Wappline verilerinizi nasıl korur

Genel bakış

Wappline, WhatsApp, Instagram ve Telegram üzerindeki işletme hesaplarınızı bağlar, konuşmaları ekibinize yönlendirir ve bunların üzerinde otomasyon ve kampanyalar çalıştırır. Bunun için beş tür veri saklar.

Hesap verileri

Rolleri ve izinleriyle ekip üyeleri, oturum açma kayıtları ve size fatura kesmek için kullanılan bilgiler.

Kanal bağlantıları

Wappline'ın sizin adınıza mesaj gönderip almasını sağlayan erişim anahtarları ve tanımlayıcılar.

Konuşmalar

Kişiler, konuşma durumu, notlar ve etiketler ile her mesajın içeriği.

Medya

Konuşmalarda gönderilen veya alınan görseller, ses, video ve belgeler.

Yapılandırma

Otomasyonlar, kampanyalar, şablonlar, formlar ve webhook uç noktaları.

Her şirket hesabı ayrı bir kiracıdır. Kanallar, konuşmalar, mesajlar ve diğer kayıtlar ait oldukları şirketi taşır; oturum açmış bir şirket kullanıcısı adına yapılan sorgular, model düzeyindeki kapsamlarla o şirketle sınırlanır.

Wappline, konuşmalarınızı iletmek ve göstermek, açtığınız özellikleri çalıştırmak için gereken verileri saklar.

Şifreleme

Saklanırken

Aşağıdaki değerler veritabanına yazılmadan önce AES-256-CBC ile şifrelenir. Anahtar veritabanında değil, sunucu ortamında tutulur.

• Telegram bot belirteçleri dahil kanal erişim anahtarları ve şirket hesabınızın Meta anahtarları.
• Bitrix24 erişim, yenileme ve uygulama anahtarları.
• Otomasyon webhook tetikleyicilerinin gizli anahtarları.
• Otomasyon adımları için bağladığınız API anahtarları; otomasyonun içinde değil, şirket kimlik bilgisi deposunda tutulur.
• Mesaj içeriği: gelen ve giden her mesaj saklanmadan önce şifrelenir; şifrelenemeyen mesaj saklanmaz.
• İki adımlı doğrulama gizli anahtarları ve kurtarma kodları.

Bazı değerler bunun yerine tek yönlü SHA-256 özeti olarak saklanır; yani aslı geri okunamaz: bir kanalın Telegram güncellemelerini doğrulayan gizli anahtar ve iki adımlı doğrulama kurtarma kodları.

Kişi adları ve tanımlayıcıları, son mesajın önizlemesi gibi konuşma ayrıntıları (100 karakterle sınırlı), medya dosyaları ve yapılandırma alan düzeyinde şifreleme yerine erişim denetimiyle korunur.

İletilirken

Wappline web sunucusu yalnızca TLS 1.2 ve 1.3 kabul eder, düz HTTP isteklerini HTTPS'e yönlendirir ve bir yıl süreli HTTP Strict Transport Security başlığı gönderir. Sayfalar ayrıca X-Content-Type-Options, Referrer-Policy ve X-Frame-Options başlıklarını gönderir.

Medya erişimi

Medya dosyaları hiçbir zaman herkese açık bir adresten sunulmaz. Her dosya, süresi dolan ve tek bir şirkete bağlı imzalı bir bağlantıyla iletilir. Gelen kutusunda gösterilen ve API'nin döndürdüğü bağlantılar 1 saat geçerlidir. Yeni bağlantı isteyemeyen sistemlere, örneğin Bitrix24 Açık Kanallar'a ve webhook içeriklerine verilen bağlantılar 7 gün geçerlidir. Başka bir şirketin oturum açmış kullanıcısı bağlantıyı kullanamaz.

Webhook'lar

Wappline'a gelen webhook'lar

Wappline, kanallardan gelen olayları yalnızca nereden geldiklerini kanıtladıklarında kabul eder.

Meta

WhatsApp ve Instagram için gelen olaylar X-Hub-Signature-256 başlığını taşımak zorundadır: ham istek gövdesinin Meta uygulama gizli anahtarıyla üretilmiş HMAC-SHA256 değeri. Eksik başlık, tanımlı olmayan uygulama gizli anahtarı veya uyuşmazlık 403 durum koduyla reddedilir. Denetim güvenli tarafta kalır: şüphede reddeder.

