Hesap güvenliği
Sunucu güvenliği siteleri korur. Hesap güvenliği ise bunların anahtarlarını korur. Her Zinn Digital® girişi; geçiş anahtarları ve WebAuthn, TOTP iki faktörlü doğrulama, sihirli bağlantıyla oturum açma, kurumsal ve ajans ekipleri için SAML SSO gibi standartlara dayalı tek bir kimlik sistemi üzerinde çalışır; arka planda ise ayrıntılı roller, kuruluş başına API anahtarları ve yalnızca ekleme yapılabilen bir denetim günlüğü bulunur.
Çoğu barındırma hesabı, bir kontrol paneline iliştirilmiş, veri tabanındaki bir paroladan ibarettir. Bizimki ise her şeyin önünde duran özel bir kimlik sistemidir — OIDC ve SAML dillerini konuşan Keycloak: müşteri paneli, personel yönetim konsolu, bu herkese açık site ve bilgi bankası ile destek talepleriniz. Bir kez oturum açın ve hepsinde oturumunuz açık olsun.
Tescilli bir oturum açma sistemi yerine açık standartlar üzerine inşa edildiğinden, kimlik katmanı platformun diğer tüm bileşenleri gibi değiştirilebilir niteliktedir. Erişim modelinizin hiçbir parçası bir sağlayıcının ürününe hapsolmaz ve ekibinizin kimlik doğrulaması tek bir tedarikçiye bağlı kalmamıza dayanmaz. Bu durum, CDN hesaplarına, DNS'e ve ödeme sağlayıcılarına uyguladığımız sağlayıcıya bağımlı olmama ilkesinin aynısıdır.
Oturum açma yerelleştirilmiştir ve siteden giriş ekranına geçiş dil tercihinizi beraberinde taşır — böylece farklı ülkelere yayılmış bir ekip yalnızca İngilizce olan bir giriş ekranını kullanmak zorunda kalmaz.
Dört yöntem, tümü birinci sınıf, tümü kişi bazında yapılandırılabilir. Hiç kimse sunulan tek seçenek olduğu için en zayıf seçeneğe mecbur bırakılmaz.
E-postanızı girin, bağlantıya tıklayın ve içeridesiniz. Kimlik avına kurban gidecek, yeniden kullanılacak veya bir veri ihlali sızıntısında ifşa olacak bir şifre yok. Bu, yeni hesaplar için varsayılan yoldur ve çoğu insan için ihtiyaç duyacakları tek yoldur.
Bir geçiş anahtarı kaydedin — Touch ID, Face ID, Windows Hello veya YubiKey gibi bir donanım anahtarı — ve hiçbir şifre olmadan oturum açın. Geçiş anahtarları kaynağa bağlıdır, bu nedenle benzer bir sahte giriş sayfası bunları ele geçiremez. Platform, ES256 ve RS256 kimlik doğrulayıcılarını kabul eder ve kullanıcı doğrulamasını tercih eder.
Standart bir kimlik sağlayıcı bağlantısı aracılığıyla Google ile oturum açın; böylece bir hesap, Google Workspace ortamınızın halihazırda uyguladığı tüm denetimleri devralır. Diğer sağlayıcılar da aynı şekilde bağlanır — bunun hiçbir kısmı özel bir entegrasyon değildir.
Buna ihtiyaç duyan kişiler ve komut dosyaları için saklanır ve gerçek bir ilkeye tabidir: en az on iki karakter, asla kullanıcı adınız veya e-posta adresiniz olamaz, son üçünün yeniden kullanımı yoktur, Argon2 ile karma hale getirilmiştir. Bir hesap kullanılabilir hale gelmeden önce e-posta adresleri doğrulanır.
İkinci faktörler kimlik sisteminin bir parçasıdır; satın aldığınız bir eklenti veya kendi sitenize yüklediğiniz bir eklenti değildir.
Kuruluşunuz zaten bir kimlik sağlayıcısı (Okta, Entra ID, Google Workspace veya SAML destekleyen başka bir sistem) kullanıyorsa bunu bağlarsınız ve çalışanlarınız mevcut kurumsal kimlik bilgileriyle Zinn Digital® oturumu açar. Ekibinizin yönetmesi gereken ikinci bir şifre ve unutulacak ikinci bir işten ayrılış kontrol listesi yoktur.
Bu durum, personel değişiminin gerçek bir güvenlik olayı teşkil ettiği ajans ve bayi ölçeğinde son derece önemlidir. Biri işten ayrıldığında ve onu dizininizde devre dışı bıraktığınızda, barındırma hizmetinize erişim yolunu da devre dışı bırakmış olursunuz. Erişim hakları, düzinelerce SaaS aracı üzerinden tek tek takip edilmek yerine, doğrudan istihdam durumuna bağlı olarak merkezi bir şekilde yönetilir.
