E-pin sitesinde DDoS ve bot koruması: Bir gecede stoğunuz nasıl tükenir?

Bir e-pin sitesi açtığınızda ilk aklınıza gelen tehdit genelde ödeme dolandırıcılığı olur; oysa çoğu site sahibinin fark etmediği ikinci bir cephe daha vardır: botlar ve DDoS trafiği. Bir gece stoklarınız tükenir, sunucunuz kilitlenir ya da kart bilgisi denemeleri yüzünden ödeme sağlayıcınız hesabınızı askıya alır — hiçbiri "hacklenme" değildir, sadece korumasız bırakılmış bir sistemin doğal sonucudur. Bu yazıda e-pin ve dijital ürün satan sitelerin gerçekte hangi saldırılarla karşılaştığını, bunların neden bu kadar sinsi olduğunu ve pratikte nasıl önlenebileceğini anlatıyoruz.

E-pin siteleri neden botların ve DDoS'un özel hedefi oluyor?

Normal bir e-ticaret sitesinde çalınacak şey fiziksel bir kargo takip numarasıdır; e-pin sitesinde ise saniyeler içinde nakde çevrilebilen bir koddur. Bu fark, e-pin ve dijital ürün satan siteleri saldırganlar için normal mağazalardan çok daha "verimli" bir hedef hâline getirir. Bir botun başarılı olması için tek yapması gereken, otomatik teslimat sistemine ulaşmaktır; kod üretildiği anda saldırgan için iş bitmiştir, ürün elinden alınamaz.

Bunun üzerine bir de rekabet dinamiği eklenir. Sektörde çok sayıda benzer site aynı tedarikçilerden (Turkpin, Pinabi gibi) ürün çekince, fiyat ve stok bilgisi rakipler için değerli hâle gelir. Bu da scraping botlarının siteleri sürekli taramasına, sunucu yükünü artırmasına yol açar. Yani bir e-pin sitesi aynı anda üç farklı cepheden baskı görür:

• Kod/bakiye çalmaya çalışan saldırı botları (carding, brute-force)
• Fiyat ve stok verisi çeken rakip/otomasyon botları
• Siteyi doğrudan çökertmeyi amaçlayan DDoS trafiği (rakip kaynaklı ya da amaçsız "gürültü" saldırıları)

Bu üç tehdidin hiçbiri birbirinden bağımsız değil; biri sizi meşgul ederken diğeri arka planda ilerleyebilir. Bu yüzden koruma tek bir önleme değil, katmanlı bir yaklaşıma ihtiyaç duyar.

Hangi saldırı türleri gerçekten para kaybettiriyor?

Teoride "DDoS" ve "bot" tek bir başlık gibi görünse de, e-pin işinde pratikte birbirinden çok farklı davranan birkaç saldırı türü var. Her birinin belirtisi ve maliyeti farklıdır:

• Kart testi (carding): Çalıntı kart bilgileri küçük tutarlarla arka arkaya denenir. Amaç kartın geçerli olup olmadığını anlamaktır; sitenizin ödeme altyapısı bu denemelerin figüranı olur ve sağlayıcı sizi riskli ilan edebilir.
• Kupon/bakiye brute-force: Kupon kodları veya hediye kartı bakiyeleri belirli bir örüntüye sahipse, botlar bu kombinasyonları otomatik dener ve tutan kodları boşaltır.
• Stok tüketme botları: Sınırlı sayıda ürünü (örneğin kampanyalı bir e-pin partisini) saniyeler içinde sepete/siparişe kilitleyip gerçek müşterilerin önüne geçer.
• Scraping (veri kazıma): Fiyat, stok ve içerik sürekli taranır; sunucu kaynaklarınızı gereksiz yere tüketirken rakiplerinize veri sağlar.
• Hacimsel DDoS: Kısa sürede binlerce sahte istek göndererek sunucuyu ya da veritabanını kilitler; gerçek müşteriler siteye giremez hâle gelir.

Bunların ortak noktası şu: hiçbiri "büyük, gösterişli bir hack" gibi görünmez. Genellikle önce fark edilmeyen küçük anomaliler olarak başlar — sipariş sayısında garip bir sıçrama, aynı IP'den gelen tekrar eden istekler, normalden yüksek sunucu yükü. Erken fark edilmezse fatura, itibar ya da tedarikçi ilişkisi üzerinden gerçek zarara dönüşür.

DDoS saldırısı sırasında site neden aniden çöküyor?

Çoğu site sahibi "güçlü bir sunucu aldım, dayanır" diye düşünür; oysa DDoS'un mantığı sunucunun gücüyle değil, isteklerin hacmiyle ilgilidir. Küçük ve orta ölçekli bir e-pin sitesinin barındığı paylaşımlı ya da orta seviye bir sunucu, aynı anda gelen binlerce sahte bağlantıyı işlemeye çalışırken şu noktalarda tıkanır:

• Veritabanı bağlantı havuzu dolar, gerçek siparişler bile zaman aşımına uğrar.
• PHP-FPM/worker süreçleri sahte isteklerle meşgul olur, sayfa yüklenme süresi saniyelerden dakikalara çıkar.
• Otomatik teslimat sistemi tedarikçi API'sine anormal sayıda çağrı yapmaya zorlanır; API sağlayıcı sizi geçici olarak engelleyebilir.
• E-posta/SMS bildirim kuyruğu tıkanır, gerçek müşterilere kod bildirimi gecikir.

