E-Ticaret için PCI-DSS Uyumluluğu: Ödeme Güvenliği ve Tokenizasyon

Kart ödeme dolandırıcılığı kayıpları 2025 yılında dünya çapında 33 milyar doları aştı ve e-ticaret, tüm kart dolandırıcılıklarının %73'ünü oluşturuyor. Ödeme Kartı Endüstrisi Veri Güvenliği Standardı (PCI-DSS) bununla mücadele etmek için mevcuttur ve Mart 2025'te zorunlu hale gelen sürüm 4.0, birçok e-Ticaret işletmesinin hâlâ uygulamaya çalıştığı önemli yeni gereksinimleri getirmiştir.

İyi haber: Shopify Payments veya Stripe Checkout gibi barındırılan bir ödeme çözümü kullanıyorsanız PCI kapsamınız önemli ölçüde azalır. Kötü haber: asla sıfır değildir. Kart ödemelerini kabul eden her e-Ticaret işletmesinin, kart numarasını hiç görmeseler bile PCI-DSS yükümlülükleri vardır.

Önemli Çıkarımlar

• PCI-DSS v4.0, kart sahibi verilerine tüm erişim için özelleştirilmiş doğrulama yaklaşımları ve zorunlu MFA sunar
• Tokenizasyon, kart numaralarını geri alınamayan tokenlarla değiştirerek PCI kapsamının %80-90'ını ortadan kaldırır
• SAQ seçimi uyumluluk yükünüzü belirler --- doğru SAQ'yu seçmek aylarca süren çalışmalardan tasarruf etmenizi sağlar
• Üç aylık ASV taramaları ve yıllık sızma testleri tartışılamaz gereksinimlerdir

---

PCI-DSS v4.0: Neler Değişti

2022'de piyasaya sürülen ve 31 Mart 2025'ten bu yana tamamen zorunlu olan PCI-DSS v4.0, on yılı aşkın süredir standartta yapılan en önemli güncellemeyi temsil ediyor. Önemli değişiklikler her e-ticaret işletmesini etkiliyor.

v4.0'daki Büyük Değişiklikler

Komut Dosyası Yönetimi Gereksinimi

Gereksinim 6.4.3 özellikle e-Ticaret için etkilidir: ödeme sayfalarındaki tüm komut dosyalarının bir envanterini tutmalı ve yetkisiz değişiklikleri tespit edecek bir mekanizma uygulamalısınız. Bu şu anlama gelir:

• Ödeme sayfanıza yüklenen her JavaScript dosyası belgelenmelidir
• İçerik Güvenliği Politikası (CSP) başlıkları komut dosyası kaynaklarını kısıtlamalıdır
• Alt Kaynak Bütünlüğü (SRI) karmaları komut dosyası içeriğini doğrulamalıdır
• Bir izleme mekanizması yetkisiz komut dosyası değişiklikleri konusunda uyarıda bulunmalıdır

Bu gereksinim, saldırganların kart verilerini çalmak için ödeme sayfalarına kötü amaçlı komut dosyaları yerleştirdiği Magecart tarzı gözden geçirme saldırılarını doğrudan hedefler.

---

Tokenizasyonu Anlamak

Tokenizasyon, PCI kapsamını daraltmak için en etkili teknolojidir. Hassas kart verilerini, ihlal edilmesi halinde hiçbir istismar değeri olmayan, hassas olmayan bir token ile değiştirir.

Tokenizasyon Nasıl Çalışır?

1. Müşteri, kart ayrıntılarını ödeme sağlayıcısının barındırılan formuna girer (asla sizin sunucunuza girmez)
2. Ödeme sağlayıcısı, kartı temsil eden bir jeton oluşturur
3. Sisteminiz yalnızca jetonu saklar (örn. tok_1MqLkJLkdIwHu7ixUAuBjz5Y)
4. Sonraki ödemeler için jetonu ödeme sağlayıcısına gönderirsiniz
5. Sağlayıcı, jetonu gerçek kart ayrıntılarıyla eşleştirir ve ödemeyi işler

Tokenizasyon ve Şifreleme

Başlıca Platformlarla Uygulama

Shopify: Tokenizasyon tamamen Shopify Payments tarafından gerçekleştirilir. Satıcılar asla kart verilerine dokunmaz. PCI uyumluluğu, Shopify'ın Düzey 1 sertifikası kapsamındadır. SAQ-A'dan siz sorumlusunuz.

