E-Ticaret Ödeme Güvenliği: Kart Verisi, PCI DSS, 3D Secure ve Lisanslı Ödeme Kuruluşu

E-ticaret ödeme güvenliğinin temeli, kart bilgisinin mağazanın kendi sunucusuna hiç uğramaması ve ödemenin lisanslı bir kuruluşun altyapısında, 3D Secure doğrulamasıyla tamamlanmasıdır. Bu yapı kurulduğunda mağaza, kart verisini korumak yerine kart verisini hiç taşımamayı seçmiş olur; saldırganın ele geçirebileceği en değerli bilgi sitede bulunmaz. Geriye sitenin kendisini, yönetim panelini ve müşterilerin kişisel verilerini korumak kalır.

Bu yazıda ödeme formunun kimde durduğuna göre değişen entegrasyon modelleri, PCI DSS’in küçük mağazalar için anlamı, 3D Secure’un işleyişi, bir ödeme kuruluşunun lisansının nasıl kontrol edileceği ve KVKK’nın getirdiği veri güvenliği yükümlülükleri ele alınır. Bilgiler PCI Security Standards Council, EMVCo, Türkiye Cumhuriyet Merkez Bankası ve 6698 sayılı Kanun metnine dayanır.

E-Ticaret Ödeme Güvenliği Hangi Katmanlardan Oluşur?

Güvenli bir ödeme süreci tek bir üründen değil, birbirini tamamlayan katmanlardan oluşur. Herhangi birindeki boşluk, diğerlerinin sağladığı korumayı zayıflatır:

  • Bağlantı: sitenin tamamının HTTPS ile açılması
  • Ödeme formu: kart bilgisinin girildiği alanın mağazada mı, ödeme kuruluşunda mı durduğu
  • Kuruluş: ödemeyi alan tarafın banka ya da TCMB izinli bir ödeme kuruluşu olması
  • Standart: kart verisine dokunan tarafların PCI DSS gerekliliklerine uyması
  • Doğrulama: kart sahibinin 3D Secure ile kimliğini teyit etmesi
  • Site ve panel: e-ticaret yazılımının, eklentilerin ve yönetici hesaplarının korunması
  • Kişisel veri: ad, adres, telefon ve sipariş geçmişinin KVKK’ya uygun işlenmesi

Bağlantı katmanı bu listenin yalnızca başlangıcıdır. HTTPS, tarayıcı ile sunucu arasında taşınan veriyi şifreler; ödeme sayfasına zararlı kod eklenmesini, zayıf bir yönetici şifresini ya da güncellenmemiş bir eklentiyi engellemez. Adres çubuğundaki şifreli bağlantı bu yüzden gerekli ama tek başına yetersiz bir koşuldur; ödeme güvenliğinin asıl ağırlığı sonraki katmanlardadır.

Kart Verisi Sitede Tutulmamalı: Ödeme Formu Kimde Duruyor?

Kart numarası, son kullanma tarihi ve güvenlik kodu mağazanın veritabanına, sipariş notlarına, e-postalarına ya da günlük kayıtlarına hiçbir koşulda yazılmamalıdır. Kart verisi saklanmadığında sızacak bir kart verisi de olmaz. Ödeme entegrasyonları, kart bilgisinin nerede girildiğine göre üç ana modele ayrılır:

ModelKart bilgisi nerede girilir?Mağaza tarafındaki yük
Ödeme sayfasına yönlendirmeMüşteri ödeme kuruluşunun kendi sayfasına gider, işlem orada tamamlanırEn düşük; yönlendirme bağlantısının bütünlüğü korunmalıdır
Gömülü form (iframe ya da sağlayıcı betiği)Form mağaza sayfasında görünür, alanlar ödeme kuruluşunun sunucusundan yüklenirDüşük; sayfaya eklenen diğer betikler kontrol altında tutulmalıdır
Doğrudan (API) entegrasyonKart bilgisi mağazanın sunucusu üzerinden ödeme kuruluşuna iletilirEn yüksek; sunucu kart verisi ortamının parçası sayılır

Küçük ve orta ölçekli mağazalar için ilk iki model, güvenlik yükünü uzmanlaşmış kuruluşa bırakmanın en sade yoludur. Tekrarlayan ödemeler için kart bilgisi gerekiyorsa bu da mağazada değil, ödeme kuruluşunun kart saklama (tokenizasyon) hizmetinde tutulur; mağaza yalnızca karta karşılık gelen anlamsız bir referans kodunu bilir.