Yani asıl kırılma noktası "sunucu çöktü" değil, "sunucu meşgul olduğu için gerçek müşteri işlemi tamamlayamadı" noktasıdır. Bir e-pin sitesinde bu birkaç dakikalık kesinti bile, o gün için kaybedilen satışların yanında, "sipariş verdim ama kod gelmedi" şikayetleri ve iade taleplerine dönüşür.

Katman katman koruma pratikte nasıl kurulur?

Tek bir "bot koruması aç" düğmesi yoktur; etkili bir savunma birkaç katmanın üst üste konmasıyla oluşur. Bir e-pin sitesi için mantıklı sıralama şöyledir:

• Ağ/CDN katmanı: Cloudflare gibi bir CDN, trafiğin büyük kısmını sunucuya ulaşmadan filtreler; hacimsel DDoS saldırılarının çoğu bu katmanda emilir.
• Web sunucusu (WAF) katmanı: SQL injection denemeleri, anormal istek başlıkları ve bilinen bot imzaları burada engellenir.
• Uygulama katmanı (yazılımın kendisi): Sipariş, giriş, kupon deneme gibi hassas uç noktalarda IP/hesap bazlı hız sınırlama (rate limiting) yapılır. Bu katman en çok göz ardı edilen ama en etkili katmandır, çünkü genel bir CDN kuralı "bu bir kupon deneme saldırısı" olduğunu anlayamaz — bunu iş mantığını bilen yazılım anlar.
• İnsan doğrulaması: Captcha ya da benzeri bir adım, yalnızca şüpheli davranış tetiklendiğinde devreye girmeli; her kullanıcıya baştan captcha göstermek dönüşüm oranını gereksiz yere düşürür.
• İzleme ve uyarı: Anormal sipariş hacmi, ardışık başarısız ödeme, aynı IP'den tekrar eden istek gibi sinyaller admin panelinde görünür olmalı; siz fark etmeden önce sistem fark etmeli.

Bu katmanların hepsini tek başına, sıfırdan kurmak küçük bir ekip için haftalar sürebilir. Bu yüzden hazır bir altyapı kullanmak — CDN ve WAF'ı doğru yapılandırıp uygulama katmanına iş mantığına özel kuralları yerleştirmiş bir yazılım — pratikte çok zaman kazandırır.

Bot koruması gerçek müşteriyi de engellerse ne olur?

Koruma sistemlerinin en büyük tuzağı budur: çok sıkı kurallar gerçek müşteriyi de bot sanıp engeller, çok gevşek kurallar ise hiçbir işe yaramaz. Bir e-pin sitesinde bu denge özellikle kritiktir çünkü müşteriler genelde acele eder — kampanyalı bir ürünü kaçırmamak için hızlıca sipariş verir, bu da bazen bot davranışına benzeyebilir.

Doğru yaklaşım, tek bir sinyale değil birden fazla sinyale bakmaktır:

• Sadece "hız" değil, "örüntü" önemlidir: aynı IP'den art arda farklı kart numaralarıyla deneme yapmak ile bir müşterinin heyecanla iki kez tıklaması aynı şey değildir.
• Captcha'yı herkese değil, eşiği geçen davranışa gösterin — örneğin art arda 3 başarısız kupon denemesinden sonra.
• Engelleme yerine önce "yavaşlatma" (throttling) uygulayın; gerçek kullanıcı fark etmez ama bot için maliyeti artırır.
• Beyaz liste mekanizması bulundurun: sürekli sipariş veren güvenilir bayiler veya kurumsal müşteriler için istisna tanımlayabilmelisiniz.

Bu ayarların çoğu "bir kere kur, unut" değildir; saldırı örüntüleri değiştikçe kuralların da güncellenmesi gerekir. Bu yüzden koruma sisteminin admin panelinden görünür ve ayarlanabilir olması, sadece arka planda sessizce çalışan bir kara kutu olmaması önemlidir.

Pinova bu tehditlere karşı içeriden nasıl önlem alıyor?

Pinova, e-pin ve dijital ürün satışına özel olarak tasarlandığı için genel bir e-ticaret eklentisinin göremeyeceği noktaları görebiliyor. Otomatik teslimat, cüzdan/bakiye sistemi ve bayi hiyerarşisi aynı yazılımın içinde çalıştığından, şüpheli davranışlar tek tek modüllerde değil bütünsel olarak değerlendiriliyor:

• Sipariş ve kupon deneme uç noktalarında IP/hesap bazlı hız sınırlama, ardışık başarısız denemelerde otomatik geçici kısıtlama.
• Ödeme entegrasyonlarında (PayTR/Shopier/havale) anormal deneme örüntüsü tespit edildiğinde admin panelinde uyarı.
• Tedarikçi API çağrılarının (Turkpin/Pinabi) kuyruklanması — ani trafik patlamasında API'ye toplu ve kontrolsüz istek gitmesi engellenir, böylece tedarikçi tarafında engellenme riski azalır.
• Cloudflare ve sunucu seviyesi WAF ile uyumlu çalışacak şekilde yapılandırılabilir; yani genel ağ koruması ile uygulamaya özel kurallar birlikte devreye girer.
• Kendi sunucunuza kurulduğu için, koruma kurallarını işinizin gerçek trafiğine göre siz ayarlarsınız — genel bir SaaS'ın "herkese uyan" varsayılan ayarlarına bağımlı kalmazsınız.

Bu, sıfır risk anlamına gelmez — hiçbir sistem bunu garanti edemez — ama saldırının erken fark edilip küçük maliyetle durdurulmasını sağlayan bir altyapı anlamına gelir. Bir e-pin sitesinde asıl fark, saldırıyı tamamen engellemek değil, saldırı başladığında ne kadar hızlı fark edip tepki verdiğinizdir.