Çoğu e-pin satıcısı kara listeyi bir düğme sanır. Bir sipariş ters gider, chargeback gelir, kod yanar; panelde o e-postayı ya da IP'yi bloke eder ve olayı kapattığını düşünür. Halbuki o an yaptığın şey güvenlik değil, sadece bir isim yazmak. Çünkü sahtekar o e-postayı iki dakikada değiştirir, IP'sini bir tuşla döndürür ve aynı akşam yine karşına çıkar. Asıl acı kısım şu: sen o listeyi büyüttükçe yanlış kişileri de içine almaya başlarsın ve aylar sonra farkına varmadığın bir gelir sızıntısıyla yaşamaya alışırsın.
Bu yazıda anlatacağım şey, piyasada çok az satıcının bilinçli kurduğu ikinci katman: gri liste. Kara liste "asla" der, gri liste "dur bakalım" der. İyi kurulmuş bir e-pin satış scripti bu iki listeyi ayrı ayrı yönetir, aralarında otomatik geçiş kuralları tanımlar ve her kaydın bir gerekçesi, bir sahibi, bir de son kullanma tarihi olmasını zorunlu kılar. Bu üç alan yoksa listen bir güvenlik aracı değil, sadece eski öfkelerin arşivi olur.
Kara liste neden bu kadar hızlı işe yaramaz hale geliyor?
Kara liste statik bir yapıdır; sen bir değer yazarsın, script o değeri görürse reddeder. Sorun, dijital ürün satışında kimliğin son derece akışkan olması. E-posta sınırsız, telefon numarası ucuz, IP kiralık. Elinde sadece bu üç alan varsa dolandırıcı seninle sonsuz bir kovalamaca oynayabilir ve her turda kazanan o olur çünkü senin maliyetin yanan kod, onun maliyeti bir tıklama.
İşe yarayan kara liste, kişiyi değil davranış parmak izini hedefler: kart BIN'i, cihaz parmak izi hash'i, ödeme sağlayıcı müşteri kimliği, teslimat yapılan oyun hesabı kimliği, hatta sipariş notundaki tekrarlayan kalıp. Modern bir dijital ürün satış yazılımı bu alanları ayrı ayrı listeleyebilmeli ve her alan için ayrı ağırlık taşıyabilmeli. Çünkü aynı IP'yi paylaşan iki üniversite öğrencisiyle aynı kartı kullanan iki hesap taban tabana zıt iki hikayedir.
Gri liste tam olarak ne yapar, kara listeden nasıl ayrılır?
Gri liste, kesin olmadığın her durumun park alanıdır. Sipariş reddedilmez, iptal edilmez, müşteri kovulmaz; sadece otomatik teslimat durdurulur ve kayıt manuel onay kuyruğuna düşer. Müşteri "ödemen alındı, siparişin kontrol ediliyor" mesajını görür. Sen ya da ekibin bakar, onaylar veya reddeder. Karar verdiğin anda o kayıt ya temizlenir ya kara listeye yükselir.
Bu yaklaşımın asıl gücü, hata maliyetini düşürmesi. Kara liste yanlış çalıştığında gerçek müşterini kaybedersin ve bir daha geri gelmez. Gri liste yanlış çalıştığında müşteri sadece birkaç dakika bekler. Bu asimetriyi anladığın gün güvenlik kurgunu tamamen değiştirirsin: agresif olmak istediğin yer gri liste, cimri olmak istediğin yer kara liste.
| Sinyal | Önerilen liste | Script davranışı | Kayıt ömrü |
|---|---|---|---|
| Onaylanmış chargeback | Kara | Sipariş anında ret | Süresiz |
| Aynı kartla 3 farklı hesap | Kara (kart BIN + son 4) | Ret + kayıt notu | 24 ay |
| İlk siparişte yüksek tutar | Gri | Teslimat beklet | Tek sipariş |
| VPN / veri merkezi IP | Gri | Doğrulama iste | 7 gün |
| Tek gecede 5+ sipariş denemesi | Gri → Kara | Hız limiti + beklet | 30 gün |
| Sahte belge yükleme | Kara | Hesap dondur | Süresiz |
| Teslimat adresi oyun hesabı tekrarı | Gri | Elle eşleştir | 90 gün |
Listeler arasında otomatik terfi ve af nasıl kurulur?
Listeyi elle yönetirsen üç ay sonra kimse dokunmaz, altı ay sonra kimse güvenmez. Bu yüzden epin yazılım tarafında iki otomatik hareket tanımlamak gerekir. Birincisi terfi: gri listedeki bir kayıt belirlediğin pencere içinde ikinci kez tetiklenirse otomatik kara listeye çıkar. İkincisi af: gri listede bekleyen ama temiz üç sipariş tamamlamış bir müşteri otomatik olarak listeden düşer.
Af mekanizması kulağa gevşek geliyor olabilir, ama uzun vadede seni kurtaran şey tam olarak budur. Af yoksa gri listen sürekli şişer, kuyruğun tıkanır, ekibin bakmayı bırakır ve sistem kağıt üstünde çalışıp pratikte ölür. Her kaydın son kullanma tarihi olacak kuralını baştan koy; istisna sadece kanıtlanmış dolandırıcılık olsun.
Gri listeye düşen siparişlerin sonuç dağılımı
- İncelemeden temiz çıkıp teslim edilen 52%
- Ek doğrulama sonrası onaylanan 22%
- Reddedilip iade edilen 17%
- Müşteri yanıt vermeyip düşen 9%
Liste kayıtlarını hangi alanlarla tutmalısın?
