Güvenlik

Mailsoftly'de Güvenlik

Son güncelleme: Ekim 2026

Bu sayfa bilgilendirme amacıyla sunulan Türkçe çeviridir; bağlayıcı metin İngilizce sürümdür. Sayfa, Mailsoftly'yi ve müşterilerimizin Mailsoftly'de tuttuğu verileri koruyan önlemleri açıklar ve Gizlilik Politikamız ile Kullanım Koşullarımızı tamamlar. İnceleme yapan ekipler güvenlik belgelerimizi Güven Merkezi sayfamızdan (İngilizce) talep edebilir.

Mailsoftly, Amerika Birleşik Devletleri'nin Kaliforniya eyaletinde kurulu bir şirket olan ve Mailsoftly ticari unvanıyla faaliyet gösteren Albert Solino Corp. ("Mailsoftly", "biz") tarafından sunulan bir e-posta pazarlama hizmetidir. Müşterilerimiz bize iletişim listelerini ve mesajlarını emanet ediyor; bu nedenle bu sayfada hizmetin nasıl barındırıldığını, korunduğunu, izlendiğini ve kurtarıldığını açıklıyoruz.

1. Genel bakış

Mailsoftly, barındırılan bir e-posta pazarlama uygulamasıdır. Müşteriler tarayıcı üzerinden giriş yaparak iletişim listelerini yönetir, kampanya oluşturur ve e-posta gönderir; gönderim, bizim gönderim altyapımız üzerinden ya da müşterinin bağladığı kendi posta kutusundan yapılır. Uygulama ve tüm müşteri verileri Amerika Birleşik Devletleri'nde barındırılır.

Erişim kontrolü, güvenli geliştirme, güvenlik açığı yönetimi, olay müdahalesi, iş sürekliliği, verilerin saklanması ve silinmesi, tedarikçi yönetimi ve kayıt tutma konularını kapsayan yazılı güvenlik politikalarımız bulunmaktadır. Müşterilerimiz bu politikaları [email protected] adresinden talep edebilir.

2. Altyapı ve sertifikasyonlar

Uygulama, yönetilen bir Postgres veritabanıyla birlikte Salesforce Heroku üzerinde çalışır. E-postalar Amazon Web Services ve diğer gönderim sağlayıcılarımız üzerinden gönderilir; dosyalar ve gizli anahtarlar Amazon Web Services'te tutulur. Cloudflare, uygulamanın önünde TLS sonlandırma ve uç nokta koruma katmanı olarak çalışır ve istekleri uygulamaya ulaşmadan önce filtreler.

Temel altyapı sağlayıcılarımız (Salesforce Heroku, Amazon Web Services, Cloudflare) SOC 2 Type II denetiminden geçmiş ve ISO 27001 sertifikasına sahiptir; raporlarına her sağlayıcının kendi güven portalından ulaşılabilir. Uygulama sunucuları, veritabanı ve dosya depolama alanlarının tamamı Amerika Birleşik Devletleri'ndeki tek bir bölgededir.

