Dijital Ürün Satışında Sahte Sipariş ve Bot Trafiği: Kimsenin Anlatmadığı Kart Testi Düzeni, Reklam Bütçeni Yiyen Sahte Tıklamalar ve Seni Koruyan Savunma Katmanları

Çoğu satıcı bot trafiğini şöyle sanır: birileri siteyi yavaşlatmak için sürekli sayfa açar, sen de bir güvenlik duvarı kurarsın, iş biter. Oysa dijital ürün satan bir sitede botun derdi sayfa değil, ödeme kutusu. Çünkü e-pin, oyun bakiyesi ve lisans kodu satan bir vitrin, bir hırsız için dünyanın en pratik para yıkama makinesidir: ürün anında teslim edilir, iz bırakmaz, ikinci elde hemen nakde döner.

Bu yüzden sahte sipariş olayı bir gün aniden başlar ve çoğunlukla gece 03.00 ile 05.00 arasında. Sabah paneline bakarsın; yüz elli başarısız ödeme, on dört başarılı sipariş, hepsi farklı kart, hepsi aynı IP bloğu ya da aynı tarayıcı imzası. Stok erimiş, kodlar gitmiş, iki hafta sonra da chargeback bildirimleri gelmeye başlar. Aşağıda bu düzenin nasıl kurulduğunu ve bir dijital ürün satış scripti tarafında hangi savunma katmanlarının gerçekten işe yaradığını anlatıyoruz.

Siteme neden hiç istemediğim halde gerçek olmayan sipariş düşüyor?

Sahte sipariş genelde senin ürününü almak için gelmez. İki ana amaç vardır: çalıntı kartın çalışıp çalışmadığını sınamak ve çalıntı kartla anında nakde çevrilebilir bir şey almak. Fiziksel üründe hırsız adres vermek, kargo beklemek ve teslim alınmak zorundadır. Sende böyle bir engel yok; ürün e-postaya düşer, o kadar.

İkinci kaynak kampanya suistimalidir. Hoş geldin bakiyesi, ilk sipariş kuponu veya davet primi varsa bunları toplamak için yüzlerce hesap açılır. Bu, kart dolandırıcılığı kadar acı vermez ama bütçeyi sessizce eritir ve raporlarını okunamaz hale getirir.

Üçüncüsü rakip kaynaklı gürültüdür: stokunu kilitlemek için sepete atıp bırakmak, fiyatını kazımak, ödeme sayfasını sürekli açıp sağlayıcı nezdinde başarısızlık oranını bozmak. Bu üç saiki ayırt edemezsen yanlış savunmayı kurar ve gerçek müşteriyi kaçırırsın.

Kart testi saldırısı bir e-pin sitesinde tam olarak nasıl görünür?

İmzası çok belirgindir. Aynı ürün, hep en düşük fiyatlı olan; tutar küçük, çünkü amaç para değil doğrulama. Sipariş aralıkları makine düzenliliğindedir: 9, 9, 10, 9 saniye. E-posta adresleri anlamlı bir kalıp taşır, çoğu tek kullanımlık alan adlarından gelir. Başarısız/başarılı oranı normal trafiğin tam tersidir.

İkinci imza tarayıcı tarafındadır: çerez yok, referans yok, dil başlığı tek, ekran çözünürlüğü aynı, fare hareketi hiç yok. Üçüncüsü coğrafyadır; kart ülkesi ile IP ülkesi tutmaz ya da hepsi aynı veri merkezi ASN'sinden gelir.

Bu imzaların tek tek hiçbiri suç kanıtı değildir. Ama bir e-pin satış yazılımı bunları puanlayıp topladığında sipariş başına bir risk skoru üretir ve karar netleşir: geçir, beklet, ya da reddet. Tek bir kurala dayanan savunma her zaman yanlış tarafa düşer.

Bot trafiğini reklam bütçenden nasıl ayıklarsın?

Google ve Meta üzerinden trafik alıyorsan sahte tıklama kaçınılmazdır. Yapılacak şey onu sıfırlamak değil, onun için ödeme yapmayı bırakmak. Bunun tek yolu kampanyayı tıklamaya değil gerçek dönüşüme optimize etmek, dönüşüm olayını da sunucu tarafında doğrulanmış "ödeme onaylandı" anına bağlamaktır. Tarayıcıda tetiklenen satın alma olayını bot da tetikler.

