Security
Why Proof of Possession Matters More Than Ever
Bearer tokens are a liability. How ECDSA-based proof of possession makes stolen tokens worthless and why every API should require it.
Read more
Her ürünümüz Enravo Core üzerinde çalışır. İstisnasız.
40+
Granular abilities
6-stage
Configurable pipeline
19
Database tables
∞
Extensible modules
Veriden güvenliğe — birlikte çalışan modüler bileşenler.
Birden fazla API istemcisi kaydedin — her biri kendi kimlik bilgileri, giriş rolleri, attestation modu, IP izin listesi ve endpoint kapsamına sahip. Mobil, masaüstü, headless, sunucu — tek panelden.
Kullanıcı başına maksimum aktif cihaz. Limit aşıldığında engelleme veya değiştirme modu. Her cihaz platform bilgisi, IP geçmişi ve push token ile takip edilir.
Her uygulama örneği bir yaşam döngüsü izler: beklemede → aktif → iptal → yasaklı. İstemci bazlı otomatik onay veya admin incelemesi. Anlık iptal.
Veri modelinizi şema olarak tanımlayın — CRUD endpoint'leri, doğrulama, yetki kapsamları ve OpenAPI belgeleri UnifiedDriver ile otomatik üretilir.
8 varsayılan güvenlik politikası. Endpoint bazlı auth tipi, PoP modu, rate limit, IP izin listesi ve attestation gereksinimleri — tamamen deklaratif.
40+ yetki, modül bazlı organizasyon. Wildcard eşleştirme (module/*), rol-yetki eşlemeleri ve istemci bazlı giriş rolü kısıtlamaları.
SaaS, mobil uygulamalar, API güvenliği, çoklu istemci mimarileri — altında aynı çekirdek.
İstemci izolasyonu
Her API istemcisi kendi kimlik bilgileri, giriş rolleri, rate limit ve güvenlik politikalarına sahiptir. Tüketici uygulaması 'müşteri' rolüyle, admin uygulaması 'yönetici' rolüyle kısıtlanır.
Platform tipleri
Mobil, masaüstü, headless web, sunucu — her istemci tipinin kendi attestation modu, paket beyaz listesi ve endpoint kapsamı vardır.
Merkezi yönetim
Tüm istemcileri yönetin, aktif uygulamaları görüntüleyin, cihazları izleyin ve politikaları tek bir admin panelinden ayarlayın.
Çok kiracılı izolasyon
Her kiracı kendi istemci yapılandırması, rol kısıtlamaları ve veri kapsamına sahip olur. Tek dağıtım birden fazla organizasyona hizmet verir.
Şema tabanlı API'ler
Veri modelinizi bir kez tanımlayın — CRUD endpoint'leri, doğrulama, izinler ve belgeler otomatik üretilir. Özellikleri daha hızlı sunun.
Kiracı başına yapılandırılabilir güvenlik
Kurumsal kiracılar PoP + attestation gerektirebilir. Ücretsiz katman kiracıları JWT-only kullanır. Aynı kod tabanı, farklı politikalar.
Mevcut API'leri sarın
Enravo Core'un güvenlik katmanı mevcut API endpoint'lerinin önünde durur. PoP doğrulama, rate limiting ve denetim — backend'i yeniden yazmadan.
Guard pipeline
Altı aşamalı doğrulama: JWT → Device → PoP → App Chain → Ability Check → Allow. Her istek bağımsız değerlendirilir.
Otomatik tehdit yanıtı
5 imza hatası cihazı engeller. 3 attestation hatası cihazı engeller. 1 nonce tekrarı anında yasaklama tetikler. Brute force → 15 dakika IP kilidi.
Cihaz kaydı
Her cihaz kurulumda ECDSA P-256 anahtar çifti üretir. Açık anahtar kaydedilir — oturumlar kriptografik olarak donanıma bağlıdır.
Cihaz limitleri
Kullanıcı başına maksimum aktif cihaz. Engelleme modu yeni girişleri reddeder. Değiştirme modu en eski cihazı otomatik çıkarır. İstemci bazlı yapılandırılabilir.
Uygulama attestation
Play Integrity ve App Attest, herhangi bir hassas işleme izin verilmeden önce uygulamanın orijinal ve değiştirilmemiş olduğunu doğrular.
