Güvenlik

Workflow Trigger Extensions, Code Creation Labs tarafından geliştirilmiş ve işletilmektedir. Bu sayfada, uygulamanın yapısı, nerede çalıştığı, mağazanızın verilerinin nasıl korunduğu ve her şeyi nasıl güncel tuttuğumuz açıklanmaktadır. Bu sayfa, mağaza sahipleri ve güvenlik anketini dolduran herkes için hazırlanmıştır. Yasal konular (gizlilik politikası, veri işleme sözleşmesi, alt işleyiciler) Yasal bilgiler ve veri koruma sayfasında yer almaktadır.

Uygulamanın hangi platform üzerinde geliştirildiği

Katman	Kullandıklarımız
Uygulama kodu	Node.js üzerinde TypeScript; şu anda uzun vadeli destek sunulan bir sürüm. Uygulamanın yönetici sayfalarından olaylarınızı işleyen işleyicilere kadar her parçası tek bir kod tabanında yer almaktadır.
Veritabanı ve önbellek	PostgreSQL (Google Cloud SQL) ve Redis (Google Cloud Memorystore)
Barındırma	Google Cloud’un europe-west1 (Belçika, Avrupa Birliği) bölgesindeki Google Kubernetes Engine’de bulunan konteynerler. Veritabanları, önbellekler ve dosya depolama, bölgeye özeldir.
Shopify entegrasyonu	Shopify
Mağazanızın vitrini	Temanızda hiçbir şey çalışmıyor. Mağaza vitrini tetikleyicileri etiketinin arkasındaki isteğe bağlı web pikseli, Shopify’ın piksel sanal ortamında çalışır ve yalnızca bir mağaza ön yüz tetikleyicisini etkinleştirdiğinizde kurulur.

Hizmetin hiçbir yerinde PHP, WordPress, Java veya başka bir çalışma ortamı bulunmamaktadır. Uygulama, Shopify Uygulama Mağazası’nda listelenmiştir ve Shopify’ın güvenlik ile müşteri verilerinin korunmasına ilişkin gerekliliklerini kapsayan uygulama inceleme sürecinden geçmiştir.

Güvenlik uyarıları ve uygulamalarımızın bundan etkilenip etkilenmediği

Shopify uygulamalarıyla ilgili bir güvenlik açığı veya saldırı haberlere çıktığında, bunu geliştirdiğimiz tüm uygulamalarla karşılaştırarak kontrol eder ve sonucu buraya kaydederiz; böylece siz de sormak yerine cevabı buradan bulabilirsiniz.

Danışma	Ne zaman	Uygulamalarımız	Ayrıntılar
PHP2Shell (CVE-2026-109618, CVE-2026-109619): PHP motorunda uzaktan kod yürütme	21 Ekim 2026	Etkilenmemiştir. Uygulamalarımızın hiçbirinde PHP bulunmamaktadır.	Açıklama
Shopify ödeme sayfası ele geçirme kampanyası: Üçüncü taraf uygulamaların (Hulk Product Options, Selleasy, Swym Wishlist Plus; Temmuz ayında Qikify) mağaza ön yüz koduna yerleştirilen komut dosyaları, müşterileri sahte ödeme sayfalarına yönlendirdi	10-20 Ekim 2026	Etkilenmemiştir. Uygulamalarımızdan hiçbiri bu olayla ilgisi yoktur ve hiçbiri mağaza sayfanıza bu tür bir komut dosyası yerleştiremez.	Açıklama
Node.js güvenlik güncellemesi (CVE-2026-111497 ve Node.js çalışma zamanında tespit edilen dokuz başka CVE)	21 Ekim 2026	Uygulama tarafında. Uygulamalarımız Node.js üzerinde çalışıyor, bu nedenle bu durum bizi ilgilendirdi: Her uygulama, yamalı sürüm (22.23.4) üzerinde yeniden derlendi ve o haftadan beri üretim ortamında bu sürümle çalışıyor. Sizin tarafınızdan yapılacak bir şey yok.	Uygulamaları nasıl güncel tutuyoruz?
nginx güvenlik güncellemesi (CVE-2026-15176, CVE-2026-93479, CVE-2026-97205, CVE-2026-95101, CVE-2026-97629)	14 Ekim 2026	Etkilenmemiştir. nginx, uygulamalarımızın bir parçası değildir ve her uygulama artık Google Cloud Armor ile donatılmış Google Cloud’un yönetilen yük dengeleyicisi üzerinden çalışmaktadır. Daha önce kullanılan nginx girişi de istismar edilemezdi: bu yapılandırma ile beş sorundan hiçbirine ulaşılamaz (takma ad veya yeniden yazma yok, sunucu tarafı dahil etme yok, HTTP/3 yok, TLS oturum biletleri kapalı).	Açıklama
eMudhra (emSign) sertifika yetkilisi güvenliği ihlali: sekiz ara sertifika yetkilisinin anahtarları kurtarılabilir durumda; emSign ECC Kök Sertifika Yetkilisi - G3’e güvenilmez	20 Ekim 2026	Etkilenmemiştir. Sistemlerimizden hiçbiri güvenilmez kök sertifikasına güvenmemektedir, sertifikalarımızın hiçbiri eMudhra’dan gelmemektedir ve kamuya açık Sertifika Şeffaflığı kayıtlarında, alan adlarımızdan hiçbirine ait bir eMudhra sertifikası bulunmamaktadır.	Açıklama

Tüm uygulamalarımız için geçerli olan bu tablo ve bunların ortak uygulamaları, Code Creation Labs’ın Güvenlik bölümünde yer almaktadır.

