Sahte kayıtlar, ele geçirilen hesaplar ve kapıda ödemede “siparişi verdi ama kapıya çıkmadı” vakaları, e-ticaretin gözden kaçan maliyetleridir. Her sahte sipariş; hazırlanan paket, kargo ücreti, iade süreci ve ekip zamanı demektir. SoftCrafter Twilio Telefon Doğrulama eklentisi, müşterinin telefonuna Twilio Verify ile gönderilen tek kullanımlık bir kodu, belirli işlemler tamamlanmadan önce zorunlu kılar: kayıt, giriş, ödeme ve telefon değişikliği.
Eklenti kendi Twilio hesabınızla çalışır; dört yüzeyin hepsi kurulumdan sonra kapalı gelir ve her birini ayrı ayrı açıp denersiniz. Bu temkinli başlangıç bilinçlidir: ödeme adımında doğrulama zorunlu kılınmadan önce, müşteri akışını sizin kendi telefonunuzla denemeniz beklenir.
Doğrulama nerede devreye girer?
- Kayıt: Telefon kodu onaylanana kadar hesap oluşturulmaz.
- Giriş: Parolanın ardından ikinci faktör. CS-Cart müşteriyi zaten oturum açmış saydığı için eklenti, kod girilene kadar tüm vitrin sayfalarını doğrulama ekranına yönlendirir. Çıkış, doğrulama ekranı ve vitrini gezen yöneticiler muaftır.
- Ödeme adımı: Kod girilene kadar sipariş reddedilir. Bu yüzey özellikle kapıda ödeme sahteciliğine karşı tasarlanmıştır.
- Telefon değişikliği: Telefon numarasını değiştiren müşteri, yeni numarayı da doğrulamak zorundadır; böylece hesaba erişen bir saldırgan doğrulamayı kendi telefonuna taşıyamaz.
Her yüzeyin ayrı bir anahtarı vardır. Sayfada özellikle uyarıldığı gibi, ödeme yüzeyini test etmeden açmamanız gerekir.
Kodlar nerede saklanır? Hiçbir yerde
Güvenlik açısından en dikkat çekici tasarım tercihi budur: eklentinin üç tablosunun hiçbirinde kod sütunu yoktur ve kodlar hiçbir biçimde (düz metin, özet ya da şifreli) saklanmaz. Kodu Twilio üretir ve tutar; mağazanız yalnızca “bu kod bu numaraya mı ait?” sorusunu sorar. Mağaza sadece bir doğrulamanın istendiğini, hangi amaçla ve Twilio’nun onaylayıp onaylamadığını kaydeder.
Bir ayrıntı büyük önem taşır: yanlış kod girildiğinde Twilio HTTP 200 ile pending durumu döndürür. Eklenti, doğrulamayı yalnızca Twilio durumu tam olarak approved olduğunda onaylı sayar. API çağrısının başarılı olmasını kodun doğru olması sanan entegrasyonlar, girilen her kodu onaylar; bu hata ödeme güvenliğinde yaygın ve ciddi bir açıktır.
Kanallar: SMS, sesli arama ve WhatsApp
Kod SMS, sesli arama (rakamları sesli okur) ya da WhatsApp ile gönderilebilir; bir kanalın çalışması için Twilio’daki Verify servisinizde etkin olması gerekir. Sesli arama yedeği varsayılan olarak açıktır: ilk SMS’ten sonra müşteri “beni ara” düğmesini görür. Bu, yalnızca sesli arama alabilen sabit hatlar için hayati önemdedir.
Hız sınırları ve koruma
| Ayar | Seçenekler |
|---|---|
| Pencerede yanlış deneme hakkı | 3, 5 ya da 10 |
| Deneme penceresi | 15, 30 ya da 60 dakika |
| Limit dolunca kilit süresi | 15 dakikadan 24 saate |
| Yeniden gönderme aralığı | 30, 60 ya da 120 saniye |
| Pencerede kod sayısı | 3, 5 ya da 10 (Twilio uygular; aşıldığında 60203) |
Tasarımın önemli bir yönü: kilit, kod isteğine değil telefon numarasına bağlıdır. Yeni kod istemek deneme sayacını sıfırlamaz; numara bazında ayrı bir defter tutulur. Twilio ayrıca doğrulama başına beş yanlış deneme sınırı uygular (hata 60202).
