Son güncelleme 22 Eylül 2026

İş e-postan ne oluyor?

Şirketini doğrulamak için e-postana ihtiyacımız var. Doğruladıktan sonra adrese ihtiyacımız kalmıyor — ve saklamıyoruz. Aşağıda aynı şeyi iki dilde anlatıyoruz.

Doğrulama hattı

1 · normalizeaddr = lower(trim(input)) · “+etiket” kısmı atılır ki bir posta kutusu tek hesap açabilsin; noktalar olduğu gibi kalır

2 · böllocal, domain = split(addr, "@") · domain şirket eşlemesi için kullanılır ve kişiye değil şirket kaydına yazılır; local hiçbir yerde tutulmaz

3 · türetemail_hash = HMAC-SHA256(key = PEPPER, msg = addr) · PEPPER veritabanında değil, sunucunun gizli ortam değişkeninde

4 · gönder ve bıraksend(addr, code) · addr yalnızca kodu iletmek için e-posta sağlayıcısına (Cloudflare) verilir; veritabanına ve log’a yazılmaz — gönderim hata verirse log’a yalnızca “a***@alanadi” biçimi düşer

Kod gönderme ve kod doğrulama isteklerinde adres yalnızca istek süresince bellekte tutulur. Kod kaydı e-postanın kendisi yerine email_hash ile eşlenir; kodun kendisi de özetlenerek saklanır, 10 dakika geçerlidir ve en fazla 5 kez denenebilir.

Veritabanında duran alanlar

login_email_hashgiriş · HMAC-SHA256, 32 bayt

work_email_hashdoğrulama · HMAC-SHA256, 32 bayt

company_idhangi şirketi doğruladığın

handletakma ad, havuz başına bir tane

verified_at / expires_atrozet durumu

password_hashPBKDF2-SHA256 · yalnızca şifre belirlediysen

sessions.device“Mac · Chrome” gibi iki kelime · oturum listesi için

Ham adres için bir kolon yok; şema bunu depolayacak yeri bırakmıyor. Alan adı kişiye değil, şirket kaydına yazılır.

Saklama süreleri

Giriş kodu10 dk geçerli · sonra 1 saat içinde silinir

Oturum çerezi90 gün

Kapanan ya da süresi dolan oturum1 saat içinde silinir

İş doğrulaması90 + 30 gün

İş adresinin özetiek süre bitince 1 saat içinde silinir

IP adresiyazılmıyor · 1 dk hız sınırı

Silinen paylaşım ve yorummetin ve anket, oylarıyla, anında · kayıt kalır

Geri çekilen maaş kaydıanında, tamamen

Oturumun son görülmesigünde en çok bir kez yazılır

Kapatılan hesabın kimliğianında, tamamen

Bunu yapamayız

Koddan adrese geri dönmek — HMAC tek yönlü; gizli anahtar olmadan sözlük saldırısı da işe yaramaz

Sana “şu adresle kayıtlısın” demek — adresi ekranda gösteremeyiz, veritabanımızda yok

Bir yanıtta yazarı ele vermek — hiçbir yanıt hesap numarası ya da havuzlar arasında ortak bir kimlik taşımaz

Kimin beğendiğini ya da neye oy verdiğini göstermek — yanıtlar yalnızca sayıyı ve senin kendi seçimini taşır; yazara da yalnızca eşikler bildirilir

Dürüst olmak gerekirse, bunlar mümkün

Bir sistemin sınırlarını saklamak, güven vermenin tersi olur. Elimizdeki yapıyla teorik olarak şunlar yapılabilir:

Sistemi işleten taraf hesabı içerikle eşleştirebilirKimlik, paylaşımlar ve maaş kayıtları aynı veritabanında, ayrı bölümlerde duruyor. İçerik bölümü tek başına sızsa kimseyi göstermez; ama veritabanına ve gizli anahtara erişen biri hesabını takma adlarına, paylaşımlarına ve maaş kaydına bağlayabilir. Hesabını kapattığında bu bağ silinir ve yeniden kurulamaz.

Bildiği bir adresin kayıtlı olup olmadığını sunucu anlayabilirGizli anahtarı elinde tutan biri, bildiği bir adresin özetini hesaplayıp eşleştirebilir. Bu yüzden anahtar yalnızca sunucuda; kod istekleri dakikada 10 ile sınırlı ve “bu adres kayıtlı değil” yanıtını dışarıya vermiyoruz.

Küçük şirketlerde rozet tek başına ipucudurÜç kişilik bir şirkette şirket adı kimliği daraltır. Bu yüzden şirket adı yalnızca 250+ çalışanlı, incelenmiş şirketlerde görünür; diğerlerinde rozet yalnızca sektörü söyler. Hesabım’dan şirket adını her yerde gizleyebilir, her paylaşımda rozeti tamamen kapatabilirsin.

Küçük bir maaş grubunda rakamlar gerçek kişilere yakındır5 kişilik bir grupta çeyrekler ve medyan, gruptakilerden birinin rakamına denk gelir. Bu yüzden aylık rakamlar 1.000 ₺’ye yuvarlanır ve kişi sayısı tam değil aralık olarak gösterilir.

Altyapı sağlayıcısı kendi kayıtlarını tutarKod e-postasını Cloudflare iletir ve sunucularımız onun üzerinde çalışır. Onun tuttuğu istek kayıtlarının içeriği ve süresi Cloudflare’in politikasına bağlıdır.

Yazdığın metin seni tanıtabilirHiçbir sistem üslubunu ve anlattığın olayı anonimleştiremez. Tek kişiyi işaret eden ayrıntılardan kaçınmak sana kalıyor.

Katılmaya hazır mısın?İş e-postanla bir dakikada doğrulanırsın; adresin bizde kalmaz.

Hesap aç