SecurityGüvenlik
How Strova keeps your chargers, your data and your team’s work safe. Last updated 24 October 2026.Strova cihazlarınızı, verinizi ve ekibinizin işini nasıl korur. Son güncelleme 24 Ekim 2026.
In short
Strova protects three things while it runs your charging network: chargers connect only with your permission, your data is seen only by your team, and every action leaves a trace.
This page explains what we do and how, without technical jargon. The measures described here run in Strova in production; some depend on what the charger model supports, as noted in each item. Strova does not hold a security certification yet, and this page makes no such claim.
How chargers connect
A charger can connect to Strova only as a registered charger, assigned to an organization, that (on chargers that support it) presents its own password.
- Encrypted connection. Traffic between the charger and Strova is encrypted (TLS 1.2 or newer). As long as the charger verifies Strova’s certificate, a network device in between cannot read it.
- A password per charger. Each charger gets a long, unguessable password of its own: generated in the console and entered on the charger at installation, or loaded at the factory on Predixon chargers. Every connection must present it. Strova stores only an irreversible hash of it and masks it in message logs. For the few models that cannot send a password, a Strova administrator can allow passwordless operation over an encrypted connection, only for charger identities of at least 16 characters; such chargers are flagged in the console.
- Unknown chargers cannot charge. A charger with an unknown identity is refused and logged; until it is assigned to an organization it cannot accept cards or start a charge.
- Attempt limits. Many wrong passwords for the same charger identity in a short time are turned away for a while. The real charger with the right password always gets in.
- No new charges while offline. For models in our catalog, Strova itself sends the settings that stop the charger starting new charges while it cannot reach Strova, and re-checks them on every boot.
The connection keeps being watched afterwards:
- SIM lock. On chargers with a SIM card, Strova records the charger’s SIM. Depending on the organization’s setting (Off / Warn / Block) it raises an alarm or refuses the connection when the SIM changes. A legitimate change is approved in the console with “Approve new SIM” and is logged. The lock is off by default and works only on chargers that report their SIM number; when it is turned on, each charger’s current SIM becomes its approved SIM. A change is also e-mailed.
- Connection network tracking. The operator network of each connection is recorded. If a charger connects from an operator network not seen in the last 30 days, a “New network” warning (medium priority, no e-mail) appears; the station page shows the last 10 connections.
- Duplicate-connection alarm. If the same charger identity connects from a different network while the charger is connected and active, a high-priority alarm opens and an e-mail goes out. If the connection switches back and forth between two networks within minutes (A → B → A), a medium-priority alarm opens without e-mail, because modems with Wi-Fi and mobile fallback can behave this way too. Address changes within the same operator network do not count.
- Encrypted connections only. Unencrypted connections are not accepted.
- Compatibility test. Under our test protocol, a charger model that does not verify the server certificate cannot be rated “field tested”. The models in our catalog are being re-assessed against this step.
Intrusion scenarios: what could happen, what we do
In the worst case the damage stays with a single charger: its connection cannot be used to reach other stations, customer data, the console or the database.
| Scenario | What could happen | What Strova does |
|---|---|---|
| Someone knows your charger’s identity and tries to connect a fake charger | Without the password it cannot connect (on chargers with a password) | Per-charger password; failed attempts are logged and limited |
| An unknown charger tries to join | It cannot charge or accept cards | Unknown chargers are refused and logged |
| Using a charger’s connection to break into the system or reach another customer’s data | Blocked by design | A charger can only send standard messages in its own name; every message is checked and malformed ones rejected; data access is locked per organization |
| Flooding the system with messages | The effect stays with that charger | Each charger runs separately; oversized messages close the connection; wrong-password attempts are limited |
| The charger’s cover is opened and its modem or SIM card swapped | The charger connects over the intruder’s line | With the SIM lock on: warns or blocks when the SIM changes |
| The charger is plugged into a foreign modem or network | The connection comes from an unusual operator network | “New network” warning and a list of recent connections |
| The password is copied and the same identity connects from elsewhere | Someone tries to send false records for that one station | Duplicate-connection alarm (two networks at once: high priority and e-mail; switching between networks: medium priority) |
| A network in between tries to decrypt the traffic | It cannot, if the charger verifies Strova’s certificate | Certificate verification is a separate step in our test protocol; the models in our catalog are being re-assessed against it |
Someone who can open a charger’s cover has effectively taken over that charger. The goal is to notice it at once and keep the damage to that charger.
