E-Ticaret Güvenliği: Sitenizi ve Müşterilerinizi Koruyun

Dijital alışverişin her geçen yıl büyüdüğü Türkiye pazarında, e-ticaret güvenliği artık "iyi olur" kategorisinden çıkıp "zorunludur" kategorisine geçmiştir. 2025 yılında Türkiye'de gerçekleşen siber saldırıların yüzde kırk sekizinin e-ticaret platformlarını hedef aldığı düşünüldüğünde, güvenlik yatırımının bir seçenek değil, iş sürekliliğinin temel koşulu olduğu anlaşılmaktadır.

Bu rehberde, e-ticaret sitenizi ve müşteri verilerini korumaya yönelik teknik önlemleri, yasal gereklilikleri ve operasyonel en iyi uygulamaları ele alıyoruz.

1. SSL/TLS: Güvenliğin Temel Taşı

HTTPS Neden Zorunlu?

SSL (Secure Sockets Layer) ve onun modern halefi TLS (Transport Layer Security), siteniz ile kullanıcı tarayıcısı arasındaki veri akışını şifreler. Kredi kartı numarası, şifre, kişisel bilgi gibi hassas verilerin şifrelenmeden iletilmesi, bu verilerin ağ trafiğini dinleyen saldırganlar tarafından ele geçirilmesine kapı aralar. Türkiye'de KVKK (Kişisel Verilerin Korunması Kanunu) kapsamında bu tür bir ihmalin ciddi idari yaptırımlara yol açabileceğini hatırlatmak gerekir.

Bunun dışında pratik nedenler de önemlidir:

• Google, HTTPS kullanmayan sitelere arama sıralamalarında ceza puanı uygular.
• Chrome ve Firefox, HTTP sitelerini "Güvenli Değil" olarak işaretler; bu durum ziyaretçinin hemen sayfayı terk etmesine yol açar.
• Ödeme altyapısı sağlayıcılarının büyük çoğunluğu HTTPS olmayan entegrasyon talepleri kabul etmez.

Hangi Sertifikayı Seçmeli?

• Domain Validation (DV): En temel seviye. Küçük ölçekli siteler için geçerlidir; alan adı sahipliği doğrulanır ancak şirket kimliği doğrulanmaz.
• Organization Validation (OV): Şirket kimliği de doğrulanır. Orta ölçekli işletmeler için uygundur.
• Extended Validation (EV): Adres çubuğunda yeşil kilit yanında şirket adı görünür. Finansal işlem yoğunluğu olan siteler için önerilir.
• Wildcard Sertifika: Alt alan adlarının tamamını kapsar (*.siteniz.com). Çoklu alt alan yapınız varsa maliyet açısından avantajlıdır.

TLS Versiyon Yönetimi

TLS 1.0 ve 1.1 versiyonları güvenlik açıkları nedeniyle artık kullanılmamalıdır. Sunucunuzun yalnızca TLS 1.2 ve TLS 1.3 desteklediğinden emin olun. Bunu doğrulamak için SSL Labs'in ücretsiz test aracını (ssllabs.com/ssltest) kullanabilirsiniz.

2. PCI DSS Uyumu: Kart Ödemelerinin Güvenliği

PCI DSS Nedir?

Payment Card Industry Data Security Standard (PCI DSS), Visa, Mastercard ve diğer kart şemalarının oluşturduğu bir güvenlik standardıdır. Kart ödemeleri kabul eden her işletme bu standarda uymak zorundadır.

Uyumluluk Seviyeleri

İşletmenizin yıllık işlem hacmine göre farklı uyumluluk seviyeleri (Level 1–4) uygulanır. Türkiye'deki e-ticaret işletmelerinin büyük çoğunluğu Level 3 veya Level 4 kategorisine girer; bu seviyelerde genellikle öz-değerlendirme anketi (SAQ) doldurulması yeterlidir.

En Kritik 6 PCI DSS Gereksinimi

1. Güvenlik duvarı kurulumu ve bakımı: Kart verisi içeren ağ segmentlerini izole edin.
2. Varsayılan şifrelerin değiştirilmesi: Tüm cihaz ve yazılımlardaki fabrika çıkış parolalarını değiştirin.
3. Kart verisinin korunması: Depolanan kart verilerini şifreleyin veya hiç depolamayın.
4. Veri iletiminin şifrelenmesi: Kart verisi taşıyan tüm bağlantılar TLS ile güvence altına alınmalıdır.
5. Kötü amaçlı yazılım koruması: Tüm sunucularda güncel antimalware yazılımı çalıştırın.
6. Erişim kontrolü: Kart verilerine yalnızca yetkili personelin ulaşabilmesini sağlayın.