3. Verilerin korunması

• Aktarım sırasında. Uygulamaya yapılan tüm bağlantılarda TLS zorunludur, HTTP istekleri HTTPS'e yönlendirilir, Strict-Transport-Security (HSTS) başlığı gönderilir ve oturum çerezleri secure, HttpOnly ve SameSite Lax olarak ayarlanır.
• Beklerken. Veritabanı platform tarafından şifrelenir; yüklenen dosyalar Amerika Birleşik Devletleri'ndeki Amazon S3 alanlarında saklanır.
• Gizli bilgiler. Bağlı Microsoft 365 ve Google posta kutularına ait kimlik bilgileri, posta kutusu uygulama parolaları ve CRM entegrasyon anahtarları, veritabanının dışında, yönetilen bir gizli bilgi deposunda şifreli olarak tutulur.
• Parolalar ve anahtarlar. Parolalar, kurtarma kodları ve güvenilir cihaz anahtarları yalnızca özet (hash) değerleri olarak saklanır. Bugün verilen API anahtarları yalnızca özet değeri olarak saklanır, açık bir kapsam taşır ve verildikten bir yıl sonra geçerliliğini yitirir; bu denetimlerden önce verilmiş eski anahtarlar kullanımdan kaldırılmaktadır.
• Yalıtım. Hesaplar arasındaki ayrım uygulama içinde sağlanır: kayıtlar giriş yapmış kullanıcının kuruluşu içinde yüklenir ve kapsam dışındaki kimlik numaraları "bulunamadı" yanıtı döndürür. Eylül 2026'da uygulamanın bir istekteki kimlik numarasından kayıt aradığı her noktayı gözden geçirdik ve bulduğumuz açıkları kapattık.
• Özel dosyalar. Bir yönetici, hesap için özel dosya bağlantılarını açabilir. Bu durumda hesabın dosya galerisindeki dosyalar depolamada özel kalır, herkese açık erişim engellenir ve dosyalar yalnızca kısa ömürlü bir indirme sunan bir görüntüleyici bağlantısıyla açılır. E-postalara yerleştirilen görseller, alıcının gelen kutusunda yüklenebilmeleri gerektiği için tasarım gereği herkese açık kalır.
• Güvenli belge bağlantıları. Hassas bir belge, ek yerine güvenli bir bağlantı olarak gönderilebilir. Alıcı, indirme açılmadan önce kayıtlı bilgilerini doğrular; art arda başarısız denemeler bağlantıyı kilitler, bağlantıların süresi dolar ve geri alınabilir, her başarılı kilit açma hesabın etkinlik kaydına işlenir ve dosyalar hesabın belirlediği saklama süresinin sonunda silinir.
• Silme. Hesap sahibi hesabı Ayarlar'dan silebilir ya da yazılı olarak talep edebilir. Altyapımız üzerinden gönderilen kampanyalar, zamanlanmış gönderimler ve otomasyonlar hemen durur; silme işlemi 30 gün boyunca iptal edilebilir. Ardından veritabanı içeriği temizlenir, yüklenen dosyalar da sonraki 30 gün içinde kaldırılır. Yedekler olağan takvimlerine göre süresi dolarak silinir. Abonelikten çıkış ve şikayet kayıtları ile saklamakla yükümlü olduğumuz faturalama ve hukuki kayıtlar korunur.

4. Hesap güvenliği

Parolalar en az 8 karakter olmalıdır. Hesap, 10 başarısız giriş denemesinden sonra kilitlenir ve bir saat sonra ya da e-postayla gönderilen bağlantı ile açılır; parola sıfırlama bağlantıları altı saat içinde geçerliliğini yitirir. Kullanıcılar hesaplarını, kimlik doğrulama uygulamasından alınan bir kod ve tek kullanımlık on kurtarma kodu ile iki adımlı doğrulamaya alabilir. Hatalı doğrulama kodları da kilitleme sayısına dahil edilir ve oturum kapatıldığında açık olan tüm oturumlar sona erer.

Bir yönetici, kuruluşun tamamı için şu kuralları belirleyebilir:

• parolayla giriş yapan tüm üyeler için iki adımlı doğrulamayı zorunlu tutmak ve bunun için bir kayıt süresi belirlemek; süre dolduğunda kaydını tamamlamayan üyeler hesabı kullanamaz (Google ve Microsoft ile yapılan girişlerde kimlik sağlayıcının kendi doğrulaması geçerlidir);
• girişi yalnızca Microsoft iş hesaplarıyla sınırlamak; bu durumda parolayla giriş ve kişisel Microsoft hesapları reddedilir ve doğrulama yöntemleri ile koşullu erişim kuruluşun kendi tenant yapısı tarafından yönetilir;
• belirlenen bir hareketsizlik süresi sonunda, tüm giriş yöntemleri için üyelerin oturumunu otomatik olarak kapatmak;
• Mailsoftly destek erişimini kapatmak; bu durumda destek ekibimiz hesabı açamaz.

Hesap içindeki erişim rol esaslıdır ve yalnızca yöneticiler üye davet edebilir veya çıkarabilir. Yöneticiler kendi ayarlarından bir etkinlik kaydını okuyabilir. Bu kayıt; ekip ve rol değişikliklerini, hesap sahipliği devirlerini, destek erişimi ve dosya gizliliği ayarlarını, kişi içe ve dışa aktarımlarını, silme taleplerini, ayrıca listelerin, kampanyaların, SMS mesajlarının, şablonların, formların, sayfaların, otomasyonların, göndericilerin, alan adlarının ve yanıt adreslerinin yaşam döngüsünü içerir. Her kayıt, değişikliğin nasıl yapıldığını gösterir: web uygulamasında, bir API anahtarıyla, bağlı bir uygulama üzerinden, bir destek oturumunda, Mailsoftly destek ekibi tarafından, bir alıcı tarafından ya da otomatik olarak. Kayıtlar yazıldıktan sonra uygulama içinde değiştirilemez.

