Panelde açıklanamayan bir işlem gördüğünde ilk düşünce hep aynıdır: "birisi şifremi kırdı." Pratikte bu neredeyse hiç böyle olmaz. E-pin panellerinde görülen yetkisiz işlemlerin büyük kısmı, sistemin kendi verdiği yetkiyle yapılır. Bir personel hesabı gereğinden geniş rol taşır, ayrılan bir çalışanın oturumu hiç kapatılmamıştır, bakiye düzeltme ekranı destek ekibine açık bırakılmıştır ya da sipariş detay adresi numara değiştirilerek başka bir siparişe erişime izin verir.
Bu yüzden "panelde yetkisiz işlem" bir şifre problemi değil, bir yetki mimarisi problemidir. Ve en kötü yanı şu: doğru denetim kaydı tutulmuyorsa kimin, neyi, hangi yetkiyle yaptığını asla kanıtlayamazsın. Sağlam bir e-pin satış scripti her yetkili işlemi değiştirilemez biçimde kaydeder; kayıt olmadığında elinde sadece tahmin kalır. Aşağıda hem sızıntıyı bulmanın hem de bir daha yaşamamanın yolunu açıyorum.
Şifre kırıldı sanmak seni neden yanlış yere bakmaya zorluyor?
Şifre kırılması senaryosu seni parola politikası, güvenlik duvarı ve sunucu tarafına yönlendirir. Oysa kayıtların gösterdiği şey genelde çok daha sıradandır: giriş başarılı, IP tanıdık, tarayıcı imzası bilinen, işlem tek. Yani içeriden ve yetkili. Sunucuyu sertleştirmekle uğraşırken asıl açık, rol tanımının içinde durur.
Doğru başlangıç noktası şu soruyu sormaktır: bu işlemi teknik olarak kimler yapabiliyordu? Yönetici hesapları, destek hesapları, muhasebe hesabı, API anahtarları, otomasyon görevleri ve varsa geliştirici erişimi. Listeyi yazdığında çoğu satıcı şaşırır, çünkü yetkili sayısı sandığının iki katı çıkar. E-pin satış yazılımı kurulumlarında yetki şişmesinin ana sebebi de budur: aciliyetle verilen geçici yetkiler hiç geri alınmaz.
Rol tabanlı yetki ile tek yönetici arasındaki fark ne?
Birçok panel iki durum tanır: yönetici ya da müşteri. Bu ikili yapı küçük ölçekte çalışır, ekip büyüdüğünde felaket olur. Çünkü destek elemanına sipariş görüntüleme yetkisi vermek için ona yönetici demek zorunda kalırsın, o da aynı ekranda fiyat, bakiye, stok ve kod listesini görür. Riski kapatmanın yolu işleme dayalı yetki tanımıdır: "sipariş görüntüle", "kod yeniden gönder", "bakiye yükle", "fiyat düzenle" gibi izinler ayrı ayrı verilir.
İkinci katman onay eşiğidir. Bakiye yüklemesi, iade ve stok silme gibi işlemler belirli tutarın üstünde ikinci bir onay istemelidir. Bu, kötü niyeti olmayan ama yanlış tuşa basan personelin verdiği zararı da engeller. Üçüncü katman zaman ve IP kısıtıdır: destek ekibinin mesai dışında bakiye işlemi yapmasına gerek yoktur. Pinova'nın yetki modeli bu üç katmanı birlikte sunar, ayrıntısı özellikler bölümünde duruyor.
| Erişim türü | Tipik açık | Zarar potansiyeli | Kapatma yolu |
|---|---|---|---|
| Geniş yönetici rolü | Tüm ekranlar açık | Çok yüksek | İşleme dayalı izin ayrıştırması |
| Ayrılan personel hesabı | Oturum hiç kapatılmamış | Yüksek | Çıkışta zorunlu oturum iptali |
| Sipariş adresi numarası | Numara değiştirilerek erişim | Yüksek | Sahiplik doğrulaması, rastgele kimlik |
| API anahtarı | Süresiz ve tam yetkili | Çok yüksek | Kapsamlı, süreli, IP kısıtlı anahtar |
| Bakiye düzeltme ekranı | Destek rolüne açık | Çok yüksek | Onay eşiği + ikinci imza |
| Veritabanı yönetim aracı | Panelle aynı sunucuda açık | Çok yüksek | Kaldır veya IP kısıtla |
| Test/geliştirme hesabı | Canlıda aktif kalmış | Orta | Canlıya geçişte otomatik silme |
Denetim kaydı yoksa gerçekte ne kaybediyorsun?