Tekrar saldırısı koruması

Kendi zaman damgası 5 dakika öncesine ait olan Meta mesajı düşürülür. Tekrarlanan teslimatlar tanınır ve yalnızca bir kez işlenir: mesaj ve durum kimlikleri 5 dakika, Telegram güncelleme kimlikleri 10 dakika hatırlanır.

Telegram

Her Telegram kanalının kendi webhook adresi ve kendi gizli anahtarı vardır. Telegram gizli anahtarı X-Telegram-Bot-Api-Secret-Token başlığında gönderir. Wappline yalnızca SHA-256 özetini saklar ve sabit sürede karşılaştırır. Yanlış veya eksik gizli anahtar 403 durum koduyla reddedilir.

Bitrix24

İstekler yalnızca portalınız için saklanan uygulama belirteciyle veya Bitrix24'ün o portal için doğruladığı bir erişim belirteciyle kabul edilir. Yanlış belirteç reddedilir.

Wappline'ın size gönderdiği webhook'lar

Bir kanaldaki olaylar, o kanalda tanımladığınız uç noktalara iletilebilir. Her teslimat imzalıdır; böylece uç noktanız isteğin Wappline'dan geldiğini doğrulayabilir.

İmza

X-Webhook-Signature, sha256= önekini ve uç noktanın gizli anahtarıyla üretilmiş, zaman damgası, nokta ve ham gövdeden oluşan metnin HMAC-SHA256 değerini taşır. X-Webhook-Timestamp, denemenin Unix zamanıdır.

Bağlam başlıkları

X-Webhook-Event, X-Instance-Id ve X-Channel olayı, Wappline'daki kanalı ve kanal türünü belirtir.

Yeniden denemeler

Bir teslimat en fazla 5 kez denenir; denemeler arasında sırasıyla 10 saniye, 30 saniye, 2 dakika ve 10 dakika beklenir. Her deneme 10 saniye içinde zaman aşımına uğrar ve uç noktanın teslimat geçmişine kaydedilir. Uç nokta ayarlarından test olayı da gönderebilirsiniz.

Otomatik duraklatma

Art arda 10 başarısız denemeden sonra uç nokta duraklatılır ve siz yeniden başlatana kadar olay almaz. Başarılı bir teslimat sayacı sıfırlar.

Gizli anahtar yenileme

Bir uç noktanın gizli anahtarını parola doğrulamasından sonra istediğiniz zaman yenileyebilirsiniz. Yenilemeden sonraki 24 saat boyunca teslimatlar, önceki gizli anahtarla imzalanmış X-Webhook-Signature-Previous başlığını da taşır; böylece kesinti olmadan geçiş yapabilirsiniz.

PHP ile teslimat doğrulama

İmzaları hash_equals ile karşılaştırın ve zaman damgası şimdiki zamandan çok uzak olan teslimatları reddedin. Örnekteki beş dakikalık tolerans uç noktanız için bir öneridir; Wappline'ın uyguladığı bir sınır değildir.

$secret    = getenv('WEBHOOK_SECRET');
$timestamp = $_SERVER['HTTP_X_WEBHOOK_TIMESTAMP'] ?? '';
$signature = $_SERVER['HTTP_X_WEBHOOK_SIGNATURE'] ?? '';
$body      = file_get_contents('php://input');

// Wappline'ın imzaladığı gibi "zaman damgası.gövde" üzerinden imza
$expected = 'sha256=' . hash_hmac('sha256', $timestamp . '.' . $body, $secret);

if (! hash_equals($expected, $signature)) {
    http_response_code(401);
    exit;
}

// Eski teslimatları reddet
if (abs(time() - (int) $timestamp) > 300) {
    http_response_code(401);
    exit;
}

Ağ koruması

Wappline, sizin verdiğiniz adreslere istek yapar: webhook uç noktaları, otomasyonlardaki HTTP isteği ve webhook adımları ve bir otomasyon adımındaki özel sağlayıcı uç noktası. Hepsi, aşağıdaki kuralları uygulayan tek bir korumadan geçer.