SAML, diğer her şeyin yerini almak yerine onlarla birlikte çalışır: yüklenicilere belirli kapsamdaki bir rol dahilinde sihirli bağlantılı bir hesap verilmeye devam edilebilirken, daimi personel SSO üzerinden giriş yapar. Tek bir organizasyon, tek bir izin modeli, iki ön kapı.
Erişim, organizasyon ağacıyla (bayiden müşteriye ve siteye) sınırlandırılmıştır ve yalnızca uygulamada değil, satır düzeyinde güvenlik aracılığıyla doğrudan veritabanında zorunlu kılınır. Kiracılar arası erişim, insanların uymasını rica ettiğimiz bir ilke değildir; satır döndüremeyen bir sorgudur. Dört müşteri rolü, gerçekçi görev dağılımını karşılar.
Kuruluş ve alt hesapları üzerinde tam denetim: alt kuruluşlar oluşturun, üyeleri davet edin ve kaldırın, roller atayın, her siteyi yönetin, faturalandırma işlemlerini yürütün, API anahtarlarını yönetin ve denetim günlüğünü okuyun.
Faturalar, abonelikler, ödeme yöntemleri ve plan kataloğu — başka hiçbir şey değil. Finans sorumlunuz veya muhasebeciniz, yayındaki bir siteye müdahale etme, onu askıya alma veya silme yetkisine sahip olmadan bir faturayı ödeyebilir.
Faturalandırma kontrolü olmadan sitelere ve API'ye erişim: siteleri görüntüleyin ve sağlayın, hizmetleri yeniden başlatın, önbellekleri temizleyin, API anahtarlarını ve iş biletlerini yönetin. Ödeme yöntemlerine, faturalandırmaya veya plan değişikliklerine kasıtlı olarak erişim yoktur.
Kuruluş genelinde yalnızca görüntüleme — siteler, faturalandırma, planlar, destek talepleri, çeviri durumu ve denetim günlüğü. Bir denetçi, görünürlük isteyen bir müşteri veya ilk haftasındaki yeni bir çalışan için doğru rol.
Kontrol paneli giriş yollarından biridir. API, CLI, Terraform sağlayıcısı ve MCP sunucusu diğerleridir — ve bunlar da aynı erişim modeline tabidir, çünkü kapsamı belirlenmemiş bir anahtar, az önce yapılandırdığınız her rolün atlatılması anlamına gelir.
Bir API anahtarı, şahsa değil bir kuruluşa verilir ve kendi kapsamlarını taşır. Bu anahtarı paylaşılan bir kimlik bilgisi olarak değerlendirin: amacına uygun bir ad verin, çalışabileceği en dar kapsamları atayın ve anahtarı oluşturan kişi ayrıldığında anahtarı yenileyin.
Ham anahtar size yalnızca bir kez, oluşturma sırasında gösterilir. Sakladığımız şey, bir SHA-256 karması ve arama için kısa bir önektir. Size bir anahtarı tekrar gösteremeyiz ve bir veritabanı ihlali, saldırgana çalışan kimlik bilgileri sağlamaz.
Her anahtar, rollerin kullandığı aynı izin kataloğuna bağlı ayrıntılı kapsamlara sahiptir, en son ne zaman kullanıldığını kaydeder ve şüpheli göründüğü anda tamamen iptal edilebilir. Ayrı korumalı alan (sandbox) anahtarları, arkalarında gerçek bir faturalandırma veya kaynak sağlama olmaksızın API'yi dener.
MCP sunucusu, MCP özellikli herhangi bir aracının barındırma hizmetinizi yönetmesine olanak tanır — ve kuruluşunuz ile kuruluşunuzun RBAC izinleri kapsamında, araç başına iptal edilebilir belirteçler, yıkıcı eylemlerde onay, harcama sınırları ve eksiksiz denetim günlüğü ile OAuth 2.1 üzerinden kimlik doğrulaması yapar. Bir yapay zeka asistanı bağlamak, tüm anahtarları ona teslim etmek anlamına gelmez.
Her yetkili işlem yalnızca ekleme yapılabilen bir kayıt yazar — kimin yaptığı, ne yaptığı, neye yaptığı, destekleyici kanıtlar ve kaynak IP adresi, bir zaman damgasıyla birlikte. Bu bir hata ayıklama kolaylığı değildir; kanıt zinciridir.
