Son güncelleme: 1 Mayıs 2026 · Versiyon 1.0
Sunucu güvenliği bir kontrol kutusu değil, sürekli bir süreç. Eksiklerimizi şeffaf bildiririz — bulguları [email protected] veya bug bounty programı üzerinden iletebilirsiniz.
1. Güvenlik Mimarimiz
Yüksek seviye güvenlik mimarisi — operasyonel detayları (saldırgana yardım edebilecek bilgi) paylaşmayız, ama çatıyı şeffaf tutarız.
Authentication
- HTTP prelogin endpoint + persistent UUID whitelist
- AsyncPreLogin race-fix — eşzamanlı bağlantı yarışlarına karşı sertleştirilmiş
- Premium-style auth akışı: kullanıcı UUID'i sunucuya bağlanmadan önce doğrulanır
Trafik & ağ
- HTTPS everywhere: tüm trafik TLS 1.3, HSTS aktif
- CDN protection: Cloudflare DDoS shield + WAF
- Sunucu IP doğrudan açık değil — Cloudflare arkasında
Secrets management
- Cloudflare Workers secret store — ortam değişkeni olarak inject edilir
- Hiçbir secret git'e commit edilmez (pre-commit hook ile zorlanır)
- Secret rotation: olası sızıntıda 1 saat içinde rotate
Veritabanı
- Şu an: KV storage (Cloudflare KV) — minimum kişisel veri
- Lansman sonrası: D1 / Postgres (henüz canlıda değil)
- Ham veritabanı erişimi yalnızca prod owner'a sınırlı, denetim logu tutulur
Loglar
- Cloudflare logs — 7 gün retention, sonra otomatik silinir
- Launcher crash report — opt-in OFF varsayılan, gönderilirse anonimize
Plugin güvenliği
- Server-side cosmetic doğrulama — istemci sahteciliği geçersiz
- Plugin-message channel signed — istemci-sunucu mesajları HMAC ile imzalı
- Komut yetkilendirmesi LuckPerms üzerinden, role bazlı
Dependency scanning
- GitHub Dependabot aktif (yakında public)
- Kritik CVE'lerde 7 gün, yüksek 30 gün içinde patch hedefi
2. Veri Saklama
Sakladığımız veriler
| Kategori | İçerik | Süre |
|---|---|---|
| Hesap verisi | kullanıcı adı, UUID, oluşturma tarihi | Hesap aktif olduğu sürece |
| Oyun verisi | ML, achievements, playtime, world preferences | Hesap aktif olduğu sürece |
| Cookie | session cookie + analytics opt-in (varsayılan OFF) | Oturum + 30 gün |
| Crash report | opt-in açıkken: anonim hash + truncated UUID prefix (8 char) | 30 gün |
Asla saklamadığımız veriler
- Gerçek isim, adres, telefon
- Kart bilgisi — Stripe doğrudan işler, MezarMC'ye ulaşmaz
- Konum verisi (GPS / IP geolokasyon dahil)
- Sosyal medya cross-tracker'ları
IP adresi
IP adresleri yalnızca Cloudflare meta'sında tutulur (DDoS koruma için); bizim DB'mize gitmez. 7 gün sonra Cloudflare tarafında otomatik silinir.
3. Şifreleme
| Katman | Yöntem | Hedef |
|---|---|---|
| Transit | TLS 1.3 | SSLLabs A+ (mezarmc.com) |
| At rest | AES-256 — Cloudflare R2 server-side encryption | Tüm asset / yedek dosyalar |
| Şifreler | bcrypt + salt (12 round) | Plaintext asla saklanmaz |
| Token'lar | cryptographically random 256-bit, sha256 hash store | Veritabanı sızıntısında token kullanılamaz |
Şifre minimum 8 karakter zorlanır; yaygın parola listesi reddedilir
(haveibeenpwned k-anonymity API ile kontrollü).
4. Açık Disclosure Süreci
Bir güvenlik açığı bildirildiğinde standart sürecimiz aşağıdaki gibidir:
- Araştırmacı [email protected] ile iletişime geçer.
- 7 gün içinde alındı yanıtı + ön severity değerlendirmesi.
- Severity'e göre 30 gün içinde patch deploy.
- 90 gün sonra public disclosure (responsible disclosure).
- Acknowledgement Hall of Fame'de + bug bounty ödülü.
Detaylı kurallar ve ödül skalası için bug bounty programı sayfasını inceleyebilirsin.
5. Sorumlu Kullanım
Hesabını ve sunucu kaynaklarını korumak için aşağıdaki güvenlik alışkanlıklarını edin:
- 2FA aktif tutun (lansman sonrası TOTP/WebAuthn desteği)
- Şifrenizi paylaşmayın, kimseye token vermeyin — MezarMC ekibi asla şifre istemez
- Discord oturumunu paylaşmayın — token clipping yaygın bir saldırı vektörü
- Şüpheli link'lere tıklamayın — özellikle "ücretsiz rütbe" tarzı oltalama yaygın
- Launcher / mod'u sadece resmi kaynaklardan indirin: /indir
6. İletişim
- [email protected] — sadece güvenlik konuları (açık raporu, sertifika, ihlal)
- [email protected] — genel destek (hesap, ödeme, oyun)
- PGP fingerprint (placeholder, gerçek key sonra):
0123 4567 89AB CDEF 0123 4567 89AB CDEF 0123 4567 - Discord
#securitykanalı (yalnızca yetkili-only)
Bir veri ihlali şüphesi varsa veya yetkilendirilmemiş erişim tespit ettiyseniz, lütfen 30 dakika içinde [email protected] adresine yazın.