Kart Verisi Güvenliği ve Tokenizasyon: Ödeme Bilgisini Saklamamak

Bir müşteri kartıyla ödeme yaptığında elinizden 16 haneli kart numarası, son kullanma tarihi ve CVV gibi son derece hassas veriler geçer. Bu verileri kendi sisteminizde saklamak, üzerinde oturduğunuz bir dinamit fıçısı gibidir: bir sızıntı olduğunda kayıp yalnızca teknik değil, hukuki ve itibari bir felakete dönüşür. İyi haber şu ki, tekrar eden ödeme ve tek tıkla satın alma gibi kolaylıkları sunmak için kart numarasını saklamanız gerekmez. Tokenizasyon tam da bu sorunu çözer.

Bu yazıda kart verisinin neden bu kadar riskli olduğunu, tokenizasyonun nasıl çalıştığını ve PCI DSS yükümlülüğünü nasıl önemli ölçüde azalttığını somut biçimde ele alacağız.

Kart Verisi Neden Bu Kadar Tehlikeli?

Kart bilgisi, saldırganlar için doğrudan nakde çevrilebilir bir varlıktır. Bir kullanıcı adı sızarsa değiştirilir; ama sızan bir kart bilgisi anında dolandırıcılık için kullanılabilir. Bu yüzden kart verisi saklayan her sistem, kartel düzeyinde otomatik saldırıların hedefidir.

• PAN (kart numarası): Ödeme yapmak için gereken ana veri; en değerli hedef.
• Son kullanma tarihi: PAN ile birlikte işlem yapmayı mümkün kılar.
• CVV/CVC: Kesinlikle saklanamaz; PCI DSS bunu açıkça yasaklar.

Sakladığınız her kart numarası, gelecekte sızdırabileceğiniz bir yükümlülüktür. Saklamadığınız veri ise sızdıramayacağınız veridir.

Tokenizasyon Nedir?

Tokenizasyon, gerçek kart numarasının yerine anlamsız ve geri döndürülemez bir "token" (belirteç) koymaktır. Müşteri kartını girdiğinde bu bilgi doğrudan ödeme sağlayıcısına gider; sağlayıcı kartı kendi güvenli kasasında saklar ve size karşılığında bir token verir. Bu token yalnızca sizin hesabınızda ve o sağlayıcıda anlam taşır; çalınsa bile başka bir yerde kullanılamaz, gerçek kart numarasına geri çevrilemez.

Örneğin gerçek kart numarası yerine sisteminizde tok_9f2a7bc4 gibi bir değer saklarsınız. Bir sonraki ödemede müşteriden kartı tekrar istemek yerine bu token'ı ödeme sağlayıcısına gönderirsiniz; sağlayıcı token'ı gerçek kartla eşleştirip işlemi yapar. Böylece kart numarası sizin veritabanınıza hiç girmez.

Şifreleme ile Tokenizasyon Aynı Şey mi?

Hayır, ve bu fark kritiktir. Şifreleme geri döndürülebilir bir işlemdir: doğru anahtara sahip olan şifrelenmiş veriyi tekrar açık metne çevirebilir. Yani şifrelenmiş kart verisi hâlâ kart verisidir; sadece kilitlidir ve anahtar çalınırsa açılır. Token ise gerçek verinin matematiksel bir dönüşümü değildir; sadece bir referanstır. Token'ı çözecek bir "anahtar" yoktur çünkü token gerçek kartı hiç içermez.

• Şifreleme: Veri hâlâ elinizdedir, sadece kilitlidir. Anahtar sızarsa veri açılır.
• Tokenizasyon: Veri hiç elinizde değildir; elinizde sadece anlamsız bir referans vardır.