Kesinti davranışını siz seçersiniz. “Geçir” (varsayılan) seçeneğinde Twilio erişilemezse müşteriler kod girmeden devam eder; bu, çoğu mağaza için daha az maliyetlidir, çünkü birkaç saatlik doğrulamasız sipariş genellikle birkaç saatlik sıfır sipariş kadar pahalı değildir. “Durdur” seçeneğinde hiçbir şey doğrulamasız geçmez; doğrulamanın ana sahtecilik kontrolü olduğu kapıda ödemeli mağazalar için uygundur. Eklentinin kendi hataları her zaman müşteriyi geçirir ve atlanan her kontrol kaydedilir.
Müşteri deneyimi
Müşteri tek bir ekran görür: numaranın son dört hanesi, kod alanı, gecikme süresi dolana kadar kapalı kalan “yeniden gönder” düğmesi ve yedek açıksa sesli arama düğmesi. Telefon numarası her zaman sunucu tarafında (profil ya da bekleyen siparişten) okunur; formdan gelen rastgele numaraya kod göndermek engellenir. Ekran vitrin temasını devralır ve Türkçe ile İngilizce çevirileri hazırdır. Yanlış kodda müşteriye kodun yanlış olduğu ve varsa kilit süresi bildirilir; yapılandırma sorunlarında (ödenmemiş hesap, eksik kanal, yanlış SID) yalnızca genel bir “doğrulama şu anda kullanılamıyor” mesajı görünür.
Yerel biçimdeki numaralar (0532 123 45 67) varsayılan ülke koduyla E.164’e çevrilir. Alan boşsa eklenti tahmin yürütmek yerine yerel numaraları reddeder, çünkü tahmin edilen bir ülke kodu doğrulama kodunu yanlış kişiye gönderebilir.
Yönetici araçları
Eklentiler → Twilio doğrulama → Doğrulamalar ekranı, hangi yüzey için, hangi numaraya ne istendiğini ve nasıl sonuçlandığını gösterir; kodlar hiçbir zaman gösterilmez. Kilitlenen bir müşterinin kilidi tek tıkla açılır ve her açma kaydedilir. Genel bakış ekranı bağlantı, yüzeyler ve son etkinliği özetler. Sorun giderme tablosu sık hataları ele alır: 20003 (kimlik doğrulama başarısız), 20404 (Verify servisi bulunamadı), 60200 (numara geçerli E.164 değil), 60202 ve 60203 (limitler), 60205 (sabit hatta SMS gönderilemez). Deneme (trial) hesaplarda yalnızca Twilio konsolunda doğrulanmış numaralara ulaşılır.
Gereksinimler
| Gereksinim | Ayrıntı |
|---|---|
| CS-Cart | 4.19.0 ve üzeri; aynı arşiv CS-Cart ve Multi-Vendor’a kurulur |
| PHP | 7.4 ve üzeri; cURL ve OpenSSL etkin |
| Twilio | Hesap ve Verify servisi (Verify → Services; SID VA ile başlar) |
| Zamanlama | Cron ya da HTTPS geri çağrı gerekmez |
Kod uzunluğu, geçerlilik süresi ve kanallar Twilio tarafında belirlenir; eklenti bunları okur ama değiştirmez. Auth Token, kurulumun güvenlik özetinden türetilen bir anahtarla AES-256-CBC ve HMAC ile şifrelenir ve ayrı bir tabloda saklanır; veritabanını başka bir kuruluma kopyalamak saklı anahtarı okunamaz hale getirir. Eklenti hiçbir kimlik bilgisiyle gelmez.
Kapsam dışı olanlar
- Yalnızca Twilio Verify desteklenir.
- Yönetim paneli için iki adımlı doğrulama yoktur; eklenti yalnızca vitrini korur.
- Parolasız giriş yoktur; kod parolanın ardından ikinci adımdır.
- E-posta ya da kimlik doğrulayıcı uygulama kodu yoktur; yalnızca telefon kanalları vardır.
