Panel güvenliği konuşulduğunda herkesin ilk aklına gelen şey şifredir. "Şifreler güçlü olsun, iki adımlı doğrulama açık olsun" denir ve konu kapanır. Oysa şifre, kapıyı yalnızca bir kez açan anahtardır. Kapı açıldıktan sonra kullanıcıyı tanıyan şey şifre değil, oturumdur. Ve bir e-pin satış scriptinde zarar, şifre kırılarak değil, çoğu zaman geçerli bir oturum ele geçirilerek oluşur.
Bunu bir kere kavradığında öncelik sıralaman değişir. Şifreyi güçlendirmek dakikalar alır; oturumu güçlendirmek ise mimari bir karardır. Çerezin nasıl işaretlendiği, oturum kimliğinin ne zaman yenilendiği, aynı hesabın kaç yerde açık kalabildiği, kullanıcı klavyeden kalktığında ne kadar süre "içeride" sayıldığı — bunların her biri saldırganın elini ya bağlar ya serbest bırakır. Bu yazıda bir epin yazılım panelinde oturum katmanını nasıl sıkılaştıracağını, hangi ayarların pazarlıksız olduğunu ve hangi noktada kullanıcı konforuyla denge kurmanın meşru olduğunu ele alacağız.
Oturum güvenliği neden bir "şifre gücü" meselesi değil?
Bir kullanıcı giriş yaptığında sunucu ona bir kimlik verir ve bu kimliği tarayıcıda saklar. Sonraki her istekte tarayıcı bu kimliği gösterir, sunucu da "tamam, seni tanıyorum" der. Yani oturum kimliği, o hesabın geçici şifresi gibidir — ama şifreden farklı olarak her istekte ağ üzerinden gezer. Bu yüzden oturum kimliğinin nerede saklandığı, nasıl taşındığı ve ne kadar yaşadığı, şifre politikasından daha belirleyicidir.
Dijital ürün satış yazılımlarında bu durumun özel bir boyutu var: paneline sadece sen değil, bayiler ve destek personeli de giriyor. Herkesin bilgisayarı senin kadar temiz değil, herkesin ağı senin kadar güvenli değil. Ortak bir kafede açılmış bir oturum, evde kapatılmadan bırakılmış bir tarayıcı, tek bir tarayıcı eklentisi — hepsi oturum katmanına yönelen gerçek risklerdir. Savunma, kullanıcının dikkatine değil, sistemin kurallarına yazılmalı.
Çerez bayrakları: tek satırlık ayarın gerçek bedeli
Oturum çerezinin nasıl işaretlendiği, oturum güvenliğinin temelidir ve kurulumu dakikalar sürer. Secure bayrağı çerezin yalnızca şifreli bağlantıda gönderilmesini sağlar; yoksa tek bir HTTP isteği kimliği düz metin olarak ortaya döker. HttpOnly bayrağı çerezi sayfa üzerindeki betiklerin erişiminden çıkarır; bu, bir içerik enjeksiyonu olayının oturum çalmaya dönüşmesini engeller. SameSite ayarı çerezin başka sitelerden tetiklenen isteklerde gönderilmesini kısıtlar ve siteler arası istek sahtekârlığına karşı ilk perdeyi kurar.
Bu üçünün yanına iki şey daha ekle. Çerez adını varsayılan hâlinden değiştir; varsayılan isim, hangi altyapıyı kullandığını gereksiz yere ilan eder. Ve çerez kapsamını daralt: yönetim paneli ayrı bir yol altında çalışıyorsa çerez yolunu da o yola sabitle. Bu ayarların hiçbiri geliştirme projesi değil; birer yapılandırma kararı. Yapılmamış olmalarının tek sebebi genellikle unutulmuş olmalarıdır.
| Ayar | Önerilen Değer | Neyi Engeller | Öncelik |
|---|---|---|---|
| Secure | Açık | Şifresiz bağlantıda kimlik sızması | Pazarlıksız |
| HttpOnly | Açık | Betik üzerinden çerez okuma | Pazarlıksız |
| SameSite | Lax veya Strict | Siteler arası istek sahtekârlığı | Pazarlıksız |
| Çerez adı | Özel değer | Altyapı parmak izi | Yüksek |
| Hareketsizlik süresi | 15-30 dakika (yönetici) | Açık bırakılmış oturum | Yüksek |
| Mutlak ömür | 8-12 saat | Süresiz yaşayan oturum | Yüksek |
| Girişte kimlik yenileme | Zorunlu | Oturum sabitleme | Pazarlıksız |
| Eşzamanlı oturum | Sınırlı + görünür | Sessiz paralel erişim | Orta |
Oturum kimliği tam olarak ne zaman yenilenmeli?
Cevap kısa: yetki seviyesinin değiştiği her anda. En kritik nokta giriş anıdır. Kullanıcı henüz giriş yapmadan sistem ona bir oturum kimliği verir; giriş başarılı olduğunda aynı kimlik kullanılmaya devam ederse o kimliği önceden bilen biri artık yetkili bir oturuma sahiptir. Buna oturum sabitleme denir ve önlemi tek satırdır: girişte kimliği yenile, eskisini geçersiz kıl.
Aynı mantık başka geçişlerde de geçerlidir. Şifre değiştirildiğinde diğer tüm oturumlar düşmeli. İki adımlı doğrulama tamamlandığında kimlik bir kez daha yenilenmeli. Bayi hesabı yönetici tarafından yetki yükseltmesi aldığında oturum tazelenmeli. Çıkış yapıldığında kayıt sadece tarayıcıdan silinmemeli, sunucu tarafında da yok edilmeli — çerezi silmek yetmez, oturum kaydının kendisi geçersizleşmelidir.