Stripe: Kart verilerinin doğrudan Stripe sunucularına gittiğinden emin olmak için Stripe Elements veya Stripe Checkout'u kullanın. Arka ucunuz yalnızca jeton alır. Bu, uygulamaya bağlı olarak SAQ-A veya SAQ-A-EP'ye hak kazanmanızı sağlar.

Odoo ile özel ödeme entegrasyonu: Odoo'da özel bir e-Ticaret çözümü oluşturuyorsanız, barındırılan alanları veya yönlendirme yaklaşımını kullanarak PCI uyumlu bir ödeme ağ geçidi (Stripe, Adyen, Authorize.net) ile entegre edin. Ham kart verilerini asla Odoo sunucunuzda işlemeyin.

---

SAQ Seçim Kılavuzu

Doldurmanız gereken Öz Değerlendirme Anketi (SAQ), kart verilerini nasıl kullandığınıza bağlıdır. Doğru SAQ'yu seçmek ve ödeme akışınızı daha basit bir SAQ'ya hak kazanacak şekilde tasarlamak, vereceğiniz en önemli PCI kararıdır.

SAQ Tipi Seçim Kılavuzu

Karar Akışı

Müşterileri barındırılan bir ödeme sayfasına (Shopify Checkout, Stripe Checkout, PayPal) yönlendiriyor musunuz? Evetse SAQ-A.

Ödeme sağlayıcısının formunu sayfanıza yerleştiriyor musunuz (Stripe Elements, Braintree Hosted Fields)? Evetse, SAQ-A-EP. Sayfanız formu barındırıyor ancak kart verileri doğrudan sağlayıcıya gidiyor.

Kart verileri sunucunuza geçici de olsa hiç dokunuyor mu? Evetse, SAQ-D. Bu değerlendirmenin tamamıdır ve bunun yerine SAQ-A veya SAQ-A-EP'ye hak kazanmak için yeniden mimari yapmayı kesinlikle düşünmelisiniz.

Maliyet Etkileri

Kart verilerini kendiniz işlemek yerine barındırılan ödeme formlarını kullanmaya yönelik mimari kararı, uyumluluk maliyetlerinde yıllık 50.000 ila 250.000 ABD Doları tasarruf sağlayabilir.

---

3D Secure 2.0: Sorumluluk Değişimi ve Dolandırıcılığın Önlenmesi

3D Secure 2.0 (3DS2), çevrimiçi kart işlemlerine bir kimlik doğrulama katmanı ekler. Düzgün uygulandığında dolandırıcılık sorumluluğu satıcıdan kartı veren kuruluşa geçer.

3DS2 Nasıl Çalışır?

1. Müşteri sitenizde ödemeyi başlatır
2. Ödeme sağlayıcınız işlem verilerini kartı veren kuruluşa gönderir
3. İhraççının risk motoru işlemi değerlendirir (cihaz parmak izi, işlem geçmişi, tutar)
4. Sürtünmesiz akış: Düşük riskli işlemlerin kimliği sessizce doğrulanır (müşteri işlemi gerekmez)
5. Zorluk akışı: Yüksek riskli işlemler ek kimlik doğrulama gerektirir (biyometrik, OTP, uygulama onayı)
6. Kimlik doğrulama sonucu döndürülür ve ödeme işleme alınır

3DS2 Avantajları

• Sorumluluk değişimi: Kimliği doğrulanmış işlemler için dolandırıcılık sorumluluğu amir bankaya aktarılır
• Dolandırıcılığın azalması: 3DS2, kimliği doğrulanmayan işlemlere kıyasla dolandırıcılık oranlarını %40-60 oranında azaltır
• Daha iyi UX: Sorunsuz kimlik doğrulama, işlemlerin %85-95'inin ek müşteri işlemi gerektirmediği anlamına gelir
• Yasal uyumluluk: PSD2 Güçlü Müşteri Kimlik Doğrulaması (SCA), AB işlemleri için 3DS2'yi gerektirir

