E-Pin Scriptinde Bot Saldırılarına Karşı CAPTCHA Kullanımı

Gece yarısı sunucu logları birden alev alır: aynı IP bloğundan saniyede onlarca kayıt denemesi, art arda başarısız giriş girişimleri, deneme-yanılmayla test edilen onlarca kupon kodu. E-pin ve dijital ürün satan bir site için bu manzara sıra dışı değil, neredeyse kaçınılmaz bir gerçektir. Peki botlar tam olarak neyin peşinde ve bir tek CAPTCHA kutusu bu saldırıyı gerçekten durdurabilir mi?

Bu yazıda e-pin scriptlerinin neden bu kadar cazip bir hedef olduğunu, botların hangi yollardan sızdığını ve CAPTCHA'yı sitenizi yormadan, satışı düşürmeden nasıl etkili şekilde konumlandırabileceğinizi adım adım ele alıyoruz.

E-Pin Siteleri Neden Botların Favori Hedefi Haline Geliyor?

Bir e-pin veya dijital kod satış sitesi, saldırganlar açısından fiziksel ürün satan bir e-ticaret sitesinden çok daha "verimli" bir hedeftir. Çünkü ele geçirilen her kod anında nakde çevrilebilir; kargo beklemeye, adres doğrulamaya gerek yoktur. Bu durum siteyi üç ayrı bot türü için cazip kılar:

• Kart testi (carding) botları: Çalıntı kredi kartı bilgilerinin geçerli olup olmadığını küçük tutarlı e-pin alışverişleriyle test ederler.
• Kupon/indirim avcıları: Binlerce kupon kombinasyonunu otomatik deneyerek geçerli bir indirim kodu bulmaya çalışırlar.
• Hesap ve stok kazıyıcıları (scraper): Fiyat ve stok bilgisini sürekli çekip rakip sitelerde kullanan ya da düşük stoklu ürünleri anında tüketen otomasyonlardır.

Bu üç grup da insan gibi davranmaz: form doldurma hızları milisaniyeler mertebesindedir, mouse hareketi yoktur, aynı oturumdan yüzlerce istek art arda gelir. İşte tam bu noktada CAPTCHA devreye girip "bu isteği gerçekten bir insan mı yapıyor" sorusuna yanıt arar.

İşin can sıkıcı tarafı, bu saldırıların maliyeti sadece kaybedilen bir kod ya da bir kupon değildir. Yoğun bot trafiği sunucu kaynağını tüketir, sayfa açılma hızını gerçek müşteriler için de düşürür ve ödeme sağlayıcınız çok sayıda başarısız kart denemesi gördüğünde hesabınızı "riskli" olarak işaretleyip komisyon oranınızı artırabilir, hatta entegrasyonu tamamen askıya alabilir. Yani görünmeyen bir bot trafiği, aslında görünür bir gelir kaybına dönüşür.

Uzun vadede ise itibar meselesi devreye girer. Çalıntı kartla alınan bir e-pin geri alım (chargeback) sürecine girdiğinde, banka ve ödeme sağlayıcısı bu işlemi sizin mağazanız üzerinden takip eder; kartın gerçek sahibi mağazanın adını hiç duymamış olsa bile şikâyet sizin hesabınıza yazılır. Belirli bir eşiği aşan chargeback oranı, ödeme altyapınızın tamamen kesilmesine kadar gidebilir. Dolayısıyla CAPTCHA, sadece anlık bir spam önleyici değil, işin sürdürülebilirliğini koruyan bir güven mekanizmasıdır.

Botlar E-Pin Sistemine Tam Olarak Hangi Kapılardan Giriyor?

Saldırının nereden geldiğini bilmeden savunma kurmak, kapıyı kilitleyip pencereyi açık bırakmaya benzer. E-pin scriptlerinde en sık istismar edilen dört nokta şunlardır:

• Giriş (login) formu: Sızdırılmış e-posta/şifre listeleriyle otomatik "credential stuffing" denemeleri.
• Kayıt (register) formu: Sahte hesaplarla bonus/hoşgeldin bakiyesi avlama veya spam hesap üretimi.
• Ödeme ve kupon alanı: Kart numarası kombinasyonlarının veya indirim kodlarının kaba kuvvetle (brute-force) denenmesi.
• API uç noktaları: Tedarikçi entegrasyonu ya da stok sorgulama gibi arka plan API'lerinin doğrudan çağrılarak otomatik veri çekilmesi.

