Bir e-ticaret mağazası, müşterinin adını, adresini, telefonunu ve sipariş geçmişini tutan bir sistemdir; aynı zamanda para akışının geçtiği bir kapıdır. Bu yüzden güvenlik, “teknik ekibin bir konusu” olmaktan çok doğrudan bir iş sürekliliği ve itibar meselesidir. Güvenlik olayı yaşayan bir mağaza yalnızca teknik bir sorunla değil; kesinti, müşteri güveni kaybı, olası hukuki sorumluluk ve toparlama maliyetiyle karşılaşır. Neyse ki e-ticaret güvenliğinin büyük bölümü karmaşık teknolojilere değil, düzenli ve disiplinli birkaç alışkanlığa dayanır. Hiçbir sistemde yüzde yüz güvenlik garantisi verilemez; hedef, riski azaltmak, olası bir olayı erken fark etmek ve hızla toparlanabilmektir. KVKK gibi hukuki yükümlülükler için hukuk danışmanınızla çalışmanızı öneririz; bu sayfa hukuki danışmanlık değildir.
E-ticarette güvenlik neleri kapsar?
Bir mağazanın güvenliği tek bir önlemle sağlanmaz; birbirini tamamlayan katmanlardan oluşur:
- Yazılım güncelliği: Çekirdek yazılımın, eklentilerin ve temanın güncel tutulması.
- Veri koruma: Müşteri ve sipariş verisinin korunması, düzenli ve test edilmiş yedekleme.
- Erişim kontrolü: Yönetim paneline kimin, hangi yetkiyle, hangi güvenlik düzeniyle girebildiği.
- Ödeme güvenliği: Kart verisinin sizde tutulmayıp ödeme kuruluşunda kalması, bildirimlerin doğrulanması.
- Altyapı güvenliği: Sunucunun doğru yapılandırılması, şifreli bağlantı (HTTPS), güvenlik duvarı ve izleme.
- İnsan ve süreç: Parola alışkanlıkları, ayrılan çalışanın erişiminin kapatılması, oltalama (phishing) farkındalığı.
Zincir en zayıf halkası kadar güçlüdür; sunucu ne kadar iyi yapılandırılmış olursa olsun herkesin kullandığı tek bir yönetici parolası riski belirler.
En sık görülen riskler
OWASP, web uygulamalarındaki en kritik güvenlik risklerini “OWASP Top 10” listesinde yayımlar. Liste ve sıralama zamanla güncellenir; ancak başlıca risk kategorileri uzun süredir benzer temalar etrafında döner. E-ticaret mağazaları açısından önemli olanları sade bir dille şöyle sıralayabiliriz:
- Güncel olmayan bileşenler: Eski sürüm çekirdek, eklenti veya kütüphane; bilinen açıkların en yaygın kaynağıdır.
- Zayıf erişim kontrolü: Gereğinden fazla yetki, paylaşılan hesaplar, çok faktörlü doğrulamanın olmaması.
- Enjeksiyon saldırıları: Kullanıcı girdisinin yeterince doğrulanmadığı yerlerde zararlı komut ya da kod çalıştırılması. Özel geliştirilmiş modüllerde dikkat gerektirir.
- Yanlış yapılandırma: Açık bırakılmış yedek dosyaları, gereksiz servisler, varsayılan parolalar, görünür hata ayrıntıları.
- Oltalama ve sosyal mühendislik: Teknik açık olmadan, çalışanın kandırılarak parola vermesi.
- Üçüncü taraf riski: Güvenilmeyen kaynaktan indirilen eklenti ya da tema; içinde kötü amaçlı kod bulunabilir.
- Kayıt ve izleme eksikliği: Bir olay yaşandığında kimse fark etmez; sorun haftalarca sürer.
Bu risklerin çoğu için önlem karmaşık değildir: güncel kalmak, yetkileri sınırlamak, güvenilir kaynak kullanmak, kayıtları izlemek ve yedeği düzenli almak.
Neden güncelleme önemlidir?
