Dosyanıza tam olarak ne oluyor?

Özet: iki farklı yol var

DosyaLab'daki araçlar iki gruba ayrılır ve bu ayrım gizlilik açısından belirleyicidir. Hangi grupta olduğunu her araç sayfasının en üstünde rozet olarak yazıyoruz.

Sunucuya yüklenen bir dosyanın yolculuğu

1. 1. Tarayıcınızdan çıkış

   Dosya HTTPS üzerinden şifreli olarak gönderilir. Sunucu tarafında önce gerçekten bu istekle geldiği doğrulanır (is_uploaded_file); bu, sahte bir istekle sunucudaki başka bir dosyayı işletme girişimini engeller.

2. 2. Tür doğrulaması — uzantıya güvenmiyoruz

   Dosya adının uzantısı ve tarayıcının bildirdiği tür (MIME) tamamen istemci kontrolündedir; ikisi de saniyeler içinde değiştirilebilir. Bu yüzden dosyanın ilk baytlarındaki imzayı okuyup gerçek türünü belirliyoruz. Uzantı ile içerik uyuşmuyorsa dosya reddedilir — düzeltilmeye çalışılmaz.

   Ayrıca bağımsız bir ikinci kontrol (finfo) yapılır; iki yöntem farklı sonuç verirse dosya yine reddedilir.

3. 3. İçerik taraması

   Görsel dosyaların içine gömülmüş çalıştırılabilir kod izleri (PHP etiketi, betik başlığı) aranır. Şifreli PDF'ler kabul edilmez, çünkü içeriğini denetleyemediğimiz bir dosyayı işleyip size geri veremeyiz. Sunucuda ClamAV kuruluysa dosya ayrıca virüs taramasından geçirilir.

   Dürüst olmak gerekirse: bu tarama bir antivirüs ürününün yerini tutmaz. Amacı, sunucumuzu ve diğer kullanıcıları korumaktır; indirdiğiniz dosyanın %100 temiz olduğunun garantisi değildir.

4. 4. Depolama — web kökünün dışında, rastgele adla

   Dosya, web sunucusunun yayınladığı klasörün dışındaki bir dizine yazılır. Yani doğrudan bir URL yazarak ona ulaşmak mümkün değildir. Dosya adınız diskte hiç kullanılmaz; her dosya rastgele üretilmiş bir kimlikle (UUID) adlandırılır. Orijinal adınız yalnızca işin kaydında ve indirme sırasında size gösterilmek üzere tutulur.

   Yükleme dizininde kod çalıştırma sunucu düzeyinde ayrıca kapatılmıştır (kurulum yönergelerimizin zorunlu bir parçasıdır).

5. 5. İşleme — web sunucusundan ayrı bir süreçte

   Dönüştürme işi bir kuyruğa alınır ve web sunucusundan ayrı bir arka plan sürecinde çalıştırılır. Bu sürecin kendi bellek ve süre sınırları vardır. Böylece hem uzun süren bir işlem siteyi yavaşlatmaz, hem de dönüştürme kodundaki olası bir açığın etki alanı daraltılmış olur.

6. 6. Yüklediğiniz dosyanın silinmesi

   İş biter bitmez (başarılı ya da başarısız fark etmez) yüklediğiniz dosya silinir. Küçük dosyalarda silmeden önce içeriğin üzerine sıfır yazılır.

   Sınırı açıkça söyleyelim: modern SSD'lerde ve sanallaştırılmış disklerde “üzerine yazma” işletim sistemi düzeyinde her zaman aynı fiziksel hücreye gitmez. Bu yüzden bunu “verinin fiziksel olarak yok edildiğinin garantisi” diye sunmuyoruz; dosya sistemi düzeyinde kurtarmayı zorlaştıran ek bir önlem olarak sunuyoruz.

7. 7. Sonucun size ulaşması

   İndirme bağlantısı üç kat korumalıdır: (a) tahmin edilemez rastgele kimlik, (b) tarayıcı oturumunuza bağlı sahiplik kontrolü, (c) süreli kriptografik imza. Bağlantıyı yanlışlıkla paylaşsanız bile başka bir tarayıcıda açılmaz ve süresi dolunca çalışmaz.

   Dosya her zaman Content-Disposition: attachment ve X-Content-Type-Options: nosniff başlıklarıyla gönderilir; yani tarayıcıda çalıştırılamaz veya sayfa gibi görüntülenemez.