- Sipariş bildirimi SMS’i bu eklentinin işi değildir; bunun için Twilio SMS Bildirimleri vardır.
- İYS entegrasyonu yoktur. Doğrulama mesajları ticari ileti sayılmaz ancak kendi yükümlülüklerinizin değerlendirmesi size aittir.
Doğrulama hangi mağazalarda anlamlı?
Her mağazanın her yüzeyi açması gerekmez; riskinize göre seçmek en iyisidir:
- Kapıda ödeme yapan mağazalar: Ödeme yüzeyi sahte siparişleri belirgin biçimde azaltır; çünkü sipariş vermeden önce gerçek ve erişilebilir bir telefon numarası gerekir.
- Pazaryerleri: Kayıt yüzeyi, sahte satıcı ve alıcı hesabı açılmasını zorlaştırır.
- Yüksek değerli ürün satanlar: Giriş yüzeyi, ele geçirilen hesaplarla yapılan siparişlere karşı ek bir engel kurar.
- Telefon numarasını iletişim için kritik görenler: Telefon değişikliği yüzeyi, hesap devralma girişimlerini önler.
Her yüzey müşteriye bir adım daha ekler. Müşteri her girişte kod girmek zorunda kalırsa dönüşüm düşebilir; bu yüzden kademeli uygulayıp sonuçları izlemenizi öneririz.
Yükseltme ve acil durum
Yeni arşiv aynı şekilde yüklenir, tablolar ilk istekte otomatik göç eder ve ayarlar, kimlik bilgileri ve doğrulama geçmişi korunur. Eklentiyi devre dışı bırakmak tüm engelleri tek hamlede kaldırır: müşterilerden kod istenmez ve hiçbir şey engellenmez; mağazayı en hızlı yeniden açma yöntemi budur. Kaldırmak tabloları, yetkileri ve saklı kimlik bilgilerini siler.
Proje nasıl ilerler?
- Risk analizi: Hangi sahtecilik ya da hesap güvenliği sorununu çözmek istediğiniz konuşulur: sahte kayıtlar, kapıda ödeme sahteciliği, ele geçirilen hesaplar ya da telefon numarası değişikliği.
- Twilio hesabı ve Verify servisi: Hesap ve Verify servisi oluşturulur; kod uzunluğu, geçerlilik süresi ve kanallar Twilio tarafında seçilir.
- Eklenti kurulumu ve yetkiler: Arşiv yüklenir, iki yetki ilgili gruplara verilir, “Kaydet ve test et” ile bağlantı doğrulanır; varsayılan ülke kodu ayarlanır.
- Yüzeylerin sırayla açılması: Önce bir yüzey (genellikle kayıt ya da ödeme) açılır, kendi telefonunuzla denenir; ardından diğerleri eklenir.
- Koruma ayarları: Deneme hakkı, pencere, kilit süresi ve yeniden gönderme aralığı belirlenir; kesinti davranışı (geçir/durdur) seçilir.
- Müşteri deneyimi testi: Doğru kod, yanlış kod, kilit, yeniden gönderme ve sesli arama yedeği senaryoları denenir.
- İzleme: Doğrulamalar ekranı ve dönüşüm oranı birlikte izlenir; gerekirse yüzeyler gevşetilir ya da sıkılaştırılır.
Maliyeti ne belirler?
Kurulum ve yapılandırma kalem kalem tekliflendirilir. Etkenler: açılacak yüzey sayısı, kanal tercihleri (SMS, sesli arama, WhatsApp), tema uyarlaması ihtiyacı, ödeme sayfasındaki mevcut akışın karmaşıklığı ve test yoğunluğu. Twilio Verify’ın kod başına ücretleri Twilio hesabınıza yansır ve ülkeye göre değişir; bu bedeller çalışmanın dışındadır.
Güvenlik ve operasyon ekibine öneriler
- Yeni yüzeyleri bir seferde değil, sırayla açın ve her adımda sonuçları izleyin.
- Kilitlenme şikâyetlerinde önce doğrulamalar ekranındaki kayda bakın; çoğu zaman yanlış numara ya da yanlış kod girişidir.
- Twilio Verify servis ayarlarını (kod uzunluğu ve süresi) değiştirdiğinizde müşteri akışını yeniden test edin.
