Bu yazıdan aklınızda kalacaklar

  • Kart verisi sitede tutulmaz; sağlayıcının güvenli formu ya da tokenizasyon, 3D Secure, ödeme sayfasında minimum script.
  • Yönetici erişimi iki faktör, rol bazlı yetki, ayrılan çalışan hesabının kapatılması, API anahtarlarının sınırlı ve yenilenen olması.
  • Güncellemeler, WAF, DDoS koruması, Türkiye lokasyonu; veri şifreli ve yasal süreyle sınırlı; ihlalde 72 saat KVKK bildirimi.
  • Günlük ayrı konumda şifreli yedek ve geri yükleme testi; izleme ve bir sayfalık yazılı olay müdahale planı.

E-ticaret sitesi, kart işlemleri, müşteri verisi ve gelir üreten bir sistemdir; saldırganlar için hedef, işletme için sorumluluk. Güvenlik ihlali yalnızca teknik sorun değil: KVKK cezası, müşteri güveni kaybı, sanal POS iptali ve günlerce satış kaybı demektir. Küçük işletmeler "bizi kim hedeflesin" der; oysa saldırıların büyük kısmı otomatik ve hedefsizdir, zayıf olan her siteye uğrar. Bu yazı, e-ticaret sitesi güvenliğini katmanlar halinde anlatıyor: ödeme güvenliği ve PCI DSS mantığı, erişim ve şifre, yazılım güncellemeleri, sunucu ve ağ, veri koruma ve yedekleme, sahtecilik, izleme ve olay müdahale planı; teknik olmayan yöneticinin sorması gereken sorularla.

Kısaca

Kart bilgisi sitenizde tutulmaz; ödeme sağlayıcısının güvenli formu ya da tokenizasyonuyla alınır, 3D Secure ile doğrulanır. Yönetici erişimi güçlü şifre, iki faktörlü doğrulama, rol bazlı yetki ve IP kısıtıyla; sistem ve eklentiler güncel; sunucu güvenlik duvarı, WAF, SSL ve DDoS korumasıyla; veri şifreli ve yasal süreyle sınırlı; yedek günlük, ayrı konumda ve geri yükleme testli. Sahtecilik kuralları, izleme ve yazılı olay müdahale planı tamamlar. Sistem sağlayıcısının bu katmanları nasıl karşıladığı sözleşmede yazmalı.

Katman 1: Ödeme güvenliği

Kart verisi e-ticaret sitesinin sunucusuna hiç uğramamalı. İki yol: ödeme sağlayıcısının barındırdığı ödeme sayfası (yönlendirme) ya da site içi form ile tokenizasyon (kart bilgisi doğrudan sağlayıcıya gider, siteye yalnızca token döner). Kart bilgisini kendi veri tabanında saklayan site, PCI DSS'in en ağır yükümlülüklerine tabi olur ve sanal POS sözleşmesini ihlal eder. Kayıtlı kart özelliği sağlayıcının token altyapısıyla sunulur.

3D Secure her işlemde; 3D'siz işlem sahtecilik ve ters ibraz riskidir. Ödeme sayfasında https, karışık içerik yok, üçüncü taraf script minimum (ödeme sayfasında çalışan her script kart formunu görebilir; Magecart tipi saldırılar buradan olur).

Katman 2: Erişim ve şifre

  • Yönetici paneli güçlü şifre (uzun, benzersiz) ve iki faktörlü doğrulama
  • Rol bazlı yetki: paketleme personeli sipariş görür, fiyat değiştiremez; muhasebe raporu görür, ürün silemez
  • Ayrılan çalışanın hesabı aynı gün kapatılır
  • Panel adresi tahmin edilemez, IP kısıtı mümkünse
  • Başarısız giriş denemelerinde kilitleme
  • API anahtarları (kargo, pazaryeri, e-fatura) yalnızca gerekli yetkiyle ve düzenli yenilenir
  • Müşteri şifreleri geri döndürülemez biçimde saklanır; sistem sağlayıcısına sorulur

Katman 3: Yazılım güncellemeleri

Güvenlik açıklarının büyük kısmı güncellenmemiş yazılımdan çıkar: sistem çekirdeği, tema, eklentiler, sunucu yazılımı. Güncelleme sorumluluğu kimde (sağlayıcı mı, siz mi) ve ne sıklıkla; kritik güvenlik yamaları saatler içinde. Kullanılmayan eklenti ve tema kaldırılır; her eklenti bir saldırı yüzeyidir.

Katman 4: Sunucu ve ağ

  • SSL sertifikası (tüm site https, HSTS)
  • Güvenlik duvarı ve web uygulama güvenlik duvarı (WAF): SQL enjeksiyonu, XSS, bot saldırıları
  • DDoS koruması (CDN ile birlikte); kampanya döneminde saldırı olasılığı artar
  • Sunucu erişimi yalnızca anahtar ve kısıtlı IP ile
  • Dosya yükleme alanlarında tür ve boyut kontrolü (ürün görseli yükleme alanı saldırı kapısı olabilir)
  • Barındırma sağlayıcısının fiziksel ve ağ güvenliği; paylaşımlı ucuz sunucu komşu sitelerin riskini taşır

Katman 5: Veri koruma ve KVKK

Müşteri verisi (ad, adres, telefon, e-posta, sipariş) şifreli bağlantıda ve erişimi sınırlı; veri tabanı şifreleme ve yedek şifreleme; yasal saklama süresi dolan veri silinir; pazarlama verisi izin geri alınınca silinir. Veri ihlalinde KVKK Kurulu'na 72 saat içinde bildirim ve ilgili kişilere bilgilendirme yükümlülüğü; olay müdahale planında bu adım yazılı. Tedarikçiler (kargo, ödeme, e-posta) veri işleyen sıfatıyla sözleşmede.