Kanıt kaybediyorsun, para kaybediyorsun ve pazarlık gücü kaybediyorsun. Bir personel 40 kodu dışarı çıkardığında, denetim kaydı varsa kimin hangi saniyede hangi kodu görüntülediği bellidir; yoksa elinde "stokta eksik var" bilgisinden başka bir şey kalmaz. Hukuki süreç de, sigorta da, hatta bayinle yapacağın konuşma da kayda dayanır.
Kullanışlı bir denetim kaydında şu alanlar bulunur: kim (kullanıcı kimliği), ne (işlem türü), hangi kayıt üzerinde, eski değer, yeni değer, IP, tarayıcı imzası, zaman damgası ve isteğin kaynağı. Kritik nokta şudur: bu kayıt panelden silinememeli ve düzenlenememeli. Silinebilen bir log, kötü niyetli kişinin ilk temizleyeceği yerdir. Kaydı ayrı bir hedefe de akıtmak, tek noktadan yok edilmesini imkânsız hale getirir.
Yetkisiz panel işlemlerinin kaynak dağılımı
- Aşırı geniş rol tanımı 50%
- Kapatılmamış eski hesap ve oturum 25%
- Yetkisiz nesne erişimi 15%
- Çalınmış kimlik bilgisi 10%
Numara değiştirerek başkasının siparişine girilebiliyor mu?
Bu açığın adı yetkisiz nesne erişimidir ve test etmesi çok basittir. Kendi sipariş detay adresindeki numarayı bir azalt, sayfayı aç. Başka birinin siparişini görüyorsan ciddi bir sorun var. Aynı testi fatura indirme, destek bileti, kod görüntüleme ve bayi raporu ekranlarında da yap. Çoğu kurulumda ekranların bir kısmı doğrulama yaparken, sonradan eklenen bir-iki ekran atlanmış olur.
Kalıcı çözüm iki parçalı. Birincisi, her erişimde sahiplik kontrolü: kaydın sahibi oturumdaki kullanıcı değilse ve kullanıcı yetkili bir rol taşımıyorsa istek reddedilir. İkincisi, sıralı sayı yerine tahmin edilemez kimlik kullanmak. İkisi birlikte uygulanmalı; yalnızca tahmin edilemez kimlik kullanmak, adres bir yere sızdığında seni korumaz. Bir dijital ürün satış scripti değerlendirirken bu testi demo ortamında bizzat yapmanı öneririm.
Bir tabloya tüm panel hesaplarını, API anahtarlarını ve otomasyon kullanıcılarını yaz; her satıra "bu erişim bugün gerçekten gerekli mi?" sorusunu cevapla. Tipik sonuç şu: ilk envanterde hesapların üçte biri gereksiz çıkıyor ve kapatılması hiçbir işi aksatmıyor.
Olay yaşandıktan sonra ilk 24 saatte hangi sırayı izlemelisin?
Sıra önemli, çünkü yanlış adımla kanıtı kendi elinle silebilirsin. İlk adım: hiçbir şeyi silmeden mevcut logların ve veritabanının bir kopyasını al. İkinci adım: tüm yönetici ve personel oturumlarını topluca kapat, şifreleri sıfırla, API anahtarlarını yenile. Üçüncü adım: olay penceresinde yapılan tüm yetkili işlemleri listele ve her birini sahibiyle doğrula.