Verileriniz nasıl korunuyor?

Aktarım sırasında. Tarayıcınız, Shopify ve uygulama arasındaki tüm bağlantılarda TLS kullanılır. Veritabanı ve önbelleğin halka açık bir adresi yoktur: bunlara yalnızca özel ağımızın içinden erişilebilir.

Depolama sırasında. Tüm veritabanları ve depolama alanları**,** Google Cloud KMS’de bizim tarafımızdan yönetilen anahtarlarla depolama sırasında şifrelenir.

Üst katmanda alan düzeyinde şifreleme. En hassas değerler ikinci bir katmanla korunur: mağazanızın Shopify erişim jetonu ve isteğe bağlı kişisel veri tetikleyicileri tarafından okunan korumalı müşteri verileri (adlar, e-posta adresleri, telefon numaraları, posta adresleri). Her kayıt, Cloud KMS'de ayrı bir anahtar altında AES-256-GCM ile ayrı ayrı şifrelenir ve otomatik anahtar rotasyonu uygulanır. Değerler, yalnızca ihtiyaç duyulduğu anda (örneğin bir tetikleyici devreye girdiğinde) bellekte şifresi çözülür ve asla günlük dosyalarına yazılmaz. Kişisel verilerdeki değişiklik algılama işlemi, hash değerlerini karşılaştırır; böylece uygulama, bir değeri şifresini çözmeden değiştiğini anlayabilir.

Gizli bilgiler. API kimlik bilgileri ve anahtarları, Google Secret Manager’da saklanır ve bir hizmet başlatıldığında yüklenir. Bunlar ne kodda, ne de konteyner görüntülerinde, ne de derleme boru hattında bulunur.

Veri minimizasyonu. Uygulama, kurulum sırasında hiçbir veri erişimi talebinde bulunmaz. Her izin, kullanıcının kendi tercihine bağlıdır, tek bir veri türüyle sınırlıdır ve herhangi bir zamanda geri alınabilir. Bkz. İzinler ve veri erişimi.

Kim neye erişebilir?

• Erişim jetonları sunucularımıza kilitlenmiştir. Yönetici API’si için Shopify’ın IP izin listesini etkinleştirdik: Shopify, uygulamanın erişim jetonlarını yalnızca kendi çıkış adresimizden kabul ediyor ve başka herhangi bir yerden gelenleri reddediyor; bu sayede çalınan bir jeton, altyapımızın dışında hiçbir işe yaramaz.
• Süresi dolan erişim jetonları. Uygulama, Shopify’ın süresi dolan çevrimdışı erişim jetonlarını kullanır. Her jeton bir saat süreyle geçerlidir ve otomatik olarak yenilenir; bu sayede sızdırılan bir jeton kendiliğinden çalışmaz hale gelir.
• Ağ erişimi bildirildi. Uygulama, Shopify yapılandırmasında, mağaza ön yüzünüz, ödeme sayfası ve yönetici panelinizdeki kodunun barındırıldığı ve iletişim kurabileceği harici ana bilgisayarları bildirir (Shopify’ın ağ erişim kuralları); böylece Shopify, buraya ait olmayan bir isteği tespit edebilir.
• Ön tarafta bir güvenlik duvarı bulunmaktadır. İstekler, Google Cloud Armor (Google’ın web uygulaması güvenlik duvarı) ile donatılmış Google Cloud’un yönetilen küresel yük dengeleyicisi aracılığıyla uygulamaya ulaşır; bu sistem, bilinen saldırganları engeller ve her isteği sunucularımıza ulaşmadan önce inceler.
• Yalnızca sizin deponuz. Her kayıt, ait olduğu depoyu taşır ve her sorgu, kimlik doğrulaması yapılan depo ile sınırlıdır. Bir depo, başka bir deponun verilerini asla okuyamaz veya değiştiremez.
• Yalnızca doğrulanmış istekler. Shopify yönetici panelindeki sayfalar, Shopify oturum belirteçleriyle kimlik doğrulamasına tabi tutulur. Webhook’lar ve Shopify Flow geri çağırmaları, verilere erişilmeden önce Shopify’un HMAC imzasıyla; dahili mesajlar ise Google tarafından imzalanmış kimliklerle doğrulanır. Her Shopify olayı, olay kimliği temelinde tekrarlardan arındırılmak üzere yalnızca bir kez işlenir.
• **Özel tetikleyici kodu. **Özel tetikleyiciler için kendiniz yazdığınız JavaScript kodu, zaman ve bellek sınırlamaları olan izole bir sanal ortamda, uygulamanın kendi sunucularından ayrı bir altyapı üzerinde çalıştırılır. Bu kod, uygulamanın kimlik bilgilerini veya Shopify erişim jetonunuzu hiçbir zaman görmez. Mağazanıza erişiminin tek yolu, mağazanıza bağlı olan ve bir dakika içinde geçerliliğini yitiren kısa ömürlü bir jetondur.
• Ekibimiz. Üretim sistemlerine yalnızca Google Cloud IAM üzerinden bireysel hesaplarla erişilebilir. Dahili bakım araçları internete açık değildir.

