E-ticaret Tasarımı Altyapısında Güvenlik Açıklarını Önleme

E-ticaret tasarımı altyapısında güvenlik açıklarını önleme konusu, müşteri verilerinin korunması, ödeme işlemlerinin güvence altına alınması ve marka itibarının sürdürülebilirliği için kritik öneme sahiptir. Geliştiriciler, ürün yöneticileri ve DevOps ekipleri için owasp top 10 risklerini kapsayan, pci dss uyumlu, bulut ve devsecops odaklı bir yaklaşım, saldırı yüzeyini sistematik biçimde daraltır. Bu kapsamlı kılavuz, altyapıdan uygulama katmanına, kimlik doğrulamadan veri şifrelemeye kadar modern e-ticaret güvenliği için uygulanabilir adımlar içerir.

1) Tehdit modelini netleştirin

Önce “neyi, kimden, nasıl” koruyacağınızı tanımlayın. Tehdit modelleme ile varlıklar (müşteri verisi, ödeme akışı, stok/kupon sistemleri), aktörler (iç erişimler, kötü niyetli botlar, saldırganlar), saldırı vektörleri (sql injection, xss, csrf, kimlik bilgisi doldurma, ddos) ve kontroller (WAF, IAM, rate limit) haritalanır. Bu çalışma, güvenlik yatırımlarını etkisi yüksek alanlara odaklamanızı sağlar.

Tehdit modelleme çıktıları

Kritik iş akışlarının (kayıt, giriş, ödeme, iade) veri akış diyagramları
Her akış için olası ihlal senaryoları ve potansiyel etkiler
Önceliklendirilmiş azaltım kontrolleri ve kabul kriterleri

2) Ağ ve altyapı sertleştirmesi

Altyapı güvenliği, uygulama güvenliğini destekler. Bulut veya veri merkezinde, en az ayrıcalık ilkesi ve segmentasyon temel yaklaşımdır.

Ağ segmentasyonu ve WAF/CDN

Uygulama, veri tabanı ve yönetim düzlemini ayrı VPC ve alt ağlarda tutun; yalnızca gerekli portları açın.
CDN + WAF konumlandırarak bot yönetimi, ddos koruması ve imza/tabanlı saldırı filtreleri uygulayın.
Rate limit, IP/ASN itibar filtreleri ve ülke tabanlı erişim kuralları belirleyin.

Sunucu sertleştirmesi

Standart imajlar (golden image) ve CI/CD ile otomatik patch management kurun.
SSH için anahtar tabanlı erişim, MFA ve sıfır güven (zero trust) tünelleri kullanın.
Yedeklemeleri şifreli ve air-gapped saklayın; geri dönüş tatbikatı yapın.

3) Uygulama katmanında güvenlik

OWASP Top 10 risklerini doğrudan mimarinize yedirin. Güvenli varsayılanlar (secure by default) ve güvenli hata kullanımları (secure by design) işletin.

Girdi doğrulama ve çıktı kaçışlama

Tüm kullanıcı girdileri için beyaz liste yaklaşımı benimseyin; regex veya tip kontrollü validasyon.
Şablon motorlarında HTML escaping varsayılan olsun; zengin metin alanlarında HTML sanitization uygulayın.
Veri tabanı erişiminde hazır ifadeler (prepared statements) kullanın; ORM’in query builder yeteneklerinden yararlanın.

Kimlik doğrulama ve oturum yönetimi

iki faktörlü kimlik doğrulama (2FA/MFA) seçeneklerini (TOTP/WebAuthn) son kullanıcı ve admin paneli için etkinleştirin.
Oturum çerezlerinde HttpOnly, Secure, SameSite=Lax/Strict bayraklarını zorunlu kılın.
Oturum yenileme ve token geçerlilik süresi kısıtlamalarını belirleyin; anormal davranışta re-auth isteyin.

Yetkilendirme (Authorization)

RBAC/ABAC ile hassas işlemleri sınırlandırın; “id üzerinden yetki” yerine policy tabanlı karar verin.
İnsecure Direct Object Reference (IDOR) için her talepte sahiplik kontrolü yapın.
Admin uçlarını IP allowlist, MFA ve ek WAF kurallarıyla koruyun.

4) Ödeme güvenliği ve PCI DSS

Ödeme güvenliği e-ticaret sitelerinin en kritik bileşenidir. pci dss gereksinimleri, kart verisinin işlenmesini, iletimini ve saklanmasını düzenler.

Kart verisini saklamaktan kaçının

Ödeme ağ geçidi ile tokenization kullanın; hassas pan/bilgiyi sisteminize sokmayın.
3D Secure 2.0, fraud skorlaması ve risk-bazlı doğrulama entegre edin.
İade/iptal akışlarını, PCI scope genişletmeyecek şekilde tasarlayın.

Güvenli ödeme akışı

Ödeme formlarını iframes veya hosted payment page ile izole edin.
Webhooks için imza doğrulaması, nonce ve replay protection uygulayın.
Ödeme olaylarını ayrı bir kuyruğa ve audit log’a yazın; çift harcamayı önleyin.

5) Veri güvenliği ve şifreleme

Müşteri PII, adresler, sipariş ve destek verileri şifreleme ve erişim kontrolü ile korunmalıdır.

Şifreleme ilkeleri

Taşımada TLS 1.2+, saklamada AES-256 kullanın; anahtarları KMS/HSM’de yönetin.
Parola saklamada bcrypt/argon2 tercih edin; tuz (salt) ve uygun maliyet parametreleri belirleyin.
Field-level encryption ile telefon, e-posta gibi kritik alanları ayrıca koruyun.