Hangi modelin kullanıldığını anlamak zor değildir. Ödeme sırasında adres çubuğundaki alan adı ödeme kuruluşuna geçiyorsa yönlendirme modeli çalışıyordur. Form mağaza sayfasında görünüyorsa, tarayıcının geliştirici araçlarında kart alanlarının hangi alan adından yüklendiğine bakılır; alanlar mağazanın kendi adresinden geliyorsa kart verisi sunucudan geçiyor demektir ve bu durum sağlayıcıyla mutlaka konuşulmalıdır.

PCI DSS Nedir, Küçük Bir Mağazayı da Kapsar mı?

PCI DSS, kartlı ödeme verisini korumak için belirlenmiş teknik ve operasyonel gereklilikler bütünüdür ve mağazanın büyüklüğünden bağımsız olarak geçerlidir. Standardı Visa, Mastercard, American Express, Discover ve JCB’nin kurduğu PCI Security Standards Council yayımlar; güncel sürüm ailesi 4.x’tir. PCI SSC’nin PCI DSS sayfasına göre standart, kart verisini saklayan, işleyen ya da ileten ve bu verinin güvenliğini etkileyebilecek konumdaki tüm taraflara yöneliktir.

Son ifade önemlidir: ödeme formunu tamamen sağlayıcıya bırakan bir site bile, ödeme sayfasına giden bağlantıyı ya da gömülü formun çevresindeki kodu kontrol ettiği için süreci etkileyebilir. Dışarıdan alınan ödeme hizmeti site tarafındaki yükü azaltır, sorumluluğu sıfırlamaz. PCI SSC, şifrelemenin de kart verisini tek başına kapsam dışına çıkarmadığını ayrıca belirtir.

Uyumun nasıl doğrulanacağı ortamın yapısına göre değişir. Küçük işletmeler çoğunlukla öz değerlendirme anketi (SAQ) doldurur; hangi anketin geçerli olduğunu ve doğrulamanın gerekip gerekmediğini, konseye göre işyerinin anlaşmalı olduğu banka ya da ödeme kuruluşu bildirir. Sanal POS başvurusu sırasında bu sorunun cevabını yazılı olarak almak, sonradan çıkacak belirsizliği önler.

Sayfa İçeriği

Güvenilir web ajansı: el sıkışan müşteri ve ekip, güven kalkanı illüstrasyonu

3D Secure Nasıl Çalışır?

3D Secure, kartın fiziksel olarak gösterilmediği internet alışverişlerinde kart sahibinin kimliğini, kartı çıkaran bankanın doğruladığı bir protokoldür. Güncel sürümünü yöneten EMVCo’ya göre EMV 3-D Secure, mağaza ile kartı çıkaran kuruluş arasında işlem, ödeme yöntemi ve cihaz bilgilerinin paylaşılmasını sağlar. Kuruluş bu verilerle sahte işlemleri ayırt ederken güvenilir işlemleri gereksiz bir adım eklemeden onaylayabilir. Akış genel hatlarıyla şöyledir:

  1. Müşteri kart bilgisini ödeme kuruluşunun formuna girer.
  2. Ödeme kuruluşu, işlem ve cihaz bilgilerini kartı çıkaran bankaya iletir.
  3. Banka riski değerlendirir; gerekirse SMS kodu ya da mobil bankacılık onayı ister.
  4. Doğrulama sonucu ödeme kuruluşuna döner ve provizyon alınır.
  5. Müşteri, sonuç bilgisiyle birlikte mağazanın sipariş sayfasına geri yönlendirilir.

Mağaza açısından 3D Secure’un değeri, çalıntı kart bilgisiyle yapılmak istenen alışverişleri ödeme anında, kartın gerçek sahibine sorarak durdurabilmesidir. Doğrulamasız ödeme seçeneği sunulacaksa, bunun riskleri ve koşulları ödeme kuruluşuyla ayrıca konuşulmalıdır.

