E-ticaret Güvenliği: Mağazanızı ve Müşterinizi Korumak

Bir sabah yönetim paneline girdiğinizde tanımadığınız bir yönetici hesabı görmek ya da müşterilerden “sitenizden sipariş verdim, kartımdan farklı bir harcama çıktı” mesajı almak, hiçbir mağaza sahibinin yaşamak istemediği bir durumdur. Mağazanız müşteri adı, adresi, telefonu ve sipariş geçmişi gibi kişisel veriler barındırdığı için saldırganlar açısından sıradan bir tanıtım sitesinden daha cazip bir hedeftir. Bu yazıda e-ticaret güvenliği konusunu katman katman ele alıyor, her katmanda alınabilecek pratik önlemleri anlatıyorum.

E-ticaret güvenliği neden ayrı bir başlık?

Kurumsal bir sitede saldırının sonucu genellikle görüntü bozulması veya spam bağlantılarıdır. Mağazada ise risk çok daha somuttur: müşteri verisinin sızması, ödeme sayfasına zararlı kod eklenmesi, sahte siparişlerle stoğun ve kargonun boşa harcanması, kampanya kuponlarının kötüye kullanılması. Ayrıca bir güvenlik olayı, yalnızca teknik bir sorun değil, müşteri güveni ve yasal yükümlülükler açısından da sonuç doğurur.

WordPress tabanlı sitelerde genel güvenlik önlemlerini (güncellemeler, eklenti seçimi, dosya izinleri) WordPress güvenliği yazısında anlattım. Burada mağazalara özgü risklere odaklanıyoruz.

Ödeme güvenliği: Kart bilgisi sizde durmamalı

Mağaza sahiplerinin en çok sorduğu soru, kart bilgilerinin nerede saklandığıdır. Doğru kurulmuş bir yapıda kart numarası sizin sunucunuzda saklanmaz. Ödeme, bankanın ya da ödeme kuruluşunun güvenli sayfasında veya onların sağladığı güvenli form bileşeninde alınır; mağazaya yalnızca işlemin sonucu döner.

• 3D Secure doğrulaması, kart sahibinin bankasından gelen tek kullanımlık kodla işlemi onaylamasını sağlar ve izinsiz kullanımı zorlaştırır.
• Ödeme altyapısıyla haberleşmede kullanılan gizli anahtarlar, tema dosyalarında değil, sunucu tarafında güvenli bir yerde tutulmalıdır.
• Ödeme sonucu bildirimi (callback) mutlaka doğrulanmalı; aksi hâlde sahte bir “ödendi” bildirimiyle sipariş onaylatılabilir.

Sanal POS veya ödeme kuruluşu seçiminde güvenlik gereksinimleri ve başvuru koşulları değişebildiği için güncel şartları sağlayıcının kendi sitesinden kontrol etmenizi öneririm.

Yönetici hesapları ve yetkiler

Saldırıların önemli bir kısmı karmaşık açıklardan değil, zayıf veya paylaşılan şifrelerden kaynaklanır. Mağazada birden fazla kişi çalışıyorsa her birinin yalnızca işine yetecek yetkiye sahip olması gerekir.

1. Herkes için ayrı kullanıcı hesabı açın; ortak “admin” hesabı kullanmayın.
2. Sipariş hazırlayan personele yönetici değil, sipariş yönetimi yetkisi verin.
3. Yönetici hesaplarında iki adımlı doğrulamayı zorunlu tutun.
4. Giriş sayfasına art arda hatalı deneme sınırı koyun.
5. İşten ayrılan personelin ve projesi biten ajansların hesaplarını hemen kapatın.

Müşteri verisini korumak

Müşteri hesapları, adresler ve sipariş geçmişi kişisel veri niteliğindedir. Bu verilerin korunması hem teknik hem de hukuki bir sorumluluktur.

Teknik tarafta tüm sitenin HTTPS üzerinden çalışması temel şarttır; SSL sertifikasının nasıl işlediğini SSL sertifikası nedir yazısında bulabilirsiniz. Bunun yanında müşteri şifrelerinin güçlü bir algoritmayla özetlenerek saklanması, sipariş dışa aktarma dosyalarının herkesin erişebileceği klasörlerde bırakılmaması ve veritabanı yedeklerinin şifrelenmesi önemlidir.

Hukuki tarafta aydınlatma metni, açık rıza gereken işlemler ve veri saklama süreleri gibi konular devreye girer. Genel çerçeveyi KVKK uyumlu web sitesi yazısında özetledim; kesin hukuki görüş için bir hukuk uzmanına danışmanızı öneririm.

