Parastina li Wavor

Daneyên bazirganî yên te heqê parastina wek bankê hene. Em tenê tu re nakevin ÇI em parastin. Em tu re nîşan dikin KÎF.

AES-256TLS 1.32FADSGVO/GDPRUK GDPRLGPD (BR)DPDP (IN)Serverên EU

Parastina Bingehîn

Şifre kirina AES-256

Qada hêsan şifre kirî ye. Bi bê keyê xwendin, tiştek nîşan nadin.

Navenda Daneyên EU (Hetzner DE)

Servers and customer files in Germany. Offsite backups sit encrypted outside the EU under the EU's transfer safeguards; the privacy policy names the provider.

Uptime & Infrastruktur

99.9%

Armancê Uptime

Dema Backup

90d

Longest retention

Nerd zone

It gets technical from here. You do not need to read any of it to use Wavor safely - it is here so it can be checked.

Mîmarîya Parastinê

Çawa daneyên te diçin. Ji daxwazê heta depoya

GAV 1

Cloudflare Edge

Parastina DDoS, WAF, TLS 1.3 bi 1.2 veger. Torê global anycast.

GAV 2

Cloudflare Tunnel

Çavkaniya fizîkî ne girtî ye. Têkiliyeke tenê derbasî CF, portê têkiliyê nîne. AOP Tenê Bawerîya Taybet bi sertîfîkayê Wavor RSA-4096.

GAV 3

Serlêdana Node.js

Pêşniyara oturumê, kontrola 2FA, RBAC, pêşniyara têketinê bi şemayên Zod.

GAV 4

PostgreSQL + Vault

Encrypted storage with AES-256. Secrets in HashiCorp Vault.

TLS 1.3 (1.2 Veger)

HTTPS ya Pîroz bi temamî li hemû 7 domainan.

Parastina DDoS

Parastina edge berî ku server daxwaza bibîne.

Daneyên li kû depoyê ne?

The servers are at Hetzner in Germany (Falkenstein and Nuremberg), customer files in object storage in Germany. The data centres are guarded around the clock, with biometric access. Backups and some services such as email, SMS and AI run through providers outside the EU. Those transfers are secured under the EU's rules, and the privacy policy names every provider.

Çawa miftehan parastin dikin?

Hemû miftehan API û sırran di HashiCorp Vault de (KV v2, şifre kirin, kontrola giriştin). Agahdariya guherandina otomatik di 90/180/365 rojan de. Tu sırrên plaintext li kod, env, an logan tuneye.

Çawa backup kar dike?

Automated PostgreSQL backups every 6 hours. Kept: every one for two days, one a day up to 14 days, one a week up to 90 days. Each is decrypted again and checked after encryption, and every night the newest is restored as a test. Offsite copy at Backblaze, encrypted with our own key before it leaves the server.

Lîyên Defansê

Serhêlên Parastina HTTP: 14 rêbernameyên qewimî

CSP Level 3 (21 Direktiven)

Modeyê pêşkeftî. Standarda W3C ya herî zêde bi taybetmendiyên script-src-elem/-attr, Trusted-Types li subdomainê admin, manifest/worker/media-src whitelist.

HSTS (Strict-Transport-Security)

max-age 1 sal, includeSubDomains, preload çalak.

X-Frame-Options

REDÎ. Tu clickjacking bi iframes re tuneye.

X-Content-Type-Options

nosniff. Browseran nikarin MIME types çewt têgihînin.

Referrer-Policy

strict-origin-when-cross-origin.

Permissions-Policy

Kamera, mikrofon, geolokasyon. Hemû bi default veqetandî ne.

COOP (Cross-Origin-Opener-Policy)

same-origin. Konteksta gerîngê veqetandî dike.

CORP (Cross-Origin-Resource-Policy)

same-site. Çavkaniyên cross-origin nekin.

Independently verifiable: Mozilla's HTTP Observatory grades the headers of wavor.io A+. A test asks Mozilla for the result again every night. https://developer.mozilla.org/en-US/observatory/analyze?host=wavor.io(developer.mozilla.org)

Parastina Hesabê

2FA: TOTP / SMS / Email

Sê rêbaz ji bo faktorê duyemîn. Koda backup yên yekcaran.

