E-Ticaret İçin Güvenli Ödeme Sistemleri

E-ticarette güvenli ödeme; şifreli bağlantı, doğru ödeme sağlayıcısı, sunucuda doğrulanan işlem sonucu ve düzenli mutabakatın birlikte çalışmasını gerektirir. Bir sanal POS logosu, 3D Secure ekranı veya başarılı görünen tarayıcı mesajı tek başına ödemenin tahsil edildiğini kanıtlamaz. Bu rehber, sağlayıcı seçerken ve entegrasyonu yayına alırken kontrol etmeniz gereken noktaları açıklar.

Güvenli ödeme altyapısının temel bileşenleri

SSL/TLS, tarayıcı ile sunucu arasındaki aktarımı korur. Sunucudaki zararlı kodu, çalınmış yönetici hesabını veya yanlış ödeme entegrasyonunu ortadan kaldırmaz. Ödeme sayfasındaki üçüncü taraf scriptleri sınırlayın; eklentilerin ve erişim hesaplarının bakımını da güvenliğin bir parçası olarak ele alın.

PCI DSS, kart verisini korumaya yönelik teknik ve operasyonel gereklilikler içerir. PCI DSS uyumlu bir sağlayıcı kullanmak işyerinin bütün sorumluluklarını kaldırmaz. Kart verisinin nereden geçtiği, ödeme sayfasının nasıl sunulduğu ve anlaşmalı kuruluşun talepleri uygulanacak doğrulamayı etkiler. PCI Security Standards Council işyeri kaynakları bu kapsamı değerlendirmenin başlangıç noktasıdır.

3D Secure, kart hamilinin doğrulanmasına yardımcı olur; işlem riskine göre banka uygulaması, kod veya kullanıcıya ek adım göstermeyen bir akış kullanılabilir. Her sahtecilik türünü önlemez ve her durumda aynı sorumluluk aktarımını sağlamaz. Fraud filtreleri, limitler ve manuel inceleme kuralları sağlayıcı sözleşmesiyle birlikte değerlendirilmelidir.

Türkiye’de ödeme sağlayıcısı seçerken

Komisyon oranı kadar ödeme vadesi, bloke/rezerv koşulları, iade ve chargeback ücretleri, destek kalitesi ve kuruluşun güncel faaliyet durumu önemlidir. Marka adı ile sözleşmedeki tüzel kişiyi eşleştirin. Faaliyet iznini ve güncel kararları Türkiye Cumhuriyet Merkez Bankası kaynaklarından; operasyonel duyuruları sağlayıcının kendi sitesinden kontrol edin. Aşağıdaki adlar bir sıralama veya güncel faaliyet izni onayı değildir.

• iyzico: hazır e-ticaret modülleri ve API seçeneklerini değerlendirirken kullandığınız altyapı sürümünü, taksit kurallarını, komisyonları ve ödeme vadesini güncel tekliften doğrulayın. Sözleşmede bulunmayan ücretsiz hizmet veya sabit oran varsaymayın.
• PayTR: sanal POS entegrasyon yönteminin, iade akışının ve callback doğrulamasının sitenizle uyumunu inceleyin. Kurulum, yıllık kullanım, işlem ve 3D Secure ücretlerinin bulunup bulunmadığını güncel sözleşmeden kontrol edin.
• ParamPOS: Param markasının sanal POS çözümüdür; QNB Finansbank hizmeti olarak tanımlanması doğru değildir. Param’ın resmî sitesindeki güncel şirket, faaliyet ve hak ediş duyurularını inceleyin. Yalnız tanıtım komisyonuna dayanarak sağlayıcı seçmeyin; tahsilatın ne zaman ve hangi koşullarda hesabınıza geçeceğini yazılı olarak doğrulayın.
• Paratika: resmî sitesinde Paratika Ödeme Hizmetleri A.Ş., bir Payten Teknoloji A.Ş. firması olarak tanımlanır. Paratika; sanal POS, tekrarlayan ödeme, fraud kontrolü ve mutabakat gibi çözümler sunar. Pazarlama metnindeki başarı oranları kendi sitenizin sonucu için garanti değildir; desteklenen işlemleri ve koşulları teklif üzerinden karşılaştırın.

Teknik entegrasyonda kritik kontroller

1. Tutar ve para birimi: siparişin tutarını sunucudaki kayıttan alın. Tarayıcıdan gelen fiyatı doğru kabul etmeyin.
2. Sunucudan doğrulama: sağlayıcının imzalı callback/webhook yanıtını belgelenmiş yöntemle doğrulayın. Sipariş, tutar, para birimi ve işlem kimliği eşleşmeden siparişi ödenmiş saymayın.
3. Tekrarlanan bildirim: aynı ödeme bildirimi birkaç kez gelebilir. Aynı işlem kimliğiyle sipariş teslimini veya tahsilat kaydını tekrar oluşturmayın.
4. Gecikme ve bağlantı kopması: kullanıcı tarayıcıyı kapattığında ödeme sunucuda tamamlanmış olabilir. Başarılı dönüş sayfasını tek karar noktası yapmayın; sağlayıcı durum sorgusu ve mutabakat akışını kullanın.
5. Kart verisi: CVV gibi hassas doğrulama verilerini günlük, destek kaydı veya veritabanında saklamayın. Sağlayıcının token veya barındırılan ödeme sayfasını belgelenmiş biçimde kullanın.
6. Önbellek ve erişim: checkout, hesap ve callback yollarını yanlış CDN/WAF kurallarından koruyun. Yönetici erişiminde MFA ve en az yetki uygulayın.

Yayından önce hangi senaryolar denenmeli?

Sağlayıcının test ortamında başarılı ve reddedilen işlem, 3D Secure iptali, zaman aşımı, aynı callback’in tekrarı, tutar uyuşmazlığı ve kısmi/tam iade senaryolarını çalıştırın. Başarısız ödemede siparişin teslim edilmediğini, başarılı işlemde ise yalnız bir kez işlendiğini doğrulayın. Gerçek müşteri kartını test verisi olarak kullanmayın.

Canlıya geçtikten sonra sağlayıcı raporu, banka hareketleri ve sipariş kayıtlarını düzenli olarak karşılaştırın. Analitik bir satın alma olayı finansal kayıt yerine geçmez; “satın al” butonuna tıklanması da tamamlanmış satış değildir.

Hukuki ve operasyonel kapsam

Tüketiciye satışta ön bilgilendirme, mesafeli sözleşme, teslimat ve iade koşulları; sunulan ürün/hizmet ve geçerli istisnalara göre hazırlanmalıdır. Kişisel veri işleme için uygun hukuki sebep, aydınlatma, saklama ve güvenlik yükümlülükleri birlikte değerlendirilir; her veri işleme faaliyeti için tek çözüm açık rıza değildir.

Ticari elektronik ileti onayı, İYS yükümlülükleri ve istisnalar alıcı ve ileti türüne göre değişebilir. Sipariş bildirimi ile pazarlama mesajını ayırın; pazarlama onayını ödeme yapmanın zorunlu şartı gibi sunmayın. Sitenizin sözleşmelerini güncel mevzuat ve kendi iş modeliniz üzerinden değerlendirin.

Ödeme sağlayıcısı seçimi kadar, e-ticaret hosting kaynakları, düzenli yedek ve güvenli uygulama bakımı da mağazanın sürekliliğini etkiler. Kararı yalnız komisyon oranına veya tek bir güvenlik logosuna göre vermeyin.