Manuel takip eden bir site sahibi genellikle sorunu ancak stok tükendiğinde, ödeme sağlayıcısından "şüpheli işlem" uyarısı geldiğinde ya da sunucu maliyeti anormal yükseldiğinde fark eder — yani zarar oluştuktan sonra. Oysa erken uyarı işaretleri genelde loglarda zaten mevcuttur: aynı dakikada aynı IP'den gelen düzinelerce kayıt isteği, saniyeler içinde tekrarlanan aynı user-agent dizesi, ya da normal bir kullanıcının asla girmeyeceği hızda arka arkaya denenen kupon kodları. Bu izleri düzenli kontrol etmek, CAPTCHA'yı nereye ne yoğunlukta yerleştireceğinize de ışık tutar.

Hangi CAPTCHA Türü E-Pin Scripti İçin Gerçekten İşe Yarar?

Piyasada onlarca CAPTCHA çözümü var ama hepsi aynı işi görmüyor. Bir e-pin sitesinde doğru seçim, hem güvenlik hem de dönüşüm oranını etkiler:

• Klasik resim/karakter CAPTCHA: En eski yöntem; artık OCR ve makine öğrenmesiyle kolayca kırılabildiği için tek başına yetersiz.
• Google reCAPTCHA v2 ("Ben robot değilim"): Kullanıcı davranışını arka planda skorlar, şüpheli durumda görsel doğrulama ister.
• Google reCAPTCHA v3 / görünmez skor tabanlı: Kullanıcıya hiç görünmez, arka planda 0-1 arası bir risk skoru üretir; formu bloke etmek yerine skoru şüpheli işlemler için tetikleyici olarak kullanırsınız.
• hCaptcha ve Cloudflare Turnstile: Gizlilik odaklı, genelde daha hafif ve hızlı; Turnstile çoğu meşru kullanıcıya hiç bulmaca göstermeden geçiş izni verir.
• Honeypot alanları: Görünmez bir form alanı ekleyip botların onu doldurmasını yakalamak; kullanıcıyı hiç rahatsız etmeyen, ücretsiz bir ek katman.

Seçim yaparken sadece "hangisi daha güvenli" sorusuna değil, "hangisi engelli kullanıcılar için de erişilebilir" sorusuna da bakmak gerekir; görme engelli bir müşterinin sesli doğrulama seçeneği olmayan bir görsel bulmacada takılı kalması, meşru bir satışı kaybetmek demektir. Bu yüzden çoğu modern e-ticaret ve e-pin sitesi, görünmez skor tabanlı yöntemi varsayılan yapıp yalnızca gerçekten şüpheli durumlarda ek doğrulama isteyen bir yaklaşımı tercih ediyor.

Aşağıdaki tabloda bu yöntemleri e-pin siparişi bağlamında elle yönetmekle Pinova'nın hazır katmanlı yaklaşımını kıyaslıyoruz:

CAPTCHA Sitenin Her Yerine mi, Yoksa Sadece Kritik Noktalara mı Konmalı?

Sık yapılan bir hata, CAPTCHA'yı sitenin her formuna aynı sertlikte uygulamaktır. Bu hem kullanıcıyı yorar hem de gereksiz yere dönüşüm kaybettirir. Doğru yaklaşım, riskin yoğunlaştığı noktalara odaklanmaktır:

• Kayıt formu: Sahte hesap açılışını önlemek için orta seviye koruma yeterlidir.
• Giriş formu: Art arda başarısız denemelerde devreye giren, ilk denemede görünmeyen katmanlı doğrulama önerilir.
• Şifre sıfırlama: E-posta enumerasyonunu (hangi adreslerin kayıtlı olduğunu tahmin etmeyi) engellemek için önemlidir.
• Ödeme/kupon uygulama adımı: En kritik nokta; burada kaba kuvvet denemeleri doğrudan mali kayba dönüşür.
• İletişim/destek formu: Spam mesaj trafiğini azaltmak için hafif bir katman genelde yeterlidir.

Ana sayfa, ürün listeleme ya da ürün detay sayfaları gibi salt bilgi görüntüleyen alanlarda CAPTCHA'ya gerek yoktur — buralarda asıl ihtiyaç oran sınırlama (rate limiting) ve önbellekleme ile kazımayı yavaşlatmaktır.