Uygulamayla İlgili Hususlar

• Ödeme sağlayıcınız aracılığıyla 3DS2'yi etkinleştirin (Stripe, Adyen ve çoğu sağlayıcı bunu yerel olarak destekler)
• Riske dayalı kimlik doğrulama eşiklerini yapılandırın: 3DS2'yi yüksek riskli işlemlere uygulayın, düşük değerli veya düşük riskli işlemleri hariç tutun
• Kimlik doğrulama oranlarını izleyin: çok fazla işleme itiraz edilirse risk sinyallerinizi gözden geçirin
• Canlı yayına geçmeden önce hem sürtünmesiz hem de zorlu akışları iyice test edin

---

Güvenlik Açığı Taraması ve Sızma Testi

PCI-DSS, kapsamdaki tüm ortamlar için hem otomatik güvenlik açığı taraması (üç ayda bir) hem de manuel sızma testi (yıllık) gerektirir.

Üç Aylık ASV Taramaları

Onaylı Tarama Satıcısının (ASV) her üç ayda bir harici güvenlik açığı taramaları yapması gerekir. Gereksinimler:

• Taramalar, Kart Sahibi Veri Ortamındaki (CDE) dışarıya bakan tüm IP adreslerini ve etki alanlarını kapsamalıdır.
• Tüm yüksek önemdeki güvenlik açıkları (CVSS 4.0+), tarama başarılı olmadan önce düzeltilmeli ve yeniden taranmalıdır.
• Başarılı tarama raporları denetim amacıyla saklanmalıdır
• Yaygın ASV'ler: Qualys, Tenable, SecurityMetrics, Trustwave

Yıllık Sızma Testi

Gereksinim 11.4, aşağıdakilerin yıllık penetrasyon testini zorunlu kılar:

• Ağ bölümleme kontrolleri (kapsamı daraltmak için kullanılıyorsa)
• CDE'nin dış çevresi
• CDE içindeki dahili sistemler
• Ödeme uygulamalarının uygulama katmanı testi

V4.0'daki yenilikler: Sızma testinin artık segmentasyon kontrollerinin çalıştığını ve CDE'nin ağın geri kalanından düzgün şekilde yalıtıldığını açıkça doğrulaması gerekiyor.

Sürekli İzleme

PCI-DSS v4.0, üç aylık ve yıllık testlerin ötesinde sürekli izlemeyi vurgular:

• Kritik sistem dosyalarında ve ödeme sayfası komut dosyalarında dosya bütünlüğü izleme (FIM)
• CDE ağ sınırlarında izinsiz giriş tespit/önleme sistemleri (IDS/IPS)
• Anormallik tespiti için otomatik günlük incelemesi (yeni v4.0 gereksinimi)
• Yetkisiz erişim girişimlerine karşı gerçek zamanlı uyarı

---

PCI Uyumlu bir e-Ticaret Mimarisi Oluşturma

PCI uyumluluğuna yönelik en etkili yaklaşım, mimari kararları aracılığıyla kapsamı en aza indirmektir.

Önerilen Mimari

Kademe 1: Ödeme sayfası (minimum kapsam). Ödeme sayfanızda bir iframe'e yerleştirilmiş, barındırılan ödeme alanlarını (Stripe Elements, Adyen Drop-in) kullanın. Kart verileri doğrudan müşterinin tarayıcısından ödeme sağlayıcısına aktarılır. Sunucunuz bunu asla görmez.

Kademe 2: Uygulama sunucusu (kapsam dışı). E-Ticaret uygulamanız (Shopify, Odoo, özel) sipariş yönetimini, envanteri ve müşteri verilerini yönetir. Ödeme sağlayıcısıyla yalnızca jetonlar aracılığıyla iletişim kurar.

Kademe 3: Veri depolama (kart verilerinin kapsamı dışında). Veritabanınız sipariş ayrıntılarını, müşteri bilgilerini ve ödeme jetonlarını saklar ancak kart numaralarını, CVV'leri veya son kullanma tarihlerini asla saklamaz.

Ağ Segmentasyonu

Altyapınızın herhangi bir kısmı kart verilerini işliyorsa ağ bölümlendirmesi kritik öneme sahiptir:

• CDE'yi ayrı bir ağ segmentinde (VLAN, alt ağ veya VPC) yalıtın
• CDE'ye giden ve CDE'den gelen trafiği kısıtlayan güvenlik duvarı kurallarını uygulayın
• Segmentasyon sınırını geçen tüm trafiği izleyin
• Sızma testi sırasında segmentasyon kontrollerini test edin

PCI-DSS'nin ötesine geçen kapsamlı uyumluluk mimarisi kılavuzu için kurumsal uyumluluk el kitabımıza bakın.