Uygulamayı nasıl güncel tutuyoruz?

• Shopify’ın uygulama güvenlik kontrolleri. Geliştirdiğimiz her uygulama için ve her sürüm yayınlandığında Shopify’ın uygulama güvenlik kontrollerini, deterministik taramayı ve temsilci incelemesini gerçekleştiriyoruz. 37 kontrol, kimlik doğrulaması yapılmamış rotaları, bir mağazayla sınırlandırılmamış verileri, doğrulanmamış webhook'ları ve uygulama proxy isteklerini, kaydedilmiş gizli bilgileri, sızdırılmış kimlik bilgilerini, güvenli olmayan HTML'yi ve devre dışı bırakılmış, süresi dolan erişim jetonlarını ve diğer unsurları kapsamaktadır.
• Her değişiklik, yayınlanmadan önce taranır. İş akışı, tür denetimleri ve kod denetimi, statik uygulama güvenliği testi (SAST), gizli bilgi tespiti, bağımlılık güvenlik açığı taraması ve konteyner görüntüsü taraması gerçekleştirir. Sürüm kriterimiz, bağımlılıklarda ve görüntüde bilinen hiçbir güvenlik açığı olmamasıdır.
• Çalışma ortamı ve işletim sistemi. Alpine Linux tabanlı Node.js konteyner görüntüsü her sürümde yeniden derlenir; bu sayede çalışma ortamı ve işletim sistemi yamaları sürekli olarak dağıtılır. Yönetilen Kubernetes platformu, altta yatan düğümlerin güncel kalmasını sağlar.
• Shopify platformu. Shopify’ın API sürümlerini ve Shopify uygulama kütüphanelerine ilişkin güvenlik bildirimlerini takip ediyor ve güncellemeleri derhal uyguluyoruz. Uygulama, güncel bir Admin API sürümünde çalışıyor.
• Güvenlik incelemeleri. Kimlik doğrulama, oturumlar veya veri ifşası ile ilgili herhangi bir değişiklik yapılmadan önce otomatik bir güvenlik denetimi gerçekleştirilir; ayrıca her bir rota, veri yolu ve veritabanı sorgusu üzerinde düzenli aralıklarla kapsamlı bir iç inceleme yürütürüz; en son inceleme Ekim 2026’da gerçekleştirilmiştir.
• İzleme. Hizmetin erişilebilirliği 24 saat boyunca izlenir ve durum sayfamızda yayınlanır; hatalar durumunda uyarı alırız. İşletim günlükleri en fazla 30 gün süreyle saklanır ve hiçbir zaman kimlik bilgilerini, gizli bilgileri veya müşteri verilerini içermez.

Saklama ve silme

• Etkinlik geçmişi 30 gün sonra otomatik olarak silinir.
• Uygulamanın değişiklikleri tespit etmek için sakladığı anlık durum kayıtları (bir ürünün, siparişin veya müşterinin bilinen son durumu), uygulama yüklü olduğu sürece kalır; zira bir sonraki değişiklik bu kayıtlara göre tespit edilir.
• Uygulamayı kaldırdığınızda, uygulamanın mağazanıza erişim izni derhal silinir. Uygulamanın kaldırılmasından 48 saat sonra gerçekleştirilen Shopify’ın shop/redact isteği, korunan müşteri verilerini ve özel tetikleyici kodunuzun depoladığı tüm verileri siler.
• Shopify
• Alt işleyiciler ve tam saklama süresi, gizlilik politikasında yer almaktadır. İmzalı bir veri işleme sözleşmesi, workflow-trigger-extensions.app/dpa adresinden talep edilebilir.

Bir güvenlik sorununu bildirme

Bir güvenlik açığı tespit ettiğinizi düşünüyorsanız veya bir güvenlik anketinin doldurulmasını istiyorsanız, support@codecreationlabs.com adresine e-posta gönderin. Güvenlik raporları öncelikli olarak incelenir ve yanıtlanır.