Pratik Öneri: Tokenizasyon

Kart verilerini kendiniz saklamak yerine, ödeme sağlayıcısının tokenizasyon altyapısını kullanın. Bu sayede PCI DSS yükümlülüklerinizin büyük bölümü ödeme sağlayıcısına devredilir. Türkiye'de iyzico, PayTR ve Stripe gibi sağlayıcılar PCI DSS Level 1 sertifikalıdır.

3. DDoS Koruması: Servis Sürekliliğini Sağlayın

DDoS Nedir ve E-Ticarete Etkisi Nedir?

Distributed Denial of Service (DDoS) saldırıları, sisteminize saniyeler içinde milyonlarca sahte istek göndererek sunucuyu devre dışı bırakmayı hedefler. E-ticaret siteleri bu saldırıların favori hedeflerindendir; çünkü bir saatlik kesinti bile önemli gelir kaybına neden olabilir.

Koruma Katmanları

Cloudflare, Akamai ve Fastly gibi CDN (Content Delivery Network) hizmetleri, trafiği kendi altyapıları üzerinden geçirerek zararlı istekleri kaynak sunucuya ulaşmadan filtreler. Cloudflare'in ücretsiz planı bile temel DDoS koruması sunar; ücretli planlar ise saniyede terabit düzeyindeki saldırılara karşı koruma sağlar.

Belirli bir IP adresinden belirli bir süre içinde gelen istek sayısını sınırlayın. Nginx ve Apache için bu yapılandırma nispeten kolaydır. Örneğin bir IP adresinin dakikada en fazla 100 istek gönderebileceği kuralı, kaba kuvvet saldırılarını da engeller.

Tüm botlar zararlı değildir (Google botu, ürün fiyat karşılaştırma botları), ancak zararlı botlar ürün stok durumunu anında tespit etmek veya fiyat sıyırmak amacıyla çalışabilir. Bir bot yönetim çözümü, davranışsal analiz yoluyla zararlı botları iyi botlardan ayırt eder.

4. Güvenlik Başlıkları (Security Headers)

HTTP güvenlik başlıkları, tarayıcının siteyi nasıl işleyeceğini belirler ve birçok yaygın saldırı vektörünü engeller. Sunucu yapılandırmanıza eklemeniz gereken temel başlıklar şunlardır:

Content-Security-Policy (CSP)

Hangi kaynaklardan script, stil, resim yüklenebileceğini tanımlar. XSS (Cross-Site Scripting) saldırılarına karşı en etkili önlemdir.

Content-Security-Policy: default-src 'self'; script-src 'self' 'nonce-{random}' https://cdnjs.cloudflare.com; img-src 'self' data: https:; style-src 'self' 'unsafe-inline';

Strict-Transport-Security (HSTS)

Tarayıcının siteye her zaman HTTPS üzerinden bağlanmasını zorunlu kılar.

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

X-Frame-Options

Sitenizin başka bir sitede iframe içinde gösterilmesini engeller; clickjacking saldırısını önler.

X-Frame-Options: DENY

X-Content-Type-Options

Tarayıcının MIME türü tahmini yapmasını engeller.

X-Content-Type-Options: nosniff

Permissions-Policy

Kamera, mikrofon, konum gibi tarayıcı API'lerinin kullanımını kısıtlar.

Bu başlıkları test etmek için SecurityHeaders.com adresini kullanabilirsiniz. Siteniz A+ veya A notu alıyorsa başlangıç noktası olarak yeterlidir.

5. Güvenlik Denetimleri: Proaktif Yaklaşım

Sızma Testi (Penetration Testing)

Yılda en az bir kez profesyonel bir güvenlik firmasına sızma testi yaptırın. Bu test, gerçek bir saldırganın bakış açısıyla güvenlik açıklarını ortaya koyar. PCI DSS kapsamında da periyodik sızma testi zorunludur.

