Alıcı ödeme adımına geldiğinde iki soru sorar: kart bilgim güvende mi, bu siteye güvenebilir miyim? İlk sorunun cevabı teknik altyapıda, ikincisi ödeme sayfasının nasıl göründüğünde ve ne söylediğinde saklıdır. Bu yazıda ödeme altyapısını seçmekten yönetim panelini korumaya kadar, e-ticaret sitenizde güvenli bir ödeme sistemini kurmak için gereken adımları sırasıyla veriyoruz.
Güvenli ödeme sistemi nedir?
Güvenli ödeme sistemi, alıcının kart bilgisini şifreli bağlantıyla yetkili bir ödeme kuruluşuna ileten, kimliği kartı veren bankada doğrulayan ve sonucu siteye güvenilir biçimde bildiren altyapıdır. Yalnız bir eklenti değildir; ödeme kuruluşu, site güvenliği, ödeme sayfasındaki bilgilendirme ve sipariş sürecinin doğru bağlanması birlikte çalışır.
55 TCMB listesinde faaliyetteki elektronik para kuruluşu
v4.0.1 kart verisi güvenliği standardı PCI DSS'in yürürlükteki sürümü
31 Mart 2025 PCI DSS v4'ün ertelenmiş gereksinimlerinin zorunlu olduğu tarih
1. Yetkili bir ödeme kuruluşu seçin
Kartla ödemeyi ya bankanın sanal POS'u ya da 6493 sayılı Kanun kapsamında TCMB'den izin almış bir ödeme veya elektronik para kuruluşu üzerinden alırsınız. iyzico (İyzi Ödeme ve Elektronik Para Hizmetleri A.Ş.), PayTR, Param (Turk Elektronik Para A.Ş.) ve Sipay, TCMB'nin elektronik para kuruluşları listesinde yer alır. Anlaşma yapmadan önce kuruluşun bu listede olduğunu kontrol edin. Sanal POS'un nasıl çalıştığını sanal POS nedir, iki büyük kuruluşun farkını iyzico mu PayTR mı yazılarımızda anlattık.
2. Kart verisini sitenizde tutmayın
Kart verisi güvenliğinde uluslararası kart şemalarının ortak standardı PCI DSS'tir; yürürlükteki sürüm v4.0.1'dir ve v4'le gelen ertelenmiş gereksinimler 31 Mart 2025'ten beri zorunludur. Kart bilgisini alan ekranı ödeme kuruluşunun barındırdığı sayfaya ya da iframe'e bıraktığınızda kart numarası sizin sunucunuzdan geçmez ve uyum yükünüz ciddi biçimde azalır. PCI Konseyi, bu yöntemi kullanan satıcıların da sitelerinin ödeme sayfasını etkileyebilecek betik saldırılarına açık olmadığını teyit etmesini istiyor.
| Entegrasyon yöntemi | Kart verisi nereden geçer? | Güvenlik yükü | Kime uygun |
|---|---|---|---|
| Ödeme kuruluşunun sayfasına yönlendirme | Yalnız ödeme kuruluşu | En düşük | Yeni başlayan, küçük ve orta ölçekli mağazalar |
| Sitede gömülü iframe ya da hazır ödeme formu | Ödeme kuruluşu; form sizin sayfanızda görünür | Düşük; sayfa betiklerinin güvenliği önemli | Ödeme adımında sitede kalmak isteyen mağazalar |
| Kart bilgisini kendi formunuzla alıp API ile gönderme | Sizin sunucunuz | En yüksek; kapsamlı PCI DSS uyumu gerekir | Güvenlik ekibi olan büyük işletmeler |
3. HTTPS ve 3D Secure'u varsayılan yapın
- Sitenin tamamı, yalnız ödeme sayfası değil, HTTPS ile açılmalı; HTTP adresleri kalıcı olarak HTTPS'e yönlenmeli. Google da sayfa deneyimi değerlendirmesinde sayfaların güvenli sunulup sunulmadığını soruyor.
- Ödemelerde 3D Secure açık olsun. Sağlayıcınız belirli işlemlerde 3D'siz ödemeye izin veriyorsa, itiraz (chargeback) riskinin kimde kaldığını sözleşmeden kontrol edin.
- Kart saklama gerekiyorsa bunu ödeme kuruluşunun kart saklama hizmetiyle yapın; kart numarasını veritabanınıza yazmayın.
- Ödeme sayfasında gereksiz üçüncü taraf betik (sohbet, ısı haritası, reklam etiketi) çalıştırmayın.
SSL sertifikasının türlerini ve kurulumunu SSL sertifikası yazımızda ayrıntılı bulabilirsiniz.
4. Siparişi doğrulanmış bildirimle onaylayın
Ödeme sayfasından dönen tarayıcı yönlendirmesi tek başına ödeme kanıtı değildir; araya giren biri bu adresi taklit edebilir. Sipariş durumunu, ödeme kuruluşunun sunucudan sunucuya gönderdiği bildirimle (webhook ya da callback) ve bu bildirimin imzasını ya da gizli anahtarını doğrulayarak güncelleyin. Tutarın ve para biriminin siparişle eşleştiğini de kontrol edin. Hazır altyapılarda bu ayar ödeme eklentisinin içindedir; özel yazılımda geliştiricinizden özellikle isteyin.