Destek erişimi. Destek erişimi açıkken ekibimizin bir sorunu yeniden üretmesi gerektiğinde, hesap bitiş saatini gösteren bir bant ile açılan ve bir saat sonra sona eren bir oturumda açılır. Giriş ve oturum sırasında yapılan her değişiklik, etkinlik kaydında "Mailsoftly destek" etiketiyle görünür.

Personel erişimi. İç araçlarımız, kimlik doğrulama uygulamasıyla korunan ve adı belirli Mailsoftly personel hesaplarıyla sınırlıdır. Eski yönetim konsolu Eylül 2026'da devre dışı bırakılmış ve hesapları silinmiştir. Tüm üretim platformu hesaplarında iki faktörlü kimlik doğrulama politika gereği zorunludur ve üç ayda bir yapılan erişim incelemesi istisnaları izleyip kapatır.

Oturum kaydı. Uygulama, ürünü geliştirmek için analiz ve oturum kaydı araçları kullanır. Talep üzerine bir hesap için ikisini de kapatırız; bu durumda bu araçlar o hesabın sayfalarında yüklenmez.

5. Uygulama güvenliği

• Değişiklikler adlandırılmış dallarda geliştirilir ve zorla gönderilemeyen (force-push) ve silinemeyen korumalı bir ana dala birleştirilir.
• Ana dala yapılan her gönderimde otomatik kontroller çalışır ve yapıyı başarısız kılabilir: uygulama kodunun statik analizi, Ruby bağımlılıklarının kamuya açık güvenlik açığı veritabanına karşı taranması ve yapay zeka sağlayıcılarının yalnızca tek yapay zeka geçidimiz üzerinden çağrıldığının denetlenmesi. Her değişikliğin kaydı, birleştirme commit'i ve ilgili yapı çalıştırmasıdır.
• Her yanıtta X-Content-Type-Options, X-Frame-Options, Referrer-Policy ve HSTS gibi güvenlik başlıkları uygulanır. X-Frame-Options yalnızca müşterilerin kendi sitelerine yerleştirdiği formlar, barındırılan sayfalar ve e-posta arşivleri gibi görünümlerde gevşetilir. Sunucu tanıtıcı başlıkları kaldırılır ve siteler arası istek sahteciliği koruması uygulama genelinde etkindir.
• Kampanya önizlemeleri betik çalıştıramayan korumalı (sandbox) çerçevelerde gösterilir; barındırılan sayfalarda, herkese açık kampanya sayfalarında ve güvenli belgelerde zorunlu bir içerik güvenliği politikası uygulanır.
• Sayfalarımızın kullandığı açık kaynak kütüphaneleri herkese açık içerik dağıtım ağlarından yüklemek yerine uygulamamızla birlikte sunarız. Az sayıda sağlayıcı betiği, sağlayıcının kendi sunucularından yüklenir: e-posta editörü, Stripe ödemeleri, giriş ve formlardaki bot kontrolleri ile bir hesap için kapatılabilen analiz araçları.
• Cloudflare kötüye kullanım amaçlı trafiği uç noktada filtreler; uygulama içindeki sınırlayıcılar ise giriş, iki adımlı doğrulama, herkese açık formlar ve API trafiğini sınırlar. Kayıt adımı ve girişin parola adımı bir bot doğrulaması içerir.
• Uygulama, Google'ın App Defense Alliance CASA programı kapsamında yetkili bir güvenlik laboratuvarı tarafından yılda bir değerlendirilir; Doğrulama Mektubu (Letter of Validation) düzenlenmeden önce bulguların giderilmesi ve yeniden test edilmesi gerekir. Güncel mektup talep üzerine paylaşılır.

6. Gönderim ve kötüye kullanımın önlenmesi

• Gönderici doğrulaması. Müşteriler, tarafımızca oluşturulan DNS kayıtlarını yayımlayarak kendi gönderim alan adlarını doğrular; böylece mesajlar DKIM ile imzalanır ve SPF ile hizalanır. DMARC için de yönlendirme sağlarız ve müşterinin halihazırda yayımladığı bir politikanın üzerine hiçbir zaman yazmayız.
• Gönderim engelleme listeleri. Gönderim sağlayıcılarından gelen sert dönüş ve şikayet bildirimleri otomatik olarak işlenir; abonelikten çıkışlar, sert dönüşler ve şikayetler engelleme listelerine yazılır ve bu adreslere yeniden gönderim yapılmaz.
• İtibar ve kötüye kullanım. Her gönderim hattı için sert dönüş ve şikayet oranları düzenli olarak kontrol edilir ve bir değişiklik olduğunda uyarı üretilir. Kampanya içerikleri, herkese açık formlar ve barındırılan sayfalar oltalama ve dolandırıcılık kalıplarına karşı otomatik olarak taranır; özellikle yeni hesaplarda açık kötüye kullanım otomatik olarak kısıtlanabilir; ardından ekibimiz durumu inceler ve kısıtlamayı kaldırabilir.

