Güvenlik inceleme paketi
Güvenlik inceleyicinizin ihtiyaç duyduğu her şey
Tedarikçi ve BT güvenlik incelemelerinin Screshot Chrome uzantısı hakkında sorduğu soruların yanıtları, PDF olarak kaydedebileceğiniz tek bir sayfada. Son inceleme: 30 Ekim 2026.
1. Özet
| Ürün | Screshot, ekran görüntülerini yakalamak, bulanıklaştırmak ve işaretlemek için bir Chrome uzantısı |
| Dağıtım | Chrome Web Store, uzantı kimliği ikhdemckhflgmlijkaomcpdmljegkakh |
| Kullanıcılar | Chrome Web Store’da 20,000+ |
| Fiyat | Yakalama, bulanıklaştırma ve işaretleme bireyler ve kuruluşlar için ücretsizdir. Paylaşım, hesap başına ücretsiz 1 GB şifreli depolama içerir. |
| Screshot tarafından işlenen müşteri verileri | Yakalama ve düzenleme için hiçbiri. Bir kullanıcının paylaşmayı seçtiği ekran görüntüleri için: Screshot’un şifresini çözemediği uçtan uca şifreli görsel dosyaları, ayrıca hesap ve paylaşım meta verileri |
| Yakalama ve düzenleme sırasındaki ağ istekleri | Yok |
| Kullanıcı hesapları | İsteğe bağlı, yalnızca paylaşmak için. Google ile oturum açma; parola yok |
| Paylaşılan ekran görüntülerinin şifrelenmesi | Uçtan uca: ekran görüntüsü başına AES-256-GCM, anahtarlar ECDH P-256 ile değiş tokuş edilir, kilit bir geçiş anahtarı (passkey) veya kurtarma koduyla açılır |
| Sertifikalar | Bugün yok (SOC 2 veya ISO 27001 yok) |
| Güvenlik iletişimi | contact@screshot.com |
2. Veri akışı
- Kullanıcı yakalamayı araç çubuğu simgesiyle, bir klavye kısayoluyla veya sağ tıklama menüsüyle başlatır. Chrome bunun üzerine yalnızca o sekmeye geçici erişim verir (activeTab).
- Chrome görünen alanı işler. Tam sayfa için uzantı sekmeyi kaydırır, parçaları bellekte birleştirir ve sayfayı eski haline getirir.
- Görsel, uzantının içinde paketlenmiş bir sayfada (chrome-extension://) açılır. Bu sayfa uzak kod, yazı tipi veya analiz yüklemez.
- Kullanıcı bulanıklaştırır, kırpar ve işaretler. Bulanıklaştırma piksellere yazılır.
- Kullanıcı görseli panoya kopyalar veya PNG olarak indirir. Sekmeyi kapatmak görseli atar. Cihazdan hiçbir şey çıkmamıştır.
Doğrulamak için: chrome://extensions adresini açın, Geliştirici modunu etkinleştirin, Screshot’un service worker’ını inceleyin ve yakalama yaparken Ağ (Network) sekmesini izleyin. Tarayıcıdan hiçbir istek çıkmaz.
Bağlantıyla paylaşım (isteğe bağlı, uçtan uca şifreli)
- İsteğe bağlı. Kullanıcı Share düğmesine tıklar ve yalnızca ilk seferde Google ile oturum açar (chrome.identity).
- İlk paylaşım, kullanıcının şifreleme anahtarlarını tarayıcıda ayarlar: özel anahtarı bir geçiş anahtarı (WebAuthn PRF) veya bir kurtarma koduyla sarmalanan bir ECDH P-256 anahtar çifti.
- Tarayıcı bu ekran görüntüsü için rastgele bir AES-256-GCM anahtarı oluşturur ve düzenlenmiş görseli ve bir küçük resmi bu anahtarla şifreler.
- Cloudflare R2’ye yalnızca şifreli dosyalar yüklenir. Anahtar, sahibinin açık anahtarı için sarmalanmış olarak saklanır, hiçbir zaman düz biçimde değil.
- Davet edilen kişiler, kendi açık anahtarları için sarmalanmış anahtarı alır. Bağlantıya sahip herkes paylaşımında anahtar, bağlantının # işaretinden sonraki kısmına yerleştirilir; tarayıcılar bu kısmı sunuculara göndermez.
- Görüntüleyenlerin tarayıcıları şifreli dosyayı birkaç dakika içinde süresi dolan imzalı bir adres üzerinden alır ve şifresini yerel olarak çözer.
Doğrulamak için: bir ekran görüntüsü paylaşın ve yüklemeyi inceleyin. Gövde bir görsel değil, SCE1 ile başlayan şifreli baytlardan oluşan bir dosyadır ve hiçbir istek anahtarı taşımaz.