Otomatik Zafiyet Taraması

OWASP ZAP veya Burp Suite Community Edition gibi araçlarla düzenli zafiyet taramaları yapın. Bu araçlar SQL injection, XSS, güvenli olmayan doğrudan nesne referansı (IDOR) gibi yaygın açıkları tespit eder.

Bağımlılık Güvenlik Takibi

E-ticaret platformunuz büyük olasılıkla düzinelerce açık kaynaklı kütüphane kullanmaktadır. Snyk veya Dependabot gibi araçlar, kullandığınız kütüphanelerin bilinen güvenlik açıklarını sürekli izler ve güncelleme uyarısı gönderir.

Web Application Firewall (WAF)

WAF, HTTP/HTTPS trafiğini analiz ederek SQL injection, XSS ve diğer uygulama katmanı saldırılarını engeller. Cloudflare WAF, AWS WAF ve ModSecurity en yaygın tercihlerdir.

6. Kimlik Doğrulama ve Erişim Yönetimi

Çok Faktörlü Kimlik Doğrulama (MFA)

Yönetici paneli, barındırma kontrol paneli ve ödeme sağlayıcısı hesaplarının tamamında MFA zorunlu olmalıdır. Kimlik bilgisi ihlalinin büyük çoğunluğu, MFA ile önlenebilir seviyede kalmaktadır.

En Az Yetki İlkesi

Her çalışan ve sistem bileşeni, yalnızca görevini yerine getirmek için gereken minimum yetkiye sahip olmalıdır. Müşteri hizmetleri temsilcisinin veritabanı yönetici yetkisine sahip olmasına gerek yoktur.

Güvenli Şifre Politikası

Kullanıcı şifrelerini asla düz metin (plaintext) olarak saklamayın. bcrypt, Argon2 veya scrypt gibi güvenli hash algoritmaları kullanın. Kullanıcılara şifre yöneticisi kullanmalarını önerin ve minimum 12 karakter uzunluğu zorunlu kılın.

7. Güvenlik Olayı Müdahalesi

Müdahale Planı Oluşturun

Bir güvenlik ihlali yaşandığında panik değil, plan devreye girmelidir. Temel müdahale planınız şu adımları içermelidir:

1. Tespit: İzleme araçları veya raporlama yoluyla olayı fark edin.
2. Sınırlama: Etkilenen sistemi izole edin, hasarın yayılmasını önleyin.
3. Araştırma: Saldırının boyutunu ve vektörünü belirleyin.
4. Temizleme: Zararlı içerikleri, arka kapıları ve güvenlik açıklarını giderin.
5. Kurtarma: Sistemleri güvenli bir durumdan yeniden devreye alın.
6. Bildirim: Gerekli durumlarda KVKK kapsamında Kişisel Verileri Koruma Kurumu'na ve etkilenen kişilere bildirim yapın (72 saat kuralı).
7. Öğrenme: Olaydan çıkarılan dersleri dokümante edin ve süreçleri iyileştirin.

8. Yedekleme Stratejisi

Fidye yazılımı saldırıları e-ticaret sitelerini giderek daha sık hedef almaktadır. Düzenli ve test edilmiş yedekler, bu tür saldırıların etkisini minimize eder.

• Günlük veritabanı yedekleri alın.
• Yedekleri birden fazla coğrafi konumda saklayın (3-2-1 kuralı: 3 kopya, 2 farklı medya, 1 farklı konum).
• Yedeklerden geri yükleme sürecini düzenli olarak test edin.
• Yedekleri şifreli tutun.

Sonuç

E-ticaret güvenliği tek seferlik bir proje değil, sürekli devam eden bir süreçtir. SSL/TLS'den başlayarak PCI DSS uyumuna, DDoS korumasından güvenlik başlıklarına uzanan bu önlemler birbirini tamamlar. En zayıf halka teorisini unutmayın: saldırganlar her zaman en kolay erişilebilir noktayı hedefler.

Güvenliğe yatırım yapmak hem yasal bir zorunluluk (KVKK, ödeme standartları) hem de müşteri güveni inşasının temel taşıdır. Müşterileriniz, kişisel ve finansal verilerini emanet ettiği marka olarak sizi seçmektedir. Bu güveni korumak, uzun vadeli iş başarısının ayrılmaz bir parçasıdır.