Entegrasyon tamamlandıktan sonra ödeme kuruluşunun test ortamında başarılı, reddedilen ve banka ekranında yarıda bırakılan doğrulama senaryoları ayrı ayrı denenir. Müşteri doğrulamadan vazgeçtiğinde siparişin askıda kalıp stoku gereksiz yere ayırmaması, başarılı ödemede ise siparişin kendiliğinden onaylanması kontrol edilir. Bu testler, canlıya geçişten sonra müşterinin karşılaşacağı sorunları önceden ortaya çıkarır.

Ödeme Altyapısını Birlikte İnceleyelim

Mağazanın ödeme adımında hangi entegrasyon modelinin kullanıldığı, 3D Secure akışının nasıl işlediği, ödeme sayfasında hangi üçüncü taraf kodların çalıştığı ve yönetim panelinin nasıl korunduğu ücretsiz ön değerlendirmede birlikte incelenebilir. Bulunan eksikler, hangisinin önce ele alınacağı belirtilerek not edilir.

Lisanslı Ödeme Kuruluşu Nasıl Kontrol Edilir?

Türkiye’de ödeme hizmeti sunan kuruluşların Türkiye Cumhuriyet Merkez Bankası’ndan faaliyet izni alması gerekir ve izinli kuruluşların listesi TCMB’nin sitesinde yayımlanır. Bu alanın temel düzenlemesi 2013 tarihli 6493 sayılı Kanun ve ona dayanan yönetmeliklerdir. Sanal POS doğrudan bir bankadan alınıyorsa muhatap bankadır; ödeme kuruluşu üzerinden alınıyorsa kontrol şu sırayla yapılır:

  1. Kuruluşun ticari unvanı, TCMB’nin faaliyette bulunan ödeme kuruluşları ya da elektronik para kuruluşları listesinde aranır.
  2. Listede, kuruluşun Kanun’un 12. maddesinde sayılan hangi hizmetler için izinli olduğu da görünür; izin kapsamının mağazanın ihtiyacını karşıladığı teyit edilir.
  3. Sözleşmede ücretler, para aktarım süresi, iade ve itiraz süreçleri ile güvenlik sorumluluklarının paylaşımı okunur.
  4. E-ticaret yazılımı için kullanılacak entegrasyon modülünün kuruluşun resmi kaynağından alındığı ve güncel tutulduğu doğrulanır.

Listede bulunmayan bir aracı üzerinden ödeme almak, hem paranın güvenliği hem müşteri verisinin kime emanet edildiği açısından belirsizlik yaratır. TCMB, izinsiz ödeme hizmeti sunanların bildirilmesi için ayrıca bir başvuru rehberi de yayımlamıştır.

KVKK Açısından Ödeme ve Müşteri Verisi

Kart verisi mağazada tutulmasa bile ad, adres, telefon, e-posta ve sipariş geçmişi kişisel veridir ve KVKK kapsamında korunmalıdır. 6698 sayılı Kişisel Verilerin Korunması Kanunu‘nun 12. maddesi, veri sorumlusunun verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için gerekli her türlü teknik ve idari tedbiri almasını zorunlu tutar.

Aynı madde iki noktayı daha düzenler. Veriler mağaza adına başka bir kişi ya da kuruluş tarafından işleniyorsa (hosting firması, ödeme kuruluşu, kargo ya da e-posta hizmeti gibi), tedbirlerin alınmasından mağaza bu taraflarla birlikte sorumludur. Veriler kanuni olmayan yollarla başkalarının eline geçerse, veri sorumlusu durumu en kısa sürede ilgili kişiye ve Kişisel Verileri Koruma Kurulu’na bildirir.

Pratikte bu, sipariş verisine yalnızca gereken kişilerin erişmesi, eski personel hesaplarının kapatılması, yedeklerin herkese açık klasörlerde bırakılmaması ve hizmet sağlayıcılarla veri işleme şartlarının yazılı olarak belirlenmesi anlamına gelir. Aydınlatma metni ve gizlilik politikası da ödeme sayfasından önce erişilebilir olmalıdır.