Tekrar Eden Ödeme ve Tek Tıkla Satın Alma

Tokenizasyonun getirdiği asıl iş değeri kolaylıktır. Kartı saklamadan da müşteriye "kayıtlı kartla öde" deneyimi sunabilirsiniz. Bu, özellikle iki senaryoda çok değerlidir:

1. Abonelik ve tekrar eden ödemeler: Her ay elle kart girmeye gerek kalmadan, saklanan token ile tahsilat yapılır.
2. Tek tıkla satın alma: Sadık müşteri, ikinci siparişinde kart bilgisini yeniden girmez; bu da sepet terkini azaltır ve dönüşümü artırır.

Türk tüketicisi taksitli ve hızlı ödemeye alışkındır. Tokenizasyon sayesinde bu kolaylığı, kart verisini kendi sisteminizde biriktirme riskine girmeden sunabilirsiniz. iyzico ve PayTR gibi yerel sağlayıcılar kart saklama ve tokenizasyon hizmetini standart olarak sunar.

PCI DSS Yükünü Azaltmak

PCI DSS, kart verisi işleyen her kuruluşun uyması gereken uluslararası güvenlik standardıdır. Kart verisini kendi sisteminizde saklarsanız, bu standardın en kapsamlı ve en pahalı gereksinimlerine tabi olursunuz: düzenli sızma testleri, katı ağ segmentasyonu, denetimler ve sürekli izleme.

Tokenizasyon ve barındırılan ödeme sayfası kullandığınızda, kart verisi hiç sizin "kapsam" alanınıza girmez. Bu, uyum yükünüzü ve dolayısıyla maliyetinizi ciddi biçimde düşürür. Kısacası, kart verisini uzman sağlayıcıya devretmek sadece güvenliği değil, uyum maliyetini de iyileştirir.

PCI DSS kapsamınızı küçültmenin en etkili yolu, kart verisini hiç saklamamaktır. Kapsam dışı bıraktığınız her sistem, denetlemeniz gerekmeyen bir sistemdir.

Doğru Uygulama İçin Dikkat Edilecekler

• Kart alanını iframe/hosted sayfada tutun: Kart girişi doğrudan sağlayıcıda olsun; kendi formunuzdan geçmesin.
• CVV'yi asla saklamayın: Token'la birlikte bile CVV tutmak yasaktır.
• Token'ları yetkilendirin: Token yalnızca ilgili müşteri hesabıyla ilişkilendirilmeli; başka hesap kullanamamalı.
• Sağlayıcı seçimine dikkat edin: PCI DSS sertifikalı, tokenizasyon ve 3D Secure destekleyen bir altyapı seçin.

Kontrol Listesi: Kart Verisi Hijyeni

• Veritabanımda hiçbir yerde açık kart numarası tutuluyor mu? (Cevap "hayır" olmalı.)
• CVV herhangi bir logda veya geçici tabloda kalıyor mu?
• Kayıtlı kart özelliğini token ile mi sunuyorum?
• Ödeme sağlayıcım tokenizasyon ve 3D Secure sunuyor mu?
• PCI DSS kapsamımı küçültecek şekilde ödeme akışını dışarıya taşıdım mı?

Sık Sorulan Sorular

Token çalınırsa müşteri zarar görür mü? Token tek başına kullanılamaz; yalnızca sizin sağlayıcı hesabınızda anlamlıdır. Yine de token'ları yetkilendirme ve erişim kontrolleriyle korumak gerekir.

Kayıtlı kart özelliği için kendi altyapımı kurabilir miyim? Teknik olarak mümkün ama son derece maliyetli ve riskli olur; PCI DSS'in en ağır gereksinimlerine tabi olursunuz. Neredeyse her durumda tokenizasyonu sağlayıcıya bırakmak doğru tercihtir.

Kart verisini saklamamak, güvenliğin en zarif çözümüdür: olmayan veriyi kaybedemezsiniz. Tokenizasyon ile hem müşterinize kolaylık sunar hem de kendinizi büyük bir riskten korursunuz. Ödeme akışınızı güvenli ve uyumlu kurmak için bizimle iletişime geçin.