How your data is protected
Each organization’s data is separated in the database itself; a user of one customer cannot see a single row of another customer.
- Separation in the database itself. Who sees what is defined in the database rules, not only in the screens. Even if a screen had a bug, the database would not return rows a user is not allowed to see.
- Roles and locations. Owner, admin, operator and viewer roles are separate. A location manager sees only their own location; for example, a hotel’s reception sees only that hotel.
- Database in the European Union. The database runs in the EU (Frankfurt).
- Minimal personal data. In hotel mode, unknown-card notifications show only the last 4 digits of a card number. Hotel guests’ PINs are never stored in plain form. Partner summary screens contain no charging users, cards or personal data.
- Every action leaves a trace. Remote commands, configuration, permission and tariff changes are written to an audit log with who did it and when.
- Partner (reseller) access only with the customer’s consent. A partner sees only a summary of its customers. When support is needed, the customer grants time-limited access (up to 30 days); during it the partner works with operator rights, the console shows a “Support access” banner with its end date, each action is logged as “via partner”, and access ends the moment it expires or is revoked. If the customer leaves the partner, its data stays with the customer.
- Secret keys never reach the browser. The console works only with the signed-in user’s identity; the system’s administrative keys live on the server only.
User accounts and the software itself
- Sign-in. The console accepts a password or a one-time code sent by e-mail. Charging users sign in to the app with an e-mail code.
- Need to know. Users see only the organizations they belong to and the actions their role allows. Exceptions are time-limited partner access granted by the customer and Predixon’s authorized platform administrators.
- Every release is checked before it goes live. Each development step passes more than 5,500 automated tests and a separate code-review step; separation of data between organizations is tested on its own.
- Internal panels are locked. The development team’s internal panel is open only to the founders, with a code sent by e-mail.
Next step
Charger certificates (OCPP security profile 3): a digital certificate per charger instead of a password. Nothing without a certificate can connect, and a stolen password becomes useless. Because it needs charger support and certificates installed in the field, it will be rolled out step by step on chargers that support it.
Recommendations for operators
- Use charger-specific locks instead of universal keys on charger covers.
- Prefer chargers that report an error when the cover is opened; Strova turns the reported error into an alarm.
- Change the factory password of the charger’s own settings page.
- Do not switch off server-certificate verification on the charger.
- Give each person their own console account; remove a leaver’s account at once.
Kısaca
Strova, şarj ağınızı yönetirken üç şeyi korur: cihazlarınızın yalnız sizin izninizle bağlanmasını, verinizin yalnız sizin ekibinizce görülmesini ve yapılan her işlemin izinin kalmasını.
Bu sayfa neyi nasıl yaptığımızı teknik bilgi gerektirmeden anlatır. Burada yazılan önlemler Strova’da canlıda çalışır; bazıları cihaz modelinin desteğine bağlıdır ve bu durumlar ilgili maddede belirtilmiştir. Strova henüz bir güvenlik sertifikasına sahip değildir; bu sayfada böyle bir iddia yoktur.
Cihazlar nasıl bağlanır
Bir şarj cihazı Strova’ya ancak tanımlanmış, bir organizasyona atanmış ve (parola desteği olan cihazlarda) kendi parolasını bilen bir cihaz olarak bağlanabilir.
- Şifreli bağlantı. Cihazla Strova arasındaki iletişim internette şifreli (TLS 1.2 veya üstü) taşınır. Cihaz Strova’nın sertifikasını doğruladığı sürece aradaki bir ağ cihazı içeriği okuyamaz.
- Her cihaza özel parola. Her cihaza, yalnız ona ait ve tahmin edilemeyecek uzunlukta bir parola verilir: konsolda üretilip kurulumda cihaza girilir ya da Predixon cihazlarına üretimde yüklenir. Her bağlantıda bu parola sorulur. Parola Strova’da açık hâlde değil, geri çözülemeyen bir özet olarak saklanır; mesaj kayıtlarında gizlenir. Parola desteklemeyen az sayıdaki modelde, yalnız Strova yöneticisinin kararıyla ve en az 16 karakterlik cihaz kimliğiyle, şifreli bağlantı üzerinden parolasız çalışma açılabilir; bu cihazlar konsolda işaretlidir.
- Tanımsız cihaz şarj veremez. Kimliği bilinmeyen bir cihazın bağlantısı reddedilir ve kayda geçer; bir organizasyona atanmadan kart kabul edemez, şarj başlatamaz.
