Verin nasıl korunuyor

Son güncelleme: 16.10.2026

Gerçek indirmelerini göstermek ve yorumlara yanıt verebilmek için StoRank senden bir App Store Connect API anahtarı ya da Google Play hizmet hesabı ister. Bu hassas bir şey. Burada onunla ne yaptığımızı ve asla ne yapmadığımızı sade dille anlatıyoruz.

1. Mağaza anahtarların şifreli saklanır

App Store Connect .p8 anahtarın, Google Play hizmet hesabı JSON’un ve Apple Ads özel anahtarın veritabanına yazılmadan önce şifrelenir (Fernet: bütünlük denetimli AES şifreleme). Şifre çözme anahtarı veritabanından ayrı tutulur; veritabanının bir kopyası tek başına bu anahtarları açamaz.

Anahtar yalnız Apple’a ya da Google’a istek attığımız an bellekte çözülür. Yükledikten sonra bir daha hiçbir yerde gösterilmez: ne panelde, ne API’de, ne e-postada. Ayarlar’da yalnız bağlantının adı, Key ID’si ve durumu görünür.

Mağaza anahtarların yapay zekâ sağlayıcılarına asla gönderilmez. Hata izleme sistemimiz de istek gövdesini, çerezleri ve anahtara benzeyen hiçbir metni almayacak şekilde ayarlıdır.

2. En az yetki yeter

StoRank’e Admin anahtarı vermen gerekmez. Yalnız StoRank için ayrı bir anahtar oluştur ve yalnız şu izinleri ver:

App Store Connect: Sales rolündeki bir API anahtarı bağlanmaya, günlük indirmelere, gelire, ülke ve cihaz kırılımına yeter. Yorumlara StoRank’ten yanıt göndermek Customer Support ya da App Manager rolü ister. Apple’ın analiz raporlarını (mağaza dönüşümü ve çökme sayıları) ilk kez açmak Admin isteyebilir; bunu yalnız sen istersen yaparsın.
Google Play: hizmet hesabına Google Cloud’da hiçbir rol vermen gerekmez. Play Console’da Uygulama bilgilerini görüntüleme ve toplu raporları indirme yeter; yorumlara yanıt vermek istersen Yorumlara yanıt vermeyi de ekle.
Apple Ads: API Account Read Only rolü yeter.

Adım adım anlatım: App Store Connect anahtarı ve Google Play hizmet hesabı.

3. Yalnız okuruz

Anahtarlarını yalnız kendi raporlarını okumak için kullanırız: indirmeler, gelir, yorumlar, mağaza dönüşümü, çökmeler, reklam performansı.

Mağaza hesabında bir şeyi değiştiren yalnız iki iş var ve ikisini de sen bir düğmeye basarak başlatırsın: bir yorum yanıtını göndermek ve (yalnız App Store’da) Apple’ın analiz raporlarını açmak. Uygulamanın metnine, fiyatına, sürümlerine ya da başka bir ayarına dokunmayız.

4. Bağlantıyı kesmek anahtarı siler

Ayarlar → Bağlantılar’dan bir bağlantıyı sildiğinde şifreli anahtar ve o bağlantıyla çekilen veriler hemen veritabanından silinir.

İstediğin an anahtarı kaynağında da iptal edebilirsin: App Store Connect’te anahtarı Revoke et, Google Cloud’da hizmet hesabının anahtarını sil ya da Play Console’da hizmet hesabının iznini kaldır. Bunu yaptığın an StoRank’in erişimi biter.

5. Kart bilgin bize hiç gelmez

Ödemeleri satıcı kuruluş (Merchant of Record) olarak Paddle.com alır. Kart bilgini Paddle’ın kendi ödeme penceresine girersin; bu bilgi sunucularımıza ulaşmaz. Biz yalnız abonelik durumunu, ülkeyi ve fatura için gereken sınırlı bilgiyi görürüz.

