Online Mağazanızda SSL ve PCI DSS Uyumluluğu Nasıl Sağlanır?

Türkiye'de 2024 yılında e-ticaret sitelerini hedef alan siber saldırılar yüzde 34 arttı ve veri ihlali yaşayan işletmelerin ortalama maliyeti 1,2 milyon TL'yi aştı. E-ticaret güvenlik altyapınızın temelini SSL sertifikası ve PCI DSS uyumluluğu oluşturur. Bu rehberde online mağazanızda müşteri verilerini korumak için uygulamanız gereken güvenlik standartlarını, SSL türlerini ve PCI DSS gereksinimlerini adım adım ele alıyoruz.

SSL Sertifikası Nedir ve Neden Zorunludur?

SSL (Secure Sockets Layer) sertifikası, web sunucusu ile tarayıcı arasındaki veri iletimini şifreler. HTTPS protokolü SSL/TLS üzerine kuruludur. E-ticaret sitelerinde müşteri adı, adresi, kredi kartı bilgileri ve şifreleri transit sırasında korunmalıdır.

Google, SSL sertifikası olmayan siteleri "Güvenli Değil" olarak işaretler. Bu uyarı e-ticaret sitelerinde sepet terk oranını yüzde 80'e kadar artırabilir. Ayrıca Google, HTTPS'yi sıralama faktörü olarak kullandığından SSL'siz siteler SEO dezavantajı yaşar.

E-Ticaret İçin SSL Türleri

SSL Türü	Doğrulama Seviyesi	Uygun Kullanım	Maliyet
DV (Domain Validation)	Temel	Blog, küçük siteler	Ücretsiz – $50/yıl
OV (Organization Validation)	Orta	E-ticaret siteleri	$100–300/yıl
EV (Extended Validation)	Yüksek	Büyük e-ticaret, finans	$200–1.000/yıl
Wildcard SSL	Değişken	Çoklu alt domain	$150–500/yıl

💡 İpucu: Küçük ve orta ölçekli e-ticaret siteleri için Let's Encrypt ücretsiz DV sertifikası yeterlidir. Ancak kurumsal mağazalar ve yüksek hacimli siteler için OV veya EV sertifikası müşteri güvenini artırır.

PCI DSS Uyumluluğu: 12 Temel Gereksinim

PCI DSS (Payment Card Industry Data Security Standard), kredi kartı verilerini işleyen tüm işletmelerin uyması gereken güvenlik standardıdır. Visa, Mastercard ve diğer kart şirketleri tarafından zorunlu tutulur. Uyumsuzluk durumunda ağır para cezaları ve ödeme işleme yetkisinin iptali söz konusudur.

PCI DSS 12 temel gereksinimi 6 kategoride gruplar. E-ticaret siteleri için en kritik olanlar: güvenli ağ yapılandırması, kart sahibi verilerinin korunması, güvenlik açığı yönetimi ve erişim kontrolüdür.

Firewall yapılandırması ve bakımı Kart sahibi verilerini koruyan bir firewall kurun ve düzenli olarak kurallarını gözden geçirin. Bulut sunucu üzerinde iptables veya UFW ile güvenlik duvarı yapılandırın.
Kart verilerini şifreli saklama Kart numaralarını AES-256 şifreleme ile saklayın. Mümkünse kart verilerini kendi sunucunuzda saklamayın — tokenizasyon kullanın.
Düzenli güvenlik taraması Üç ayda bir güvenlik açığı taraması yapın. OWASP Top 10 listesindeki açıklara karşı uygulamanızı test edin.

⚠️ Önemli: iyzico, PayTR veya Stripe gibi ödeme gateway'leri kullanıyorsanız kart verileri doğrudan bu sağlayıcıların sunucularında işlenir (tokenizasyon). Bu durumda PCI DSS uyumluluk yükünüz önemli ölçüde azalır — ancak tamamen ortadan kalkmaz. SAQ A-EP formunu doldurmanız gerekir.

E-Ticaret Güvenlik Kontrol Listesi

Online mağazanızın güvenliğini sağlamak için aşağıdaki kontrol listesini düzenli olarak uygulayın. Yedekleme ve felaket kurtarma planınızı da bu listeye dahil edin.

SSL sertifikası aktif ve güncel mi? Sertifika süresini izleyin ve otomatik yenileme yapılandırın. Süresi dolan SSL müşteri güvenini anında yok eder.
Yazılım ve eklentiler güncel mi? Eski sürümler bilinen güvenlik açıkları içerir. Otomatik güncelleme veya haftalık kontrol rutini oluşturun.

Sıkça Sorulan Sorular

PCI DSS uyumluluğu zorunlu mu?

Kredi kartı bilgisi işleyen veya saklayan tüm işletmeler için zorunludur. Uyumsuzluk durumunda kart şirketleri ağır para cezaları uygulayabilir ve ödeme işleme yetkinizi iptal edebilir.

Ücretsiz SSL sertifikası e-ticaret için yeterli mi?

Teknik olarak evet — Let's Encrypt DV sertifikası aynı şifreleme gücünü sunar. Ancak kurumsal güven açısından OV veya EV sertifikası tercih edilebilir. Önemli olan sertifikanın aktif ve güncel olmasıdır.

Tokenizasyon nedir ve neden önemlidir?

Tokenizasyon, hassas kart verilerini anlamsız bir token ile değiştirir. Gerçek kart bilgileri ödeme sağlayıcısının güvenli sunucularında saklanır. Bu yöntem PCI DSS uyumluluk yükünüzü büyük ölçüde azaltır.

Sonuç

E-ticaret güvenlik altyapınız SSL sertifikası ve PCI DSS uyumluluğu ile başlar. Müşteri verilerini korumak yalnızca yasal bir zorunluluk değil, aynı zamanda marka güvenilirliğinizin temelidir. Tokenizasyon kullanan ödeme gateway'leri ile uyumluluk yükünüzü azaltın, düzenli güvenlik taramaları yapın ve e-ticaret güvenlik kontrol listenizi sürekli güncel tutun.

Güvenli E-Ticaret Altyapısı

Hosted Cloud'un izole bulut sunucuları ile PCI DSS uyumlu, güvenli bir e-ticaret ortamı oluşturun.

Bulut Sunucu Planlarını İncele →