Güvenlik ve gizlilik

Coduva bir geliştirme aracıdır ve yalnızca bu bilgisayarda çalışacak şekilde tasarlanmıştır. Bu sayfa hangi korumaların olduğunu ve nelere dikkat etmeniz gerektiğini anlatır.

Ağ erişimi

Tüm servisler yalnızca 127.0.0.1 (loopback) adresini dinler:

Servis	Dinlediği adres
Nginx	127.0.0.1:80, HTTPS açıksa 127.0.0.1:443
PHP FastCGI havuzları	127.0.0.1:9800–9999
MariaDB	127.0.0.1:3306 (bind-address=127.0.0.1)

Yerel ağdaki başka bir bilgisayar, telefon veya sanal makine bu servislere bağlanamaz. Siteleri ağa açmak bilinçli olarak ayrı bir seçenek olarak bırakılmıştır ve 0.2.0 sürümünde yoktur.

MariaDB root kullanıcısının parolası boştur ve yalnızca bu bilgisayardan erişilebilir. phpMyAdmin bu kullanıcıyla otomatik giriş yapar; o da yalnızca 127.0.0.1 üzerinden açılır.

Yetki modeli

• Ana uygulama yetkisiz çalışır. Coduva'yı yönetici olarak çalıştırmanız gerekmez ve önerilmez. Kurulum paketi kullanıcı bazlıdır.
• hosts dosyası Windows tarafından korunur. Değişiklik gerektiğinde Coduva kendisini --coduva-hosts-helper bağımsız değişkeniyle, Windows'un UAC onay penceresi üzerinden yükseltilmiş olarak çalıştırır. Yardımcı işini yapar ve kapanır.
• İstenen içerik dosyadakiyle aynıysa UAC onayı istenmez.

hosts yardımcısının sınırları

Yardımcı süreç yalnızca Coduva'nın işaretli bölümünü değiştirir; bölümün dışındaki satırlara dokunmaz:

# >>> Coduva — bu bölüm Coduva tarafından yönetilir
127.0.0.1 magaza.test
127.0.0.1 panel.test
# <<< Coduva

Yardımcı, kendisine verilen listeyi yazmadan önce yeniden doğrular ve yalnızca 127.0.0.1 <ad>.test biçimindeki satırları kabul eder. Liste dosyası başka bir program tarafından değiştirilse bile hosts dosyasına başka bir adres veya alan adı yazılmaz.

Yerel sertifika otoritesi

Yerel HTTPS için Coduva bu bilgisayara özel bir sertifika otoritesi (CA) üretir.

Özellik	Değer
Ad	Coduva Local CA (<bilgisayar adı>)
Anahtar	ECDSA
Geçerlilik	10 yıl
Konum	C:\Coduva\etc\ssl\ca\coduva-ca.crt ve coduva-ca.key
Güven deposu	Windows kullanıcı kök sertifika deposu (certutil -user)
Proje sertifikaları	<ad>.test adına, CA ile imzalı, 825 gün geçerli; C:\Coduva\etc\ssl\sites\

CA, Yerel HTTPS ekranındaki Güvenilir yap ile Windows'un kullanıcı deposuna eklenir. Yönetici izni gerekmez; Windows bir güvenlik onayı penceresi gösterir. Chrome ve Edge bu depoyu kullanır. Firefox için about:config → security.enterprise_roots.enabled = true gerekebilir.

CA anahtarını koruyun

coduva-ca.key dosyasına sahip olan biri, bu Windows kullanıcısının tarayıcılarının güveneceği sertifikalar üretebilir. Bu yüzden:

• C:\Coduva\etc\ssl\ca klasörünü paylaşmayın, depoya eklemeyin, yedekleriyle birlikte başkasına vermeyin.
• Yerel HTTPS'i kullanmadığınızda Yerel HTTPS ekranındaki Güvenilenlerden kaldır ile CA'yı güvenilenlerden çıkarın.
• Coduva'yı kaldırdıktan sonra CA'nın kullanıcı deposundan da kaldırıldığından emin olun (certmgr.msc → Güvenilen Kök Sertifika Yetkilileri).

CA var olduğu sürece yeniden üretilmez; projelerde HTTPS açıp kapatmak yalnızca proje sertifikasını etkiler.

Sırların korunması

• Parolalar ayar veritabanına yazılmaz. Proje kayıtlarında veritabanı parolası tutulmaz.
• WordPress yönetici parolası kurulum sonunda yalnızca bir kez gösterilir; Coduva bunu saklamaz.
• Olay kaydı ve günlükler: Kayda yazılan ayrıntılarda password, passwd, pwd, secret, token, api_key, apikey anahtarlarının değerleri maskelenir.
• Sağlık raporu: Günlükten alınan satırlar rapora yazılmadan önce aynı şekilde maskelenir.