Nasnameya Amûrê

Agahdariya zû li ser amûrên nû bi email bi IP + User-Agent.

Rêveberiya Cîhê

Dema oturumên çalak bibînin, bi taybetî qebûl bikin an hemû ji yek carî derkevin.

Parastina Brute-Force (3 lîyên)

5 şewat ji bo email / 15 deqîqe lockout. 10 ji bo IP / 1 saet. 5 emailên cihêreng ji yek IP / 24 saet ban.

Cloudflare Turnstile Captcha

Parastina botan bê click-puzzle. Skrîpt bi crossOrigin anonymous + no-referrer bar kirî ye. Tu têkiliya oturumê ji Cloudflare re nîne.

Bcrypt Şifre Hashing (bi xerc 12)

Her guherandina xerc dike, ku ev têkiliyên listeyê nekin. Şifreyan >= 12 tîpan, kontrola hêzê zxcvbn.

Zod Pêşniyarîya Daneyê

Hemû têketinên API li aliyê serverê bi Zod pêşniyar dikin. Drizzle-Zod wekî çavkaniya yekem a rastiyê bi şemaya DB.

Rate limiting with a sliding window

A sliding window rather than fixed blocks, so a limit is not handed out afresh at the top of every minute. The counter currently lives in the individual worker process; once Redis is configured, all processes share one.

Kontrolên Pêşkeftî

RBAC ya Qewimî (fail-closed)

Role + HTTP-method agahdar: GET pêdivî ye ku dîtin, POST/PATCH pêdivî ye ku guherandin, DELETE pêdivî ye ku jêbirin. İzinê nedîtin = 403, qet derbas nabe.

İzolasyona Multi-Tenant

companyId-scope li her DB daxwazê. Tu daneyek ne di navbera tenants de.

Logên Audit

Her guherandin di eventLog + AuditLogger de tê log kirin. Rêya negerî bi userId, companyId, çalakî, entîte.

Approval by two people

Four actions need two approvals: changes to legal values, prices and terms, and a new sub-processor. While only one person is authorised, that person decides alone. The rule takes effect once there is a second.

Polîtiya Guherandina Sırran

Agahdariya otomatik di 90/180/365 rojan de bi secretRotation.ts.

Masking PII di Bersivên de

Email, IBAN, telefon ji bo endamên tîmê bê PII girtî ne. piiMasking.ts navenda.

Log Scrubbing

Hemû logan li ser navenda xwe têne paqijkirin. Zero PII di logan, monitoring an jî debug output de nîne.

Mifteyên API bi Qada

İzinên qewimî bi qedexeya demê bi apiKeyAuth.ts.

Jêbirina Nerm & Vegerandin

Guhertina 28-rojan a daneyên jêbirî. kolonê deletedAt bi filtra daxwazê otomatik.

Data export

Barkirina JSON ya tevahî ya hemû daneyên bikarhêner di yek daxwaz de. Jêbirin bi DSAR flow (Art. 17).

Parastina Daneyê

Concrete technical measures

Şifre kirina Field-Level (AES-256-GCM)

IBAN, tax-ID, parastina civakî, hûrguliyên bankê, sırran TOTP 2FA û koda yekcaran (têketin/pejirandin/vegerandin): AES-256-GCM bi 96-bit IV, 128-bit auth-tag. IV ya rast bi her şifre kirin.

Şifre kirina Fail-closed

Bê ENCRYPTION_KEY di prodüksiyonda: server qebûl nakin ku dest pê bike. Tu vegerên plaintext tuneye (GDPR Art. 32 lit. a).

Dîtina Tamper (GCM)

AES-GCM auth-tag her curek şifre kirî têgihiştinê dike. Decrypt bi qetî têk çû. Qet ne bîrîna bêdeng.

HMAC-SHA256 Lêgerîn Hashes

Zanîngehan şifre kirî di navbera lêgerînê de bi HMAC ya determinîstîk. Key ya cihêreng (Key-Separation per NIST SP 800-57).

Bawerîya Key Vault

ENCRYPTION_KEY + SESSION_SECRET + hemû miftehan API di HashiCorp Vault de (KV v2). Tu plaintext di kod, env, an logan de tuneye.

