Güvenlik ve Erişim Bilgileri
Bu sayfa, kurumsal ağlarda web güvenlik duvarı, proxy ve tarayıcı izolasyonu sistemlerini yöneten ekipler için Maxikargo'nun teknik ve güvenlik profilini özetler.
1. Site kimliği
- Alan adı: maxikargo.com (www.maxikargo.com kalıcı olarak maxikargo.com'a yönlendirilir)
- İşleten: Tolgahan Safi Çelik (bireysel girişim) · İletişim: tolgahansaficelik@gmail.com
- Amaç: Tır, kamyon, panelvan ve konteynerlerde yüklerin yerleşimini 3 boyutlu planlayan web uygulaması
- Önerilen kategori: İş / Lojistik / Yazılım (Business · Logistics · Software/Technology)
2. Ağ ve altyapı
- Yalnızca 80 ve 443 numaralı portlar kullanılır; HTTP istekleri otomatik olarak HTTPS'e yönlendirilir.
- TLS 1.2 / 1.3, genel olarak güvenilen sertifika otoritesinden (Let's Encrypt) alınan sertifika, HSTS (HTTP Strict Transport Security) etkin.
- Barındırma: OVHcloud VPS, Varşova, Polonya (Avrupa Birliği). DNS: Cloudflare (yalnızca DNS, vekil/proxy kapalı).
- Güvenlik duvarı kuralı için IP adresi yerine alan adı kullanmanızı öneririz; IP adresi değişebilir.
3. Tek kaynak, harici bağımlılık yok
Sayfaların ve uygulamanın tüm dosyaları yalnızca maxikargo.com adresinden yüklenir. Üçüncü taraf betik, yazı tipi, CDN, reklam, analiz veya takip aracı yoktur ve başka alan adlarına istek yapılmaz. Bu durum, tarayıcıya gönderdiğimiz içerik güvenlik politikasıyla (Content-Security-Policy) ayrıca zorunlu kılınır: betikler, bağlantılar ve görseller yalnızca aynı kaynaktan yüklenebilir.
4. İstemci tarafı
- 3 boyutlu görünüm için WebGL kullanılır (tarayıcı eklentisi gerekmez).
- WebSocket, dosya indirme, çalıştırılabilir dosya veya yazıcı/kamera/mikrofon/konum erişimi yoktur.
- Çerez kullanılmaz. Tarayıcı yerel depolaması yalnızca oturum bilgisi, dil ve görünüm tercihleri içindir.
- Uygulama arayüzü (React) ve arka uç arayüzü (
/api) aynı alan adı altındadır.
5. Uygulanan güvenlik önlemleri
- İçerik Güvenlik Politikası (CSP), HSTS, X-Content-Type-Options, çerçeveleme koruması (frame-ancestors), Referrer-Policy, Permissions-Policy ve Cross-Origin-Opener-Policy başlıkları
- Şifreler düz metin saklanmaz; tuzlanmış PBKDF2 özeti olarak saklanır. Yeni hesaplarda en az 8 karakter şifre zorunludur.
- Giriş denemesi sınırlaması (kaba kuvvet saldırılarına karşı) ve arayüz uç noktalarında hız sınırları
- Girdi doğrulama; hesaplar arası veri ayrımı; canlı ortamda otomatik API dokümantasyonu kapalı
- Sunucu uygulaması, yetkisiz (root olmayan) kullanıcıyla ve kısıtlı ayrıcalıklarla bir konteynerde çalışır; sunucu kayıtları sınırlı boyutta tutulur
6. Önerilen erişim kuralı
Web filtresi, proxy veya tarayıcı izolasyonu ürününüzde şu kayıtları izin listesine alabilir ve kategorilendirebilirsiniz: maxikargo.com ve www.maxikargo.com. Başka bir alan adına veya porta ihtiyaç yoktur. Kategori incelemesi için talebinizi bize e-posta ile iletebilir ya da ürün üreticinizin URL kategori/itibar formunu kullanabilirsiniz.
7. Güvenlik açığı bildirimi
Bir güvenlik açığı fark ederseniz lütfen tolgahansaficelik@gmail.com adresine yazın. İletişim bilgileri ayrıca /.well-known/security.txt dosyasındadır.
8. Veri işleme
Hangi verilerin işlendiği ve haklarınız için Gizlilik Politikası'na bakın.
Security and Access Information
This page summarizes Maxikargo's technical and security profile for teams that manage web gateways, proxies and browser isolation systems in corporate networks.
1. Site identity
- Domain: maxikargo.com (www.maxikargo.com permanently redirects to maxikargo.com)
- Operator: Tolgahan Safi Çelik (individual venture) · Contact: tolgahansaficelik@gmail.com
- Purpose: A web application that plans, in 3D, how loads are arranged in trailers, trucks, vans and containers
- Suggested category: Business / Logistics / Software-Technology
2. Network and infrastructure
- Only ports 80 and 443 are used; HTTP requests are redirected to HTTPS automatically.
- TLS 1.2 / 1.3, a certificate from a publicly trusted authority (Let's Encrypt), HSTS (HTTP Strict Transport Security) enabled.
- Hosting: OVHcloud VPS, Warsaw, Poland (European Union). DNS: Cloudflare (DNS only, proxy disabled).
- For firewall rules we recommend using the domain name rather than the IP address, as the IP address may change.
3. Single origin, no external dependencies
All files of the pages and the application are loaded only from maxikargo.com. There are no third-party scripts, fonts, CDNs, ads, analytics or tracking tools, and no requests are made to other domains. This is additionally enforced by the Content-Security-Policy we send to browsers: scripts, connections and images can only be loaded from the same origin.
4. Client side
- WebGL is used for the 3D view (no browser plug-in required).
- There are no WebSockets, file downloads, executables, or printer/camera/microphone/location access.
- No cookies are used. Browser local storage holds only the session, language and display preferences.
- The application UI (React) and the backend interface (
/api) are under the same domain.
5. Security measures in place
- Content-Security-Policy (CSP), HSTS, X-Content-Type-Options, clickjacking protection (frame-ancestors), Referrer-Policy, Permissions-Policy and Cross-Origin-Opener-Policy headers
- Passwords are never stored in plain text; only a salted PBKDF2 hash is kept. New accounts require a password of at least 8 characters.
- Login attempt limiting (against brute-force attacks) and rate limits on API endpoints
- Input validation; separation of data between accounts; automatic API documentation disabled in production
- The server application runs in a container as an unprivileged (non-root) user with restricted privileges; server logs are kept at a limited size
6. Suggested access rule
In your web filter, proxy or browser isolation product you can allow-list and categorize: maxikargo.com and www.maxikargo.com. No other domain or port is needed. For a category review you can email your request to us or use your product vendor's URL category/reputation form.
7. Reporting a vulnerability
If you notice a security issue, please write to tolgahansaficelik@gmail.com. Contact details are also in /.well-known/security.txt.
8. Data processing
See the Privacy Policy for what data is processed and your rights.