Katman 6: Yedekleme

Günlük tam yedek (veri tabanı ve dosyalar), ayrı konumda (sunucuyla aynı yerde değil), belirli süre saklanan sürümler (30 gün), şifreli ve geri yükleme testi yapılmış (yedek var ama açılmıyor senaryosu sık). Kampanya öncesi ek yedek. Yedekten geri dönüş süresi (RTO) bilinmeli; "yedek var" ile "iki saatte ayağa kalkarız" farklı şeyler.

Katman 7: Sahtecilik

Sipariş bazlı risk kuralları (adres, IP, tutar, tekrar deneme), kapıda ödeme doğrulaması, kupon istismarı önleme, sahte hesap ve bot kayıt engelleme (CAPTCHA), iade istismarı işaretleme. Ayrıntı ters ibraz yönetimi ve sözlükte sahtecilik önleme.

Katman 8: İzleme ve olay müdahale

İzleme: site erişilebilirlik (uptime), olağandışı trafik, başarısız giriş denemeleri, dosya değişiklikleri, ödeme hata oranı, sipariş anomalileri (aynı karttan onlarca deneme). Uyarılar sorumlu kişiye anında.

Olay müdahale planı (yazılı, bir sayfa): kim aranır (sistem sağlayıcısı, barındırma, ödeme sağlayıcısı, mali müşavir, avukat), ilk adımlar (siteyi bakıma alma, şifre sıfırlama, yedekten dönüş), müşteri ve KVKK bildirimi, kayıt tutma, sonrası düzeltme. Plan olmadan ihlal saatler yerine günler sürer.

Yöneticinin sorması gereken sorular

  • Kart verisi nerede işleniyor, sitede saklanıyor mu?
  • Yönetici girişinde iki faktör var mı, kim hangi yetkiye sahip?
  • Güncellemeleri kim, ne sıklıkla yapıyor?
  • WAF ve DDoS koruması var mı?
  • Yedek nerede, kaç sürüm, geri yükleme ne zaman test edildi?
  • Veri ihlalinde ne yapacağımız yazılı mı?
  • Sistem sağlayıcısı bu maddeleri sözleşmede taahhüt ediyor mu?

Sık hatalar

  • Ortak ve basit yönetici şifresi, iki faktör yok
  • Ayrılan çalışanın hesabı açık
  • Güncellemelerin aylarca ertelenmesi
  • Ödeme sayfasında gereksiz scriptler
  • Yedeğin sunucuyla aynı yerde olması ve test edilmemesi
  • Paylaşımlı ucuz barındırma
  • Olay planı olmaması; ihlalde panik

Bir saatlik güvenlik turu

İki faktörlü doğrulamayı açın, yönetici hesaplarını ve yetkilerini gözden geçirin, kullanılmayan eklentileri kaldırın, yedeğin ayrı konumda olduğunu ve açıldığını doğrulayın, ödeme sayfası script listesini kontrol edin, olay planını bir sayfaya yazın.

Sistemimizde tokenizasyonlu ödeme, iki faktörlü yönetici girişi, rol bazlı yetki, WAF ve DDoS koruması, günlük şifreli yedek ve izleme kurulumla gelir; özellikler sayfası. İlgili: hosting ve sunucu seçimi, KVKK ve çerez uyumu. Terimler: SSL sertifikası, 3D Secure.

Sık sorulan sorular

E-ticaret sitesinde kart bilgisi saklanır mı?

Hayır; kart verisi ödeme sağlayıcısında tokenizasyonla saklanır, siteye yalnızca token döner. Kendi veri tabanında kart saklamak PCI DSS ve sanal POS sözleşmesi ihlalidir.

Küçük e-ticaret sitesi hedef olur mu?

Evet; saldırıların çoğu otomatik tarayıcılarla zayıf siteleri bulur, hedef seçmez. Güncel yazılım, güçlü erişim ve WAF temel korumadır.

Yedekleme nasıl olmalı?

Günlük, sunucudan ayrı konumda, 30 gün sürümlü, şifreli ve geri yükleme testi yapılmış; kampanya öncesi ek yedek.

Veri ihlalinde ne yapılmalı?

Yazılı olay planı: siteyi bakıma alma, şifre sıfırlama, yedekten dönüş, 72 saat içinde KVKK Kurulu'na bildirim ve ilgili kişilere bilgilendirme, kayıt tutma.

Sistem sağlayıcısından ne istenmeli?

Tokenizasyonlu ödeme, iki faktörlü giriş, rol yetkisi, güncelleme sorumluluğu, WAF ve DDoS, yedek politikası ve olay desteğinin sözleşmede yazılı olması.