Sahte sipariş ve kötüye kullanım

Her güvenlik sorunu sistemin ele geçirilmesiyle ilgili değildir. Bazen sorun, sistemin kurallarının istismar edilmesidir. Mağazalarda sık görülen kötüye kullanım türleri şunlardır:

Durum	Önlem
Çalıntı kartla sipariş denemeleri	3D Secure, art arda başarısız ödeme denemelerine sınır
Kapıda ödemeli sahte siparişler	Telefon doğrulaması, şüpheli siparişlerde onay araması
Bot ile toplu hesap açma	Kayıt ve ödeme formlarında bot koruması
Kupon kodlarının istismarı	Kişi başı kullanım sınırı, tek kullanımlık kodlar

Bu önlemlerin dozunu iyi ayarlamak gerekir. Aşırı sıkı kurallar gerçek müşteriyi de yorar; özellikle ödeme adımına eklenen her doğrulama, sipariş tamamlama oranını etkileyebilir.

Yedekleme, izleme ve olay anında ne yapılır?

En iyi korunan sistemde bile bir sorun yaşanabilir. Önemli olan, böyle bir durumda kaybın en aza indirilmesidir. Mağazalarda sipariş verisi sürekli değiştiği için günlük tek yedek bazen yetersiz kalır; yoğun mağazalarda veritabanının daha sık yedeklenmesi gerekir. Yedeklerin aynı sunucuda değil, ayrı bir konumda tutulması da şarttır. Bu konuda otomatik yedekleme sistemi yazısı yol gösterebilir.

Dosya değişikliklerini izleyen bir güvenlik aracı, beklenmedik bir dosya düzenlendiğinde sizi uyarır. Bir olay fark edildiğinde ise yapılacaklar sırası önceden bellidir: siteyi bakım moduna almak, tüm yönetici şifrelerini ve ödeme anahtarlarını yenilemek, temiz yedekten geri dönmek, açığın kaynağını bulup kapatmak ve gerekiyorsa müşterileri ve ilgili kurumları bilgilendirmek.

Bu işi nasıl birlikte yaparız?

Mağaza güvenliği tek seferlik bir ayar değil, düzenli bakım isteyen bir süreçtir. Birlikte çalıştığımızda şu adımları izlerim:

1. Güvenlik taraması: Kullanıcı hesaplarını, eklenti ve tema sürümlerini, ödeme entegrasyonunun doğrulama adımlarını, sunucu ayarlarını ve yedekleme düzeninizi incelerim.
2. Bulgular ve teklif: Riskleri öncelik sırasına göre raporlar, hangi önlemlerin hemen, hangilerinin planlı olarak alınacağını net bir kapsamla sunarım.
3. Uygulama ve test: Yetki düzenlemesi, iki adımlı doğrulama, bot koruması ve yedekleme gibi önlemleri devreye alır, sipariş ve ödeme akışının sorunsuz çalıştığını test ederim.
4. Düzenli bakım: İsterseniz güncellemeleri, yedek kontrollerini ve güvenlik uyarılarını düzenli olarak takip ederim.

Mağazanızın güvenlik durumunu birlikte gözden geçirmek isterseniz iletişim sayfasından bana ulaşabilirsiniz.

Sık sorulan sorular

Kart bilgileri benim sunucumda saklanıyor mu?

Doğru kurulmuş bir yapıda hayır. Kart bilgisi bankanın veya ödeme kuruluşunun güvenli ortamında alınır; mağazaya yalnızca işlemin sonucu iletilir.

Küçük bir mağaza da saldırı hedefi olur mu?

Evet. Saldırıların çoğu belirli bir mağazayı değil, bilinen açıkları olan siteleri otomatik araçlarla tarar. Bu yüzden mağazanın büyüklüğünden bağımsız olarak temel önlemler gereklidir.

Güvenlik eklentisi kurmak yeterli mi?

Güvenlik eklentileri faydalı bir katmandır ama güçlü şifre, doğru yetkilendirme, güncel yazılım, güvenli ödeme entegrasyonu ve düzenli yedekleme olmadan tek başına yeterli değildir.

E-ticaret güvenliği için ne sıklıkla kontrol yapılmalı?

Güncellemeler ve yedek kontrolleri düzenli aralıklarla, kapsamlı bir gözden geçirme ise büyük değişikliklerden sonra ve belirli dönemlerde yapılmalıdır. Sıklık, mağazanın büyüklüğüne ve kullanılan eklenti sayısına göre belirlenir.

Sonuç

E-ticaret güvenliği; ödeme entegrasyonu, yönetici hesapları, müşteri verisi, kötüye kullanım önlemleri ve yedeklemeden oluşan katmanlı bir yapıdır. Bu katmanların her biri basit adımlarla güçlendirilebilir ve düzenli bakım ile korunabilir. Mağazanız için bir güvenlik değerlendirmesi isterseniz bana yazabilirsiniz.