Çoğu e-pin satıcısı kaba kuvvet saldırısını bir gün mutlaka fark edeceğini sanır. Ekranda bir uyarı çıkacak, hosting firması mail atacak, panel yavaşlayacak diye bekler. Gerçek şu: iyi kurulmuş bir deneme saldırısı senin hiçbir şey görmediğin gecelerde çalışır. Saniyede beş istek, tek uç nokta, sabırlı bir döngü. Sunucun yorulmaz, log dosyan şişmez, sen sabah kalkıp siparişleri okursun. Ta ki bir müşteri "bakiyem boşalmış" yazana kadar.
Burada asıl yanılgı şifre karmaşıklığına duyulan güven. Sen 16 karakterlik bir yönetici şifresi kullanıyor olabilirsin ama saldırgan senin şifrenle uğraşmıyor; müşterilerinin başka sitelerden sızmış e-posta ve şifre çiftlerini deniyor. Bu yüzden çözüm parola politikası değil, deneme hızını sınırlamak. Modern bir e-pin satış scripti bu işi uygulama katmanında yapar; çünkü sunucu güvenlik duvarı istekleri sayar, niyeti okumaz. Bu yazıda hız sınırlamanın nasıl kurulduğunu, hangi uç noktaya hangi limitin konduğunu ve meşru müşteriyi kapıda bırakmadan bunu nasıl başaracağını anlatıyorum.
Kaba Kuvvet Saldırısı Gerçekten "Şifre Kırma" mı, Yoksa Başka Bir Şey mi?
Kaba kuvvet kelimesi kafa karıştırıyor. Kimse senin veritabanındaki hash'i kırmak için oturup bekliyor değil. Sahadaki gerçek üç ayrı davranış var. Birincisi kombo listesi denemesi: başka sitelerden çalınmış e-posta+şifre çiftlerini sırayla senin giriş formuna gönderir. İkincisi parola serpme: tek bir yaygın şifreyi binlerce farklı e-postada dener, böylece hiçbir hesap kilitlenmez. Üçüncüsü hedefli panel taraması: yönetici giriş yolunu bulmak için onlarca dizin adresini tek tek yoklar.
Bu üçünün ortak noktası, hepsinin tekrar üzerine kurulu olması. Saldırganın tek sermayesi deneme sayısıdır. Sen deneme sayısını ucuzluktan çıkarıp pahalı hale getirdiğin anda ekonomi çöker. Bir dijital ürün satış scripti için bu, kalkan satın almaktan daha etkili bir savunmadır; çünkü saldırının motoruna değil, yakıtına dokunur.
Hız Sınırlama Nedir ve Neden Güvenlik Duvarının Yapamadığını Yapar?
Hız sınırlama, belirli bir kimlik için belirli bir zaman aralığında kaç işleme izin verdiğini önceden yazmaktır. "Aynı IP'den aynı giriş formuna 5 dakikada en fazla 8 deneme" cümlesi bir kuraldır. Kural aşılınca ya gecikme eklersin, ya doğrulama sorarsın, ya da reddedersin.
Güvenlik duvarı bunu tam olarak yapamaz, çünkü o senin uygulamanın içini bilmez. Onun için /giris ile /urun/pubg-uc aynı şeydir: bir HTTP isteği. Oysa epin yazılım tarafında bu ikisi taban tabana zıttır. Ürün sayfasına saniyede yirmi istek gelmesi normaldir, giriş formuna gelmesi ise saldırıdır. Uygulama içindeki sınırlayıcı hangi işin denendiğini, kimin denediğini ve denemenin başarısız olduğunu bilir. Bu üç bilgi birleştiğinde kural cerrahi hale gelir: kimseyi yavaşlatmadan yalnızca başarısız deneme yığınını kesersin.
Hangi Uç Noktayı Kaç İstekle Sınırlamalısın?
