Online Ödeme Sistemleri Ve Geçitleri

Üye iş yerinin (merchant) sunucu tarafındaki güvenlik duvarının (firewall) ödeme geçidi IP adreslerini engellemesi veya SSL sertifika zinciri (chain) doğrulama hatası.

Ödeme geçidi panelindeki webhook gönderim loglarını incele ve HTTP POST isteklerine dönen yanıt kodlarını (örn. 403, 500, 504) kontrol et.

Ödeme formunda hız (velocity) kontrollerinin olmaması ve bot koruma mekanizmalarının yetersiz kalması nedeniyle otomatik betiklerin kart denemesi yapması.

Risk yönetim panelinden aynı IP adresinden veya aynı cihaz parmak izinden (device fingerprint) gelen başarısız işlem denemelerinin frekansını analiz et.

Ödeme kuruluşu komisyon oranlarının (MDR) veya provizyon kesintilerinin vade farklarına göre yanlış muhasebeleştirilmesi.

Ödeme sağlayıcı mutabakat raporundaki brüt tutarlar, komisyon tutarları ve net yatacak tutarları ERP/muhasebe sistemi kayıtlarıyla karşılaştır.

Acquirer (alıcı banka) hata kodlarının ödeme geçidi (gateway) yazılımı tarafından doğru parse edilememesi ve kullanıcıya anlamlı hata mesajı dönülememesi.

API istek ve yanıt JSON gövdelerini log verilerinden inceleyerek bankadan dönen ISO 8583 hata kodlarını kontrol et.

Kullanıcının ödeme butonuna birden fazla kez tıklaması veya ağ kesintisi sonrasında istemcinin (client) aynı ödeme isteğini tekrar göndermesi.

Veritabanındaki sipariş ve işlem ID'lerini inceleyerek aynı tutar ve kart bilgisiyle saniyeler içinde yapılan mükerrer kayıtları tespit et.

Risk motorunun (Fraud Scoring) tüm işlemleri 'challenge' (şifreli doğrulama) adımına zorlaması ve banka API entegrasyonlarındaki veri paylaşım eksiklikleri.

3DS2 işlem loglarından frictionless ve challenge oranlarını, ayrıca bankalara iletülen cihaz veri (device data) kalitesini incele.

Yabancı para birimiyle (USD/EUR) yapılan ödemenin iadesi sırasında, işlem günü kuru ile iade günü kuru arasındaki dalgalanmaların yönetilememesi.

İade edilen işlemlerin provizyon tarihindeki TCMB/Banka kuru ile iade anındaki kur farklarını muhasebe kayıtlarından kontrol et.

Yerel veya küresel banka BIN veritabanının güncel tutulmaması, yeni çıkan kart serilerinin (örneğin Troy veya yeni Visa/Mastercard serileri) sisteme işlenmemesi.

Ödeme formuna girilen ilk 6-8 haneli kart numaralarının işleme alınırken doğru banka ve kart tipi döndürüp döndürmediğini test et.

Üye iş yerinin ana domain adresi ile ödeme geçidinin barındırıldığı script domain adreslerinin header eşleşme kurallarına uymaması.

Tarayıcı geliştirici konsolundaki (DevTools) ağ ve konsol sekmelerinde CORS politika reddi uyarılarını incele.

Sitede kart doğrulama (auth) işlemlerinin sınırsız ve korumasız bir şekilde doğrudan ödeme gateway'ine yönlendirilmesi.

Ödeme sistemindeki 1 TL gibi düşük tutarlı başarılı/başarısız işlem hacminin günlük trend değişimini analiz et.

Ödeme kuruluşunun riskli sektör (yüksek chargeback potansiyeli) sınıflandırması nedeniyle hakedişlerin bir kısmını vadeli bloke etmesi.

Ödeme kuruluşu sözleşmesindeki blokesiz ödeme oranları ve rolling reserve yüzde kesintilerini finansal planla karşılaştır.

Kullanıcının bankanın 3D Secure sayfasına yönlendirildikten sonra siteye geri dönerken (callback URL) çerezlerin (cookies) silinmesi veya SameSite politikalanna takılması.

Callback (dönüş) URL isteklerinde sepet ID'sinin (session ID) ve kullanıcı oturum çerezlerinin korunup korunmadığını ağ loglarından izle.

API versiyon geçişlerinde (Breaking changes) eski endpoint yollarının veya zorunlu parametre yapılarının değiştirilmesi.

Eski iOS ve Android uygulama sürümlerinden gelen API istek error loglarını ve crash raporlarını incele.

Müşteri hizmetleri panelinde (backoffice) tam kart numarası (PAN) ve CVV bilgilerinin maskelenmeden açık şekilde gösterilmesi.

Destek ekibinin müşteri kart verilerine erişim loglarını ve PCI-DSS yetkilendirme matrisini denetle.

Banka komisyon maliyetleri veya başarısızlık oranları optimize edilirken kuralların öncelik sırasının yanlış tanımlanması.

Smart routing motorunun hangi bankayı hangi kriterle (maliyet, başarı oranı, kart ailesi) seçtiğine dair karar loglarını incele.

Ödeme akışının hata durumunda kullanıcıyı tek bir ekranda bırakması, alternatif kart veya cüzdan seçenekleri sunmaması.

Ödeme başarısızlık (decline) sayfalarındaki sepet terk oranlarını ve decline kodlarının dağılımını analiz et.

Tek bir ödeme sağlayıcısına bağımlı (single point of failure) mimari kurulması ve hata toleransı (fault tolerance) mekanizmasının olmaması.

