Güvenlik tek bir sertifika veya giriş ekranıyla tamamlanmaz. Kullanıcının kim olduğu, hangi işlemi yapabildiği, kart verisine hangi sistemin eriştiği ve şüpheli bir durumda ne yapılacağı farklı sorulardır. Cüzdan projesi her biri için açık sorumluluk ve test planı gerektirir.
Kimlik ve işlem yetkisini ayırın
KYC süreci kişinin kimliğini değerlendirmeye yöneliktir; işlem yetkisi ise belirli bir kaynağa erişip erişemediğini belirler. Doğru kullanıcıyla giriş yapmak başka müşterinin bakiyesini görmeye izin vermez. Her işlemde kullanıcı, hesap ve kurum kapsamı sunucu tarafında doğrulanmalıdır. Yönetim rolü de tek ve sınırsız bir yetki olarak tasarlanmamalıdır.
Kart verisini nerede işlediğinizi bilin
PCI SSC’nin token açıklamaları, kapsamın uygulamadaki veri akışına bağlı olduğunu belirtir. Token kullanımı veya kartın son dört hanesinin gösterilmesi otomatik olarak bütün sistemin kapsam dışında olduğu anlamına gelmez. Üretimde kart verisi, günlükler, hata izleri ve destek ekranları birlikte incelenir. Sitedeki demo gerçek kart numarası istemez.
Yanlış PIN ve limit başarı akışı kadar önemlidir
Yanlış doğrulama bilgisi, günlük limit ve yetersiz bakiye için ayrı sonuçlar tasarlanır. Kullanıcıya hassas bilgi sızdırmayan fakat çözüm yolunu anlatan hata mesajı gösterilir. Test verileri üretim kimlik bilgileriyle karıştırılmaz. Demoda örnek PIN ve tutarlarla hata davranışı incelenebilir; bu üretim risk motoru değildir.
İş modeli yükümlülükleri belirler
TCMB düzenlemeleri ve seçilecek sağlayıcının süreçleri, üretim rol dağılımı belirlenirken incelenir. Kimlik tespiti veya veri saklama yükümlülüğü sadece ekran metnine dayanılarak çözülemez. Ülke, kullanıcı türü, fon akışı ve hizmet kapsamı doğrulanır. Genel bir rehber somut hukuk veya uyum değerlendirmesinin yerine geçmez.
Uçtan uca doğrulama planı
Yetki testleri kadar kayıt ve kurtarma davranışı da önemlidir. Bir işlemin ne zaman sonuçlandığı sonradan açıklanabilmelidir.
- Hesaplar ve tenantlar arasında erişim ayrımı
- Kayıp bağlantı ve tekrar denemede tutarlılık
- Hassas veri içermeyen uygulama günlükleri
- Yetki değişiklikleri ve yönetici işlemlerinin kaydı
Yetki kontrolünü örnek bir testle değerlendirin
Test ortamında iki ayrı kullanıcı oluşturulur. Birinci kullanıcı kendi işlem detayını görüntüleyebilmeli; istekteki işlem kimliğini ikinci kullanıcının kimliğiyle değiştirdiğinde onun kaydına ulaşamamalıdır. Aynı kontrol yönetim rollerinde ve farklı markalar arasında da yapılır. Ekranda bağlantının gizlenmiş olması yeterli kanıt değildir; doğrudan HTTP isteğiyle kontrol gerekir. Hata yanıtı diğer müşterinin varlığını veya hassas bilgisini açığa çıkarmamalıdır. Bu senaryo bir güvenlik değerlendirmesinin yalnızca küçük bir parçasıdır; bütün sistemin güvenli olduğu sonucunu tek başına vermez.
- Normal kullanıcı ve yönetici rollerini ayrı sınayın.
- Hesap, işlem ve tenant kimliklerini değiştirerek yetkiyi doğrulayın.
- Test ve üretim verisinin ayrıldığını kontrol edin.
Onexa Teknoloji ile güvenlik kapsamı
API sözleşmesi, veri akışı ve sorumluluklar proje başlangıcında birlikte çıkarılır. Kaynak ürün yetenekleri, test demosu ve üretim için gerekli güvenlik çalışmaları ayrı değerlendirilir. Mevcut site Onexa Teknoloji için doğrulanmamış bir PCI DSS sertifikası, lisans veya düzenleyici onay iddiasında bulunmaz.
Başvurduğumuz kaynaklar.
Kaynaklar 2 Kasım 2026 tarihinde incelenmiştir. Sektör örnekleri Onexa Teknoloji’nin çözüm tasarımlarıdır; araştırma pazarları ve tarihler ilgili bölümde belirtilir.
Aklınızdaki sorular.
Bu yazıdaki çözümü kendi işime nasıl uyarlayabilirim?＋
İlk adım mevcut müşteri yolculuğunu ve işlem kayıtlarını birlikte incelemektir. İlgili yetenek sayfasından örnek akışı deneyebilir, ardından entegrasyon ve pilot kapsamını Onexa Teknoloji ile değerlendirebilirsiniz.