Çoğu e-pin satıcısı güvenliği tek bir cümleye indirger: "Şifrem güçlü, iki adımlı doğrulama da açık." Sonra bir sabah bakiyesinin eridiğini, gece 03.40'ta on iki siparişin onaylandığını ve hiçbirinin kendi eliyle yapılmadığını görür. Şifre kırılmamıştır, doğrulama da atlatılmamıştır. Sadece iki ay önce internet kafede açılan bir oturum hâlâ canlıdır ve o oturumun ömrünü kimse sınırlamamıştır.
İşin sessiz tarafı burada başlar. Bir e-pin satış scripti için asıl güvenlik yüzeyi giriş ekranı değil, girişten sonra dağıtılan oturumlardır. Kaç cihaz açık, hangi IP'den, hangi tarayıcı parmak iziyle, ne kadar süre geçerli, panel kapatıldığında gerçekten sonlanıyor mu? Bu soruların cevabı yoksa elindeki sistem güvenli değil, sadece henüz hedef alınmamıştır. Aşağıda bu katmanı nasıl kuracağını, hangi eşikleri seçeceğini ve hangi noktalarda çoğu e-pin yazılımı kurulumunun açık verdiğini adım adım açıyorum.
Oturum Nedir, Neden Şifreden Daha Kıymetlidir?
Kullanıcı adı ve parola sadece kapıyı açar. Kapı açıldıktan sonra tarayıcıya bırakılan çerez veya token, o kişinin kimliğinin taşınabilir kopyasıdır. Bir saldırgan parolanı hiç bilmeden bu kopyayı ele geçirirse panele senin olarak girer; iki adımlı doğrulama da devreye girmez, çünkü doğrulama zaten geçilmiş kabul edilir. Bu yüzden token ömrü, parola karmaşıklığından daha kritik bir ayardır.
Doğru kurgulanmış bir dijital ürün satış scripti, oturumu tek bir çerez olarak değil, katmanlı bir kayıt olarak tutar: oturum kimliği, oluşturulma zamanı, son etkinlik zamanı, IP, kullanıcı ajanı, cihaz imzası ve yetki seviyesi. Bu alanlar olmadan "kim ne zaman girdi" sorusuna cevap veremezsin. Pinova tarafında oturum tablosu bu alanların hepsini taşıyacak şekilde tasarlandı; panelden tek tek görüp tek tıkla sonlandırabilirsin.
Neden "Sonsuz Oturum" E-pin İşinde Ölümcüldür?
Normal bir blog panelinde otuz gün açık kalan oturum sorun değildir. E-pin işinde ise panelin arkasında anında nakde dönebilen stok vardır. Kod listesi, bayi bakiyesi, ödeme ayarları ve çekim talebi aynı ekranda durur. Saldırgan için bu, doğrudan para kasasıdır; üstelik çalınan kodlar dakikalar içinde tüketildiği için geri dönüş şansı da yoktur.
Bu yüzden e-pin satış yazılımı tarafında oturum ömrünü rolüne göre ayırman gerekir. Son kullanıcı için konfor öncelikli olabilir, ama bayi ve yönetici için kısa ömür ve zorunlu yeniden doğrulama şarttır. Kritik işlemlerde (çekim talebi, kod toplu yükleme, ödeme ayarı değiştirme) oturumun yaşına bakıp parolayı yeniden istemek, saldırı yüzeyinin büyük kısmını tek hamlede kapatır.
| Rol | Boşta kalma süresi | Mutlak oturum ömrü | Eş zamanlı cihaz | Kritik işlemde yeniden doğrulama |
|---|---|---|---|---|
| Son kullanıcı | 60 dakika | 14 gün | 5 | Sadece bakiye çekiminde |
| Bayi | 30 dakika | 3 gün | 2 | Çekim, toplu kod, profil e-postası |
| Destek personeli | 20 dakika | 1 gün | 1 | Sipariş iadesi, kod görüntüleme |
| Yönetici | 15 dakika | 12 saat | 1 | Tüm ayar ve finans işlemleri |
| API anahtarı | Yok (istek bazlı) | 90 gün, rotasyonlu | IP kısıtlı | İmza doğrulaması |
Cihaz Parmak İzi Gerçekten İşe Yarıyor mu?
Cihaz izi sihirli bir kimlik değildir; tarayıcı sürümü, işletim sistemi, dil, ekran çözünürlüğü ve zaman dilimi gibi sinyallerin özetidir. Tek başına kanıt sayılmaz ama değişim tespitinde son derece güçlüdür. Aynı hesap üç dakika önce Ankara'dan Windows Chrome ile girdiyse ve şimdi Almanya'dan Linux üzerinden geliyorsa, sistemin bunu sıradan bir giriş gibi karşılaması saçmadır.
Doğru yaklaşım, bilinmeyen cihaza "hayır" demek yerine "kanıtla" demektir. Yeni cihazda e-posta onayı iste, oturumu düşük yetkiyle başlat, ilk 24 saat boyunca çekim talebini kilitle. Bu yumuşak sürtünme, gerçek kullanıcıyı neredeyse hiç rahatsız etmez ama saldırganın işini bitirmesine yetecek zamanı elinden alır.
Yetkisiz Panel Erişimlerinin Giriş Yolu Dağılımı
- Çalınan veya devam eden oturum 45%
- Paylaşılan cihaz ve ortak bilgisayar 25%
- Sızdırılmış parola tekrarı 20%
- Diğer (API anahtarı, eklenti) 10%
Panelinde Hangi Kayıtlar Tutulmalı?