Gizlilik ve veri minimizasyonu

İş amacı dışındaki verileri toplamayın; veri minimizasyonu ve retention politikası uygulayın.
Masking ve tokenization ile destek/geliştirme ortamlarına gerçek PII taşımayın.

6) Güvenlik testleri: SAST, DAST, SCA ve pentest

Güvenliği yazılım yaşam döngüsüne entegre edin. devsecops yaklaşımıyla her commit’te otomatik kontroller çalıştırın.

Otomatik kontroller

SAST: Kodda güvenlik kusurlarını derleme öncesi yakalayın.
DAST: Çalışan uygulamaya karşı dinamik analiz yapın.
SCA: Açık kaynak kütüphanelerde zafiyet taraması ve lisans uyumu sağlayın.
Konfigürasyon taraması: CIS Benchmarks, IaC şablon denetimleri.

Sızma testi ve bug bounty

Yılda en az bir kapsamlı pentest planlayın; bulguları risk bazlı kapatın.
Kontrollü bug bounty programıyla farklı araştırmacı bakışlarını dahil edin.

7) Botlar, hile ve kötüye kullanım

E-ticarette credential stuffing, kupon kötüye kullanımı, fiyat aracı botları yaygındır. Davranışsal analitik ve rate limiting birlikte çalışmalıdır.

Savunma taktikleri

reputation tabanlı IP/ASN/UA filtreleri, device fingerprinting ve anomali tespiti.
Proof-of-Work veya görünmez captcha yalnızca şüpheli trafiğe.
Giriş ve ödeme uçlarında risk scoring ve adım yükseltme (step-up auth).

8) Güncellemeler, bağımlılıklar ve tedarik zinciri

Supply chain security ihlalleri hızla yayılır. Bağımlılıkları görünür kılın ve güncel tutun.

Yapı ve yayın güvenliği

SBOM üretin; kritiklikleri takip edin.
CI’da imzalı artefaktlar ve sigstore gibi doğrulamalar kullanın.
Prod’a yalnızca onaylı imajlar; policy-as-code ile gate’ler kurun.

9) Günlükleme, gözlemlenebilirlik ve olay müdahalesi

İhlaller, görünürlük olmadan tespit edilemez. centralized logging ve SIEM/SOAR ile uçtan uca izleme kurun.

Ne toplanmalı?

Kimlik doğrulama olayları, başarısız giriş denemeleri, parola reset talepleri
Ödeme/iadede hata ve istisnalar; webhook imza doğrulama sonuçları
Yetki reddi, 4xx/5xx oranları, WAF tetiklemeleri

Olay müdahalesi

Rol ve iletişim matrisini tanımlayın; 7x24 eskalasyon planı oluşturun.
Playbook’lar: oturum geçersiz kılma, anahtar rotasyonu, bildirim yükümlülükleri.
Sonrasında post-mortem ve kalıcı düzeltmeler.

10) Bulut, konteyner ve gizli anahtar yönetimi

Bulut güvenliği yanlış yapılandırma kaynaklı risklere açıktır. IAM sınırlarını sıkı tutun, secret management’ı merkezi yönetin.

En iyi uygulamalar

Hizmet hesaplarına en az yetki; geçici kimlik bilgileri (STS).
Gizli anahtarları Vault/KMS’te; kod deposunda asla tutmayın.
Konteyner runtime profilleri, read-only filesystem, seccomp/apparmor.

11) Uyumluluk, hukuk ve müşteri güveni

KVKK/GDPR gibi düzenlemeler, şeffaflık ve kullanıcı haklarını zorunlu kılar. privacy by design ve consent management kritik önemdedir.

Pratik adımlar

Çerez envanteri ve tercihler; yalnızca gerekli çerezler varsayılan açık.
Veri sahibi talepleri (silme/düzeltme) için uçtan uca otomasyon.
İhlal bildirimi süreçleri ve şablonları.

12) Güvenlik kontrol listeleri (Quick wins)

HTTPS/TLS her yerde; HSTS etkin.
Content Security Policy (CSP) ve Subresource Integrity.
Oturum çerezlerinde HttpOnly/Secure/SameSite.
2FA/MFA ve passwordless/WebAuthn seçenekleri.
Admin paneline IP allowlist + MFA + ek WAF kuralı.
Rate limiting, bot mitigation, device fingerprint.
SAST/DAST/SCA ve bağımlılık güncellemeleri CI’da zorunlu.
WAF/CDN arkasında yayın; ddos profilleri tanımlı.
Ödeme için tokenization, imzalı webhook, çift yazım denetimi.
Merkezi log, alert, SIEM ve olay playbook’ları.

13) Ölçüm ve sürekli iyileştirme

Güvenlik bir varış değil, süreçtir. KR’lar belirleyin ve gözden geçirmeleri ritme bağlayın.

Örnek metrikler

Kritik zafiyet MTTR ve açık sayısı
Başarısız giriş denemelerinde anomali oranı
PCI/OWASP kontrol kapsama yüzdesi
Yama yayın süresi (lead time)

E-ticaret güvenliği, altyapı, uygulama, ödeme ve operasyon katmanlarının birlikte ele alınmasını gerektirir. Bu kılavuzdaki prensipleri devsecops kültürüyle birleştirerek, hem saldırı yüzeyini küçültür hem de ihlal anında hızlı ve etkili müdahale kapasitesi kazanırsınız.

Gürkan Türkaslan
7 Ekim 2025, 12:44:53

Blog