# Penetrasyon Testi ve Bug Bounty Kapsamı

**Onoxsoft Hosting Kontrol Paneli**
**Son güncelleme:** 2026-05-13

---

## Kapsam Dahilindeki Varlıklar (In-Scope)

### Web Panel
- `https://panel.onox.com.tr/*` (admin, customer, reseller rotaları)
- Kimlik doğrulama akışları (login, 2FA, şifre sıfırlama, SSO)
- Tüm authenticated user endpoint'leri

### REST API
- `https://panel.onox.com.tr/api/v1/*`
- Sanctum token yönetimi
- WHMCS webhook endpoint'leri (`/api/v1/whmcs/*`)

### Cluster API
- `https://panel.onox.com.tr/api/v1/cluster/*` — HMAC auth testleri

### Güvenlik Kontrolleri
- CSP, HSTS, güvenlik header'ları
- Rate limiting atlatma denemeleri
- Oturum yönetimi güvenliği
- Dosya yükleme güvenliği

---

## Kapsam Dışı (Out-of-Scope)

- **Üretim veritabanı** — sadece test ortamı
- **Üçüncü taraf servisler** (WHMCS, CDN sağlayıcıları, DNS sağlayıcıları)
- **Fiziksel güvenlik / sosyal mühendislik**
- **DoS / DDoS** saldırıları (rate limit testleri kontrollü yapılabilir)
- **Müşteri hesaplarına erişim** — sadece test hesapları kullanılmalı
- **Slave node OS katmanı** — sadece API katmanı test kapsamında

---

## Test Ortamı

- **Test URL:** `https://staging.onox.com.tr` (prod değil)
- **Test hesapları:** `onox:secrets-audit` + test migration scriptleri ile hazırlanacak
- **Test başlamadan önce:** `security@onox.com.tr` adresine bildirim yapılmalı

---

## Raporlama İş Akışı

1. Bulguyu `security@onox.com.tr` adresine PGP şifreli e-posta ile gönder.
2. Eklenecekler: CVSS skoru, PoC adımları, etki analizi, önerilen düzeltme.
3. **SLA:** 24 saat içinde alındı bildirimi, 7 gün içinde değerlendirme, 30 gün içinde yama (kritik için 72 saat).
4. Düzeltme doğrulandıktan sonra açıklama koordinasyonu (coordinated disclosure).

---

## Ödül Seviyeleri (Bug Bounty — Taslak)

| Seviye | Örnekler | Ödül Aralığı |
|---|---|---|
| Kritik | RCE, auth bypass, SQLi, admin takeover | 500–2.000 USD |
| Yüksek | IDOR, privilege escalation, stored XSS | 200–500 USD |
| Orta | Reflected XSS, CSRF (koşullu), veri sızıntısı | 50–200 USD |
| Düşük | Rate limit eksikliği, info disclosure | Teşekkür + HOF |

> Not: Ödül programı resmi olarak Phase 5 GA sonrasında aktive edilecektir.

---

## Güvenli Liman (Safe Harbor)

Kapsam dahilinde, iyi niyetle yürütülen güvenlik araştırmaları cezai kovuşturmaya konu edilmeyecektir. Araştırmacının kapsam dışı sistemlere zarar vermemesi, verileri ifşa etmemesi ve testleri test ortamında gerçekleştirmesi koşuluyla.