En sık yapılan hata tüm siteye tek bir limit koymaktır. Bu hem saldırıyı durdurmaz hem de satışını yavaşlatır. Doğru yaklaşım uç nokta başına ayrı bütçedir. Aşağıdaki tablo, e-pin satan bir işletmenin panelinde gerçek trafiğe göre çalışan başlangıç değerlerini gösteriyor. Bu sayıları kendi hacmine göre büyütebilirsin ama oranları koru: para veya kimlik dokunan uç nokta her zaman en dar bütçeye sahip olmalı.
| Uç nokta | Önerilen limit | Pencere | Aşımda ne olsun | Risk seviyesi |
|---|---|---|---|---|
| Müşteri girişi | 8 başarısız deneme | 5 dakika | Doğrulama sor + 60 sn gecikme | Çok yüksek |
| Yönetici girişi | 4 başarısız deneme | 15 dakika | IP kilidi + bildirim | Kritik |
| Şifre sıfırlama talebi | 3 istek | 30 dakika | Sessiz reddet | Yüksek |
| Kayıt formu | 5 kayıt | 1 saat | Doğrulama sor | Orta |
| Kupon kodu deneme | 10 deneme | 10 dakika | Reddet + logla | Yüksek |
| Bakiye yükleme başlatma | 6 istek | 10 dakika | Manuel inceleme kuyruğu | Kritik |
| Ürün listeleme / arama | 120 istek | 1 dakika | Yavaşlat (throttle) | Düşük |
Saldırgan IP Değiştirdiğinde Ne Olacak? Katmanlı Anahtar Mantığı
IP tek başına sayacak bir kimlik değildir. Ucuz bir vekil sunucu havuzu kiralayan biri her denemede farklı adresten gelir; senin IP limitin hiç tetiklenmez. Aynı şekilde tek bir kurumsal ağın arkasındaki otuz meşru müşteri aynı IP'yi paylaşabilir ve masum insanları kilitlersin.
Çözüm, aynı olay için birden fazla anahtarla paralel sayaç tutmak. Bir giriş denemesini şu anahtarların hepsiyle birlikte sayarsın: IP adresi, denenen hesabın kendisi, tarayıcı oturum kimliği, cihaz imzası ve ağın bağlı olduğu operatör bloğu. Anahtarlardan herhangi biri eşiği geçtiğinde kural devreye girer. Böylece dağıtık bir saldırı bile "hedef hesap" anahtarında yakalanır: IP'ler değişse de denenen e-posta aynıdır. Tersine, ortak IP'deki meşru kullanıcılar birbirini etkilemez, çünkü hesap anahtarları farklıdır. İyi kurulmuş bir e-pin satış yazılımı bu sayaçları bellekte tutar ve her biri kendi penceresinde bağımsız erir.
Bir ayda engellenen kötü niyetli giriş denemelerinin kaynak dağılımı
- Sözlük tabanlı otomatik bot 45%
- Sızmış kombo listesi denemesi 25%
- Hedefli yönetici paneli yoklaması 20%
- Tarayıcı / eklenti kaynaklı gürültü 10%
Meşru Müşteriyi Cezalandırmadan Nasıl Yaparsın?
Hız sınırlamanın kötü şöhreti, yanlış kurulduğunda satışı öldürmesinden gelir. Şifresini iki kez yanlış girip üçüncüde hatırlayan müşteriyi on beş dakika kilitlersen o kişi geri gelmez. Bu yüzden modern kurulumda ceza kademeli olur.
Önce yalnızca başarısız denemeleri say; başarılı girişte sayacı sıfırla. Sonra ilk eşikte sadece küçük bir gecikme ekle, insan bunu fark etmez ama bot döngüsünün verimini yarıya düşürür. İkinci eşikte doğrulama sor. Üçüncü eşikte reddet ve hesap sahibine bilgilendirme gönder. Bir de beyaz liste tut: kendi ofis IP'n, ödeme sağlayıcının bildirim adresleri ve entegrasyon yaptığın tedarikçi API'leri hiçbir zaman bu sayaca girmesin. Aksi halde bir akşam kendi bildirim trafiğini kilitleyip siparişlerin neden düştüğünü ararsın.
Şifre sıfırlama ve kupon denemesinde "bu e-posta kayıtlı değil" demek saldırgana bedava bilgi vermektir. Limit aşıldığında da, aşılmadığında da aynı nötr mesajı göster; sayacı arka planda tut.
Pinova Bunu Nasıl Kutudan Çıkar Çıkmaz Yapıyor?