- Deneme sınırı. Aynı cihaz kimliğiyle kısa sürede çok sayıda yanlış parola denenirse yeni denemeler bir süre geri çevrilir. Doğru parolayı bilen gerçek cihaz her zaman bağlanır.
- İnternet yokken yeni şarj yok. Kataloğumuzdaki modellerde Strova, cihaza Strova’ya ulaşamadığı sürede yeni şarj başlatmama ayarlarını kendisi gönderir ve her açılışta denetler.
Bağlantı bundan sonra da izlenir:
- SIM kilidi. SIM kartlı cihazlarda Strova cihazın SIM’ini kaydeder. Organizasyon ayarına göre (Kapalı / Uyar / Engelle) SIM değişince alarm verir ya da bağlantıyı reddeder. Meşru değişiklik konsoldan “Yeni SIM’i onayla” ile yapılır ve kayda geçer. Kilit varsayılan olarak kapalıdır ve yalnız SIM numarasını bildiren cihazlarda çalışır; açıldığında her cihazın o anki SIM’i onaylı kabul edilir. Değişiklikte alarm e-postayla da bildirilir.
- Bağlantı ağı takibi. Her bağlantının geldiği operatör ağı kaydedilir. Cihaz son 30 günde görülmemiş bir operatör ağından bağlanırsa “Yeni ağ” uyarısı (orta öncelik, e-posta yok) çıkar; istasyon sayfasında son 10 bağlantı görünür.
- Çift bağlantı alarmı. Cihaz bağlı ve çalışırken aynı cihaz kimliğiyle başka bir ağdan bağlantı kurulursa yüksek öncelikli alarm açılır ve e-posta gider. Bağlantı kısa sürede iki ağ arasında gidip gelirse (A → B → A) orta öncelikli alarm açılır, e-posta gönderilmez; çünkü Wi-Fi ve mobil yedekli modemler de böyle davranabilir. Aynı operatör ağı içindeki adres değişiklikleri alarm sayılmaz.
- Yalnız şifreli bağlantı. Şifresiz bağlantı kabul edilmez.
- Uyumluluk testi. Test protokolümüze göre, sunucu sertifikasını doğrulamayan bir cihaz modeli “sahada test edildi” sayılmaz. Kataloğumuzdaki modeller bu adıma göre yeniden değerlendiriliyor.
Sızma senaryoları: ne olur, ne yapıyoruz
En kötü durumda zarar tek bir cihazla sınırlı kalır: bir cihazın bağlantısı üzerinden başka istasyonlara, müşteri verilerine, konsola ya da veritabanına geçilemez.
| Senaryo | Ne olabilir | Strova ne yapıyor |
|---|---|---|
| Biri cihaz kimliğinizi biliyor ve sahte cihazla bağlanmaya çalışıyor | Parolasını bilmediği için bağlanamaz (parolalı cihazlarda) | Cihaza özel parola; yanlış denemeler kayda geçer ve sınırlanır |
| Bilinmeyen bir cihaz sisteme girmeye çalışıyor | Şarj veremez, kart kabul edemez | Tanımsız cihazın bağlantısı reddedilir ve kayda geçer |
| Bir cihazın bağlantısı üzerinden sisteme dalmak, başka müşterinin verisine ulaşmak | Tasarım gereği engellenir | Cihaz yalnız kendi adına standart mesaj gönderebilir; her mesaj denetlenir, bozuk olan reddedilir; veri erişimi organizasyon bazında kilitli |
| Mesaj yağdırarak sistemi yormak | Etki o cihazla sınırlı kalır | Her cihaz ayrı çalışır; çok büyük mesajlar bağlantıyı kapatır; yanlış parola denemeleri sınırlanır |
| Cihazın kapağı açılıp modem ya da SIM kart değiştiriliyor | Cihaz saldırganın hattı üzerinden bağlanır | SIM kilidi açıksa: SIM değişince uyarır ya da bağlantıyı engeller |
| Cihaz yabancı bir modem ya da ağa takılıyor | Bağlantı alışılmadık bir operatör ağından gelir | “Yeni ağ” uyarısı ve son bağlantıların listesi |
| Parola kopyalanıp başka yerden aynı kimlikle bağlanılıyor | O tek istasyon adına sahte kayıt gönderilmeye çalışılır | Çift bağlantı alarmı (aynı anda iki ağdan: yüksek öncelik ve e-posta; ağlar arasında gidip gelme: orta öncelik) |
| Araya giren ağ şifreli trafiği çözmeye çalışıyor | Cihaz Strova’nın sertifikasını doğruluyorsa çözemez | Test protokolümüzde sertifika doğrulaması ayrı bir adım; kataloğumuzdaki modeller bu adıma göre yeniden değerlendiriliyor |
Cihazın kapağını açabilen biri o cihazı ele geçirmiş sayılır. Bu yüzden amaç, bunu hemen fark etmek ve zararı o cihazla sınırlamaktır.
