Code Creation Labs’ta Güvenlik sayfasında yer almaktadır.

Verileriniz nasıl korunuyor?

Aktarım sırasında. Tarayıcınız, Shopify, e-posta sağlayıcınız ve uygulama arasındaki tüm bağlantılarda TLS kullanılır. Veritabanı ve önbelleğin halka açık bir adresi yoktur: bunlara yalnızca özel ağımızın içinden erişilebilir.

Depolandıkları sırada. Tüm veritabanları ve dosya depolama alanları**,** Google Cloud KMS’de bizim tarafımızdan yönetilen anahtarlarla depolandıkları sırada şifrelenir.

Buna ek olarak, alan düzeyinde şifreleme de uygulanır. Gönderim amacıyla kullanılabilecek her şey ikinci bir şifreleme katmanına tabi tutulur: SMTP kullanıcı adları ve şifreleri, Microsoft 365 ve Google OAuth jetonları, sakladığınız gizli bilgiler, mağazanızın Shopify erişim jetonu ve abonelikten çıkma listenizdeki adresler. Her bir değer, Cloud KMS'de ayrı bir anahtar altında AES-256-GCM ile ayrı ayrı şifrelenir; bu süreçte otomatik anahtar rotasyonu uygulanır ve değerler yalnızca bir eylem yürütüldüğü anda bellekte şifresi çözülür. Korunan bir değerin her şifre çözme işlemi, dahili bir erişim izinde kaydedilir. Gizli değerler, yazılmadan önce eylem geçmişinden gizlenir ve Geliştirici API'si veya Sidekick tarafından asla geri döndürülmez.

Gizli bilgiler. Hizmetin API kimlik bilgileri ve anahtarları Google Secret Manager’da saklanır ve hizmet başlatıldığında yüklenir. Bunlar ne kodda, ne konteyner görüntülerinde ne de derleme boru hattında bulunur.

Veri asgari düzeyde tutma. Uygulama, mağazanızın verilerine erişim izni olmadan yüklenir. Müşteri verileri, yalnızca siz bunları Shopify Flow'dan ilettiğiniz için bir e-postaya ulaşır. Dört isteğe bağlı izin (bir sipariş veya müşteriye ait bir meta alan dosyasını okuma, benzersiz bir indirim kodu oluşturma), yerinde istenir, Shopify'un kendi iletişim kutusu aracılığıyla verilir ve herhangi bir zamanda iptal edilebilir. Bkz. İzinler: Uygulamanın mağazanızdan okuyabileceği bilgiler.

AI eğitimi yapılmaz. E-postalarınız, alıcılarınız, ekleriniz ve Shopify müşteri verileriniz, ne tarafımızdan ne de başka herhangi bir kişi tarafından AI modellerini eğitmek amacıyla asla kullanılmaz. İsteğe bağlı AI düzen asistanı, yalnızca kendi API anahtarınızla çalışır ve yalnızca düzenlediğiniz düzeni gönderir. Ayrıntılar Veriler, gizlilik ve güvenlik sayfasında yer almaktadır.

Kim neye erişebilir?

• Erişim jetonları sunucularımıza kilitlenmiştir. Yönetici API’si için Shopify’ın IP izin listesini etkinleştirdik: Shopify, uygulamanın erişim jetonlarını yalnızca kendi çıkış adresimizden kabul ediyor ve başka herhangi bir yerden gelenleri reddediyor; bu sayede çalınan bir jeton, altyapımızın dışında hiçbir işe yaramaz.
• Süresi dolan erişim jetonları. Uygulama, Shopify’ın süresi dolan çevrimdışı erişim jetonlarını kullanır. Her jeton bir saat süreyle geçerlidir ve otomatik olarak yenilenir; bu sayede sızdırılan bir jeton kendiliğinden çalışmaz hale gelir.
• Ağ erişimi bildirildi. Uygulama, Shopify yapılandırmasında, mağaza ön yüzünüz, ödeme sayfası ve yönetici panelinizdeki kodunun barındırıldığı ve iletişim kurabileceği harici ana bilgisayarları bildirir (Shopify’ın ağ erişim kuralları); böylece Shopify, buraya ait olmayan bir isteği tespit edebilir.
• Ön tarafta bir güvenlik duvarı bulunmaktadır. İstekler, Google Cloud Armor (Google’ın web uygulaması güvenlik duvarı) ile donatılmış Google Cloud’un yönetilen küresel yük dengeleyicisi aracılığıyla uygulamaya ulaşır; bu sistem, bilinen saldırganları engeller ve her isteği sunucularımıza ulaşmadan önce inceler.
• Yalnızca sizin mağazanız. Her kayıt, ait olduğu mağazayı taşır ve her sorgu, kimlik doğrulaması yapılan mağaza ile sınırlıdır. Bir mağaza, başka bir mağazanın düzenlerini, gönderenlerini, gizli bilgilerini veya geçmişini asla okuyamaz veya değiştiremez.
• Yalnızca doğrulanmış istekler. Shopify yönetici panelindeki sayfalar, Shopify oturum belirteçleriyle kimlik doğrulamasına tabi tutulur. Shopify Flow adımları ve Shopify’un kendi webhook’ları, verilere erişilmeden önce Shopify’un HMAC imzasıyla doğrulanır; ayrıca iki kez iletilen bir Shopify Flow adımı yalnızca bir kez yürütülür.
• İşlenmiş içerik. Sayfa düzenleri sunucularımızda işlenir ve sonuç, gönderilmeden önce temizlenir: komut dosyaları, olay işleyicileri, javascript: URL’leri, iframe’ler ve form öğeleri kaldırılır; böylece Shopify Flow’dan aktarılan bir değer, alıcının gelen kutusunda aktif içeriğe dönüşemez.
• Dışa yönelik istekler. Uygulamanın sizin adınıza bağlandığı URL’ler, HTTP Request eylemi için, bir URL’den alınan ekler için ve bir meta alan tarafından referans verilen dosyalar için, bağlantı kurulmadan önce kontrol edilir: loopback, link-local, bulut meta verileri ve özel ağ adresleri, yönlendirme yoluyla olanlar da dahil olmak üzere reddedilir. Yönlendirmeler sınırlandırılır ve yanıtların boyutu kısıtlanır.
• Ekibimiz. Üretim sistemlerine yalnızca Google Cloud IAM üzerinden bireysel hesaplarla erişilebilir. Dahili bakım araçları internete açık değildir.