İkinci adım kaynak bazlı kalite raporudur: her trafik kaynağı için oturum süresi, sepete ekleme oranı ve ödeme başarı oranını ayrı izle. Bir kaynağın sepet oranı normalken ödeme başarısı dibe vuruyorsa oradan gelen ziyaretçilerin çoğu insan değildir.

Üçüncüsü, sayfa bazında ayrım: bot çoğunlukla ana sayfa ve tek bir ürün sayfası arasında dolanır, arama yapmaz, filtre kullanmaz, yorum okumaz. Bu davranış farkını loglarında görebiliyorsan hangi IP aralığını dışlayacağını da bilirsin.

Hız sınırı ve risk skoru neden iki satırlık bir ayar değil?

Hız sınırını yalnızca IP üzerine kurarsan mobil operatör arkasındaki onlarca gerçek müşteriyi birlikte cezalandırırsın. Doğru kurulum çok anahtarlıdır: IP, cihaz parmak izi, e-posta alan adı, kart parmak izi (kartın kendisi değil, sağlayıcının verdiği takma değer) ve hesap kimliği. Her anahtar için farklı pencere ve farklı eşik tanımlanır.

Risk skoru ise toplama işidir. Tek kullanımlık e-posta alanı +25, kart ülkesi uyuşmazlığı +20, veri merkezi IP +30, son 10 dakikada üçüncü deneme +25, hesabın geçmiş başarılı siparişi -40 gibi. Eşiği aşan sipariş reddedilmez; manuel onaya düşer. Bu nüans hayat kurtarır, çünkü gerçek müşteriyi kapıda bırakmaz.

Skorun her bileşenini sipariş kaydına yazmak da şart. Üç hafta sonra "bu sipariş neden bekletildi" sorusunun cevabı elinde olmazsa ne kuralını iyileştirebilirsin ne de itiraz dosyası hazırlayabilirsin.

Otomatik teslimatı ne zaman geciktirmelisin, ne zaman asla?

Geciktirme kuralı ürüne ve müşteriye göre değişir. Üç sinyal birleşince beklet: müşteri ilk kez alıyor, tutar ortalamanın üstünde, ödeme yöntemi 3D doğrulamasından geçmemiş. Bu üçü bir aradaysa kayıp riski beklemenin maliyetinden kat kat büyüktür.

Hiç geciktirmemen gereken yer ise tekrar alan, doğrulanmış telefonu olan ve geçmişinde chargeback bulunmayan müşteridir. Onu bekletmek, bir daha gelmemesini garantilemek demektir. Savunma tasarımının amacı herkesi yavaşlatmak değil, riski yalnızca riskli tarafa yüklemektir.

Kuyruğu kurarken müşteriye ne söylediğin de önemli. "Siparişiniz güvenlik kontrolünde, en geç 15 dakika içinde teslim edilecek" cümlesi destek talebi üretmez. Hiçbir açıklama vermeden bekleyen bir sipariş ise üç dakika sonra WhatsApp'ını çaldırır.

Chargeback geldikten sonra elinde tam olarak ne kalmalı?

İtirazı kazanmanın yolu, teslimatı kanıtlamaktır. Dijital üründe bu, imzalı kargo fişi yerine log demektir: siparişin oluştuğu zaman damgası, IP, cihaz imzası, ödeme sağlayıcı referansı, teslimat e-postasının gönderim kaydı, kodun panelde görüntülendiği an, varsa kodun tedarikçi tarafında kullanıldığına dair durum.

Bu verilerin hepsi, sipariş silinse bile duran ayrı bir kayıt tablosunda tutulmalı. Dosyayı otuz gün sonra hazırlayacaksın ve o gün elinde sadece "sipariş tamamlandı" satırı varsa itirazı kaybedersin. Kanıtı toplamak sonradan yapılamaz; baştan kurulur.

Sahte sipariş, e-pin işinde bir kaza değil, sektörün doğal bir maliyet kalemidir; tek soru bu maliyeti kimin ödediğidir. Risk skorunun, bekletme kuyruğunun ve kanıt loglarının aynı panelde nasıl birleştiğini görmek istersen canlı demo üzerinde farklı risk profilleriyle test siparişi oluşturup kararların nasıl değiştiğini kendin izleyebilirsin.