Hayır — ve yapmamanızı tercih ederiz. Sihirli bağlantılı e-posta ile giriş varsayılandır ve bir geçiş anahtarı (Touch ID, Face ID, Windows Hello veya bir donanım anahtarı) kaydedip hiçbir zaman şifre belirlemeden giriş yapabilirsiniz. E-posta ve şifre bir yedek seçenek olarak kullanılabilir durumda kalır; en az on iki karakter sınırı, son üç şifrenizin yeniden kullanılmaması ve Argon2 karma işlemi uygulanır.
TOTP iki faktörlü kimlik doğrulama, kimlik katmanına yerleşiktir ve her üyenin kendi tercihine bırakılmak yerine bir ilke aracılığıyla kuruluş genelinde zorunlu kılınabilir. Ekibinizin cihazları desteklediği durumlarda geçiş anahtarları (passkeys) daha güçlü bir seçenektir; çünkü bir saldırganın kimlik avı yoluyla elde etmeye çalışacağı parolayı ortadan kaldırırlar.
Evet. Faturalandırma Yöneticisi rolü; faturalara, aboneliklere, ödeme yöntemlerine ve plan kataloğuna erişim sağlar, başka hiçbir şeye izin vermez — bir siteyi görüntüleme, sağlama, yeniden başlatma, askıya alma veya silme yetkisi yoktur. Bunun tersi de geçerlidir: Geliştirici rolü, hiçbir faturalandırma denetimi olmaksızın siteleri ve API erişimini yönetir. Roller kuruluş bazında atanır; bu nedenle bir kuruluştaki rol, ayrı ve ilgisiz bir kuruluşta hiçbir erişim hakkı tanımaz — ancak bir üst kuruluştaki rol, onun altında yer alan alt kuruluşlar için de geçerlidir.
Kontrol panelinden iptal edin; çalışması anında durur. Hasar aralığı, o anahtarın en başta yapabilecekleriyle sınırlıdır; bu nedenle anahtarlar ayrıntılı yetki alanları taşır ve son kullanım zaman damgasını kaydeder. Yetki alanlarının dar olması ve görünür bir kullanım geçmişi, bir sızıntıyı hesabın tamamen ele geçirilmesi yerine kontrol altına alınmış bir olaya dönüştüren unsurlardır. Anahtarların bir şahsa değil kuruluşa verildiğini unutmayın, bu yüzden bunları paylaşılan kimlik bilgileri olarak değerlendirin ve çalışanlar ayrıldığında yenileyin. Tarafımızda anahtarın yalnızca karma (hash) değeri saklanır; bu sayede veritabanımızdan kaynaklanan bir sızıntı çalışan bir kimlik bilgisi üretmez.
Evet. Her ayrıcalıklı işlem; işlemi gerçekleştiren, işlem, hedef, destekleyici kanıt, kaynak IP ve bir zaman damgası ile birlikte yalnızca ekleme yapılabilen bir denetim günlüğüne yazılır. Sahip ve salt okunur roller bunu doğrudan okuyabilir. Hesabınızdaki personel işlemleri aynı izleme kaydına kaydedilir ve hassas veya yıkıcı personel işlemleri öncelikle yükseltilmiş kimlik doğrulaması veya iki kişilik onay gerektirebilir.
Evet — kurumsal ve ajans hesapları için SAML SSO desteklenmektedir; böylece çalışanlarınız mevcut kurumsal kimlik bilgileriyle kimlik doğrulaması yapar ve dizininizden ayrılan personelin buradaki erişimi de otomatik olarak kaldırılır. Yaklaşımları bir arada kullanabilirsiniz: kadrolu çalışanlar için SSO, yükleniciler için kapsamı sınırlandırılmış sihirli bağlantı (magic-link) hesapları; tümü aynı yetkilendirme modeli dahilinde.
Hayır — parolalar kasıtlı olarak taşınmaz. Hesabınız parola olmadan içe aktarılır ve ilk oturum açışınızda ya bir magic-link kullanırsınız ya da mevcut ilkelere uygun yeni bir parola belirlersiniz. Eski parola karmalarını aktarmak, eski zafiyetleri yeni sisteme taşıyacağı için bunu yapmıyoruz.
Footprint-Free deneme süresi 14 gündür, kart gerektirmez ve beş adede kadar siteyi kapsar. Deneme süresi boyunca tam kimlik katmanına erişirsiniz; geçiş anahtarları, iki adımlı doğrulama, roller, API anahtarları ve denetim günlüğü ücretli bir planın arkasında kilitli değildir.
Bir geçiş anahtarı kaydedin, ekibinizi uygun rollere davet edin ve kapsamı belirlenmiş bir API anahtarı oluşturun; üstelik kart bilgisi gerektirmeyen 14 günlük deneme sürümüyle.
Ücretsiz başlayın