Enravo Core, geliştirdiğimiz her ürünün arkasındaki altyapıdır. Platform katmanı şemalardan API üretir, modülleri yönetir ve veriyi işler. Trust katmanı yapılandırılabilir bir guard pipeline sunar — endpoint başına altı doğrulama aşamasına kadar — device binding, PoP imzalama ve otomatik tehdit yanıtı ile. Birlikte tek bir sistem oluştururlar.
/enravo/v1/auth/login1POST /enravo/v1/auth/login2Content-Type: application/json3X-Client-ID: mobile_consumer4X-Device-ID: dev_9f8e7d6c5X-PoP-Signature: eyJhbGciOiJFUzI1NiJ9...6
7{8 "username": "user@example.com",9 "password": "••••••••",10 "device_info": {11 "platform": "android",12 "app_version": "2.4.1"13 }14}Enravo Trust, Enravo Core'un içine yerleşik güvenlik katmanıdır. Yapılandırılabilir bir guard pipeline sunar — her istemci tipi ve endpoint kendi güvenlik politikasına sahip olur. Mobil uygulamalar Play Integrity + PoP imzası gerektirebilir, public API'ler daha hafif doğrulama kullanır. Device binding, attestation ve auto-ban politika bazlı açılıp kapatılabilir.
| Geleneksel Yapı | Enravo Core | |
|---|---|---|
| Kimlik Doğrulama | Üçüncü taraf auth sağlayıcısı. SDK entegrasyonu, webhook senkronizasyonu, token format uyumsuzlukları, satıcı bağımlılığı. | Yerleşik guard pipeline. JWT → Device → PoP → Ability Check — tek sistem, sıfır bağımlılık. |
| Cihaz Güvenliği | Cihaz yönetimi kavramı yok. Token'lar her cihazda çalışır, çalınan kimlik bilgileri her yerde kullanılabilir. | Cihaz başına ECDSA P-256 anahtar çiftleri. Oturumlar donanıma bağlı. Çalınan token'lar işe yaramaz. |
| Erişim Kontrolü | Basit rol string'leri. Manuel endpoint eşlemesi. Wildcard eşleştirme yok. Ölçekte yönetilemez hale gelir. | 40+ granüler yetki. Wildcard eşleştirme (module/*). İstemci bazlı giriş rolü kısıtlamaları. |
| Tehdit Yanıtı | Ayrı WAF. Ayrı rate limiter. Ayrı loglama. Üç satıcı, üç panel, kör noktalar. | Otomatik: 5 imza hatası → cihaz engellenir. 1 nonce tekrarı → anında yasaklama. Guard katmanına yerleşik. |
| API Üretimi | Her endpoint elle yazılır. Manuel doğrulama. Manuel OpenAPI spesifikasyonları. Aylarca boilerplate. | Şema tanımlayın. CRUD endpoint'leri, doğrulama, izinler ve belgeler otomatik üretilir. |
| Denetim Kaydı | Sonradan eklenen loglama servisi. Eksik kapsam. Auth olayları ile API çağrıları arasında korelasyon yok. | Her istek kaydedilir — cihaz, istemci, kullanıcı, IP, endpoint, kullanılan yetki, uygulanan politika. |
Her istek, cihaz ve tehdit — gerçek zamanlı takip.
Requests / 24h
Guard Pass Rate
Active Devices
Threats Blocked
İstemci kaydı, guard pipeline durumu, cihaz yönetimi — komut satırından.
SDK'lar, altyapı ve güvenlik entegrasyonları.
Android ve JVM backend entegrasyonu, PoP imzalama desteği.
Keychain destekli ECDSA anahtar çiftleriyle iOS entegrasyonu.
Dil bağımsız API erişimi. HTTP konuşan her istemci.
Birincil veri deposu. Schema Engine doğrudan tablolara eşlenir.
Oturum önbelleği, rate limit sayaçları ve nonce tekrar deposu.
Konteynerleştirilmiş dağıtım. Tek imaj, tüm katmanlar dahil.
Android istemcileri için Google Play uygulama attestation.
iOS istemcileri için Apple DeviceCheck attestation.
Tüm platformlar için Proof of Possession imzalama standardı.
Kullanılan teknolojiler
Enravo ekibinden teknik makaleler ve platform güncellemeleri.