• Yalnızca http ve https adreslerine izin verilir.
• Ondalık, sekizlik veya onaltılık sayılarla yazılmış adresler reddedilir; IPv6 adresleri ile localhost ve bulut meta veri sunucuları gibi bilinen iç ağ adları da reddedilir.
• Alan adı çözümlenir ve dönen her adres denetlenir. Özel, geri döngü, bağlantı yerel, paylaşımlı (operatör düzeyi NAT) ve diğer ayrılmış aralıklar reddedilir.
• Bağlantı, denetlenen adrese sabitlenir; böylece ikinci bir DNS yanıtı isteği başka yere yönlendiremez.
• Yönlendirmeler tek tek ve en fazla 3 yönlendirme izlenir; her adım yeniden denetlenir. Yönlendirme özgün sunucudan çıkarsa kimlik bilgisi başlıkları kaldırılır.
• Bağlantılar 5 saniye sonra zaman aşımına uğrar, bir istek en fazla 1 dakika sürebilir ve yanıtlar 1 MiB ile sınırlanır.

Erişim denetimi

Roller

Şirket yöneticisi

Ekip, plan ve fatura bilgileri, API anahtarları, veri dışa aktarma ve silme, kampanyalar ve formlar dahil şirket hesabına tam erişim. Tüm izinler kapsanır.

Ekip üyesi

Şirket yöneticisi erişimi izin izin verir; üye yalnızca kendisine atanan kanalları görür.

Wappline personeli

Platform yöneticileri ve destek operatörleri ayrı alanlarda çalışır. Müşteri hesapları bu alanları açamaz, personel hesapları da müşteri alanını açamaz.

Yöneticinin verebileceği izinler

• Ortak gelen kutusunu kullanma ve konuşma dökümlerini açma.
• Panel raporlarını açma.
• Kanalları bağlama ve yönetme.
• Otomasyon oluşturma ve düzenleme.
• API dokümantasyonunu açma.
• Menüde veri dışa aktarma girişlerini gösterme. Şirket verilerini dışa aktarma ve silme işlemi şirket yöneticilerinde kalır.
• İçerik yönetimini ve analizlerini açma.
• İçerik yönetiminde yayınlama, zamanlama ve yorumlara yanıt verme.

Enterprise planda, bir şirket hesabı için müşteri izolasyonu açılabilir; böylece kendi müşterilerinizin her birine yalnızca kendisine atanan kanallar ve konuşmalar verilir.

Oturum açma ve hesap denetimleri

Parola kuralı

En az 10 karakter; büyük ve küçük harf ile rakam içermelidir. Üretimde, herkese açık veri ihlallerinde görünen parolalar reddedilir.

Oturum açma denemeleri

Aynı e-posta adresi ve ağ adresi için 5 başarısız denemeden sonra yeni denemeler kısa süre engellenir. Kayıt ve parola sıfırlama istekleri de hız sınırına tabidir.

Oturumlar

Parolayı değiştirmek diğer tüm oturumları kapatır ve beni hatırla çerezlerini geçersiz kılar. Oturum çerezleri HttpOnly, SameSite=Lax olup HTTPS'te Secure işaretlidir.

Rol değişiklikleri

Bir ekip üyesinin rolünü veya izinlerini değiştirmek yeniden parola doğrulaması ister ve denetim günlüğüne yazılır.

Davetler

Bir ekibe katılma davetleri, 72 saat sonra geçerliliğini yitiren imzalı bağlantılardır.

İki adımlı doğrulama

İki adımlı doğrulama isteğe bağlıdır ve kullanıcı bazında ayarlanır. Doğrulama uygulamasından zamana dayalı tek kullanımlık parolalar (RFC 6238) kullanır. Açıkken doğru parolanın ardından bir kod istenir. Bir kod yalnızca bir kez kullanılabilir ve bir dakika içinde 5 yanlış koddan sonra yeni denemeler engellenir. 8 adet tek kullanımlık kurtarma kodu verilir ve yalnızca SHA-256 özetleri saklanır. Açıp kapatmak e-posta gönderir ve denetim günlüğüne yazılır.

Oturum görünümü

Hesap güvenliği sayfası etkin oturumları cihaz ve ağ bilgisiyle listeler; kullanıcı başka bir oturumu veya tümünü kapatabilir. Son 90 gün içinde görülmemiş bir cihazdan oturum açılırsa e-posta uyarısı gönderilir.