Şeffaf fiyatlandırma: hesap makinesi ve bütçe planlaması illüstrasyonu

Ödeme Sayfasına Enjekte Edilen Zararlı Kodlar

Kart verisini sitede tutmayan mağazalar için en ciddi risklerden biri, ödeme sayfasına sızdırılan zararlı JavaScript kodudur. Saldırgan bir eklenti açığı ya da çalınmış bir yönetici hesabı üzerinden sayfaya kod eklerse, müşterinin yazdığı bilgiler ödeme kuruluşuna gitmeden önce kopyalanabilir ya da yönlendirme bağlantısı sahte bir sayfaya çevrilebilir. Bu saldırılar sayfanın görünümünü değiştirmediği için uzun süre fark edilmeyebilir.

Korunmanın yolu, ödeme adımını olabildiğince sade tutmaktır. Ödeme ve sepet sayfalarında yalnızca zorunlu betikler çalışmalı; sohbet araçları, ısı haritaları ve pazarlama kodları bu sayfalardan çıkarılmalı ya da sıkı biçimde sınırlandırılmalıdır. Tema ve eklenti dosyalarındaki değişikliklerin izlenmesi, beklenmeyen bir kod eklemesinin erken fark edilmesini sağlar.

Müşterilerden art arda gelen tanınmayan harcama bildirimleri, ödeme kuruluşunun şüpheli işlem uyarıları ya da ödeme sayfasının kaynak kodunda tanınmayan bir alan adına veri gönderen betik, vakit kaybetmeden incelenmesi gereken işaretlerdir. Böyle bir durumda ödeme kuruluşu hemen bilgilendirilir, yönetici şifreleri değiştirilir ve sızıntının kaynağı bulunmadan ödeme adımı yeniden açılmaz; bu inceleme hacklenmiş WordPress sitesinin kurtarılması sürecinin bir parçasıdır.

Mağaza Yazılımı ve Yönetim Paneli İçin Kontrol Listesi

Ödeme kuruluşu ne kadar güvenli olursa olsun, mağaza yazılımının kendisi ele geçirilirse süreç tehlikeye girer. WooCommerce gibi açık kaynak altyapılarda aşağıdaki kontroller düzenli yapılmalıdır:

  • E-ticaret eklentisi, ödeme modülü ve tema güncel; kaynağı resmi dizin ya da geliştiricinin kendi sitesi
  • Tüm yönetici ve mağaza yöneticisi hesaplarında iki adımlı doğrulama
  • Her çalışana yalnızca işini yapmaya yetecek rol; ortak kullanılan hesap yok
  • Ödeme kuruluşunun API anahtarları ve gizli bilgileri kodun içinde değil, güvenli yapılandırmada
  • Test ortamı anahtarları ile canlı anahtarların karışmaması; test modunun yayında açık kalmaması
  • Düzenli, şifrelenmiş ve siteden ayrı bir konumda saklanan yedek

Bu kontrollerin bir kısmı kurulum aşamasında bir kez yapılır, bir kısmı ise sürekli takip gerektirir. Mağazanın altyapısı ilk kez planlanıyorsa e-ticaret scripti seçimi sırasında güncelleme ve güvenlik sorumluluğunun kimde olacağı da netleştirilmelidir; yayındaki mağazalarda bu iş WordPress bakım ve güncelleme düzenine bağlanır.

Müşteriye Güven Veren Sinyaller: Rozet mi, Şeffaflık mı?

Müşteri, ödeme güvenliğini teknik altyapıdan değil, ekranda gördüklerinden değerlendirir. Kalıcı güveni sayfanın herhangi bir köşesindeki rozet değil, sürecin öngörülebilir olması sağlar. Ödeme adımına gelmeden önce kargo ücreti, teslim süresi, iade koşulları ve toplam tutarın açıkça görünmesi, son adımda sürpriz çıkmasını önler.

Ödeme ekranında ödeme kuruluşunun adının görünmesi, 3D Secure adımında müşterinin kendi bankasının onay ekranıyla karşılaşması ve siparişten sonra net bir onay e-postası gelmesi, gerçek güven sinyalleridir. Hiçbir denetime dayanmayan “yüzde yüz güvenli” rozetleri ise yanıltıcıdır ve kullanılmamalıdır. İletişim bilgileri, mesafeli satış sözleşmesi ve gizlilik metinlerinin kolay bulunması da aynı güven zincirinin parçasıdır.

E-Ticaret Ödeme Güvenliğinde Sık Yapılan Hatalar

Sorunların çoğu teknik bir açıktan önce iş alışkanlıklarından doğar. Sahada sık karşılaşılan hatalar ve doğru yaklaşımlar şunlardır.

