Panel güvenliği: 2FA, şifre ve oturumlar

Yönetici hesapları sitenin anahtarıdır: mağazayı, ödemeleri ve oyun sunucusuna giden komutları yönetir. Bu yüzden panel hesabını iki adımlı doğrulamayla korumalı, oturumlarını ve kayıtları ara ara kontrol etmelisin.

Hesap güvenliği sayfası#

Menünün en altındaki hesap adına tıkla ve Hesap güvenliği'ni seç. Bu sayfa her yetkilinin kendi hesabı içindir ve üç bölümden oluşur.

İki adımlı doğrulamayı açmak

İki adımlı doğrulama (2FA), girişte şifrenin yanında telefonundaki bir uygulamanın ürettiği 6 haneli kodu da ister. Şifren çalınsa bile kod olmadan hesabına girilemez.

1. Onay için şifreniz alanına şifreni yaz ve 2FA etkinleştir'e bas.
2. Ekrandaki QR kodu Google Authenticator, Aegis ya da 1Password gibi bir doğrulama uygulamasıyla tara. Tarayamıyorsan QR kodun yanındaki anahtarı uygulamaya elle gir.
3. Uygulamadaki 6 haneli kodu Doğrulama kodu alanına yaz ve Etkinleştir'e bas.
4. Ekranda çıkan yedek kodları güvenli bir yere kaydet. Her kod bir kez kullanılır ve bir daha gösterilmez.

Uygulamada hesabın site adınla görünür. Kod kabul edilmezse telefonunun saatinin doğru olduğundan emin ol. 2FA'yı kapatmak için aynı yerde şifreni yazıp 2FA kapat'a basarsın.

Şifre değiştirmek

Mevcut şifre, Yeni şifre ve Yeni şifre (tekrar) alanlarını doldurup Şifreyi değiştir'e bas. Yeni şifre en az 10 karakter olmalı. Şifre değişince diğer bütün oturumların kapanır.

Aktif oturumlar

Hesabının açık olduğu her tarayıcı listelenir: tarayıcı ve işletim sistemi, IP adresi ve son etkinlik zamanı. Şu an kullandığın oturumun yanında "(bu cihaz)" yazar. Tanımadığın bir oturum görürsen Oturumu kapat'a bas ve şifreni değiştir. Bir oturum 7 gün kullanılmazsa kendiliğinden sona erer.

Yöneticiler için 2FA zorunluluğu#

Yönetim paneli → Ayarlar → Sistem ve güvenlik sayfasındaki Yöneticiler için 2FA zorunlu anahtarı, panel erişimi olan herkesi 2FA kurmaya zorlar. Açıkken 2FA'sı kapalı bir yetkili panele girdiğinde Hesap güvenliği sayfasına yönlendirilir ve 2FA'yı açmadan devam edemez.

Kendini panelin dışında bırakmaman için bu ayarı yalnız kendi hesabında 2FA açıkken kaydedebilirsin.

Bu ayar kapalı olsa bile aşağıdaki işler yetkilinin kendi hesabında 2FA ister:

• Para ya da konsol komutu içeren izinlerle yapılan işlemler: ürün komutları ve oyun sunucuları, sipariş iadesi ve ödeme onayı, kredi bakiyesi düzenleme, ödeme yöntemleri ve para birimi, sıralama yönetimi (oyun veritabanı bağlantıları dahil), pazar yönetimi ve site API anahtarları.
• Hesap bağlama ve Cezalar ayarlarını kaydetmek.
• Başka bir oyuncunun 2FA'sını sıfırlamak ve bir hesabı KVKK kapsamında silmek.

İzinlerin tam listesi: Kullanıcılar, roller ve izinler.

Giriş korumaları#

BorCube giriş denemelerini kendiliğinden sınırlar:

Sınır aşılınca "Çok fazla deneme" uyarısı çıkar; biraz bekleyip yeniden denemek yeter. Ayrıca:

• Yanlış kullanıcı adı ve yanlış şifre aynı hatayı verir; böylece hangi hesapların var olduğu anlaşılmaz.
• Yasaklı bir hesap giriş yapamaz.
• Turnstile anahtarlarını girdiysen panel girişinde de bot doğrulaması çıkar: Genel ayarlar.

Gerçek IP başlığı#

Sitenin önünde Nginx, Caddy ya da Cloudflare gibi bir ara sunucu (proxy) varsa, ziyaretçinin gerçek IP adresi bir HTTP başlığıyla iletilir. Ayarlar → Sistem ve güvenlik → Gerçek IP başlığı bu başlığı seçer:

• X-Forwarded-For (Nginx / Caddy)
• CF-Connecting-IP (Cloudflare)
• X-Real-IP
• Hiçbiri (doğrudan erişim)

Giriş sınırları, IP başına hesap sınırı ve kayıtlardaki IP adresleri bu seçime dayanır. Yalnız önündeki ara sunucunun yazdığı başlığı seç; yanlış seçim IP adreslerinin taklit edilmesine yol açabilir.

Kayıtlarla ilişkisi#

Güvenlikle ilgili olaylar Kayıtlar → Panel kayıtları sayfasına IP adresi ve tarayıcı bilgisiyle yazılır: girişler (auth.sign_in), başarısız girişler (auth.sign_in_failed), 2FA kapatma, şifre değişikliği, oturum kapatma, rol ve yasak değişiklikleri. Başarısız girişlerde yalnız yazılan kullanıcı adı ya da e-posta saklanır, şifre asla. Filtre kutusuna auth. yazarak yalnız bu olayları görebilirsin: İstatistikler ve kayıtlar.

Öneriler#

• Her yetkili kendi hesabını kullansın; hesap paylaşmayın.
• Tüm yetkileri yalnız kendine ver. Ekibine yalnız işinin gerektirdiği izinleri içeren roller oluştur.
• Yöneticiler için 2FA zorunlu ayarını aç.
• Yedek kodlarını bir şifre yöneticisinde ya da çevrimdışı güvenli bir yerde sakla.
• Bir yetkili ekipten ayrılınca rolünü kaldır ve kullanıcı sayfasından Tüm oturumları kapat.
• Panel kayıtlarında auth.sign_in_failed satırları çoğalırsa Turnstile'ı aç.
• Oyuncular da kendi hesaplarında 2FA açabilir; sitedeki profil sayfalarının güvenlik bölümünü (/profil/guvenlik) duyurmanı öneririz.