Versiyonandina Key ji bo Guherandin

Formatê şifre kirî v1:iv:data:tag. Bi bêdengî ji bo versiyona nû veguherînin bê hilanîn daneyê.

Parastina Supply Chain

Parastin ji ber pêwendiyên ku hatine şikestin (event-stream 2018, ua-parser-js 2021)

Dependencies as a build gate

Every build checks all dependencies against the vulnerability database. New findings block; known ones sit in a dated baseline that may only shrink.

Agahdariya Dependabot

GitHub Dependabot her roj li dijî database-yê CVE kontrol dike. PR-yên ewlekariyê bi otomatik.

Lockfile hatî pejirandin

package-lock.json di repo de. CI-ê ji girtina versiyonên cuda ji lokal re parastî dike.

SSRF protection on outbound fetches

Every address that comes from user input is checked before Wavor fetches it. Private networks are blocked, and each redirect is checked again instead of being followed blindly.

Patcherên Ewlehiyê Otomatik

unattended-upgrades installs operating-system security fixes automatically.

Scriptên Derve: CORS + Referrer

Turnstile (Cloudflare) bi crossOrigin anonymous + referrerPolicy no-referrer bar kirî ye. Tu têkiliya nasnameyê nîne.

Lêkolîn & Dîtinî

Têkiliyên Çewt (xwe-hosted)

Agahdariyên çewt di demê rast de bi stack traces.

Metrîk (Prometheus + Grafana)

Latenîya daxwazê, pirsên DB, bîr, metrikên karsaziyê taybet.

Çavdêriya Server

Uptime, CPU, bîr, disk: 24/7 kontrolên otomatik.

Ewlehiyê File-Upload (7-Layer Stack)

Parastin ji ber malware, têkiliyên polyglot, SVG-XSS, path-traversal, MIME-sniffing.

Layer 1: Derzîya Qedexekirî (100 MB)

Kapa qelew ji bombên zip + DoS. Multer + parastina di derinî de.

Layer 2: Derzîya Qedexekirî ya Her-Tîp

Wêneyan 5 MB, PDF 20 MB, video 100 MB. Sînorên taybetî ya tîpê.

Layer 3: MIME Whitelist + Blocklist

22 cureyên destûr dide. HTML/JS/EXE/SH/JAR bi taybetî girtî ne (XSS vectors).

Layer 4: Sanitizasyona Navê Pelê

Rêya-guhertinê (../), null-byte, navên rezervkirî yên Windows hatin qebûl kirin.

Layer 5: Pêşniyara Magic-Byte

Naveroka pelê DIVÊ bi uzantiyê + MIME re hevgirtin. Pirtûka tîpê pelê 'evil.exe renamed picture.jpg' têkiliyên dîtin.

Layer 6: Sanitizasyona SVG

DOMPurify <script> tags yên têkildar ji SVG-yan derxistin. Bê paqijkirin, barkirina SVG curek XSS ya herî zêde ye.

Layer 7: virus scan

Server-side virus scan before storage, provided the scanner is running on the server. If it is missing, that is logged rather than passed over silently.

Parastina XSS di Derinî de (4 Layers)

Şîfre kirî, nîşandan, DOM, supply-chain XSS. Hemû vektoran parastî ne.

Layer 1: React JSX Auto-Escape

Hemû inputên bikarhêner bi default veqetandî ne. <script> tags wekî nivîs hatin nîşandan, qet çalak nekin. Qayda kodê: qet dangerouslySetInnerHTML bi inputê bikarhêner nekin.

Layer 2: DOMPurify Sanitizer

sanitizeProse() + sanitizeEmailPreview() HTML-ya makale, email-previews + markdown paqij dikin. <script>, <iframe>, on*-handlers, javascript:/data: URIs jê derxistin.

Layer 3: CSP script-src 'self'

Heke qada 1+2 şikestin: browser skrîptên xwe yên din girtî dike. Tenê whitelist ji bo Stripe + Turnstile captcha.

Layer 4: Tîpên Pêşniyar (Admin)

require-trusted-types-for 'script' li admin.wavor.io her guherandina DOM-ê bi rêbaza xwe dike. Xeta biblioteka ji bo DOM-XSS parastî dike.