Dördüncü adım zarar tespiti: kaç kod görüntülendi, hangi bakiyeler değişti, hangi fiyatlar düzenlendi. Beşinci adım iletişim: etkilenen müşteri veya bayi varsa gecikmeden ve net biçimde bilgilendir; sessiz kalmak her zaman daha pahalıya gelir. Altıncı adım yapısal düzeltme: açığı kapatan yetki değişikliğini kalıcı hale getir ve kontrol listesine ekle. Aşağıdaki tablo bu listenin temelini veriyor.
| Sertleştirme adımı | Doğrulama | Sıklık | Öncelik |
|---|---|---|---|
| Yetki envanteri çıkar | Her hesabın gerekçesi yazılı | Üç aylık | Kritik |
| İşleme dayalı izinler | Destek rolü fiyat/bakiye göremiyor | Kurulumda | Kritik |
| Silinemez denetim kaydı | Panelden silme denemesi başarısız | Kurulumda | Kritik |
| İki adımlı doğrulama | Tüm yetkili hesaplarda zorunlu | Kurulumda | Kritik |
| Nesne sahiplik testi | Numara değiştirme erişim vermiyor | Aylık | Yüksek |
| Oturum süresi ve iptali | Çıkışta tüm cihazlar kapanıyor | Kurulumda | Yüksek |
| API anahtarı kapsamı | Süreli, kapsamlı, IP kısıtlı | Üç aylık | Yüksek |
| Onay eşiği kuralları | Eşik üstü işlem ikinci onay istiyor | Kurulumda | Yüksek |
| Anormallik bildirimi | Mesai dışı işlemde uyarı gidiyor | Aylık test | Orta |
Yetkiyi daraltan bir panel kur
Pinova, işleme dayalı izinler, onay eşikleri, silinemez denetim kaydı ve zorunlu iki adımlı doğrulama ile gelir. Ekibin büyüdükçe risk büyümez, çünkü herkes yalnızca işini yapacak kadar yetki taşır.
Panelde yetkisiz işlem gördüm, önce ne yapmalıyım?
Hiçbir kaydı silmeden log ve veritabanı kopyası al, sonra tüm yönetici oturumlarını kapat, şifreleri sıfırla ve API anahtarlarını yenile. Kanıt toplamadan yapılan temizlik, olayı çözülemez hale getirir.
Tek başıma çalışıyorum, rol ayrıştırması bana da gerekli mi?
Evet. Günlük işler için sınırlı yetkili bir hesap, yalnızca kritik değişiklikler için ayrı bir yönetici hesabı kullanmak, bir cihaz ya da oturum ele geçtiğinde zararı büyük ölçüde sınırlar.
Denetim kaydı performansı düşürür mü?
Doğru kurulduğunda fark edilmez. Kayıt yalnızca yetkili işlemler için tutulur, sayfa görüntülemeleri için değil. Günlük binlerce satır, düzgün indekslenmiş bir tabloda sorun yaratmaz.
İki adımlı doğrulamayı personel kullanmak istemiyor, zorunlu mu?
Yetkili hesaplar için zorunlu olmalı. Çalınmış kimlik bilgisiyle yapılan girişlerin neredeyse tamamı bu tek katmanla durur. Uygulama tabanlı kod kullanmak, SMS'e göre daha güvenli ve maliyetsizdir.
Yetki, e-pin işinde en sessiz risk kalemidir: hiçbir şey olmadığı sürece kimse sormaz, bir kez olduğunda hem parayı hem güveni birlikte götürür. Bugün yetki envanterini çıkar, nesne sahiplik testini beş ekranda uygula ve denetim kaydının panelden silinebilir olup olmadığını kontrol et. İşleme dayalı izinlerin, onay eşiklerinin ve silinemez kaydın birlikte nasıl çalıştığını kendi gözünle görmek için canlı demo üzerinden destek rolüyle giriş yapıp bakiye ekranına ulaşmayı dene; ulaşamıyorsan doğru mimariye bakıyorsun. Ekibinin büyüklüğüne uygun paketi fiyat sayfasından seçebilirsin.