Kullanım Koşullarımız satın alınmış, kiralanmış ve derlenmiş listeleri yasaklar; bu kuralı uygularız.

7. İzleme ve olay müdahalesi

Uygulama hataları bir hata izleme hizmetiyle kaydedilir, istek günlükleri bir günlük yönetimi hizmetine aktarılır. Kimlik bilgileri, anahtarlar, tek kullanımlık kodlar, kart alanları ve e-posta adresleri, günlüğe yazılmadan önce istek parametrelerinden maskelenir. Günlükler 30 gün boyunca aranabilir, 365 gün boyunca da kilitli depolamada arşivlenir; kimlik doğrulama ve istek sınırı olaylarına ilişkin otomatik uyarılar güvenlik ekibimize iletilir. Bağımsız bir sunucudan çalışan harici bir izleme aracı uygulamayı 60 saniyede bir kontrol eder, art arda iki başarısız kontrolü olay sayar ve hizmet normale dönene kadar uyarı vermeyi sürdürür. Her giriş; ülke, giriş yöntemi, cihaz ve yeni ülke, imkansız seyahat ya da veri merkezi adresi gibi sinyalleri işaretleyen bir risk puanıyla kaydedilir ve bu anormallikler günlük olarak incelenir.

Yazılı bir olay müdahale politikamız bulunmaktadır. Bir müşterinin verilerini etkileyen bir güvenlik olayını teyit etmemiz halinde, ilgili müşterinin bildirdiği kişilere gecikmeksizin ve olayı teyit etmemizden itibaren 72 saat içinde bildirimde bulunur, olay kapandığında yazılı bir özet paylaşırız. Sözleşmede farklı şartlar öngörülmüşse sözleşme hükümleri geçerlidir.

8. İş sürekliliği

Uygulama katmanı durum tutmaz ve bir konteyner imajından yeniden dağıtılır; bu nedenle uygulama sunucularında müşteri verisi bulunmaz ve arızalanan bir örnek onarılmak yerine değiştirilir.

Yönetilen veritabanı, kayan bir zaman aralığı boyunca zaman noktasına geri dönüş sağlayan sürekli koruma ile çalışır. Günlük zamanlanmış yedekleme etkindir; platform yedi günlük yedeği ve dört hafta boyunca haftalık bir yedeği saklar. Günlük yedeğin ayrı ve şifreli bir kopyası, barındırma platformunun dışında kilitli bir depolamada 30 gün boyunca tutulur. Politikamız en az yılda bir geri yükleme testi yapılmasını gerektirir. En son test, Eylül 2026'da, zamanlanmış bir üretim yedeğini 20 dakikadan kısa sürede yalıtılmış bir veritabanına geri yüklemiştir. Hesap, kişi ve içerik verileri geri yüklenmiş ve üretimdeki kayıt sayılarıyla karşılaştırılmıştır; üç analiz ve teslimat tablosu bu testin kapsamı dışında kalmıştır.

Kurtarma hedeflerimiz, zaman noktasına geri dönüş aralığı içinde dakikalarla, bu aralığın dışında ise 24 saatle ölçülen bir kurtarma noktası hedefi ve veritabanı geri yüklemesi için 4 saatlik bir kurtarma süresi hedefidir. Bunlar hedeftir ve geri yükleme testi bu hedefleri denetleme yöntemimizdir.

9. Alt işleyenler

Mailsoftly'yi işletmek için az sayıda hizmet sağlayıcıdan yararlanırız ve bu sağlayıcılar kişisel verileri yalnızca bizim talimatlarımız doğrultusunda işler. Her sağlayıcının amacı ve bulunduğu ülke ile birlikte tam liste Gizlilik Politikamızın 10. bölümünde yer alır; bir sağlayıcı eklediğimizde veya değiştirdiğimizde bu listeyi güncelleriz.

