Doğrulanmış Kimlik
Kullanıcı ve servis kimlikleri, yetkili kimlik ve IAM kaynakları üzerinden doğrulanır; tarayıcıdan gelen tenant veya rol beyanı güven kaynağı sayılmaz.
Güvenlik ve Uyumluluk
Güvenlik, Entegrasyonun Son Adımı Değil; Tasarımın Başlangıcıdır.
Quibas; kullanıcı kimliğinden tenant sınırına, kurumsal sistem bağlantısından kritik karara kadar her adımı doğrulanabilir kontroller ve izlenebilir iş akışlarıyla ele alır.
Kimlik ve yetki kontrolü
Tenant izolasyonu
İzlenebilir işlem geçmişi
Quibas Integration Hub
Kontrollü kurumsal bağlantı katmanı
Kurumsal Sistemler
ERP · SAP · API
↔
Integration Hub
Politika ve dönüşüm
Desteklenen bağlantı modelleriKapsama göre
REST / JSON
OData V2/V4
SOAP / XML
RFC / BAPI
✓Hedef ve DNS kontrolü
✓Güvenli kimlik bilgileri
✓Sınırlı veri akışı
✓Idempotent iş takibi
Doğrulanabilir güvenlik modeli
Kontrolleri Katmanlara Değil, Uçtan Uca Akışa Yerleştiriyoruz
Kimlik, tenant, yetki, bağlantı, veri aktarımı ve karar kaydı aynı güven zincirinin parçalarıdır. Her kontrol, ilgili sistem ve proje kapsamına göre doğrulanır.
Tenant Sınırı
Üyelik, abonelik ve işlem izni tenant bazında doğrulanır. Operasyonel kayıtlar tenant kapsamlı tutulur; ilgili veri katmanlarında RLS ve sunucu tarafı yetkilendirme birlikte kullanılır.
İzlenebilir İşlem
Bağlantı, eşleme, iş, API erişimi ve kritik durum değişiklikleri; aktör, zaman, hedef ve sonuç bağlamıyla izlenebilir şekilde kaydedilir.
İnsan Kontrollü Karar
AI ve otomasyon hazırlama, karşılaştırma ve takip görevlerini üstlenebilir; kritik yayınlama, onay ve ticari kararlar yetkili kullanıcı kontrolünde tutulabilir.
Quibas Integration Hub
Farklı Protokoller, Tek Kontrollü Entegrasyon Katmanı
Integration Hub; teknik bağlantıyı iş kararından ayırır. Bağlantı, şema, eşleme, job, retry, idempotency ve gözlemlenebilirlik Hub tarafından yönetilir; satın alma ve risk iş kuralları ilgili ürünlerde kalır.
HTTP kimlik doğrulama seçenekleri
Bearer
Basic
OAuth 2.0 Client Credentials
mTLS
API anahtarı
01Okuma ve yazma
OData V2 / V4
Metadata ve şema keşfi, sınırlandırılmış okuma ve sayfalama, create işlemleri ve ETag kontrollü update akışları seçili operasyon kapsamına göre yapılandırılır.
02SAP
RFC / BAPI + SNC
SAP JCo tabanlı RFC/BAPI bağlantılarında izinli fonksiyon, tenant, bağlantı revizyonu ve kimlik bilgisi bağı korunur. SNC etkinleştirildiğinde şifreli RFC bağlantısı sunucu tarafında yönetilir.
03Gelen ve giden
REST / JSON API
Tenant ve uygulama kimliğine bağlı API erişimi, IP politikaları, idempotency anahtarı, kuyruklanan işler ve sonuç sorgulama modeliyle güvenli gelen ve giden akışlar kurulabilir.
04Sözleşme kontrollü
SOAP / XML
SOAP/XML bağlantıları, doğrulanmış WSDL ve izinli operasyonlara göre yapılandırılır. Desteklenen kapsam seçili SOAP 1.1 document/literal profilleriyle sınırlıdır; hedef sistemdeki okuma veya yazma işlemleri ayrıca doğrulanır.
Protokol desteği, her ERP bağlantısının hazır veya canlı ortamda doğrulanmış olduğu anlamına gelmez. Hedef sistem, lisans, ağ erişimi ve izinli işlemler proje kapsamında teyit edilir.
Güvenli veri akışı
Tarayıcıdan ERP’ye Doğrudan Geçiş Yok
Hub üzerinden kurulan bağlantılar, sunucu tarafında doğrulanan kimlik ve politika bağlamıyla yürütülür. İş sonuçları ürün tablolarına doğrudan yazılmaz; ilgili ürün backend’inin doğrulanmış sözleşmesine teslim edilir.
