Mühürlenen bir kayıt sonradan değişirse doğrulama bunu gösterir

Servis bir işi mühürlediğinde ya da ekspertiz merkezi bir raporu onayladığında kayıt imzalanır ve kilitlenir. Sonradan tek bir alan değişirse, hesap açmadan yapılan doğrulama bunu gösterir.

Teknik Mimari Güvenlik Ekibine Yazın

OtoTasdik'in güvenliği dört başlıkta özetlenir

Hangi kayıtların imzalandığı, imzanın nasıl doğrulandığı, verinin nerede durduğu ve hesabınızın nasıl korunduğu aşağıda. Her madde bugün çalışan sistemi anlatır.

Servis ve ekspertiz kayıtları imzalanır ve araç başına zincirlenir

İmzalanan kayıtlar: Servis İşlem Dökümü'nün dayandığı iş emri, ekspertiz raporu ve Bakım Özgeçmişi PDF'i imzalanır.
Mühürden sonra düzenleme yok: Mühürlenen bir iş emri ve onaylanan bir ekspertiz raporu artık düzenlenemez.
Araç başına zincir: Her imzalı kayıt, aynı VIN'deki bir önceki kaydın özetini taşır. Böylece bir aracın kayıtları sırayla birbirine bağlanır.
İmzalanmayan kayıtlar: Araç sahibinin kendi eklediği kayıtlar (bakım, yakıt, sigorta, kaza, ceza ve yüklenen muayene raporları gibi) ve satış bağlantıları imzalanmaz.

Herkes hesap açmadan doğrulayabilir

Rapor numarası ya da döküm kodu: Ekspertiz raporu rapor numarasıyla (RPT-2026-0001 gibi), Servis İşlem Dökümü üzerindeki 8 karakterlik kodla doğrulama sayfasında kontrol edilir.
Doğrulamanın kontrol ettiği: Sunucu kaydın özetini yeniden hesaplar ve imzayı kontrol eder. Servis İşlem Dökümü'nde aynı araçtaki önceki kayda bağlantı da kontrol edilir.
İmza anahtarı: İmza anahtarı OtoTasdik'in sunucusunda bir anahtar dosyasında durur. Açık yarısı herkese açık bir adreste yayımlanır; imzayı bizim sunucumuza sormadan kendiniz de kontrol edebilirsiniz.
VIN ve plaka: VIN ya da plakayla arama yalnızca giriş yapmış kullanıcılara açıktır.

Kayıtlar AB'de, Frankfurt'ta saklanır

Veri yerleşimi: Kayıtlar AB'de, AWS'nin Frankfurt (eu-central-1) bölgesinde saklanır ve 6698 sayılı KVKK kapsamında işlenir.
Belge taraması: Bir belgeyi fotoğrafla doldurmak isterseniz fotoğraf, ancak açık onayınızdan sonra Google Gemini'ye (Google LLC, ABD) gönderilir.
Aktarımda şifreleme: Bağlantılar HTTPS ile kurulur. Panel (giris.ototasdik.com) ve uygulamaların bağlandığı API (api.ototasdik.com) HSTS başlığı gönderir; tarayıcı bu adresleri yalnızca HTTPS ile açar.
Verileriniz üzerindeki haklarınız: Panelde (giris.ototasdik.com) her aracınızın geçmişini JSON olarak dışa aktarabilirsiniz. Hesabınızı uygulamadan ya da panelden silebilirsiniz.

Hesabınız parola ve isteğe bağlı iki adımlı doğrulamayla korunur

Parola: Parolanız düz metin olarak saklanmaz; bcrypt ile tek yönlü özetlenir.
İki adımlı doğrulama: Kimlik doğrulayıcı uygulamayla çalışan iki adımlı doğrulamayı (TOTP) ayarlardan açabilirsiniz. İsteğe bağlıdır.
Oturum: Giriş yaptığınızda kısa ömürlü bir erişim jetonu ve onu yenilemeye yarayan ayrı bir jeton alırsınız.
Şifrelenen sırlar: İki adımlı doğrulama sırları ve dış giriş sağlayıcılarının kimlik bilgileri veri tabanında AES-GCM ile şifrelenir.

Bir iş emri açılıştan doğrulamaya dört adımda ilerler

01
İş emri
Servis iş emrini telefondan plaka ve şasi numarasıyla açar, yapılan işi ve parçaları yazar.
02
Mühürle
Servis Mühürle'ye bastığında iş emrinin içeriği sabit bir biçime getirilir ve bu içerikten bir özet hesaplanır.
03
İmza ve zincir
Özet, aynı araçtaki bir önceki kaydın özeti, sıra numarası ve imza anıyla birlikte OtoTasdik'in anahtarıyla imzalanır. Kayıt bundan sonra düzenlenemez.
04
Doğrulama
Servis İşlem Dökümü üzerindeki 8 karakterlik kodla herkes kaydı doğrulayabilir. Sunucu özeti yeniden hesaplar, imzayı ve önceki kayda bağlantıyı kontrol eder.

Teknik Doğrulama Detayı

Güvenlik profili

Aktif

Dijital imza: Ed25519
Özet ve zincir: SHA-256, araç (VIN) başına
Kanonik biçim: JSON, anahtarlar sıralı
Zaman: İmza anı imzalanan veriye dahil; harici zaman damgası yok
Anahtar saklama: Sunucuda anahtar dosyası; açık anahtar yayımlanır
TLS: HTTPS, panel ve API bağlantılarında HSTS
Oturum: JWT, erişim ve yenileme jetonu
Parola: bcrypt
MFA: TOTP, isteğe bağlı
Şifrelenen sırlar: AES-GCM, MFA sırları ve sağlayıcı kimlik bilgileri
Veri yerleşimi: eu-central-1 (Frankfurt, AB)

Servis İşlem Dökümü (iş emri)

content_hash = sha256(canonical_json(work_order))
signature    = ed25519_sign(key, "v2|" + content_hash + "|" + previous_hash
                 + "|" + chain_index + "|" + chain_epoch + "|" + signed_at_unix)

Ekspertiz raporu

report_hash = sha256(canonical_json(report) + previous_hash + finalized_at)
signature   = ed25519_sign(key, report_hash)

previous_hash, aynı VIN'deki bir önceki imzalı kaydın özetidir; ilk kayıtta sabit bir başlangıç değeri kullanılır. canonical_json, anahtarları alfabetik sıralanmış JSON'dur.

Bir güvenlik açığı mı buldunuz?

Bulguyu doğrudan güvenlik ekibimize iletin. Düzeltme yayımlanana kadar bulguyu kamuya açıklamamanızı rica ederiz.

guvenlik@ototasdik.com security.txt