- Yüksek riskli işlemler için (telefon değişikliği, ödeme) yüzeyleri açık tutup düşük riskli işlemlerde (giriş) gevşek davranmak, dönüşüm ve güvenlik arasında iyi bir denge kurabilir.
- Deneme hesapta yalnızca doğrulanmış numaralara ulaşılabildiğini unutmayın; canlıya çıkmadan hesabı yükseltin.
Doğrulama ve dönüşüm dengesi
Her ek doğrulama adımı, gerçek müşteriye de bir adım daha ekler. Sahteciliği azaltmak ile dönüşümü korumak arasındaki denge, işinizin riskine göre kurulmalıdır. Düşük riskli, hızlı kararlarla alınan ürünlerde giriş doğrulaması gereksiz bir engel olabilir; yüksek tutarlı ya da kapıda ödemeli siparişlerde ise ödeme doğrulaması, birkaç saniyelik ek adımdan çok daha değerli olabilir. Bu nedenle yüzeyleri tek tek açıp her birinin sipariş sayısına ve sahtecilik oranına etkisini izlemek en doğru yoldur. Eklentinin doğrulamalar ekranı ve kesinti davranışı seçenekleri, bu dengeyi veriye dayalı olarak yönetmenizi kolaylaştırır.
Doğrulamayı kullanıcı deneyimiyle dengelemek
Doğrulama güvenliği artırır ama her ek adım müşteri için biraz daha zahmet demektir. Dengeyi kurmak için doğrulamayı yalnızca riskin yüksek olduğu anlarda (kayıt, parola değişikliği, ödeme, telefon değişikliği) isteyin. Kodun geçerlilik süresini makul tutun, tekrar gönderme seçeneğini net gösterin ve hata mesajlarını anlaşılır yazın. Kodu girmeyen kullanıcı için alternatif bir yol (destek, e-posta) sunmak terk oranını düşürür.
Sık sorulan sorular
Doğrulama kodunu kendi veritabanımda saklıyor muyum?
Hayır. Kodları Twilio üretir ve tutar; mağazanızın hiçbir tablosunda kod yoktur. Mağaza yalnızca doğrulamanın istendiğini, amacını ve Twilio’nun onaylayıp onaylamadığını kaydeder.
Twilio çalışmazsa müşterilerim sipariş veremez mi?
Bunu siz seçersiniz. Varsayılan “geçir” davranışında Twilio erişilemezse müşteri doğrulamasız devam eder; “durdur” seçeneğinde hiçbir şey doğrulamasız geçmez. Eklentinin kendi hataları her durumda müşteriyi geçirir ve atlanan her kontrol kaydedilir.
Müşterim telefon numarası vermek istemezse?
Eklenti, telefonu olmayan müşteriyi engellemez; telefon numarasını zorunlu kılmak, CS-Cart’ın profil alanlarıyla ayrıca verdiğiniz bir karardır. Doğrulama yüzeyleri yalnızca numarası olan müşteriler için çalışır.
Sabit hatla çalışır mı?
Sabit hatlar SMS alamaz; sesli arama yedeği bu yüzden varsayılan olarak açıktır. Müşteri ilk SMS’ten sonra “beni ara” düğmesini görür ve kod sesli okunur.
Kilitlenen müşteriyi nasıl açarım?
Eklentiler → Twilio doğrulama → Doğrulamalar ekranından tek tıkla kilidi açabilirsiniz; her açma kaydedilir.
SoftCrafter ile çalışmak
Doğrulama eklentisi, yanlış kurgulandığında müşteriyi kaçırır; doğru kurgulandığında sahtecilik maliyetini düşürür. SoftCrafter, CS-Cart’ın resmi partneri olarak Verify servisinin yapılandırılmasını, yüzeylerin sırayla açılmasını, kesinti davranışının seçilmesini ve test senaryolarını sizin adınıza yürütür. Çalışma kalem kalem tekliflendirilir; teklifiniz ön görüşmeden sonra 1 iş günü içinde hazır olur ve formu bıraktığınızda ekibimiz sizi 15 dakika içinde arar. Ayrıntılı kullanım için Türkçe dokümantasyona göz atabilirsiniz.