Kendi başına yazılmış bir panelde bu katmanı kurmak haftalar alır: sayaç deposu, pencere erimesi, anahtar birleşimi, kademeli ceza, bildirim, log. Pinova bu işi satın aldığın gün hazır verir. Kritik uç noktalar önceden tanımlıdır, limitler yönetim panelinden değiştirilebilir, engellenen her deneme zaman damgasıyla kaydedilir ve yönetici girişinde eşik aşıldığında sana bildirim düşer. Aşağıdaki liste, hangi e-pin scripti ile çalışıyor olursan ol kurulumdan sonra tek tek doğrulaman gereken maddeleri içeriyor.
| Kontrol maddesi | Nasıl test edilir | Beklenen sonuç | Durum |
|---|---|---|---|
| Müşteri giriş limiti aktif | Yanlış şifreyle 10 kez dene | 8. denemeden sonra doğrulama çıkıyor | Zorunlu |
| Yönetici yolu gizli ve dar limitli | 4 hatalı yönetici girişi | IP kilidi + bildirim maili | Zorunlu |
| Başarılı girişte sayaç sıfırlanıyor | 3 hata + 1 doğru giriş + 3 hata | Kilit gelmiyor | Zorunlu |
| Hesap bazlı anahtar çalışıyor | Aynı hesabı 2 farklı ağdan zorla | İkinci ağda da sayaç devrede | Zorunlu |
| Şifre sıfırlama nötr yanıt veriyor | Kayıtsız e-posta gönder | Aynı mesaj, bilgi sızıntısı yok | Zorunlu |
| Ödeme bildirim IP'leri beyaz listede | Test ödemesi yap | Bildirim sınırlanmıyor | Kritik |
| Engel logları erişilebilir | Panelden son 24 saat raporu aç | IP, hesap, uç nokta görünüyor | Önerilir |
| Limitler panelden düzenlenebilir | Kayıt limitini değiştir | Kod dokunmadan uygulanıyor | Önerilir |
Panelin kapısını bu gece kapat
Hız sınırlama, cihaz kontrolü ve kademeli doğrulama katmanları hazır gelen bir altyapıyla çalış; güvenliği sonraya bırakma. Özellik listesini buradan, paketleri fiyat bölümünden inceleyebilirsin.
Hız sınırlama sitemi yavaşlatır mı?
Doğru kurulduğunda hayır. Sayaçlar bellekte tutulur ve kontrol mikrosaniyelerle ölçülür. Yavaşlama yalnızca eşiği aşan isteklerde kasıtlı olarak uygulanır; normal müşteri bunu hiç görmez.
Sunucu güvenlik duvarım varsa yine gerekir mi?
Evet. Güvenlik duvarı istek sayar, işlem bilmez. Giriş formuna gelen 8 başarısız denemeyi ürün sayfasına gelen 8 istekten ayıramaz. Uygulama içindeki sınırlayıcı bu ayrımı yapar ve iki katman birbirini tamamlar.
Müşterilerim ortak ağdan giriyor, yanlış yere kilitler mi?
Tek anahtar olarak IP kullanırsan kilitler. Bu yüzden IP, hesap, oturum ve cihaz anahtarları paralel sayılmalı. Ortak ağdaki iki farklı müşteri farklı hesap anahtarına sahip olduğundan birbirini etkilemez.
Limitleri ne sıklıkla gözden geçirmeliyim?
İlk ay haftalık, sonrasında ayda bir yeterlidir. Kampanya dönemlerinde trafik artacağı için listeleme ve arama limitlerini geçici olarak yükselt, giriş ve ödeme limitlerine ise dokunma.
Hız sınırlama görünmez bir yatırımdır: çalıştığında hiçbir şey olmaz, olmadığında her şey olur. Kendi panelinde bu katmanın gerçekten devrede olup olmadığını merak ediyorsan tabloyu al, sırayla test et ve eksikleri not düş. Sayaçların, kademeli doğrulamanın ve engel raporlarının hazır geldiği bir kurulumu kendi gözlerinle görmek istersen canlı demo üzerinden yönetim paneline girip güvenlik ayarlarını kurcalayabilirsin; hiçbir şey kurmadan on dakikada farkı anlarsın.