---

Sıkça Sorulan Sorular

Yalnızca Shopify'da satış yapıyorsam PCI uyumluluğuna ihtiyacım var mı?

Evet, ancak kapsamınız minimum düzeydedir. Shopify, PCI-DSS Düzey 1 sertifikalı bir hizmet sağlayıcıdır; bu, Shopify'ın ağır yükü üstlendiği anlamına gelir. Ancak yıllık SAQ-A'yı tamamlamak ve temel güvenlik uygulamalarını sürdürmek sizin sorumluluğunuzdadır: güçlü şifreler, Shopify yöneticinizde MFA, kart verilerinin Shopify dışında saklanmaması ve personelin güvenlik konusunda eğitilmesi.

Üç aylık ASV taramam başarısız olursa ne olur?

Tespit edilen güvenlik açıklarını düzeltme ve yeniden tarama talep etme olanağına sahipsiniz. Başarısız bir tarama için herhangi bir ceza yoktur; yalnızca üç aylık dönem içerisinde başarılı bir tarama yapılmaması durumunda. Ancak taramalarda sürekli başarısız olursanız ve uyumluluğu gösteremezseniz, alıcı bankanız işlem ücretlerinizi artırabilir, daha sıkı bir değerlendirme gerektirebilir veya aşırı durumlarda satıcı hesabınızı feshedebilir.

PCI uyumluluğu yasa gereği gerekli mi?

PCI-DSS bir hükümet düzenlemesi değildir; kart markalarının (Visa, Mastercard, American Express, Discover, JCB) sözleşmeye bağlı bir gerekliliğidir. Uyumluluk, alıcı bankanızla yaptığınız ticari sözleşme aracılığıyla zorunlu kılınır. Uyumsuzluk, kart markalarından para cezalarına (5.000 $ - 100.000 $/ay), artan işlem ücretlerine ve sahtekarlık işlemleri sorumluluğuna neden olabilir. Bazı yargı bölgeleri (Nevada, Minnesota, Washington), PCI-DSS gerekliliklerini içeren yasalar çıkarmıştır.

PCI-DSS'nin GDPR ile ilişkisi nedir?

PCI-DSS ve GDPR erişim kontrolü, şifreleme ve olaylara müdahale gibi alanlarda örtüşüyor ancak farklı odak noktalarına sahipler. PCI-DSS özellikle ödeme kartı verilerini korurken, GDPR AB'de ikamet edenlerin tüm kişisel verilerini korur. Ödeme kartı numarası da GDPR kapsamında kişisel veridir, dolayısıyla her ikisine de uymanız gerekir. Farklı düzenlemelerin nasıl etkileşimde bulunduğu hakkında daha fazla bilgi için veri gizliliği karşılaştırma kılavuzumuza bakın.

---

Sırada Ne Var

Kartla ödeme kabul eden hiçbir işletme için PCI-DSS uyumluluğu isteğe bağlı değildir. İyi haber şu ki, modern ödeme platformları, kart verilerinin işlenmesinin en hassas yönlerini sizin adınıza ele alarak bunu önemli ölçüde kolaylaştırdı. İşiniz doğru mimariyi seçmek, uygun SAQ'yu tamamlamak, sürekli güvenlik uygulamalarını sürdürmek ve standart geliştikçe güncel kalmaktır.

ECOSIRE, e-Ticaret işletmelerinin en başından itibaren PCI uyumlu ödeme mimarileri oluşturmasına yardımcı olur. Shopify uygulamalarımız, minimum PCI kapsamı için Shopify'ın Düzey 1 sertifikasyonundan yararlanır ve Odoo ERP entegrasyonlarımız, sistemlerinizi PCI kapsamı dışında tutan tokenleştirilmiş ödeme akışlarını kullanır. Ödeme güvenliği değerlendirmesi için bize ulaşın.

---

ECOSIRE tarafından yayınlandı — işletmelerin Odoo ERP, Shopify eCommerce ve OpenClaw AI genelinde yapay zeka destekli çözümlerle ölçeklenmesine yardımcı oluyor.