Güvenlik: kim neyi görebilir?

Kasanız nasıl korunur?

Varlıklarınız, borçlarınız, aylık kayıtlarınız, hedefleriniz ve ayarlarınız tarayıcınızda tek bir şifreli kasada durur. Kasa parolanızdan Argon2id (64 MiB bellek, 3 tur) ile 256 bitlik bir anahtar türetilir ve kasa AES-256-GCM ile şifrelenir. Parolanız ve anahtarınız cihazınızdan çıkmaz.

• WebDAV bağlantı bilgileri ve yapay zeka API anahtarları da kasanın içindedir.
• İndirdiğiniz .wvlt yedekleri ile Google Drive ve WebDAV kopyaları aynı şekilde şifrelidir.
• Kasa parolanızı ya da kurtarma kodunuzu bilmeyen hiç kimse, biz de dahil, kasayı açamaz; bu yüzden parolanızı sıfırlayamayız.

Sunucumuz ve Cloudflare ne görür?

Novaulta Cloudflare üzerinde çalışır. Sunucumuz Google hesap kimliğinizi, adınızı, e-posta adresinizi, profil fotoğrafı bağlantınızı, oturum kayıtlarınızı (IP adresi ve tarayıcı bilgisiyle), Google'ın şifreli saklanan erişim ve yenileme belirteçlerini (yalnızca oturum açma, e-posta ve profil izniyle), kötüye kullanımı sınırlamak için IP adresine göre tutulan kısa süreli istek sayaçlarını, son yedek yöntemi ve zamanını ve kısa süreli senkronizasyon kilidini görür ve saklar. Yahoo Finance ve TEFAS fiyat sorgularındaki sembolleri ve tarihleri iletir; bu sorguları hesabınızla eşleştirmez, yanıtı herkes için kısa süre (geçmiş kapanışlarda bir gün) Cloudflare önbelleğinde tutar.

• Sunucumuz kasanızın içeriğini, şifreli kasa dosyanızı, kasa parolanızı, kurtarma kodunuzu ve API anahtarlarınızı almaz.
• Cloudflare, barındırma hizmeti olarak novaulta.com'a gelen her isteği ve IP adresinizi görür.
• Uygulamanın kodu sunucumuzdan yüklenir. Sunucu ele geçirilip değiştirilmiş kod sunulursa, kasanızı açtığınızda bu kod verilerinizi okuyabilir. Bu, tarayıcıda çalışan her web uygulaması için geçerlidir. İçerik güvenliği politikası (CSP) yalnızca kendi betiklerimizin ve Google'ın oturum açma betiğinin çalışmasına izin verir; başka sitelerden yüklenen ya da sayfaya sızdırılan betikleri engeller. Sunucumuz veya yayın sürecimiz ele geçirilirse koruma sağlamaz, çünkü bu politikayı da aynı sunucu gönderir.

Google ne görür?

Google, Novaulta'ya Google hesabınızla oturum açtığınızı görür. Google Drive yedeğini seçerseniz şifreli kasa dosyasını, boyutunu ve değiştirilme zamanlarını Drive'ın uygulama verisi alanında görür; dosyanın içini okuyamaz. Bulut yapay zeka olarak Gemini'yi seçerseniz sorunuzu ve paylaşmayı seçtiğiniz portföy özetini görür.

Diğer hizmetler ne görür?

Kur, metal fiyatı ve enflasyon verisi sağlayıcıları isteği doğrudan tarayıcınızdan alır; IP adresinizi ve sorgulanan para birimini, ülkeyi veya tarihi görür, portföyünüzü görmez. WebDAV sunucunuz şifreli kasa dosyasını görür. Seçtiğiniz bulut yapay zeka sağlayıcısı sorunuzu ve paylaşmayı seçtiğiniz özeti şifresiz olarak görür. Tam liste gizlilik politikasındadır.

Kasa kilitliyken cihazınız çalınırsa

Cihazı ele geçiren kişi şifreli kasayı ve dil, cihaz kimliği, son alınan kurlar gibi şifresiz cihaz ayarlarını bulur. Kasayı açmak için parolanızı tahmin etmesi gerekir. Argon2id her denemeyi yavaşlatır ama zayıf bir parolayı korumaz; uzun ve başka yerde kullanmadığınız bir kasa parolası seçin.

• “Bu cihazda açık kalsın” seçeneği açıksa kasa bu tarayıcıda parola sorulmadan açılır; cihazı ve tarayıcı profilini ele geçiren kişi kasayı da açabilir. Bu seçeneği yalnızca sizin kullandığınız, ekran kilidi olan cihazlarda açın.
• Google oturumunuz bu tarayıcıda açıksa hesabınızı kullanabilir, ama kasa parolası olmadan kasanızı açamaz.
• Şifreli bir yedek dosyasını ele geçiren kişi de parolayı tahmin etmek zorundadır. Kasa parolanızı değiştirseniz de eski yedekler eski parolayla açılmaya devam eder.

Kasa açıkken cihazınız ele geçirilirse

Kasa açıkken cihazı kullanan herkes kayıtlarınızı görebilir ve değiştirebilir. Kasa, hiçbir işlem yapılmadığında varsayılan olarak 15 dakika sonra kendiliğinden kilitlenir; bu süreyi Kasa sayfasından değiştirebilirsiniz. Tarayıcınızda sayfaları okuyabilen eklentiler de açık kasadaki verileri görebilir.

Bir açık bildirmek

Bir güvenlik açığı bulduğunuzu düşünüyorsanız künyedeki iletişim adresine yazın. Kasa parolanızı, kurtarma kodunuzu, API anahtarınızı veya finansal verilerinizi göndermeyin.