3. İzinler
| İzin | Kullanım amacı | Yapamaz |
|---|---|---|
activeTab | Önünüzdeki sekmeyi, yalnızca simgeye tıkladığınız veya bir kısayol kullandığınız anda yakalamak. | Diğer sekmeleri okumak, arka planda çalışmak veya tarama geçmişinizi görmek. |
scripting | Tam sayfa yakalama sırasında yakaladığınız sekmeyi kaydırmak, ardından sekmeyi tam olarak eski haline getirmek. | Screshot’tan yakalamasını istemediğiniz herhangi bir sayfada çalışmak. |
contextMenus | Screshot simgesinin sağ tıklama menüsüne "Capture visible area" ve "Capture full page" seçeneklerini eklemek. | Web sayfalarındaki menüleri değiştirmek veya neye tıkladığınızı okumak. |
storage | Screshot oturumunuzu bu cihazda, uzantının kendi depolama alanında tutmak. | Çerezleri, parolaları veya web sitelerinin sakladığı herhangi bir şeyi okumak. |
identity | Paylaşmayı seçtiğinizde, düzenleyiciden ayrılmadan Google oturum açma ekranını kendi penceresinde açmak. | Google parolanızı görmek veya Screshot dışında herhangi bir şeyde oturumunuzu açmak. |
Ana makine izni yok; geçmişe, çerezlere veya indirilenlere erişim yok.
4. Veri envanteri
| Sistem | Kişisel veriler | Nerede tutulur |
|---|---|---|
| Uzantı | Yalnızca kullanıcının oturum açma token’ı, paylaşım yapıyorsa | Kullanıcının cihazında uzantı depolama alanı |
| Hesaplar | Paylaşım yapan kullanıcıların e-postası, adı, profil resmi adresi ve Google kimliği | PostgreSQL (AWS eu-central-1) |
| Paylaşılan ekran görüntüleri | Şifreli görsel ve küçük resim; başlık, boyut, ölçüler, mod, tarihler, görüntülenme sayısı | Şifreli dosyalar Cloudflare R2’de; meta veriler PostgreSQL (AWS eu-central-1)’da |
| Şifreleme anahtarları | Açık anahtarlar; özel anahtarlar ve ekran görüntüsü başına anahtarlar ise yalnızca sarmalanmış (şifreli) biçimde | PostgreSQL (AWS eu-central-1) |
| Davetler | Davet edilen e-posta adresleri ve erişim istekleri | PostgreSQL (AWS eu-central-1); davet e-postaları Amazon SES ile gönderilir |
| Web sitesi ziyaret sayıları | Toplu sayfa görüntülemeleri, çerez yok, tanımlayıcı yok | Cloudflare Web Analytics, yalnızca web sitesinde |
| Kaldırma anketi | Seçilen neden ve uzantı sürümü, günlük toplamlar olarak | PostgreSQL (AWS eu-central-1) |
| Dağıtım yardım formu | Ad, iş e-postası, şirket, ekip büyüklüğü, konu ve mesaj | Sanity, herkese açık olarak okunamayan kayıtlarda |
| Bize gönderilen mesajlar | Bir kişinin e-postaya eklediği her şey | E-posta sağlayıcımız |
5. Alt işleyenler
Yakalama ve düzenleme hiçbir alt işleyen kullanmaz. Web sitesi ve isteğe bağlı paylaşım şu hizmetleri kullanır:
| Hizmet | Amaç | Kapsam |
|---|---|---|
| Amazon Web Services | Paylaşımı çalıştıran sunucular (veritabanı ve API), disk yedekleri ve davet ile erişim isteği e-postaları (Amazon SES), eu-central-1 (Frankfurt) bölgesinde | Paylaşım |
| Cloudflare | Web sitesi dağıtımı ve çerezsiz ziyaret sayımı; şifreli dosyaların R2 depolaması ve dağıtımı (img.screshot.com); API dağıtımı; şifreli veritabanı yedekleri (R2, AB) | Web sitesi ve paylaşım |
| Oturum açma (OAuth) | Paylaşım | |
| Sanity | Blog içeriği ve dağıtım yardım formu | Yalnızca web sitesi |
6. Anket yanıtları
- Ürün müşteri verilerini saklıyor, işliyor veya iletiyor mu?
- Yakalama ve düzenleme için hayır: ekran görüntüleri kullanıcının cihazında kalır. Bir kullanıcı bir ekran görüntüsünü paylaşmayı seçerse Screshot onu, yukarıda listelenen hesap ve paylaşım meta verileriyle birlikte uçtan uca şifreli olarak saklar. Screshot görselin şifresini çözemez.
- Uzantı hangi ağ bağlantılarını kurar?