8. 8. Sonucun silinmesi

   Ürettiğimiz sonuç dosyası en geç 30 dakika sonra otomatik olarak silinir. Silme işi hem zamanlanmış bir görevle hem de gelen isteklerde fırsatçı olarak çalışır; bir kaydın bozulması hâlinde bile dosyanın süresiz kalmaması için “sahipsiz dosya” temizliği ayrıca yapılır.

Kim erişebiliyor?

• Siz: imzalı indirme bağlantısıyla, süresi dolana kadar.
• Başka kullanıcılar: erişemez. İş kimliğini bilseler bile sahiplik kontrolü ve imza doğrulaması engeller.
• Biz: teknik olarak sunucuya kök erişimi olan bir yönetici, dosya diskteyken ona bakabilir. Bunu “imkânsız” diye sunmuyoruz — imkânsız değil. Politikamız dosyalara bakmamaktır ve saklama süresini bu yüzden kısa tutuyoruz. Gerçekten hassas belgeler için en güvenli yol, tarayıcıda çalışan araçları kullanmak ya da dosyayı hiç yüklememektir.
• Üçüncü taraflar: dosyalarınız hiçbir üçüncü tarafa gönderilmez, satılmaz, eğitim verisi olarak kullanılmaz.

Ne kaydediyoruz?

Sunucu günlüklerimizde dosya adınız yer almaz ve ham IP adresiniz yazılmaz. Kötüye kullanım incelemesi için IP'nin günlük değişen bir tuzla üretilmiş kısa özeti tutulur; bu özet uzun vadeli takibe elverişli değildir.

Kaydedilenler:

• Hangi aracın kullanıldığı, dosya sayısı ve toplam boyut
• İşlemin ne kadar sürdüğü ve başarılı olup olmadığı
• Hata durumunda hatanın teknik açıklaması
• Güvenlik olayları (reddedilen dosya türü, hız sınırı aşımı gibi)

Günlükler 30 gün sonra silinir.

Sınırlar ve neden var oldukları

Tek dosya en fazla 25 MB

Sınırsız yükleme, sunucuyu tüketerek siteyi herkese kapatmanın en kolay yoludur.

Bir işlemde toplam 60 MB

Aynı gerekçe; toplu işlemlerde bellek kullanımını öngörülebilir tutar.

Saatte 40 işlem

Otomatik betiklerin siteyi ücretsiz bir dönüştürme API'sine çevirmesini engeller. Normal kullanımda bu sınıra çarpmazsınız.

Sıkıştırılmış dosyalarda açılma sınırı

Word ve Excel belgeleri aslında birer arşivdir. Birkaç kilobaytlık bir dosya açıldığında gigabaytlara ulaşacak şekilde hazırlanabilir (“sıkıştırma bombası”). Açma işlemini adım adım sayarak tavanı aşan dosyayı yarıda kesiyoruz.

Şifreli PDF'ler kabul edilmiyor

İçeriğini denetleyemediğimiz bir dosyayı işlemeyi güvenli bulmuyoruz.

Office belgeleri ve XXE

.docx ve .xlsx dosyaları ZIP içine konmuş XML belgeleridir. XML işleyicileri, belgede tanımlanan “dış varlıkları” çözerek sunucudaki dosyaları okuyabilir ya da iç ağa istek atabilir (XXE ve SSRF). Bizim XML okuyucumuzda dış varlık çözümlemesi tamamen kapalıdır ve içinde DOCTYPE ya da varlık tanımı bulunan belgeler doğrudan reddedilir — meşru bir Office dosyası bunları içermez.

Dönüştürme sırasında hiçbir aracımız belge içindeki bağlantılara istek atmaz. Belgede bir resim ya da bağlantı adresi geçse bile o adrese gidilmez.

Tarayıcıda tuttuğumuz tek şey

Araç sayfalarındaki “son işlemleriniz” listesi yalnızca sizin tarayıcınızda (localStorage) durur: dosya adı, işlem türü ve tarih. Dosyanın kendisi burada tutulmaz ve bu liste sunucumuza gönderilmez. İstediğiniz an “Geçmişi sil” düğmesiyle temizleyebilirsiniz.

Ayrıca çerez tercihiniz ve oturum/güvenlik doğrulaması için gereken zorunlu çerezler vardır. Reklam ve ölçümleme çerezleri, siz onay vermeden yüklenmez.

KVKK kapsamında haklarınız

DosyaLab üyelik istemediği ve kişisel veri toplamayı hedeflemediği için elimizde sizinle eşleştirebileceğimiz bir kayıt genellikle bulunmaz. Yine de 6698 sayılı KVKK kapsamındaki taleplerinizi kvkk@dosyalab.com adresine iletebilirsiniz. Ayrıntılar için Gizlilik Politikası sayfasına bakın.