✓Tenant ve işlem yetkisi backend tarafından belirlenir.
✓Başarılı kabul, dış sistem işleminin tamamlandığı anlamına gelmez; sonuç ayrı izlenir.
✓Retry yalnız güvenli veya idempotent olduğu kanıtlanan işlemlerde uygulanır.
1
Doğrulanmış istek
Kimlik · tenant · izin
→
2
Integration Hub
Eşleme · job · politika
→
3
İzinli hedef
OData · RFC · API
Kayıt
Correlation ve iş durumu
Sonuç
Sahip backend’e teslim
Karar
İnsan onayı ve takip
Savunma katmanları
Bağlantı Açmak Değil, Güvenli Sınırlar İçinde Çalıştırmak
Her entegrasyon; hedef, kimlik bilgisi, veri büyüklüğü, işlem türü ve hata davranışı açısından sınırlandırılır. Kontrollerin tam kapsamı müşteri mimarisi ve etkinleştirilen bağlantı profiline göre doğrulanır.
Hedef ve ağ kontrolü
İzinli hedef/origin, DNS doğrulaması, yönlendirme politikası ve bağlantı ön kontrolüyle beklenmeyen dış erişim sınırlandırılır.
Kimlik bilgisi güvenliği
Secret değerleri bağlantı metadata’sı veya aktivite loglarında tutulmaz; güvenli kayıt referansları ve kontrollü rotasyon akışları kullanılır.
Sınırlandırılmış I/O
DNS, bağlantı ve yanıt süreleri; istek, yanıt ve payload boyutları; batch ve eşzamanlılık sınırları güvenilir yapılandırmadan uygulanır.
Idempotency ve uzlaştırma
Aynı anahtar ve içerik aynı işi döndürür; çelişen tekrarlar reddedilir. Belirsiz sonuçlar kör tekrar yerine durum takibi ve uzlaştırma akışına alınır.
Güvenli hata ve aktivite kaydı
Kullanıcıya sabit ve güvenli hata kodları sunulur; stack trace, credential, hedef URL, ham payload ve uzak hata gövdesi kullanıcı mesajına veya aktivite kaydına taşınmaz.
Güvenli geliştirme hedefleri
Integration Hub geliştirme standardı; OWASP ASVS 5.0 Level 2 hedefi, OWASP API Security Top 10 ve WSTG test yaklaşımını esas alır. Bunlar tasarım ve doğrulama hedefleridir; bağımsız sertifikasyon iddiası değildir.
ASVS L2 targetAPI Security Top 10WSTG
Uyumluluk bir rozet değil, proje kapsamıdır
KVKK ve GDPR gereksinimleri; veri rolleri, işleme amacı, saklama, silme, alt işleyenler, veri yerleşimi ve müşteri sorumluluklarıyla birlikte değerlendirilir. İlgili belgeler ve teknik kontroller sözleşme ve proje kapsamına göre netleştirilir.
KVKKGDPRVeri işleme kapsamı
Güvenlik SSS
Kurumsal Değerlendirmelerde En Çok Sorulanlar
Hayır. ERP ve diğer kayıt sistemleri işlem ve master data kaynağı olmaya devam eder. Quibas Integration Hub bu sistemlerle kontrollü veri alışverişi kurar; Data Intelligence ve Procurement IQ ise karar ve operasyon akışını yönetir.
RFC/BAPI profillerinde SAP JCo kullanılır. SNC gerektiren kurulumlarda partner kimliği, ilgili kütüphane ve sunucu tarafı yapılandırma doğrulanır. SNC etkin değilse RFC trafiğinin şifreli olduğu varsayılmaz; güvenlik modeli müşteri SAP ortamına göre açıkça belirlenir.
Integration Hub bağlantı kayıtlarında secret değerinin kendisini değil, güvenli kayda ait referansı tutar. Secret değerleri kullanıcı arayüzünde yeniden gösterilmez ve aktivite loglarına, kullanıcı hata mesajlarına veya teknik metadata’ya kopyalanmaz.
AI ve ajanlar yalnızca tanımlanmış araç, veri ve iş akışı sınırlarında çalışır. Kritik onay, yayınlama, tedarikçi seçimi veya ticari kararlar yetkili kullanıcı kontrolünde yapılandırılabilir; karar sahibi ve gerekçe izlenebilir şekilde tutulabilir.
Kurumsal güvenlik değerlendirmesi
Mimarinizi, entegrasyon kapsamınızı ve kontrol gereksinimlerinizi birlikte değerlendirelim.
Veri akışı, bağlantı yöntemi, tenant ve IAM modeli, saklama, alt işleyenler ve teknik doğrulama planını proje öncesinde netleştirelim.