v1.9 · 28 Ekim 2026
Colitu Güvenlik Teknik Belgesi
Mimari, tehdit modeli, protokoller, anahtar yönetimi, kayıt politikası, bilinen sınırlamalar ve yol haritası. Her ifade bugün yayında olan kodu ve sunucuları anlatır.
OWASP ASVS 5.0 · MASVS v2.1 · 25 Ekim 2026
Güvenlik Değerlendirme Raporu
OWASP ASVS 5.0 ve MASVS v2.1 standartlarına göre sunucu tarafı, web, asistanlar ve mobil uygulamaların iç değerlendirmesi. Kritik, yüksek veya orta açık bulgu yok; 253 ASVS gereksiniminin tek tek sonucu raporda.
01
Bir bakışta Colitu güvenliği
Yeşil: adı geçen her platformda anlatıldığı gibi çalışır. Sarı: kısmen ya da belirtilen sınırlarla. Kırmızı: henüz yok.
| Açık kaynak uygulamalar | Android, iOS, Windows ve Linux açık kaynaktır (GPL-3.0). Sunucu yazılımı kapalıdır. |
|---|---|
| Şifreli tünel | Hysteria2, VLESS Reality, VLESS XHTTP, Trojan ve Shadowsocks 2022; yerleşik uygulamalarla (Xray-core, sing-box, Hysteria). |
| Trafik içeriği ve gezinme geçmişi | Kaydedilmez. VPN sunucuları bağlantı başına log tutmaz. |
| Kullanıcı başına trafik hacmi | Sunucu başına yaklaşık 15 saniyelik aralıklarla kaydedilir ve kota için 90 gün saklanır; sonrasında yalnızca dönem toplamları kalır. |
| Tünel üzerinden DNS | Android ve iOS uygulamalarında ve TUN modunda evet. Sistem proxy modunda proxy dışında kalan uygulamalar için hayır (Linux'ta varsayılan; yeni Windows kurulumları TUN modunda başlar). |
| IPv6 sızıntı koruması | Android ve iOS'ta, ayrıca Windows ve Linux'ta kill switch açıkken TUN modunda engellenir. Sistem proxy modunda kapsanmaz. |
| Kill switch | Windows: kalıcı güvenlik duvarı kurallarıyla kendi hizmeti; Linux (TUN modu): nftables kuralları; ikisi de uygulama çökse bile engellemeyi sürdürür. Android, sistemin Always-on VPN ayarına dayanır; iOS'ta isteğe bağlı bir "VPN olmadan interneti engelle" anahtarı vardır (varsayılan olarak kapalı). |
| Bölgesel siteler VPN dışından yönlendirilir | Yeni kurulumlarda varsayılan olarak kapalıdır (gizlilik modu açıktır): Windows ve Android 2.7.0, iOS 5.6.0 ve Linux 1.3.0'dan beri; daha önce kurulmuş olanlar önceki ayarını korur. Gizlilik modu kapatılırsa yerleşik bir listedeki siteler dört uygulamada da VPN dışından gider; o bölgedeki bir sunucuya bağlıyken uygulanmaz. §9 bölümünde açıklanmıştır. |
| Kullanıcılar için iki adımlı doğrulama | Her hesap için isteğe bağlıdır (web sitesinden kurulur); dört uygulama da oturum açarken kodu ister. Yönetici hesapları için zorunludur. |
| Passkey'ler ve oturum denetimi | Web sitesi için passkey'ler (hesap başına en fazla 10); güvenlik sayfası tarayıcı oturumlarını listeler ve sonlandırır; parola değişince diğer tüm oturumlar kapanır. Uygulamalar önceden olduğu gibi parolayla oturum açar. |
| Uygulamalarda sabitlenmiş API bağlantısı | 10 Ekim 2026 uygulama sürümlerinden itibaren dört uygulama da API için Let's Encrypt (ISRG) ve Google Trust Services kök sertifika otoritelerini sabitler (pinning). Sınırlar: §12. |
| Bölünmüş tünel | Windows, Android ve Linux'ta uygulamalar, siteler ve IP adresleri (Windows ve Linux'ta uygulamalar yalnızca TUN modunda); iOS'ta yalnızca siteler ve IP adresleri, çünkü iOS uygulama bazlı VPN'e yalnızca yönetilen profillerde izin verir. |
| Colitu Shield (DNS koruması) | İsteğe bağlı. Reklam, izleyici, zararlı yazılım, kimlik avı, dolandırıcılık ve kripto madenciliği alan adlarını engeller (yaklaşık 380 bin kural). Çözümleyicilerinde sorgu kaydı ve istatistik yoktur. |
| Üçüncü taraf analitik | Hiçbir uygulamada (Android, iOS, Windows, Linux) yok. iOS uygulamasından 5.4.1 sürümünde kaldırıldı. |
| İmzalı güncellemeler | Android, Windows ve Linux'ta imzalı güncelleme manifesti (ECDSA P-256) ve SHA-256; iOS'ta App Store imzası. |
| Windows kod imzalama (Authenticode) | Henüz yok. |