10. Gizlilik ve uyum

Gizlilik Politikamız hangi verileri neden topladığımızı açıklar. KVKK Aydınlatma Metnimiz Türkiye'deki kullanıcılarımıza yöneliktir. Veri sorumlusu ve veri işleyen sıfatlarımızı açıklayan GDPR Uyumu sayfamız ile Kaliforniya sakinlerine yönelik CCPA Gizlilik Bildirimimiz İngilizce olarak yayımlanmaktadır.

Müşteri verileri Amerika Birleşik Devletleri'nde barındırılır ve saklanır; Müşteri İçeriğini hizmeti sağlamak ve aşağıda açıklandığı şekilde geliştirmek amacıyla işleriz. Kişisel bilgileri satmayız ve bağlamlar arası davranışsal reklamcılık amacıyla paylaşmayız. Silme işlemi 3. bölümde açıklanan süreci izler.

Yapay zeka özellikleri. Mailsoftly'deki tüm yapay zeka özellikleri uygulamamızdaki tek bir geçit üzerinden çalışır ve yapıdaki otomatik bir kontrol, yapay zeka sağlayıcılarına yapılan çağrıların bu geçidin dışına çıkmamasını sağlar. Bir hesap için yapay zeka bu geçitte kapatılır.

Mailsoftly, hizmeti geliştirmek amacıyla, özelliklerini çalıştıran modellerin eğitimi de dahil olmak üzere, Müşteri İçeriğini kimliksizleştirilmiş ve toplulaştırılmış biçimde kullanabilir. Müşteriler, [email protected] adresine yazarak bu kullanımın dışında kalabilir. Düzenlemeye Tabi Ortam profilindeki hesaplar her zaman bunun dışında tutulur ve bu hesaplarda tüm yapay zeka özellikleri kapalıdır. Bağlı bir posta kutusu veya giriş yoluyla Google ya da Microsoft'tan alınan veriler hiçbir zaman model eğitiminde kullanılmaz. Kullandığımız yapay zeka sağlayıcıları, müşteri içeriğini kendi modellerinin eğitiminin dışında tutan API koşulları kapsamında hizmet verir.

Düzenlemeye Tabi Ortam profili. Kamu kurumları ve düzenlemeye tabi diğer müşteriler için Mailsoftly, sözleşmeye dayanarak hesaba Düzenlemeye Tabi Ortam profilini uygular. Bu profilde varsayılan olarak yapay zeka özellikleri ve bağlı yapay zeka asistanı uygulamaları kapalıdır, API erişimi kapalıdır (sözleşme açarsa anahtarların kapsamı sınırlı ve süreli olmalıdır), e-posta tasarımı yalnızca kendi editörümüzle yapılır, hesap hesaplar arası liste sinyallerini ne besler ne de okur ve kötüye kullanım taraması hesabı hiçbir zaman otomatik olarak kısıtlamaz. Yöneticiler profilin durumunu Ayarlar > Güvenlik bölümünde görür.

11. Güvenlik açığı bildirimi

Mailsoftly'de bir güvenlik sorunu bulduğunuzu düşünüyorsanız bize bildirin. İletişim bilgilerimiz RFC 9116 biçiminde https://app.mailsoftly.com/.well-known/security.txt adresinde yayımlanmaktadır; dilerseniz konu satırına "Security report" yazarak [email protected] adresine yazabilirsiniz.

Bildirimleri beş iş günü içinde teyit ederiz. Karşılığında sorumlu açıklama bekleriz: sorunu kamuoyuyla paylaşmadan önce bize düzeltmek için makul bir süre tanıyın, başka bir müşteriye ait verilere erişmeyin, bu verileri değiştirmeyin veya indirmeyin ve hizmet dışı bırakma, istenmeyen posta ya da kaba kuvvet denemeleri gibi diğer kullanıcılar için hizmeti bozacak testler yapmayın.

12. Değişiklikler ve iletişim

Bu sayfayı hizmetteki değişikliklere bağlı olarak güncelleyebiliriz. Güncel metin her zaman bu sayfada yayımlanır ve yukarıdaki güncelleme tarihi değiştirilir.

Sorularınız ya da politika belgelerimiz, CASA Doğrulama Mektubu veya siber sorumluluk sigortası poliçemize ilişkin talepleriniz için [email protected] adresine yazabilir ya da Güven Merkezi sayfamızdaki (İngilizce) talep formunu kullanabilirsiniz.

Mailsoftly ticari unvanıyla faaliyet gösteren Albert Solino Corp.
İlgili sayfalar: Gizlilik Politikası, Kullanım Koşulları, KVKK Aydınlatma Metni