5. Ödeme sayfasını mevzuata uygun ve açık tasarlayın
Güven yalnız teknik değildir; alıcı ne ödeyeceğini ve sonra neler olacağını açıkça görmek ister. Mesafeli Sözleşmeler Yönetmeliği de bunu şart koşar: ürünün temel nitelikleri, tüm vergiler dahil toplam fiyat, cayma hakkı ve iade için öngörülen taşıyıcı bilgisi, alıcı ödeme yükümlülüğü altına girmeden hemen önce ayrıca gösterilmelidir. Gönderim kısıtlamaları ve kabul edilen ödeme araçları en geç sipariş verilmeden önce belirtilmeli, alıcıya siparişin ödeme yükümlülüğü anlamına geldiği açıkça söylenmelidir.
Dikkat: 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu'nun 17. maddesine göre üye iş yerleri, kart kullanımı nedeniyle komisyon ya da benzeri adla ek ödeme isteyemez; aykırılıkta üye iş yeri sözleşmesi feshedilir. Kart komisyonunu ödeme adımında ayrı bir kalem olarak eklemeyin. Ayrıntıları sanal POS komisyonunu müşteri mi öder yazımızda ele aldık.
- Misafir ödemesine izin verin: Üyelik zorunluluğu ödeme adımında vazgeçmenin sık nedenlerinden biridir; üyelik teklifini sipariş sonrasına bırakın.
- İletişim ve iade bilgisini görünür tutun: Telefon, e-posta, unvan ve iade koşullarına ödeme sayfasından tek tıkla ulaşılabilmeli.
- Güven işaretlerini gerçek tutun: Yalnız sahip olduğunuz işaretleri gösterin. Kendi sitesinden satanlar için ETBİS kaydı zorunludur; Bakanlık karekod uygulamasını 2 Eylül 2025'te sonlandırdığı için eski karekodu kaldırın, kaydınız ETBİS'teki site sorgulama ekranından görülebilir.
6. Yönetim panelini ve süreçleri koruyun
- İki adımlı doğrulamayı açın Yönetim paneli, ödeme kuruluşu paneli ve alan adı hesabında.
- Yetkileri ayırın Her çalışana ayrı kullanıcı verin; ödeme ayarlarını yalnız yetkili kişi değiştirebilsin.
- API anahtarlarını saklayın Anahtarları e-postayla paylaşmayın; biri ayrıldığında anahtarı yenileyin.
- Şüpheli siparişi durdurun Kısa sürede farklı kartlarla denenen ödemeleri ve teslimat adresi ile fatura bilgisi çok farklı yüksek tutarlı siparişleri kargolamadan önce kontrol edin.
- Güncel kalın Özel yazılım ya da WooCommerce kullanıyorsanız eklenti ve çekirdek güncellemelerini düzenli yapın.
WooCommerce kullanıyorsanız bağlantı adımlarını WooCommerce'e sanal POS bağlama rehberimizde bulabilirsiniz. WebAction olarak IdeaSoft ve Google partneriyiz; IdeaSoft, ikas, Ticimax, T-Soft, Shopify ve WooCommerce kurulumlarında ödeme entegrasyonunu, 3D Secure ve bildirim ayarlarını ve ödeme sayfasındaki yasal metinleri birlikte hazırlıyoruz.
Sık sorulan sorular
E-ticaret sitesi için hangi ödeme sistemi daha güvenli?
Güvenlik, kuruluşun yetkili olmasına ve entegrasyon biçimine bağlıdır. TCMB listesindeki bir kuruluşun ya da bankanın barındırdığı ödeme sayfasını kullanmak, kart verisinin sitenizden hiç geçmemesini sağladığı için en güvenli başlangıçtır.
3D Secure kullanmak zorunlu mu?
Uygulama sağlayıcıya ve sözleşmeye göre değişir. 3D Secure çalıntı kartla yapılan işlemleri zorlaştırır ve itirazlarda sizi korur; açık tutmanızı öneririz. 3D'siz ödeme alacaksanız riskin kimde kaldığını sözleşmeden kontrol edin.
Müşterinin kart bilgisini sitemde saklayabilir miyim?
Kart numarasını kendi veritabanınızda saklamayın. Tekrarlayan ödeme ya da tek tıkla ödeme istiyorsanız ödeme kuruluşunuzun kart saklama hizmetini kullanın; kart verisi onların altyapısında kalır.
Kredi kartıyla ödeyene ek komisyon alabilir miyim?
Hayır. 5464 sayılı Kanun'un 17. maddesi, kart kullanımı nedeniyle komisyon ya da benzeri adla ek ödeme istenmesini yasaklar; aykırılıkta üye iş yeri sözleşmesi feshedilir.
Kaynaklar
- TCMB, Elektronik Para Kuruluşları listesi (28.09.2026)
- PCI SSC, PCI DSS v4.0.1 (28.09.2026)
- Mesafeli Sözleşmeler Yönetmeliği, güncel metin (md. 5, 6, 8) (28.09.2026)
- 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu (md. 17) (28.09.2026)
- Google Search Central, Sayfa deneyimi (28.09.2026)
- ETBİS, Karekod Uygulaması Sonlandırılmıştır (2.09.2025) (28.09.2026)