- Yakalama, düzenleme, kopyalama veya indirme sırasında hiçbirini. screshot.com ile yalnızca kullanıcı oturum açtığında veya paylaştığında iletişim kurar; ayrıca elle yüklemeden sonraki karşılama kılavuzu ve isteğe bağlı kaldırma anketi için screshot.com sayfalarını normal sekmelerde açar.
- Analiz, telemetri veya üçüncü taraf betikler içeriyor mu?
- Hayır. Uzak sunuculardan hiçbir şey yüklenmez ve uzantıda analiz veya çökme raporlaması yoktur.
- Hangi tarayıcı izinlerini istiyor?
- activeTab scripting contextMenus storage identity. Hiçbiri yükleme uyarısı tetiklemez ve ana makine izni yoktur. Yukarıdaki tabloya bakın.
- Diğer sekmeleri, tarama geçmişini veya çerezleri okuyabilir mi?
- Hayır. activeTab yalnızca kullanıcının yakalamayı seçtiği sekmeye, yalnızca o anda erişim verir.
- Veriler aktarım sırasında ve depolanırken şifreleniyor mu?
- Evet. Her şey HTTPS üzerinden sunulur ve paylaşılan ekran görüntüleri yüklenmeden önce tarayıcıda uçtan uca şifrelenir (AES-256-GCM); böylece Screshot’un sahip olmadığı anahtarlarla depolanırken şifrelidir. Ayrıntılar güvenliğe genel bakışta.
- Screshot çalışanları paylaşılan ekran görüntülerini görebilir mi?
- Hayır. Çalışanlar başlıklar ve davet edilen e-postalar gibi meta verileri görebilir, ancak görselleri göremez. Tek istisna, bildiren kişinin anahtarı eklemeyi seçtiği bir kötüye kullanım bildirimidir; böylece moderatörler o tek ekran görüntüsünü inceleyebilir.
- Bir kullanıcı geçiş anahtarını kaybederse ne olur?
- Kurtarma koduyla kilidi açar ve ardından yeni bir geçiş anahtarı ekleyebilir. İkisi de kaybolursa, paylaştığı ekran görüntülerinin şifresi Screshot dahil hiç kimse tarafından çözülemez.
- SSO, SCIM veya rol tabanlı erişimi destekliyor mu?
- Bugün hayır. Yakalama hesap gerektirmez. Paylaşım Google ile oturum açmayı kullanır ve her sahip erişimi ekran görüntüsü başına denetler: yalnızca ben, davet edilen kişiler veya bağlantıya sahip herkes.
- Veriler nasıl silinir?
- Kullanıcılar ekran görüntülerini kendileri siler. Çöp kutusu 30 gün sonra veya Kalıcı olarak sil ile hemen, hem veritabanından hem depolamadan silinir. Ayarlar’da bir hesabı silmek her şeyi hemen siler.
- Nasıl dağıtılır ve kaldırılır?
- Google Admin console, Microsoft Intune, Group Policy veya bir macOS profiliyle zorunlu olarak yükleyin ve aynı politikadan kaldırın. Dağıtım kılavuzuna bakın.
- Güncellemeler nasıl sunulur ve incelenir?
- Her sürümü inceleyen Chrome Web Store üzerinden. Yeni bir sürüm uyarı gösteren bir izin isterse Chrome, kullanıcı veya yönetici onaylayana kadar onu devre dışı bırakır.
- Yöneticiler hangi sürümün çalışacağını denetleyebilir mi?
- Chrome politikası uzantıya kimliğine göre izin verebilir, onu engelleyebilir veya zorunlu olarak yükleyebilir. Belirli bir sürümü sabitlemek Chrome Web Store tarafından desteklenmez.
- Ürün bağımsız bir sızma testinden geçti mi?
- Henüz değil. Bir test tamamlandığında sonuçları NDA kapsamında müşterilerle paylaşacağız.
- Güvenlik açıklarını nasıl ele alıyorsunuz?
- Onları contact@screshot.com adresine bildirin. Bildirimleri onaylıyor ve kamuya açıklanmadan önce düzeltmek için makul bir süre istiyoruz.
- Güvenlik olaylarını veya önemli değişiklikleri bize nasıl bildireceksiniz?
- İzinlerde veya veri işlemede yapılan değişiklikleri, bu değişiklikleri getiren sürümü yayımlamadan önce güvenlik sayfasında ve gizlilik politikasında yayımlarız.
7. Planlanan değişiklikler
Yöneticilerin paylaşımı tüm kuruluş için kapalı tutmasını sağlayan bir Chrome politikası ve bağımsız bir sızma testi planlıyoruz. Veri akışında, saklanan verilerde veya alt işleyenlerde yapılacak değişiklikler önce burada yayımlanacak.
Burada olmayan bir şeye mi ihtiyacınız var?
Anketinizi bize gönderin, biz dolduralım ya da ekiple bir görüşme isteyin.
Dağıtım yardımı alın