Kart bilgisini telefonla ya da mesajla almak: sipariş tamamlanamadığında kart numarasını WhatsApp’tan ya da e-postayla istemek, verinin denetimsiz kanallarda kalmasına yol açar. Doğru yol, müşteriye ödeme kuruluşunun oluşturduğu bir ödeme bağlantısı göndermektir.

Ödeme modülünü resmi olmayan kaynaktan kurmak: kırılmış ya da değiştirilmiş eklenti paketleri ödeme sayfasına doğrudan erişen kod içerebilir.

Karar anında yalnızca komisyona bakmak: sağlayıcı seçilirken lisans, 3D Secure desteği, iade süreci ve teknik destek de komisyon oranı kadar tartılmalıdır. Kurulum bütçesi planlanırken bu kalemler e-ticaret sitesi kurma maliyeti içinde ayrıca düşünülmelidir.

Güvenliği tek seferlik bir kurulum sanmak: ödeme modülleri ve e-ticaret yazılımı güncelleme aldıkça davranışları değişir; her büyük güncellemeden sonra test siparişiyle ödeme akışı baştan sona denenmelidir.

Güvenli Ödeme Akışını Birlikte Planlayalım

Yeni bir mağaza kuruluyorsa ya da mevcut mağazanın ödeme adımı gözden geçirilecekse, entegrasyon modeli ve sağlayıcı seçimi baştan birlikte değerlendirilebilir. E-ticaret sitesi yapımı sürecinde ödeme, kargo ve yasal metinler aynı planın içinde ele alınır; ücretsiz ön değerlendirme için WhatsApp veya telefonla ulaşılabilir.

İlgili rehberler

Sıkça Sorulan Sorular

Saklanmamalıdır; kart bilgisi mağazanın veritabanına, e-postalarına ya da sipariş notlarına yazılmaz. Tekrarlayan ödemeler gerekiyorsa kart, ödeme kuruluşunun kart saklama hizmetinde tutulur ve mağaza yalnızca bir referans kodu bilir.

Evet, PCI SSC’ye göre standart işletmenin büyüklüğünden bağımsız olarak kart verisini işleyen ya da güvenliğini etkileyebilecek tüm taraflara yöneliktir. Hangi doğrulamanın gerektiğini işyerinin anlaşmalı olduğu banka veya ödeme kuruluşu bildirir.

3D Secure, internet alışverişlerinde kart sahibinin kimliğini kartı çıkaran bankanın doğruladığı protokoldür. Banka işlemin riskine göre ek adım istemeden onay verebilir ya da SMS kodu veya mobil bankacılık onayı isteyebilir.

Kuruluşun unvanı, TCMB’nin sitesinde yayımlanan faaliyette bulunan ödeme kuruluşları veya elektronik para kuruluşları listesinde aranır. Listede kuruluşun hangi ödeme hizmetleri için izinli olduğu da görülebilir.

Yeterli değildir; HTTPS yalnızca taşınan veriyi şifreler. Ödeme formunun ödeme kuruluşunda durması, 3D Secure, güncel yazılım ve korunan yönetici hesapları da gerekir.

6698 sayılı Kanun’un 12. maddesi, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önleyecek teknik ve idari tedbirlerin alınmasını zorunlu tutar. Veri sızıntısı olursa durum en kısa sürede ilgili kişiye ve Kurul’a bildirilir.

Doğru değildir; kart bilgisi denetimsiz mesaj ve e-posta kanallarında kalır. Bunun yerine ödeme kuruluşunun oluşturduğu güvenli bir ödeme bağlantısı müşteriye gönderilir.

Onur Ertem - Onur Freelance Kurumsal Web Tasarım

Onur Ertem

İşletmenizi Dijitalde Güçlendirin! 🚀 Kurumsal web tasarım ve dijital pazarlama çözümleriyle markanızı büyütmeye hazır mısınız? Hemen bize ulaşın, profesyonel desteğimizle dijital dünyada öne çıkın!

Phone-alt Whatsapp

Bizi Arayın

Detaylı bilgi için bizi arayın.

Sizi, Biz Arayalım!

Numaranızı paylaşın sizi, biz arayalım!

Diğer Hizmetlerimiz

Hizmet Bölgeleri

İletişim Bilgileri