Bir liste kaydı sadece değer içeriyorsa tartışma çıkar. "Bunu neden bloklamışız?" sorusuna cevap veremezsen ya yanlış kişiyi mağdur edersin ya da gerçek dolandırıcıyı yanlışlıkla affedersin. Minimum şema şu: değer, alan tipi, gerekçe kodu, kanıt bağlantısı, ekleyen kullanıcı, ekleme zamanı, bitiş zamanı, tetiklenme sayısı.
Tetiklenme sayısı çoğu kurulumda atlanır ama en kıymetli veri odur. Hiç tetiklenmemiş yüzlerce kayıt varsa kuralın gereksiz; günde on kez tetiklenen bir kayıt varsa ya gerçekten saldırı altındasın ya da kuralın çok geniş. Kuralı istatistikle budamak, sezgiyle budamaktan her zaman iyidir.
Kara listeye takılan siparişte müşteriye "dolandırıcı olarak işaretlendin" demek zorunda değilsin, ama bir kapı bırak. Genel bir ret mesajı ve destek bağlantısı yeterli; yanlış pozitifler o kapıdan geri döner, gerçek dolandırıcı zaten uğraşmaz.
Kurulum öncesi neyi kontrol etmen gerekiyor?
Liste altyapısını kurmadan önce mevcut verini bir kez taramak, aylık uğraşının yarısını baştan yok eder. Geçmiş chargeback'lerinde hangi ortak alanlar var, en çok hangi ödeme yöntemi sorun çıkarıyor, hangi kategoride teslimat sonrası şikayet yoğunlaşıyor? Bu üç cevabı bulduğunda ilk kural setini tahminle değil kendi verinle yazarsın.
| Kontrol maddesi | Neden gerekli | Durum |
|---|---|---|
| Gerekçe kodu listesi tanımlı mı? | Kayıtların tartışmaya açık olmaması için | Zorunlu |
| Her kayıtta bitiş tarihi var mı? | Listenin şişmesini engeller | Zorunlu |
| Gri liste bildirim şablonu hazır mı? | Müşteri paniklemesin, destek yığılmasın | Zorunlu |
| Otomatik terfi kuralı aktif mi? | Elle takip sürdürülebilir değil | Önerilir |
| Af kuralı (3 temiz sipariş) açık mı? | İyi müşteriyi listede tutmamak için | Önerilir |
| Cihaz parmak izi toplanıyor mu? | E-posta/IP'den çok daha kalıcı sinyal | Önerilir |
| Liste işlemleri loglanıyor mu? | Ekip içi denetim ve hata geri alma | Zorunlu |
| Haftalık tetiklenme raporu var mı? | Ölü kuralları budamak için | Önerilir |
Ekip büyüdüğünde listeyi kim yönetir?
Tek kişilik işletmede sorun yok, kararı sen verirsin. İkinci kişi geldiği anda yetki ayrımı şart olur: destek personeli gri listeye ekleyebilir ama kara listeye ekleyemez; kara liste kaydı silme yetkisi sadece sahipte olur. Bu ayrımı yapmazsan bir gün birinin iyi niyetle sildiği kayıt yüzünden aynı dolandırıcıya ikinci kez ürün teslim edersin.
Pinova tarafında bu katmanları hazır kurgu olarak bulmanın avantajı, kuralları sıfırdan tasarlamak zorunda kalmaman. e-pin scripti seçerken bakman gereken şey "kara liste var mı" değil, "kara ve gri liste ayrı mı, otomatik geçiş var mı, gerekçe ve ömür alanları zorunlu mu" sorularıdır. Özellikler sayfasında bu katmanların nasıl ayrıldığını, fiyat bölümünde hangi paketin hangi denetim derinliğini kapsadığını görebilirsin.
Listelerini tahminle değil kuralla yönet
Kara liste, gri liste, otomatik terfi ve af kuralları kurulu bir altyapıyla başla; ilk haftadan itibaren hangi kuralın kaç kez çalıştığını gör.
Gri liste müşteriyi kaçırır mı?
Doğru mesajla kaçırmaz. "Ödemeniz alındı, siparişiniz kontrol ediliyor" bildirimi ve tahmini süre verildiğinde müşteri bekler. Kaçıran şey bilgisiz bekletmedir, bekletmenin kendisi değil.
Kara listeye IP eklemek doğru mu?
Tek başına riskli. Mobil operatör ve paylaşımlı IP'ler yüzünden masum kullanıcıyı engelleyebilirsin. IP'yi gri liste sinyali olarak kullan, kara listeye ancak diğer sinyallerle birlikte al.
Listeler ne sıklıkla gözden geçirilmeli?
Haftalık tetiklenme raporu yeterlidir. Hiç tetiklenmeyen kayıtları kaldır, aşırı tetiklenenlerin kural genişliğini daralt. Aylık tek bir temizlik seansı çoğu işletme için yeterli.
Küçük bir satıcı için bu yapı fazla karmaşık değil mi?
Değil, çünkü karmaşıklığı script taşır. Sen sadece eşikleri belirlersin. Günde 20 sipariş alan bir satıcı bile tek bir chargeback'te bu yapının maliyetini fazlasıyla geri kazanır.
Kara listeyi tek başına kullanmak, kapıya kilit takıp pencereyi açık bırakmaya benziyor. Gri liste o pencereyi kapatan, ama iyi misafiri de dışarıda bırakmayan katman. Bu iki listenin bir arada nasıl çalıştığını, bir siparişin hangi kuralla nereye düştüğünü panel üzerinde adım adım görmek istersen canlı demo üzerinden kendi test siparişini oluşturup akışı baştan sona izleyebilirsin.