API güvenliği

Kimlik doğrulama

REST API iki anahtar kullanır: şirket anahtarı (X-Company-Token) ve kanal anahtarı (X-Instance-Token). Kanal anahtarı yalnızca kanalın sahibi olan şirketin anahtarıyla birlikte kabul edilir. Etkin olmayan şirketler ve dondurulmuş kanallar reddedilir.

Hız sınırları

Her anahtar çifti dakikada 300 istek ile sınırlıdır. İki anahtarı da taşımayan istekler IP adresi başına dakikada 60 istek ile sınırlanır; henüz doğrulanmamış bir anahtar çifti de bu adres sınırına sayılır, böylece anahtar tahmini sınırı aşamaz.

Tekrar güvenliği

Gönderim istekleri Idempotency-Key başlığını kabul eder. 24 saat içinde tekrarlanan bir anahtar, mesajı yeniden göndermek yerine ilk sonucu Idempotent-Replayed: true ile döndürür; ilk istek sürerken gelen yinelenen istek 409 durum koduyla yanıtlanır.

Anahtar yenileme

Şirket yöneticisi, şirket anahtarını ve her kanal anahtarını parola doğrulamasından sonra ve dakikada en fazla 5 kez yenileyebilir. Yeni anahtar verilir verilmez önceki anahtar çalışmaz. Anahtarların arayüzde gösterilmesi denetim günlüğüne kaydedilir.

Denetim günlüğü

Wappline, güvenlikle ilgili ve ayrıcalıklı işlemler için yalnızca eklemeli bir denetim günlüğü tutar. Her kayıt kimin, ne zaman, hangi IP adresinden işlem yaptığını ve hangi kaydın etkilendiğini içerir. Kayıtlar olanı anlatır; anahtar veya gizli değerleri saklamaz ve başarısız bir oturum açma denemesinde yazılanlar saklanmaz.

Neler kaydedilir

Oturum açma ve hesap güvenliği

Oturum açma, başarısız oturum açma ve çıkışlar, parola değişikliği ve sıfırlama, iki adımlı doğrulama değişiklikleri, oturum sonlandırmaları ve hesap silme talepleri.

Kullanıcılar ve ekip

Ekip davetleri ve çıkarmalar, rol ve izin değişiklikleri, devre dışı bırakma ve yeniden etkinleştirme.

Şirket hesapları

Şirket oluşturma ve değişiklikleri, askıya alma, silme, kurumsal izolasyon ve iç notlar.

Plan ve faturalandırma

Plan değişiklikleri ve ek kanal satın alımları, fatura durumu ve fatura bilgileri.

Anahtarlar ve gizli değerler

Şirket ve kanal anahtarı yenilemeleri, webhook gizli anahtarı yenilemeleri ve anahtarların gösterilmesi.

Platform yönetimi

Entegrasyonlar, kanal ve otomasyon silme, günlük bakımı ve duyurular.

Destek

Destek operatörlerinin müşteri kanalları ve hazır yanıtlar üzerindeki işlemleri.

Veriler ve konuşmalar

Veri dışa aktarma indirmeleri, konuşma dökümü dışa aktarmaları, toplu konuşma güncellemeleri ve veri silme talepleri.

Günlüğün tamamını Wappline platform yöneticileri inceleyebilir. Şirket yöneticileri, ekip sayfasındaki etkinlik panelinde ekip üyeleriyle ilgili kayıtları görür; örneğin davetler, rol ve izin değişiklikleri, plan değişiklikleri ve anahtar olayları. Kayıtlar 365 gün saklanır; saklama tablosuna bakın.

Veri saklama süreleri

Operasyonel kayıtlar belirli sürelerden sonra otomatik olarak silinir. Aşağıdaki süreler platformun kendi yapılandırmasından okunur; bu nedenle platform değiştiğinde bu tablo da değişir.

Dışa aktarma ve silme

Dışa aktarma

Şirket yöneticileri şirket verilerini hesaptan dışa aktarabilir: kategorileri seçin (şirket bilgileri, ekip üyeleri, kanallar, mesajlar, konuşmalar, otomasyonlar, kampanyalar, formlar, içerik ve daha fazlası), CSV dosyalarından oluşan bir ZIP arşivi veya tek bir JSON dosyası seçin ve hazır olduğunda indirin. Anahtarlar, gizli değerler ve parolalar dışa aktarmalardan çıkarılır. Dışa aktarma dosyaları 30 gün sonra silinir ve her indirme denetim günlüğüne yazılır.