Uygulamayı nasıl güncel tutuyoruz?

• Shopify’ın uygulama güvenlik kontrolleri. Geliştirdiğimiz her uygulama için ve her sürüm yayınlandığında Shopify’ın uygulama güvenlik kontrolleri, deterministik tarama ve temsilci incelemesini gerçekleştiriyoruz. 37 kontrol, kimlik doğrulaması yapılmamış rotaları, bir mağazayla sınırlandırılmamış verileri, doğrulanmamış webhook'ları ve uygulama proxy isteklerini, kaydedilmiş gizli bilgileri, sızdırılmış kimlik bilgilerini, güvenli olmayan HTML'yi ve devre dışı bırakılmış, süresi dolan erişim jetonlarını ve diğer unsurları kapsamaktadır.
• Her değişiklik, yayınlanmadan önce taranır. İş akışı, tür denetimleri ve kod denetimi, statik uygulama güvenliği testi (SAST), gizli bilgi tespiti, bağımlılık güvenlik açığı taraması ve konteyner görüntüsü taraması gerçekleştirir. Sürüm kriterimiz, bağımlılıklarda ve görüntüde bilinen hiçbir güvenlik açığı olmamasıdır.
• Çalışma ortamı ve işletim sistemi. Alpine Linux tabanlı Node.js konteyner görüntüsü her sürümde yeniden derlenir; bu sayede çalışma ortamı ve işletim sistemi yamaları sürekli olarak dağıtılır. Yönetilen Kubernetes platformu, altta yatan düğümlerin güncel kalmasını sağlar.
• Shopify platformu. Shopify’ın API sürümlerini ve Shopify uygulama kütüphanelerine ilişkin güvenlik bildirimlerini takip ediyor ve güncellemeleri derhal uyguluyoruz. Uygulama, güncel bir Admin API sürümünde çalışıyor.
• Güvenlik denetimleri. Her bir güzergâh, veri yolu ve veritabanı sorgusu için düzenli aralıklarla kapsamlı bir iç denetim gerçekleştiriyoruz; en son denetim Ekim 2026’da yapılmıştır.
• İzleme. Hizmetin erişilebilirliği 24 saat boyunca izlenir ve durum sayfamızda yayınlanır; hatalar durumunda ise uyarı alırız. İşletim günlükleri aynı AB bölgesinde saklanır, en fazla 30 gün boyunca tutulur ve hiçbir zaman kimlik bilgileri veya gizli veriler içermez.

Saklama ve silme

• Nelerin gönderildiğini kaydeden ve dolayısıyla müşteri verisi niteliğindeki işlem geçmişi, 30 gün sonra otomatik olarak silinir.
• Uygulamayı kaldırdığınızda her şey - düzenler, gönderenler, gizli bilgiler, geçmiş, abonelikten çıkma listesi ve yüklenen dosyalar - anında ve geri dönüşü olmayan bir şekilde silinir.
• Shopify’ın zorunlu gizlilik talepleri (customers/data_request, customers/redact ve shop/redact), bir müşterinin abonelikten çıkma listesine eklenmesi de dahil olmak üzere, Shopify’ın belirlediği süreler içinde otomatik olarak işleme alınır.
• Saklanan verilerin tam listesi Veriler, gizlilik ve güvenlik adresinde yer almaktadır. Alt işleyiciler ve veri saklama süresi gizlilik politikası adresinde bulunabilir. İmzalı veri işleme sözleşmesi workflow-transactional-email.app/dpa adresinden talep edilebilir.

Bir güvenlik sorununu bildirme

Bir güvenlik açığı tespit ettiğinizi düşünüyorsanız veya bir güvenlik anketinin doldurulmasını istiyorsanız, support@codecreationlabs.com adresine e-posta gönderin. Güvenlik raporları öncelikli olarak incelenir ve yanıtlanır.