WordPress tek tıkla giriş

Yönetici olarak giriş yap şöyle çalışır:

1. Coduva projenin wp-content\mu-plugins\coduva-login.php dosyasına küçük bir eklenti, wp-content\coduva-login.token dosyasına rastgele 48 karakterlik bir jeton yazar.
2. Tarayıcıda wp-login.php?coduva_login=<jeton> adresi açılır.
3. Eklenti jeton dosyasını okur ve hemen siler. Jeton 2 dakikadan eskiyse veya eşleşmiyorsa giriş yapılmaz.
4. Eşleşirse sitedeki ilk yönetici hesabıyla oturum açılır ve yönetim paneline yönlendirilir.

Jeton bir kez kullanılabilir. Bu eklenti yerel geliştirme içindir; siteyi canlı sunucuya taşırken coduva-login.php dosyasını dahil etmeyin.

Web sunucusu korumaları

• Nokta ile başlayan dosya ve klasörlere (.env, .git, .htaccess gibi) Nginx üzerinden erişim engellenir; .well-known hariç.
• Sunucu sürüm bilgisi yanıtlarda gösterilmez (server_tokens off).
• Proje sanal sunucuları yalnızca kendi web köklerini sunar.

İndirmelerin doğrulanması

• Bileşenler yalnızca resmî kaynaklarından ve yalnızca HTTPS üzerinden indirilir.
• Her paket, Coduva'yla gelen bildirimdeki SHA-256 değeriyle doğrulanır; uyuşmazsa silinir.
• Zip paketleri açılırken hedef klasör dışına çıkan yollar atlanır (zip-slip koruması).
• WordPress çekirdeği yalnızca downloads.wordpress.org adresinden kabul edilir ve WordPress.org'un yayınladığı SHA-1 değeriyle doğrulanır.

Ayrıntılar: Bileşenler.

Coduva güncellemeleri

• Coduva yeni sürümleri https://updates.coduva.dev/stable/latest.json dosyasından denetler; denetim ve indirme yalnızca HTTPS üzerinden yapılır.
• Her kurulum paketi Coduva'nın imzalama anahtarıyla imzalanır. Doğrulama için gereken açık anahtar uygulamanın içindedir; imzası tutmayan paket kurulmaz.
• İmza paketin sürüm numarasını da kapsar. Böylece eski bir sürümün imzalı paketi yeni sürüm diye sunulamaz.
• Coduva güncellemeyi kendiliğinden kurmaz. İndirme ve kurulum yalnızca Ayarlar › Güncellemeler kartındaki Yükle ve yeniden başlat ile başlar.

Ayrıntılar: Coduva'yı güncel tutmak.

Gizlilik

• Telemetri yok. Coduva kullanım verisi, hata raporu veya proje bilgisi göndermez.
• Hesap gerekmez. Bulut eşitlemesi yoktur.
• Çevrimdışı çalışır. Bileşenler kurulduktan sonra internet yalnızca yeni bileşen indirirken, WordPress/Laravel projesi oluştururken, sizin çalıştırdığınız paket komutlarında (Composer, npm, WP-CLI) ve güncelleme denetiminde kullanılır.
• Güncelleme denetimi günde en fazla bir kez yapılır ve latest.json dosyasını isteyen tek bir HTTPS isteğidir. Adreste ve istekte Coduva sürümünüz, bilgisayarınız, projeleriniz veya kullanımınızla ilgili bilgi yoktur; sunucu, her web isteğinde olduğu gibi yalnızca IP adresinizi görür. Ayarlar › Güncellemeler kartındaki Güncellemeleri otomatik denetle anahtarıyla kapatabilirsiniz.
• CodVS editörünü kullanırsanız CodVS eklenti yüklemek ve güncellemek için open-vsx.org'a bağlanır. Coduva ile CodVS arasındaki haberleşme ağ üzerinden değil, %APPDATA%\Coduva\editor-bridge.json dosyası ve komut satırı üzerinden yapılır; bu dosyada parola bulunmaz. Bkz. CodVS editörü.
• Verileriniz bilgisayarınızda kalır. Projeler, veritabanları ve yedekler yerel dizinlerdedir. Bkz. Dizinler ve dosyalar.
• Uygulama içinden açılabilen dış adresler sabit bir listeyle sınırlıdır (coduva.dev ve Microsoft'un Visual C++ indirme adresi).

Kod imzalama

0.2.0 kapalı beta sürümünde kurulum paketi henüz kod imzalı değildir. Windows SmartScreen ilk çalıştırmada "Windows bilgisayarınızı korudu" uyarısı gösterebilir. Kurulum paketini yalnızca Coduva'nın resmî kaynağından aldıysanız Ek bilgi → Yine de çalıştır ile devam edebilirsiniz. Kod imzalama genel sürümden önce eklenecektir. Bkz. Sürüm notları.