Bir e-pin sitesine gelen her sipariş, aslında görünmeyen bir risk taşır: kart bilgisi çalıntı mı, aynı kişi 10 dakikada 40 farklı hesaptan mı deniyor, teslimat anında chargeback gelecek mi? Dijital ürünlerde mal geri alınamadığı için bu sorular kağıt üzerinde kalmaz — doğrudan cebe yansır. IP kısıtlama ve sahtekarlık tespiti, bu belirsizliği azaltmanın en pratik yollarından biri, ama doğru kurulmazsa hem gerçek müşterileri kapıda bırakır hem de asıl tehdidi kaçırır.
E-Pin Sitenizi Kim Ziyaret Ediyor, Gerçekten Biliyor Musunuz?
Her ziyaretçinin arkasında bir IP adresi vardır ve bu adres, aslında ilk savunma hattıdır. Ama tek başına bir sayıdan ibaret değildir — coğrafi konum, bağlantı tipi (mobil/sabit/veri merkezi), geçmiş davranış geçmişiyle birleştiğinde anlam kazanır. E-pin sektöründe IP verisi genellikle şu üç amaç için kullanılır:
- Coğrafi tutarlılık kontrolü: Kart Türkiye'de kayıtlıyken IP'nin başka bir ülkeden gelmesi, tek başına suç değildir ama dikkat gerektirir.
- Hız sınırlama (rate limiting): Aynı IP'den dakikada onlarca sipariş denemesi, otomatik bot veya kart deneme (carding) saldırısının işaretidir.
- Tekrarlayan kötüye kullanım takibi: Daha önce sahte siparişle ilişkilendirilmiş bir IP, yeniden geldiğinde otomatik olarak ekstra doğrulamaya alınabilir.
Sorun şu ki, çoğu manuel kurulmuş e-pin scriptinde bu üç kontrol de yoktur ya da tek tek elle takip edilmeye çalışılır. Site büyüdükçe bu iş fiilen imkansız hale gelir.
Bir Sipariş Ne Zaman "Şüpheli" Sayılır?
Sahtekarlık tespiti, tek bir kırmızı bayrağa değil, birden fazla sinyalin üst üste binmesine dayanır. Deneyimli e-pin işletmecileri şu kombinasyonları özellikle izler:
- Aynı IP'den kısa sürede farklı kart numaralarıyla art arda deneme yapılması
- Yeni açılan hesabın ilk işleminde yüksek tutarlı ürün alması (özellikle yüksek bakiyeli oyun içi para/UC/VP)
- Fatura adresi ile kart sahibinin bankası arasındaki ülke uyuşmazlığı
- Proxy/VPN/Tor çıkışı olarak bilinen bir IP aralığından gelen bağlantı
- E-posta adresinin aynı gün oluşturulmuş, tek kullanımlık (disposable) bir domain'e ait olması
Bu sinyallerin her biri tek başına masum olabilir — gerçek bir müşteri de VPN kullanabilir. Asıl değer, bu sinyalleri birlikte değerlendiren bir sistemde ortaya çıkar.
IP Kısıtlama Tek Başına Yeterli mi?
Kısa cevap: hayır. IP tabanlı engelleme, 2010'ların güvenlik anlayışıdır ve günümüzde kolayca aşılır. Mobil operatörlerin paylaşımlı IP havuzları, ucuz rezidansiyel proxy hizmetleri ve dinamik IP değişimi, sabit bir "yasaklı IP listesi" yaklaşımını hem etkisiz hem de riskli hale getirir.
İki yönlü bir sorun oluşur:
- Yanlış pozitif: Aynı ev/işyeri ağını paylaşan onlarca gerçek müşteri, bir kötüye kullanıcı yüzünden tamamen engellenebilir.
- Yanlış negatif: Bir dolandırıcı, IP'sini değiştirerek (proxy zinciri, mobil veri, VPN) saniyeler içinde yasağı aşabilir.
Bu yüzden ciddi bir e-pin altyapısında IP kısıtlama, tek katman değil; cihaz parmak izi, davranış analizi ve ödeme sağlayıcısının kendi risk skoruyla birlikte çalışan katmanlardan sadece biri olmalıdır.
| Kontrol Senaryosu | Manuel / Elle | Pinova ile |
|---|---|---|
| Şüpheli IP'yi fark etme | Sipariş sonrası, genelde chargeback gelince | Sipariş anında otomatik skorlama |
| Tekrarlayan kötüye kullanıcı | Excel tablosunda elle takip | Sistem otomatik hafızada tutar, eşleştirir |
| Hız/rate limit ihlali | Fark edilmesi saatler sürebilir | Anlık engelleme, admin bildirimi |
| VPN/proxy tespiti | Elle IP sorgulama sitesi kullanma | Otomatik proxy/datacenter IP tespiti |
| Ceza sonrası hesap kilitleme | Admin panelde tek tek arama | Kural bazlı otomatik dondurma |
Kara Liste mi, Skorlama mı? Hangisi Daha Akıllı?
Kara liste (blacklist) mantığı basittir: bir IP veya kart daha önce sorun çıkardıysa, tamamen engellenir. Uygulaması kolaydır ama katıdır — gri alan tanımaz. Skorlama (scoring) sistemi ise her siparişe 0-100 arası bir risk puanı verir; düşük puanlı siparişler otomatik onaylanır, orta puanlılar ek doğrulamaya (SMS, e-posta linki, manuel admin onayı) yönlendirilir, yüksek puanlılar reddedilir.