Güvenlik açıklarının önemli kısmı bilinen ve düzeltmesi yayımlanmış açıklardır; sorun, düzeltmenin mağazaya uygulanmamasıdır. Saldırganlar da bunu bilir: yeni bir açık duyurulduğunda, güncellenmemiş sitelerin otomatik taranması çoğu zaman hızla başlar. Bu yüzden güncellemelerin ihmal edilmesi, güvenlik açısından en pahalı alışkanlıktır.
Ancak güncelleme de kontrollü yapılmalıdır. Özel geliştirmeler ve üçüncü taraf eklentiler yeni sürümle uyumsuz olabilir; “güncelle” düğmesine körü körüne basmak mağazayı bozabilir. Doğru yöntem: önce yedek almak, değişiklikleri kopya ortamda denemek, kritik akışları test etmek ve sonra canlıya almaktır. Bu işi planlı yürütmek için sürüm yükseltme hizmetimiz vardır. CS-Cart’ın resmi sistem gereksinimleri PHP 7.4 ile 8.3 arasındaki sürümleri kapsar; php.net’in yayımladığı destek takvimine göre eski PHP sürümleri güvenlik desteğini kaybeder. Bu nedenle sunucudaki PHP sürümünün de desteklenen bir sürüm olması gerekir; konu sunucu ve barındırma çalışmasıyla birlikte ele alınır.
Ödeme tarafında güvenlik
Kartlı ödemelerde güvenliğin büyük kısmı ödeme kuruluşundadır. Kart verisini kendi sunucunuzda tutmak, PCI DSS gibi ağır yükümlülükler getirir; bunun yerine ödeme formunun ödeme kuruluşu tarafından barındırıldığı (kart bilgisinin hiç sizin sunucunuza uğramadığı) mimari, hem güvenliği artırır hem de uyum yükünü azaltır. PCI Güvenlik Standartları Konseyi’nin SAQ A kapsamındaki sıkça sorulan sorularında, ödeme sayfasının tamamen yönlendirmeyle (redirect) ödeme kuruluşuna aktarıldığı yapılarda değerlendirme yükünün daha hafif olduğu belirtilir; yine de kendi durumunuz için uyum yükümlülüklerini ödeme kuruluşunuz ve danışmanınızla netleştirmeniz gerekir.
Eklentilerimiz bu akışı güvenli kurar: PayTR Sanal POS eklentisinde her bildirimin imzası doğrulanır ve iade iki adımlı yapılır; iyzico Sanal POS iyzico Checkout Form ile çalışır. Ödeme altyapısının genel çerçevesi için sanal POS entegrasyonu sayfamıza bakabilirsiniz.
Hesap güvenliği
Hem yönetici hem müşteri hesapları saldırı hedefidir. Yönetim paneli tarafında şunlar önerilir:
- Kişiye özel hesaplar: Ortak hesap yerine herkesin kendi hesabı olmalı; böylece kim ne yaptı izlenebilir.
- En az yetki ilkesi: Herkes yalnızca işi için gereken yetkiye sahip olmalı.
- Güçlü ve benzersiz parolalar: Başka sitelerde kullanılan parola mağaza yönetiminde kullanılmamalı.
- Ayrılan çalışanın erişimi: Çalışan veya ajans ilişkisi bittiğinde hesaplar kapatılmalı.
- Panel adresi ve erişim kısıtları: Gerekirse yönetim paneline erişim IP ile sınırlandırılabilir.
Müşteri tarafında ise, hesap ele geçirme ve sahte kayıt saldırılarını azaltmak için Twilio Telefon Doğrulama ile kayıt, giriş, ödeme ve telefon değişikliğinde tek kullanımlık SMS kodu istenebilir. Bu, özellikle sahte üyelik ve kart deneme saldırılarının yoğun olduğu mağazalarda faydalıdır.