Somut bir örnek vermek gerekirse: bir bayi paneli üzerinden toplu sipariş girişi yapan gerçek bir bayinize her seferinde CAPTCHA çözdürmek, hem zaman kaybettirir hem de bayinizi rakip bir siteye yönlendirebilir. Bunun yerine bayi hesaplarını güvenilir (whitelisted) oturum olarak işaretleyip CAPTCHA'yı yalnızca yeni/doğrulanmamış hesaplara ve şüpheli davranış gösteren IP'lere uygulamak, hem güvenliği korur hem de sadık müşteriyi yormaz.

CAPTCHA Kullanıcıyı Kaçırır mı? Güvenlik ile Dönüşüm Arasında Denge

Site sahiplerinin en büyük korkusu haklı bir korkudur: agresif bir CAPTCHA, gerçek müşteriyi de yorup sepeti terk ettirebilir. Bu riski azaltmanın birkaç somut yolu var:

• Görünmez, skor tabanlı doğrulamayı (reCAPTCHA v3, Turnstile) varsayılan olarak kullanın; görsel bulmacayı yalnızca skor düşük çıktığında devreye sokun.
• CAPTCHA'yı statik değil davranışsal kural haline getirin: örneğin aynı IP'den dakikada beşten fazla deneme geldiğinde zorlaştırın, ilk denemede göstermeyin.
• Mobil kullanıcılar için özellikle hafif çözümler tercih edin; ağır görsel bulmacalar mobilde dönüşümü orantısız düşürür.
• Başarısız CAPTCHA sonrası kullanıcıya net bir geri bildirim verin, sessiz reddetme güven kaybettirir.

Kısacası hedef, botu insan kadar zorlayıp insanı bot kadar kolay geçirmektir. Bu denge doğru kurulduğunda CAPTCHA fark edilmeden çalışan bir güvenlik katmanına dönüşür.

Bu dengeyi bir kere kurup unutmak da doğru değildir. Bot davranışları zamanla değişir; bugün işe yarayan bir eşik değeri altı ay sonra yetersiz kalabilir. Ayda bir kez başarısız giriş/kayıt oranlarını, CAPTCHA'da takılan gerçek kullanıcı şikâyetlerini ve sepet terk oranındaki değişimi birlikte gözden geçirmek, ayarları güncel tutmanın en pratik yoludur.

CAPTCHA Tek Başına Yeterli mi, Yoksa Katmanlı Bir Savunma mı Gerekli?

CAPTCHA güçlü bir filtredir ama tek başına kalkan değildir. Kararlı bir bot, CAPTCHA çözüm servisleri kiralayarak (evet, bu hizmetler gerçekten var) bu engeli de aşabilir. Bu yüzden gerçek dayanıklılık, birden fazla katmanın bir arada çalışmasından gelir:

• Oran sınırlama (rate limiting): Aynı IP veya oturumdan gelen istek sayısını dakika/saat bazında sınırlamak.
• Oturum ve cihaz parmak izi kontrolü: Anormal derecede hızlı, düzenli aralıklarla gelen isteklerin insan davranışından ayrıştırılması.
• Ödeme sağlayıcı seviyesinde doğrulama: PayTR/Shopier gibi altyapıların kendi dolandırıcılık tespit mekanizmalarından faydalanmak.
• Sunucu/ağ seviyesinde koruma: Cloudflare gibi bir katmanla kötü niyetli trafiği siteye ulaşmadan süzmek.

Pinova bu bakış açısıyla kurulmuş bir sistemdir: kayıt/giriş ve kritik işlem noktalarında CAPTCHA desteği, hatalı deneme sınırlaması ve tedarikçi API'leriyle (Turkpin, Pinabi) çalışan otomatik teslimat mimarisi bir arada; yani güvenlik tek bir eklentiye değil, scriptin kendi yapısına gömülü. Kendi sunucunuza kurduğunuz için hangi katmanı ne zaman sıkılaştıracağınıza da siz karar verirsiniz.

Bunu hazır bir e-ticaret altyapısını e-pin satışına zorla uydurmakla kıyaslayın: genel amaçlı bir sepet sistemine sonradan CAPTCHA, bayi bakiyesi ve stok/kod teslim mantığı eklemeye çalışmak genelde yamalarla dolu, kırılgan bir yapı doğurur. Baştan e-pin iş modeli için tasarlanmış bir script ise bu katmanları birbirine bağımlı ve tutarlı şekilde çalıştırır.