Hesap ve şirket silme

Şirket yöneticisi tüm şirket hesabının silinmesini, her ekip üyesi de kendi hesabının silinmesini talep edebilir. Talep hemen uygulanmaz: 3 gün süreli bir bekleme dönemi vardır, son tarihten 24 saat önce bir hatırlatma e-postası gönderilir ve talep o zamana kadar iptal edilebilir. Son şirket yöneticisi hesabını silerse şirket hesabının tamamı onunla birlikte silinir.

Silme çalıştığında şirketin kayıtları, kullanıcıları, saklanan medya dosyaları, dışa aktarma dosyaları ve içerik dosyaları platformdan kaldırılır.

Meta veri silme geri çağrısı

Biri Wappline uygulamasını Facebook hesabından kaldırdığında Meta, veri silme geri çağrısını yapar. Wappline Meta'nın imzasını doğrular, bir onay koduyla talep oluşturur ve o Meta kullanıcısına bağlı şirket hesaplarının Meta anahtarlarını ve Meta kanallarını (WhatsApp ve Instagram) verileriyle birlikte kaldırır. Kullanıcılar, şirket hesabı, Telegram ve Bitrix24 verileri yerinde kalır. Durum sayfası /data-deletion/status?code= adresindedir; sonuna onay kodu eklenir.

KVKK ve GDPR kapsamında roller

Konuşma verileri için veri sorumlusu (controller) sizsiniz, Wappline ise veri işleyendir (processor). Kanallarınızdan geçen mesajlar, kişiler ve medya; konuşmalarınızı iletmek, göstermek ve otomatikleştirmek için işlenir.

Hesap ve fatura verileri için veri sorumlusu Wappline'dır: kullanıcıların ad ve e-posta adresleri, oturum açma kayıtları ve size fatura kesmek için kullanılan bilgiler.

Kendi verilerinizle ilgili talepler, KVKK madde 11 ve GDPR ilgili kişi hakları kapsamındaki talepler dahil, [email protected] adresine iletilir. Gizlilik politikası amaçları, hukuki sebepleri ve haklarınızı açıklar.

• Gizlilik politikası
• KVKK aydınlatma metni

Alt veri işleyenler

Bu sağlayıcılar, platformu çalıştırmak için Wappline adına veri işler. Kendi API anahtarınızla bağladığınız yapay zekâ sağlayıcıları ve kendi webhook uç noktalarınız, Wappline'ın alt veri işleyenleri değil, sizin bağladığınız hizmetlerdir.

Sorumlu güvenlik bildirimi

Wappline'da bir güvenlik açığı bulduğunuzu düşünüyorsanız [email protected] adresine e-posta gönderin.

Makine tarafından okunabilir iletişim bilgisi: /.well-known/security.txt

Bildirime neler eklenmeli

• Etkilenen sayfa, uç nokta veya özellik.
• Sorunu yeniden üretme adımları.
• Bir saldırganın neler yapabileceği ve hangi verilerin etkilendiği.
• Size nasıl ulaşabileceğimiz ve adınızın anılmasını isteyip istemediğiniz.

İyi niyetli araştırma için yönergeler

• Yalnızca sahibi olduğunuz veya kullanma izniniz bulunan hesaplarla test yapın.
• Sorunu göstermek için gerekenin ötesinde başkalarının verilerine erişmeyin, bunları değiştirmeyin ve saklamayın.
• Hizmet reddi veya spam testleri yapmayın; personele ya da müşterilere karşı sosyal mühendislik kullanmayın.
• Ayrıntıları yayımlamadan önce sorunu düzeltmemiz için makul bir süre tanıyın.

Her bildirimi inceler ve sonuç hakkında sizi bilgilendiririz. Bu yönergelere uyan iyi niyetli araştırmaları memnuniyetle karşılar, bulduklarınızı anlamak ve düzeltmek için sizinle birlikte çalışırız. Bu sayfa bildirimleri nasıl ele aldığımızı anlatır; hukuki bir sözleşme değildir.