Yedekleme: yalnızca “yedek almak” yetmez
Yedek, sorun çıktığında tek güvencenizdir; ama ancak geri yüklenebiliyorsa değer taşır. Birçok işletme yedek aldığını sanır ve gerçek bir sorun yaşadığında yedeğin bozuk, eksik ya da aynı sunucuda durduğu için kullanılamaz olduğunu fark eder. Sağlıklı bir yedekleme düzeni şunları içerir:
- Düzenli alım: Dosyaların ve veritabanının sipariş hacmine uygun sıklıkla yedeklenmesi. Yoğun satış yapan bir mağazada sipariş verisi günlük hatta daha sık korunmalıdır.
- Ayrı konum: Yedeğin ana sunucudan farklı bir yerde saklanması; sunucunun kendisi gittiğinde yedek de gitmemeli.
- Saklama süresi: Sorun fark edilene kadar geçen süre dikkate alınarak, birden çok geçmiş sürüm tutulması.
- Geri yükleme testi: Yedekten gerçekten geri dönülebildiğinin zaman zaman denenmesi.
- Erişim koruması: Yedek dosyalarının kamuya açık bir adreste bırakılmaması; yedek de müşteri verisi içerir.
Sıklık ve saklama süresi mağaza hacmine göre planlanır ve teklifte açık biçimde belirtilir.
Bir olay olursa ne yapılır?
Önlem alınmış olsa bile bir olay yaşanabilir. Önemli olan hazırlıklı olmaktır. Şüpheli bir durumda (beklenmedik yönetici girişi, bilinmeyen dosya, mağazada görünen yabancı içerik, yönlendirme) tipik yaklaşım şudur:
- Sınırlama: Gerekirse mağaza geçici olarak bakım moduna alınır, etkilenen hesapların parolaları değiştirilir.
- İnceleme: Kayıtlar incelenir; nasıl girildiği, neye erişildiği ve ne zaman olduğu belirlenir.
- Temizlik ve kapatma: Zararlı dosya ve hesaplar temizlenir, açığın kapatılması sağlanır.
- Geri yükleme: Gerekirse temiz bir yedekten geri dönülür.
- Bilgilendirme: Kişisel veri etkilenmişse, hukuki bildirim yükümlülükleri olup olmadığı hukuk danışmanıyla değerlendirilir.
- Önleme: Olayın kök nedeni giderilir ve tekrarını önleyecek iyileştirme yapılır.
Bu adımların çoğu, bir plan önceden varsa dakikalar ya da saatler içinde yürür; plan yoksa günler sürebilir ve satış durur.
Güvenliği kim yürütür?
Yayın sonrası bakım ve destek kapsamında güncelleme, güvenlik ve yedekleme takibi SoftCrafter ekibi tarafından yapılır. Kapsamı mağazanızın yapısına göre belirler ve teklifte açık biçimde gösteririz. Özel geliştirme yaparken de güvenli kodlama ilkelerine dikkat ederiz: kullanıcı girdisinin doğrulanması, yetki kontrolleri ve hassas verinin korunması. Bu yaklaşım kendi eklentilerimizin geliştirilmesinde de geçerlidir; bkz. özel eklenti geliştirme.
Güvenlik denetim listesi
Mağazanızın mevcut durumunu hızlıca gözden geçirmek için şu soruları kendinize sorun:
- Mağazanın CS-Cart sürümü ve tüm eklentileri güncel mi?
- Sunucuda desteklenen bir PHP sürümü çalışıyor mu?
- Yönetici hesaplarının her biri kişiye özel mi, parolalar güçlü mü?
- Ayrılan çalışan ya da eski ajansın erişimleri kapatıldı mı?
- Site tamamen HTTPS üzerinden mi çalışıyor?
- Kart bilgisi kendi sunucunuza hiç uğramıyor mu (barındırılan ödeme formu)?
- Son yedek ne zaman alındı, farklı bir konumda mı, geri yüklenebildiği denendi mi?
- Eklentileri yalnızca güvenilir kaynaklardan mı edindiniz?
- Hata kayıtları ve şüpheli girişler izleniyor mu?
- Bir olay yaşandığında ne yapılacağını bilen, yazılı bir plan var mı?