6. Giriş ve oturum

Şifren scrypt ile tek yönlü özetlenir; düz hâli hiçbir yerde saklanmaz ve biz de okuyamayız. Şifre en az 10 karakterdir.
E-postayla giriş ve kayıt formlarında Cloudflare Turnstile botları ayıklar. Hatalı şifre denemeleri sınırlıdır.
Oturum rastgele bir anahtarla açılır; veritabanında yalnız özeti durur. Çerez HttpOnly’dir (sayfadaki betikler okuyamaz) ve yalnız HTTPS’le gider.
Yeni bir cihazdan giriş yapıldığında kendi e-posta adresine uyarı gider; “ben değilim” dersen hemen şifreni değiştir. Şifre değişince bütün açık oturumlar kapanır.

7. Claude, ChatGPT ve API erişimi

StoRank’i Claude ya da ChatGPT’ye bağladığında (MCP) ya da bir API anahtarı oluşturduğunda erişim yalnız okumadır ve yalnız kendi hesabının verisini görür. Hiçbir şeyi değiştiremez.

Bağlantıları ve API anahtarlarını Ayarlar’dan istediğin an kaldırabilirsin. Erişim belirteçleri ve API anahtarları bizde yalnız özet olarak durur. Şifreni değiştirince yapay zekâ bağlantıları da kopar. Ayrıntılar Geliştiriciler sayfasında.

8. Sunucu ve ağ

Bütün trafik HTTPS ile şifreli; tarayıcılara bir yıl boyunca yalnız HTTPS kullanmaları söylenir (HSTS).
Sunucu web trafiğini yalnız Cloudflare üzerinden kabul eder; sunucuya doğrudan gelen bağlantılar düşer.
Sayfalarımız sıkı bir içerik güvenlik politikasıyla (CSP) sunulur: yalnız her istekte değişen bir anahtar taşıyan kendi betiklerimiz çalışır, sayfalar başka sitelere gömülemez.
Hesaplar birbirinden ayrıdır: başka bir hesabın uygulamasını, kelimesini ya da bağlantısını isteyen her istek “bulunamadı” yanıtı alır.

9. Yedekler

Her gece bir yedek alınır ve sunucudan çıkmadan önce age ile şifrelenir. Yedeği açacak anahtar sunucuda değildir; sunucu ele geçirilse bile yedekler okunamaz.

Şifreli kopya sunucunun dışında, Cloudflare R2’de 30 gün saklanır, sonra silinir. Bu yüzden sildiğimiz veri en geç 30 gün içinde yedeklerden de kalkar.

10. Saklama ve silme

Deneme süren ya da planın bittikten sonra bir plan seçmezsen verilerin 30 gün daha saklanır ve sonra silinir; silmeden 7 gün önce e-posta göndeririz. Hesabını hemen silmek istersen panelde Ayarlar → Hesabımı Sil'i kullan (şifreni yeniden girersin).

Silmede uygulamaların, kelimelerin, sıra geçmişin, rakiplerin, önerilerin, mağaza bağlantıların ve anahtarların, yapay zekâ bağlantıların, API anahtarların ve oturumların silinir. Yasanın istediği fatura kayıtları kalır.

11. Henüz olmayanlar

Dürüst olmak gerekirse: iki adımlı giriş (2FA) henüz yok ve SOC 2 gibi bir dış denetim belgemiz yok. Bunlar eklenince bu sayfada yazacak.

12. Bir açık mı buldun?

Lütfen [email protected] adresine yaz: ne bulduğunu ve nasıl tekrarlanacağını anlat. Her bildirimi biz okuruz ve olabildiğince çabuk dönüyoruz. Düzeltmek için bize makul bir süre tanı; başkalarının verisine erişme, veri silme ya da hizmeti yavaşlatacak yük testleri yapma.

Makinece okunur iletişim bilgisi: /.well-known/security.txt.

← Ana Sayfa