# Onoxsoft Güvenlik Dokümantasyonu

Bu dizin, Onoxsoft hosting kontrol paneli için Phase 4 güvenlik sertleştirme çalışmalarının tüm belgelerini içerir.

## Dosyalar

| Dosya | İçerik |
|---|---|
| [threat-model.md](threat-model.md) | STRIDE tehdit analizi |
| [sql-audit.md](sql-audit.md) | SQL injection denetim sonuçları |
| [xss-audit.md](xss-audit.md) | XSS denetim sonuçları |
| [incident-response.md](incident-response.md) | Güvenlik ihlali müdahale planı |
| [penetration-test-scope.md](penetration-test-scope.md) | Pentest / bug bounty kapsamı |

## Uygulanan Güvenlik Önlemleri (Phase 4)

### Middleware
- `SecurityHeaders` — CSP, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, COOP
- `AccountLockout` — 10 başarısız giriş sonrası 1 saatlik hesap kilidi

### Rate Limiting
| İsim | Limit | Kapsam |
|---|---|---|
| `login` | 5 / 15 dk | IP + email |
| `password-reset` | 3 / saat | email |
| `ai-chat` | 30 / dk | user ID |
| `uploads` | 10 / dk | user ID |
| `webhooks` | 600 / dk | IP |
| `api` | 120 / dk (auth), 30 / dk (anonim) | user ID / IP |

### Dosya Yükleme
- `SafeFileUpload` validation rule — gerçek MIME tespiti (finfo), PHP injection taraması, ZIP bomb tespiti

### Gizli Değer Yönetimi
- `php artisan onox:secrets-audit` — .env izinleri + şifreli sütun doğrulama

### CI/CD
- `.github/workflows/security.yml` — haftalık `composer audit` + `npm audit` + Gitleaks

## Yapılacaklar (Phase 4.5+)
- [ ] COEP (Cross-Origin-Embedder-Policy) — CDN asset uyumu sağlandıktan sonra
- [ ] CSP nonce tabanlı script yükleme (unsafe-inline kaldırma)
- [ ] WAF entegrasyonu (ModSecurity kural seti)
- [ ] Bağımsız penetrasyon testi