Ödeme sağlayıcısının uptime (erişilebilirlik) SLA raporlarını ve sistem çökme anındaki HTTP 5xx hata oranlarını kontrol et.

İlk alışveriş indirimi veya cüzdan bonusu kampanyalarında cihaz, IP ve kart doğrulama kontrollerinin gevşek tutulması.

Kampanya dönemindeki yeni üyelik ve ilk işlem verilerini aynı cihaz kimliği veya aynı kredi kartı hash değerine göre filtrele.

Sipariş iptal veya iadelerinin otomatik olarak satıcı hakedişlerine yansıtılamaması ve manuel onay süreçlerinin uzun sürmesi.

Pazaryeri escrow (emanet) havuz hesaplarındaki bakiye hareketleri ile satıcılar bazındaki alacak/borç bakiyelerini denetle.

BDDK tarafından sektörel bazda yasaklanan veya sınırlandırılan ürün gruplarında (örneğin kuyum, gıda) taksit seçeneklerinin kapatılmamış olması.

Ürün kategorileri ile banka poslarında tanımlı taksit kısıt tablosunu (installment matrix) karşılaştır.

Sunucu yapılandırmasında (Nginx/Apache) TLS 1.0 veya TLS 1.1 protokollerinin devre dışı bırakılmamış olması.

SSL Labs veya benzeri güvenlik tarama araçlarıyla ödeme sayfasının desteklediği şifreleme protokollerini test et.

Token veritabanı ile ana müşteri veritabanı arasındaki ilişkilendirme (mapping) anahtarlarının yetersiz şifrelenmesi.

Token kasası (Vault) erişim yetkilerini, veritabanı kolon şifreleme (column-level encryption) durumunu güvenlik denetimiyle incele.

Yurt dışı kartlar ile yapılan harcamalarda dinamik kur dönüşümü sağlayan aracı kurum fatura kalemlerinin muhasebe sistemine işlenememesi.

DCC ile yapılan işlemlerin işlem tutarı, baz para birimi ve kur farkı gelir/gider kalemlerini mutabakat ekstreleriyle kontrol et.

Banka sunucusunun yoğunluk nedeniyle yanıt süresinin (response time) API zaman aşımı sınırını aşması.

Gateway ve banka loglarında isteğin iletilip iletilmediğini ve provizyon numarasının (auth code) üretilip üretilmediğini kontrol et.

Ödeme geçidinden gelen POST isteklerinin payload bütünlüğünün imza (secret key) ile doğrulanmaması.

Webhook uç noktalarına dışarıdan sahte (spoofed) ödeme onay bildirimleri gönderilerek sistemin test edilmesi.

Risk motorunun şüpheli işaretlediği işlemlerin operasyon ekibi tarafından manuel onaylanmasının uzun sürmesi ve müşterinin siparişi iptal etmesi.

Şüpheli kuyruğundaki (Review queue) işlemlerin ortalama onay süresini ve bu süreçte yaşanan sepet terk oranını ölç.

Banka chargeback bildirimlerinin ilgili operasyon ekibine e-posta ile geç iletilmesi ve takip mekanizmasının olmaması.

Bankalardan gelen chargeback bildirim tarihi ile aracı kurum paneline savunma evraklarının yüklenme tarihleri arasındaki süreyi denetle.

Banka tarafında yapılan pos parametre güncellemelerinin (şifre yenileme vb.) e-ticaret kodlarında hardcode edilmiş olması.

Test ortamından canlı ortama geçişte veya şifre değişimlerinde ödeme formunun hata loglarını kontrol et.

Bankanın 3D doğrulama sayfalarının mobil uygulama içi tarayıcılarda (In-app browser) çerez veya klavye uyumsuzluğu yaşaması.

iOS ve Android cihazlarda 3D secure ekranının açılma süresini ve şifre girerken klavye kapanma sorunlarını test et.

Basit IP tabanlı bloklama kurallarının profesyonel proxy havuzları ve datacenter IP'leri karşısında yetersiz kalması.

Saldırı anındaki isteklerin IP kökenlerini (ASN - Autonomous System Number) ve datacenter kaynaklı olup olmadığını analiz et.

Aylık ciro hacmine göre değişen komisyon oranlarının (örneğin ilk 1M TL %1.5, üstü %1.2) banka mutabakatlarında yanlış hesaplanması.

Aylık ciro hacimlerini ve banka sözleşmesindeki kademeli komisyon tablosunu fatura kalemleriyle çapraz kontrol et.

Üye iş yerinin sanal POS'unun çoklu para birimi (Multi-currency) desteğine sahip olmaması veya ilgili döviz hesabının bankada tanımlı olmaması.

Yurt dışından gelen kartlarla yapılan ödemelerin banka hata kodlarını (örn. para birimi desteklenmiyor) incele.

Üçüncü parti analitik veya pazarlama scriptlerinin (Google Tag Manager vb.) çakışarak ana ödeme formunun JS nesnelerini bozması.

Ödeme sayfasındaki tarayıcı konsol loglarında Uncaught ReferenceError veya TypeError hatalarını izle.

Müşteri hizmetleri veya finans yetkililerinin iade onay süreçlerinde orijinal sipariş ve ödeme doğruluğunu yeterince teyit etmeden işlem yapması.

İade yapılan kart numarasının, siparişi veren kişinin kartı ile aynı olup olmadığını ve kargo teslimat durumunu kontrol et.