Skorlama yaklaşımının pratikte üstünlüğü şuradan gelir:
- Gerçek müşteriyi gereksiz yere kaybetme riski azalır (kara listede olduğu gibi tek sinyalle otomatik red yoktur)
- Yeni dolandırıcılık kalıpları ortaya çıktıkça kurallar (ağırlıklar) güncellenebilir, sabit liste gibi eskimez
- Admin, "neden reddedildi" sorusuna somut bir puan dökümüyle cevap verebilir
Küçük ölçekli sitelerde kara liste yeterli görünse de, sipariş hacmi arttıkça skorlama tabanlı yaklaşım kaçınılmaz hale gelir.
Yeni açılan bir hesabın ilk siparişinde otomatik teslim limiti koymak, riski büyük ölçüde azaltır. Örneğin ilk 24 saat içinde en fazla 1 sipariş ve belirli bir tutar tavanı uygulamak, hem carding saldırılarını yavaşlatır hem de gerçek müşteriyi neredeyse hiç etkilemez.
Chargeback Sonrası Ne Yapmalı? Zararı Durdurmak mı, Öğrenmek mi?
Bir chargeback geldiğinde iş çoğu zaman bitmiş sayılır: e-pin/kod teslim edilmiş, bedeli geri alınmıştır ve tedarikçiye ödenen tutar zaten harcanmıştır. Burada asıl mesele o siparişi kurtarmak değil, aynı kalıbın tekrar etmesini engellemektir. Etkili bir sistem şunları otomatik yapmalıdır:
- Chargeback'e konu olan kart, e-posta ve IP'yi otomatik olarak riskli listeye ekleme
- Aynı cihaz parmak izi veya ödeme bilgisiyle açılmış diğer hesapları işaretleme
- Admin'e anlık bildirim gönderip, bağlantılı siparişleri gözden geçirmesini sağlama
- Tedarikçi API'sine (Turkpin/Pinabi gibi) gönderilecek yeni siparişlerde ekstra onay adımı zorunlu kılma
Bu adımların elle yapılması, özellikle günde yüzlerce sipariş alan sitelerde pratikte imkansızdır. Otomasyon burada lüks değil, zorunluluktur.
Pinova'nın Güvenlik Katmanları Nasıl Çalışıyor?
Pinova, e-pin ve dijital ürün satışına özel tasarlandığı için bu riskleri sektöre özgü şekilde ele alır. Sistem, sipariş anında IP, cihaz ve hesap davranışını birlikte değerlendirir; tek bir sinyale değil, birikimli bir risk profiline göre karar verir. Öne çıkan katmanlar:
- Otomatik hız sınırlama: Aynı IP veya hesaptan kısa sürede gelen anormal sipariş yoğunluğu otomatik olarak yavaşlatılır veya durdurulur.
- Bayi ve bakiye sistemiyle uyumlu risk kontrolü: Site cüzdanı/bakiye üzerinden yapılan işlemler ile kart ödemeleri farklı risk profiliyle değerlendirilir, çünkü bakiye ile ödeme zaten önceden doğrulanmış bir yükleme sürecinden geçmiştir.
- Admin panelinden anlık müdahale: Şüpheli sipariş otomatik teslim edilmeden önce admin onayına düşürülebilir, tedarikçi API'sine (Turkpin/Pinabi) gönderim bu onaya bağlanabilir.
- Çok seviyeli bayi sisteminde hesap izolasyonu: Bir bayinin şüpheli davranışı, diğer bayileri veya ana sistemi etkilemeden sınırlandırılabilir.
Bunların hepsi, kendi sunucunuza kurduğunuz Pinova üzerinde çalışır — veriniz üçüncü bir bulut hizmetine değil, sizin kontrolünüzdeki sunucuda kalır. Bu da hem gizlilik hem de kural özelleştirme açısından esneklik sağlar: sektörünüze, ürün karmasına ve müşteri profilinize göre eşikleri kendiniz ayarlayabilirsiniz.
Sisteminiz Bir Sonraki Sahte Siparişi Fark Edebilecek mi?
Pinova ile IP kısıtlama, hız sınırlama ve risk skorlama sipariş anında devreye girer; chargeback gelmeden önce şüpheli işlemi yakalarsınız.
IP kısıtlama gerçek müşterileri de engeller mi?
Doğru yapılandırılmamışsa evet, engelleyebilir — özellikle paylaşımlı mobil/kurumsal IP'lerde. Bu yüzden tek başına IP engelleme yerine, IP'yi diğer sinyallerle (cihaz, davranış, sipariş geçmişi) birlikte değerlendiren bir skorlama yaklaşımı önerilir.
VPN kullanan müşteriler otomatik olarak reddedilmeli mi?
Hayır, önerilmez. VPN kullanımı tek başına suç göstergesi değildir. Doğru yaklaşım, VPN/proxy tespiti yapıldığında siparişi otomatik reddetmek yerine ek doğrulama adımına (SMS, manuel onay gibi) yönlendirmektir.
Pinova'da bu güvenlik özellikleri kurulum sonrası otomatik mi çalışır?
Temel hız sınırlama ve risk kontrolleri kurulumla birlikte aktif gelir; eşik değerleri ve kurallar admin panelinden sitenizin hacmine ve ürün profiline göre özelleştirilebilir.
Chargeback sonrası hangi veriler otomatik işaretlenir?
İlgili kart bilgisi, e-posta, IP adresi ve varsa cihaz parmak izi otomatik olarak riskli kayıtlara eklenir; bu veriler yeni siparişlerde referans alınarak benzer kalıpların tekrarı engellenmeye çalışılır.