Dijital Ürün Scripti Güvenlik Testleri Kontrol Listesi: Sistemin Aslında Nerede Kırıldığını Kimse Sana Söylemiyor, Kendin Test Et

Güvenlik testi denince çoğu işletme sahibinin aklına siyah ekranda kod yazan biri geliyor. "Bende o kadar iş yok, sitem küçük" diyorsun ve konuyu kapatıyorsun. Oysa bir dijital ürün satış scriptinde ortaya çıkan açıkların ezici bir kısmı romantik hacker işi değil; sıradan bir kullanıcının tarayıcı adres çubuğunda bir sayıyı değiştirmesiyle bulunabilen mantık hataları. Bayi hesabıyla başka bayinin siparişini görmek, sepetteki fiyatı düşürüp ödeme yapmak, aynı stoku iki kez teslim almak gibi.

Bu testlerin hiçbiri özel bir uzmanlık istemiyor. Bir tarayıcı, bir test hesabı, biraz sabır ve sıralı bir kontrol listesi yeterli. Aşağıda kendi e-pin scriptini canlıya almadan veya yeni bir sürüm yayınlamadan önce baştan sona geçebileceğin beş test bloğunu, her birinin nasıl yapıldığını ve "geçti" saymak için hangi sonucu görmen gerektiğini anlatıyorum.

Testten önce: neden canlı sistemde deneme yapmamalısın?

Bu testlerin bir kısmı kasıtlı olarak sistemi kırmaya çalışır. Negatif adet gönderirsin, aynı stoku iki kez teslim almayı denersin, bildirim uçlarına elle istek atarsın. Canlı veride yaparsan muhasebeni bozarsın, gerçek stoku yakarsın ve en kötüsü müşteri siparişine dokunursun. Bu yüzden ilk kural şu: testler bire bir kopyası alınmış bir kurulumda yapılır. Aynı PHP sürümü, aynı veritabanı yapısı, sahte ödeme sağlayıcı anahtarları, uydurma stok kodları.

İkinci kural, her testin sonucunu yazmak. Aklında tuttuğun bulgu kaybolur. Basit bir tablo tut: test adı, beklenen davranış, gözlenen davranış, kritiklik. Bu tablo aynı zamanda geliştiricine veya yazılım sağlayıcına gönderdiğin belge olur ve "bende çalışıyor" tartışmasını bitirir.

Test 1: Yetki sınırları — bayi hesabıyla admin kapısını tıklatıyor musun?

En sık bulunan açık türü yetki kontrolünün eksik kalması. Bunun iki hali var. Birincisi dikey yetki atlama: normal bayi hesabıyla giriş yapıp admin panelinin adresini doğrudan yazmak. Arayüzde o menü görünmese bile sayfanın kendisi yetki kontrolü yapmıyorsa açılır. İkincisi yatay yetki atlama, ki pratikte daha tehlikelidir: bayi A'nın hesabıyla giriş yapıp sipariş detay adresindeki sipariş numarasını bayi B'nin siparişiyle değiştirmek.

Testi şöyle yap: iki ayrı bayi hesabı oluştur, ikisiyle de birer sipariş ver, sonra A'nın oturumundayken B'nin sipariş, fatura, bakiye hareketi ve teslimat adreslerini tek tek dene. Aynısını API uçları için de yap; arayüz kontrol etse bile API ucunun kontrol etmediği durumlar sık görülür. Beklenen sonuç her denemede yetkisiz hatası. "Boş sayfa döndü" cevabı geçti sayılmaz, çünkü boş sayfa bazen sadece şablonun çökmesi demektir.

Test 2: Sipariş akışını kırma denemeleri

Bir e-ticaret akışında paranın hesaplandığı yer neresiyse, saldırganın oynamak istediği yer orasıdır. Klasik hata, tutarı istemciden gelen veriye göre işlemek. Sepete ürün ekle, ödeme adımına geç, isteği bir tarayıcı eklentisiyle yakala ve tutarı bir liraya düşür. Sunucu bu tutarı kabul ediyorsa sistemin bitmiştir. Doğru davranış, sunucunun tutarı kendi veritabanındaki güncel fiyattan yeniden hesaplaması ve istemciden gelen tutarı yalnızca doğrulama için kullanması.