Bu soruların birkaçına “bilmiyorum” cevabı veriyorsanız, ilk adım bir güvenlik gözden geçirmesi olabilir.
Güvenlik gözden geçirmesi nasıl yürür?
- Ön görüşme: Mağazanızın yapısı, kullanılan eklentiler, sunucu ve ekip erişimleri hakkında bilgi alınır.
- Envanter: Sürümler, eklentiler, özel kodlar ve yetkiler listelenir.
- Bulgu raporu: Riskler önem sırasına göre raporlanır; hangisinin neden önemli olduğu açıklanır.
- Düzeltme planı: Hızlı kazanımlar (güncelleme, yetki temizliği, yedek düzeni) önce, daha büyük işler sonra planlanır.
- Uygulama ve izleme: Düzeltmeler yapılır; düzenli izleme bakım kapsamında sürdürülür.
Güvenlik farkındalığı: ekip için kısa kurallar
Teknik önlemler kadar ekibin alışkanlıkları da güvenliği belirler. Ekibiniz için şu kısa kuralları yazılı hale getirin: yönetim paneli parolası başka hiçbir yerde kullanılmaz, parolalar bir parola yöneticisinde saklanır, şüpheli e-postalardaki bağlantılara tıklanmaz ve ekler açılmaz, ortak bilgisayarda oturum açık bırakılmaz, ayrılan bir çalışanın erişimi aynı gün kapatılır, bilinmeyen bir kaynaktan eklenti kurulmaz. Yılda bir kez kısa bir farkındalık oturumu yapmak ve yeni çalışanlara bu kuralları ilk gün anlatmak, çoğu oltalama saldırısının başarısını düşürür. Şüpheli bir durum gördüğünde ekibin kime haber vereceği de bilinmelidir.
Sık sorulan sorular
Mağazam yüzde yüz güvenli olabilir mi?
Hiçbir sistemde mutlak güvenlik garantisi verilemez. Amaç riski azaltmak, bir olayı erken fark etmek ve hızla toparlanabilmektir. Düzenli güncelleme, yetki yönetimi ve test edilmiş yedek bu hedefin temelidir.
Kart bilgileri sunucumda saklanıyor mu?
Eklentilerimiz barındırılan ödeme formlarıyla çalışır; kart bilgisi ödeme kuruluşunda kalır. Kendi durumunuz için uyum yükümlülüklerini ödeme kuruluşunuz ve danışmanınızla netleştirmenizi öneririz.
Güncellemeler mağazamı bozar mı?
Kontrolsüz güncelleme bozabilir. Biz önce yedek alır, kopya ortamda dener, kritik akışları test eder ve sonra canlıya alırız.
Başka bir ekibin kurduğu mağazanın güvenliğine bakar mısınız?
Evet. Mağazanın mevcut durumunu inceler, riskleri raporlar ve düzeltme planı için teklif hazırlarız.
KVKK uyumluluğunu siz mi sağlıyorsunuz?
Hukuki uyum danışmanlığı sunmuyoruz. Teknik tarafta veri güvenliğine katkı sağlarız; aydınlatma metinleri, VERBİS ve benzeri yükümlülükler için hukuk danışmanınızla çalışmanızı öneririz.
Güvenlik hizmeti ne kadar tutar?
Mağazanın büyüklüğüne, eklenti yoğunluğuna, sunucu yapısına ve beklenen izleme düzeyine göre belirlenir. Teklifte her kalem ayrı gösterilir.
Projenizi birlikte planlayalım
Güvenlik, bir kez yapılıp unutulan bir iş değil, bakım disiplininin parçasıdır. SoftCrafter, CS-Cart’ın resmi partneri olarak mağazanızı kuran, güncel tutan ve izleyen tek bir ekip olmayı hedefler; 20+ kişilik ekibimizde kişi başı 10+ yıl deneyim bulunur ve iletişim baştan sona Türkçedir. Formu bırakın, sizi 15 dakika içinde arayalım; mevcut durumunuzu birlikte gözden geçirelim ve kalem kalem teklifinizi 1 iş günü içinde hazırlayalım.