| Tekrarlanabilir derlemeler | Android 2.9.3 ve Windows 2.9.8 sürümünden itibaren: etiketlenmiş kaynak kod, bayt bayt aynı dosyayı üretir. iOS ve Linux için henüz yok. |
| SBOM | Her Android ve Windows GitHub sürümü için SPDX; Linux için henüz yok. |
| Bağımsız güvenlik denetimi | Henüz tamamlanmadı. |
| Güvenlik açığı bildirimi | security@colitu.com; politika §18 bölümünde ve security.txt dosyasında. |
| Kendi sunucunuzda barındırma | Sunulmuyor. Tüm sunucuları Colitu kendisi işletir. |
02
Güvenlik ve gizlilik belgeleri
Gizlilik politikasıHangi veriyi neden ve ne kadar süre sakladığımızın tam listesi.Açık kaynak ve derleme doğrulamaWindows, Android, iOS ve Linux uygulamalarının kaynak kodu ve indirdiğiniz dosyayı nasıl doğrulayacağınız.Bilinen sınırlamalarColitu'nun bugün koruyamadığı ve henüz eksik olan şeyler.Güvenlik yol haritasıSıradaki güvenlik ve gizlilik iyileştirmeleri.Adaptive Connect 3.0 teknik raporuAnonim ağ ipuçları, kurtarma seti, ~11 saniyede kesinti tespiti ve dört uygulamada ortak karar kuralları; neyin yayında, neyin alfa olduğu.Önceki sürümün teknik raporu: Adaptive Connect 2.010 Ekim 2026 tarihli tarihsel rapor: yedek hat, sunucu sıralaması ve bir saatlik arıza testi. Güncel sürüm 4.0'dır.Sorumlu açıklama politikasıGüvenlik açığı nasıl bildirilir, kapsam, kurallar, güvenli liman ve yanıt süreleri.Hata ödül programıHesabınızdan güvenlik bildirimi gönderin; ödüller 1–12 ay Plus ve kritik açıklarda nakit, teşekkür listesi isteğe bağlı.Şeffaflık ve kanarya beyanıResmî taleplere ilişkin sayılar ve düzenli yenilenen kanarya beyanı.
status.colitu.com
Sistem durumu03
Şeffaflık
Bize gelen resmî talepleri ve kötüye kullanım işlemlerini dönemlik raporlarla paylaşıyoruz.
Şeffaflık raporları
Dönem dönem yayınlanır; en yenisi en üstte.- Şeffaflık raporu · Q3 20261 Temmuz 2026 – 30 Eylül 2026Yayın: 1 Ekim 2026
- Resmî makam talepleri
- 0
- Veri verilen talepler
- 0
- İçerik ve telif bildirimleri
- 0
- Kötüye kullanım bildirimleri
- 0
- Kısıtlanan hesaplar
- 0
Colitu 12 Eylül 2026'da hizmete açıldı; bu ilk rapor açılıştan 30 Eylül'e kadarki dönemi kapsar. Bu dönemde hiçbir makamdan kullanıcı verisi talebi almadık ve kimseyle kullanıcı verisi paylaşmadık.
Her raporda
- Resmî makam talepleriMahkeme, kolluk veya diğer kurumlardan gelen kullanıcı verisi talepleri.
- Veri verilen taleplerBu taleplerden kaçında herhangi bir veri paylaşıldığı.
- İçerik ve telif bildirimleriDMCA ve benzeri bildirimler.
- Kötüye kullanım bildirimleriSunucularımızdan çıkan trafikle ilgili spam, saldırı veya dolandırıcılık bildirimleri.
- Kısıtlanan hesaplarKötüye kullanım nedeniyle kısıtlanan hesaplar.
Bir talep aldığımızda
Her talebi hukuki dayanağı açısından inceleriz ve yalnızca elimizde olan veriyi verebiliriz. Trafik içeriği, ziyaret edilen siteler, DNS sorguları ve VPN sunucularında IP adresleri kaydedilmez. Elimizde olan verilerin tam listesi teknik belgededir.
Saklanan verilerin listesi04
Olay kaydı
Gizliliği veya güvenliği etkileyen olayları burada ve teknik belgede anlatırız.
Güvenlik açığı bildirimi
Bir açık bulduysanız lütfen herkese açık paylaşmadan önce security@colitu.com adresine bildirin. 3 iş günü içinde yanıt veririz; iyi niyetli araştırmalara karşı hukuki işlem başlatmayız. Bildirim politikası
Gizlilik, güvenlik ve kötüye kullanım iletişimi
- Gizlilik ve veri talepleriprivacy@colitu.comKişisel verilerinize erişim, düzeltme ve silme talepleri.
- Güvenlik açığı bildirimisecurity@colitu.comUygulamalarda veya altyapıda bulduğunuz açıkları herkese açık paylaşmadan önce buraya bildirin; 3 iş günü içinde yanıt veririz. Bildirim politikası
- Kötüye kullanım bildirimiabuse@colitu.comColitu sunucularından kaynaklanan spam, saldırı veya telif bildirimleri.
Son güncelleme: 28 Ekim 2026