Aynı mantığı adet alanında dene: negatif adet bakiye yükleyebiliyor mu, ondalık adet stok sayısını bozuyor mu, aşırı büyük bir sayı taşma yaratıyor mu? Kupon alanında ise tek kullanımlık bir kodu iki farklı sekmede aynı anda kullanmayı dene. Bu yarış koşulu testi, iyi yazılmış bir e-pin satış yazılımında veritabanı seviyesinde kilitle engellenir; zayıf kurgularda ise aynı kupon on kez kullanılabilir.

Test 3: Ödeme bildirimini sen mi doğruluyorsun, saldırgan mı?

Ödeme sağlayıcıları başarılı işlemi sana bir bildirim çağrısıyla haber verir. Bu çağrı halka açık bir adrestir; yani teorik olarak herkes o adrese istek atabilir. Testin şu: sağlayıcının gönderdiği isteğin bir kopyasını al, imza alanını boz veya tamamen sil, tutarı büyüt ve isteği kendin gönder. Sipariş "ödendi" oluyor ve stok teslim ediliyorsa, sitenden bedava ürün alınabiliyor demektir.

Doğru akış üç adımlıdır. Birincisi imza doğrulaması: gelen verinin sağlayıcı gizli anahtarıyla üretilmiş özeti kontrol edilir. İkincisi tutar ve para birimi karşılaştırması: bildirimdeki tutar, siparişin kendi kaydındaki tutarla birebir eşleşmelidir. Üçüncüsü tekillik: aynı işlem numarası ikinci kez geldiğinde ikinci teslimat yapılmaz. Bunlardan biri eksikse diğerlerinin varlığı seni kurtarmaz.

Test 4: Dosya yükleme, yedek ve log ifşası

Bu blok sıkıcı ama en çok gerçek sızıntı buradan çıkıyor. Sırayla dene: sitenin kökünde backup.zip, dump.sql, db.sql.gz, config.php.bak, .env, error_log gibi dosyalar açılıyor mu? Kurulum dizini silinmiş mi, yoksa kurulumu yeniden çalıştırıp veritabanı ayarlarını değiştirmek mümkün mü? Dizin listeleme kapalı mı? Yükleme klasörüne PHP uzantılı bir dosya yüklenebiliyor mu, yüklenirse çalıştırılabiliyor mu?

Yükleme testinde en klasik tuzak, uzantı kontrolünü istemci tarafında yapan sistemler. Dosya adını logo.php.png yapıp gönder, sonra sunucunun kaydettiği gerçek adı ve çalıştırılabilirliğini kontrol et. Sağlam bir dijital ürün satış yazılımı yüklenen dosyanın adını kendisi üretir, uzantıyı beyaz listeyle sınırlar ve yükleme klasöründe kod çalıştırmayı sunucu seviyesinde kapatır.

Test 5: Oturum, kaba kuvvet ve ikinci faktör

Son blok hesap güvenliği. Çıkış yaptıktan sonra eski oturum çerezini geri koyup sayfa açmayı dene; oturum sunucu tarafında gerçekten iptal edilmiş mi? Parola değiştirdikten sonra diğer cihazlardaki oturumlar düşüyor mu? Giriş ekranında otuz hatalı denemeden sonra kilit veya gecikme geliyor mu? Parola sıfırlama bağlantısının süresi var mı, tek kullanımlık mı, kullanılmış bağlantı tekrar işliyor mu?

Yönetici hesapları için ayrıca ikinci faktörü test et. 2FA açıkken yalnızca parola ile giriş yapılabilen bir ara adım var mı, "beni hatırla" seçeneği ikinci faktörü tamamen atlatıyor mu? Bu testleri geçtiğinde temel hijyen tamam demektir. Panel yetki modelinin nasıl kurgulandığını özellikler sayfasında görebilir, kurumsal paketlerdeki denetim özelliklerini fiyat bölümünde karşılaştırabilirsin.

Güvenlik, bir kez yapıp bittiği sanılan iş değil; her sürümde tekrarlanan kısa bir rutin. Bu listeyi yazdırıp her güncelleme öncesi tik atarak geçmeye başladığında, sistemindeki sürprizlerin sayısı hızla düşer. Testlerin nasıl bir panelde, hangi yetki katmanlarıyla karşılandığını görmek istersen canlı demo üzerinde bayi ve yönetici hesaplarıyla aynı senaryoları deneyebilir, sonrasında uygun paketi seçebilirsin.