Olay yaşandıktan sonra en acı cümle şudur: "Kim yaptı bilmiyoruz." Oturum kaydı tutmayan bir sistemde iddianı kanıtlayamaz, müşteriye açıklama yapamaz, ödeme sağlayıcısına belge sunamazsın. Bu yüzden her oturum için en az şu üçlüyü sakla: giriş anı, çıkış veya sonlanma anı ve o oturumda yapılan yetki gerektiren işlemlerin listesi.
Kaydın değeri okunabilirliğindedir. Ham IP listesi kimseye bir şey anlatmaz; ama "bayi #412, yeni cihaz, saat 03.41, 9 kod görüntüledi, 1 çekim talebi oluşturdu" satırı tek bakışta hikâyeyi anlatır. Pinova'nın oturum ekranı tam olarak bu okunabilirliği hedefler, ayrıntıları özellikler bölümünde inceleyebilirsin.
Bayilerin Cihaz Paylaşımını Nasıl Yönetirsin?
Gerçek hayatta bayilerin çoğu tek kişi değildir. Dükkânda iki çalışan, evde bir dizüstü, yolda bir telefon. Cihaz sayısını sıfıra indirmeye çalışmak satışı yavaşlatır ve destek hattını şişirir. Çözüm kısıtlamak değil, görünür kılmak ve ayrıştırmaktır: her bayiye kendi altında alt kullanıcı açma imkânı ver, böylece herkes kendi kimliğiyle girsin.
Ortak hesap paylaşımı devam ettiği sürece hiçbir kayıt işe yaramaz, çünkü kaydın gösterdiği kişi hesabın sahibi olur. Alt kullanıcı yapısı kurulduğunda ise sorumluluk kişiselleşir ve şaşırtıcı biçimde dikkatsiz davranışlar kendiliğinden azalır.
Parola sıfırlandığında yalnızca yeni oturumu bırakıp diğer tüm oturumları sonlandırmazsan, saldırgan parola değişse bile içeride kalmaya devam eder. Bu tek satırlık kural, ele geçirme vakalarının büyük kısmını sessizce bitirir.
Kurulum Öncesi Kontrol Listen
Aşağıdaki listeyi yeni bir panel kurarken ya da mevcut sistemini denetlerken satır satır işaretle. Hepsi kolayca doğrulanabilir maddelerdir ve hiçbiri günler süren bir geliştirme gerektirmez.
| Kontrol | Ne bakılır | Beklenen sonuç | Öncelik |
|---|---|---|---|
| Aktif oturum listesi | Panelde cihaz/IP/tarih görünüyor mu | Görünür ve tek tıkla sonlandırılabilir | Yüksek |
| Boşta kalma zaman aşımı | Sekme açık bırakılıp beklenir | Role göre otomatik çıkış | Yüksek |
| Yeni cihaz bildirimi | Farklı tarayıcıdan giriş denenir | E-posta uyarısı ve onay adımı | Yüksek |
| Parola sonrası tahliye | Parola değiştirilir | Diğer oturumlar anında düşer | Kritik |
| Kritik işlem doğrulaması | Çekim talebi oluşturulur | Parola veya kod yeniden istenir | Kritik |
| Oturum günlüğü saklama | Kayıt süresi ve dışa aktarım | En az 12 ay, CSV alınabilir | Orta |
| API anahtar yönetimi | IP kısıtı ve rotasyon | Anahtar iptal edilebilir | Orta |
Oturum güvenliğini hazır gelen bir altyapıyla çöz
Cihaz listesi, rol bazlı zaman aşımı, yeni cihaz onayı ve işlem günlüğü Pinova'da kutudan çıkar çıkmaz hazır gelir. Kendi geliştirici ekibini aylarca meşgul etmene gerek kalmaz. Paket ve fiyat seçeneklerini incele.
Oturum süresini çok kısa tutarsam müşterilerim rahatsız olur mu?
Son kullanıcı tarafında kısa süre gerçekten rahatsız eder, o yüzden süreyi role göre ayır. Alışveriş yapan ziyaretçiye geniş süre tanı, bayi ve yönetici panelinde kısa tut. Asıl risk zaten yetkili hesaplardadır.
Cihaz parmak izi kişisel veri sayılır mı?
Toplanan sinyaller kişiyi doğrudan tanımlamasa da işlenen veri kapsamına girer. Aydınlatma metninde güvenlik amacıyla cihaz ve oturum bilgisi işlediğini açıkça belirtmen, saklama süresini yazman yeterlidir.
VPN kullanan müşterilerim sürekli uyarı alır mı?
Yalnızca IP değişimine bakarsan evet. Bu yüzden IP'yi tek başına tetikleyici yapma; cihaz imzası aynı kaldığı sürece uyarıyı bastır, sadece hem cihaz hem konum değiştiğinde onay iste.
Mevcut panelime bu yapıyı sonradan ekleyebilir miyim?
Eklenebilir ama oturum tablosu baştan kurulmadıysa geçmiş veriyi geri getiremezsin. En sağlıklısı oturum ve günlük katmanını hazır sunan bir altyapıya geçmek, böylece ilk günden itibaren izlenebilir bir geçmişin olur.
Oturum yönetimi görünmez bir yatırımdır; iyi çalıştığında kimse fark etmez, eksik olduğunda ise faturayı tek seferde ödersin. Panelinde aktif cihaz listesi, rol bazlı zaman aşımı ve okunabilir bir işlem günlüğü varsa gecenin üçünde açılan bir oturum senin için sürpriz değil, sadece bir bildirimdir. Bu katmanın gerçek panelde nasıl göründüğünü merak ediyorsan canlı demo üzerinden kendi hesabınla dene, ardından kurulum seçeneklerine göz at.