Veriniz nasıl korunur
Her organizasyonun verisi veritabanı düzeyinde ayrıdır; bir müşterinin kullanıcısı başka bir müşterinin tek satırını göremez.
- Organizasyon ayrımı veritabanının kendisinde. Kimin neyi göreceği uygulama ekranında değil, veritabanının kurallarında tanımlıdır. Ekranda bir hata olsa bile veritabanı yetkisiz satırı vermez.
- Rol ve lokasyon yetkisi. Sahip, yönetici, operatör ve izleyici rolleri ayrıdır. Bir lokasyon yöneticisi yalnız kendi lokasyonunu görür; örneğin bir otelin resepsiyonu yalnız kendi otelini.
- Veritabanı Avrupa Birliği’nde. Veritabanı AB’de (Frankfurt) çalışır.
- Kişisel veri en aza indirilir. Otel modundaki tanımsız kart bildirimlerinde kart numarasının yalnız son 4 hanesi görünür. Otel misafirlerinin PIN’i açık saklanmaz. Bayi özet ekranlarında şarj kullanıcısı, kart ya da kişisel veri yer almaz.
- Her işlemin izi kalır. Uzaktan komutlar, ayar değişiklikleri, yetki ve tarife değişiklikleri kimin, ne zaman yaptığıyla denetim kaydına yazılır.
- Bayi (iş ortağı) erişimi müşterinin izniyle. Bayi, müşterisinin yalnız özetini görür. Destek gerektiğinde müşteri süreli izin verir (en çok 30 gün); izin süresince bayi operatör yetkisiyle çalışır, ekranda “Destek erişimi” bandı ve bitiş tarihi görünür, her işlemi “bayi üzerinden” diye kaydedilir; süre dolunca ya da izin geri alınınca erişim hemen biter. Müşteri bayiden ayrılırsa verisi kendisinde kalır.
- Gizli anahtarlar tarayıcıya gitmez. Konsol yalnız oturum açan kullanıcının kimliğiyle çalışır; sistemin yönetici anahtarları yalnız sunucuda durur.
Kullanıcı hesapları ve yazılımın kendisi
- Giriş. Konsola parola ya da e-postaya gelen tek kullanımlık kodla girilir. Şarj kullanıcıları uygulamaya e-posta koduyla girer.
- Bilmesi gereken bilir. Kullanıcı yalnız üye olduğu organizasyonu ve rolünün izin verdiği işlemleri görür. Müşterinin verdiği süreli bayi erişimi ve Predixon’un yetkili platform yöneticileri bunun dışındadır.
- Her sürüm canlıya çıkmadan denetlenir. Her geliştirme adımı 5.500’den fazla otomatik testten ve ayrı bir kod inceleme adımından geçer; özellikle organizasyonlar arası veri ayrımı ayrı testlerle sınanır.
- İç paneller kilitli. Geliştirme ekibinin iç paneline yalnız kurucular, e-postaya gelen kodla girebilir.
Sıradaki adım
Cihaz sertifikası (OCPP güvenlik profili 3): parola yerine her cihaza özel bir dijital sertifika. Sertifikası olmayan hiçbir şey bağlanamaz; parola çalınması anlamsız hâle gelir. Cihazın desteklemesini ve sertifikaların sahada yüklenmesini gerektirdiği için destekleyen cihazlarla adım adım devreye alınacak.
İşletmeciye öneriler
- Cihaz kapaklarında üniversal anahtar yerine cihaza özel kilit kullanın.
- Kapak açılınca hata bildiren cihazları tercih edin; Strova cihazın bildirdiği hatayı alarma çevirir.
- Cihazın kendi ayar ekranının fabrika parolasını değiştirin.
- Cihazda sunucu sertifikasını doğrulama ayarını kapatmayın.
- Konsol hesaplarını kişiye özel açın; ayrılan çalışanın hesabını hemen kaldırın.
Chat on WhatsAppWhatsApp ile yazın