Oturum katmanı olaylarının kaynak dağılımı
- Açık bırakılan / süresi bitmeyen oturum 45%
- Eksik çerez bayrakları 25%
- Girişte yenilenmeyen oturum kimliği 20%
- Paylaşılan cihaz ve tarayıcı eklentileri 10%
Eşzamanlı oturum ve cihaz kaydı: bayiyi sen koruyacaksın
Bir e-pin scriptinde bayiler genellikle güvenlikle ilgilenmez; satışla ilgilenir. Bu yüzden "kaç cihazda açıksın" sorusunu onların yerine sistemin sormalı. Her oturum için giriş zamanı, kaba konum bilgisi ve cihaz özeti tutulduğunda kullanıcı kendi hesap sayfasında aktif oturumlarını görebilir ve tanımadığı birini tek tuşla kapatabilir. Bu tek özellik, destek ekibine gelen "hesabıma girilmiş olabilir" mesajlarını kanıtlanabilir bir işe dönüştürür.
Eşzamanlı oturum sayısını sınırlamak da meşru bir karardır. Yönetici hesapları için iki, bayi hesapları için üç gibi bir üst sınır, çoğu işletmenin gerçek kullanımını aşar. Sınır aşıldığında en eski oturumu düşürmek, kullanıcıya görünür bir bildirim göndermek ve olayı kayda almak yeterlidir. Pinova ile çalışan işletmelerde bu ayarın en somut faydası, sızmayı önlemekten çok fark edilme süresini kısaltmak oluyor.
Zaman aşımı süresini kim belirler: pazarlama mı, risk mi?
Burada gerçek bir gerilim var. Kısa zaman aşımı güvenliği artırır, kullanıcıyı yorar. Uzun zaman aşımı konforu artırır, riski büyütür. Doğru çözüm tek bir değer seçmek değil, rol bazlı ayrıştırma yapmaktır. Son müşterinin alışveriş oturumu uzun yaşayabilir, çünkü yetkisi sınırlıdır. Bayinin paneli orta seviyede olmalı. Yönetim paneli ise en kısa hareketsizlik eşiğine sahip olmalı, çünkü orada fiyat, stok ve bakiye vardır.
Bir de kademeli yaklaşım işe yarar: oturum ayakta kalsın ama hassas işlem için yeniden doğrulama istensin. Kullanıcı panelde dolaşabilir, raporu görebilir; ancak bakiye aktarımı, toplu stok silme veya ödeme ayarı değişikliği gibi bir adımda şifresini tekrar girmesi istenir. Böylece ne kullanıcıyı yarım saatte bir çıkışa zorlarsın ne de en pahalı işlemi kimliksiz bırakırsın. Bu denge, dijital ürün satış scriptlerinde en çok geri dönüş alan ayarlardan biridir.
İki adımlı doğrulama, gizli panel yolu ve oturum: üçlü kilit
Oturum katmanı tek başına çalışmaz; iki komşusuyla birlikte anlam kazanır. Birincisi iki adımlı doğrulamadır: şifre sızsa bile oturum açılamaz. İkincisi yönetim panelinin varsayılan adresinden çıkarılmasıdır; bu bir güvenlik duvarı değil, gürültü azaltıcıdır — otomatik tarayıcıların deneme trafiğini büyük ölçüde keser ve gerçek uyarıları görünür kılar.
Üçlü kilidi tamamlayan şey başarısız giriş davranışıdır. Aynı hesaba ya da aynı adresten gelen ardışık başarısız denemeler kademeli gecikmeye ve geçici kilide bağlanmalı. Hata mesajı ise "kullanıcı yok" ile "şifre yanlış" arasında ayrım yapmamalı; tek ve nötr bir mesaj vermeli. Bu küçük ayrıntı, hesap varlığını sızdırmayı engeller. Aşağıdaki liste, oturum katmanını baştan sona denetlemen için pratik bir kontrol seti sunuyor.
| # | Kontrol | Doğrulama Yöntemi | Sonuç |
|---|---|---|---|
| 1 | Tüm trafik şifreli, yönlendirme zorunlu | Şifresiz adresle panele git | Otomatik yönlendirmeli |
| 2 | Oturum çerezi HttpOnly | Tarayıcı konsolundan çerezi okumayı dene | Görünmemeli |
| 3 | Girişte oturum kimliği yenileniyor | Giriş öncesi/sonrası çerez değerini karşılaştır | Farklı olmalı |
| 4 | Çıkışta sunucu kaydı yok ediliyor | Eski çerez değeriyle istek gönder | Reddedilmeli |
| 5 | Hareketsizlik zaman aşımı çalışıyor | Eşik süresi kadar bekleyip işlem dene | Girişe düşmeli |
| 6 | Şifre değişiminde diğer oturumlar düşüyor | İki tarayıcıda açıp birinde şifre değiştir | Diğeri kapanmalı |
| 7 | Aktif oturumlar kullanıcıya görünüyor | Hesap sayfasını incele | Liste + kapat butonu |
| 8 | Başarısız girişler kademeli kilitli | Ardışık hatalı deneme yap | Gecikme ve kilit |
Bugün sadece iki şeyi yap: oturum çerezine üç bayrağı ekle ve girişte oturum kimliğini yenile. Bu iki değişiklik, oturum katmanındaki riskin yarısından fazlasını yarım saat içinde kapatır.
Oturum katmanı hazır yapılandırılmış bir panelle çalış
Rol bazlı zaman aşımı, aktif oturum yönetimi, girişte kimlik yenileme ve kademeli kilit gibi ayarları sıfırdan kurmak yerine hazır gelen bir e-pin satış yazılımıyla ilerleyebilirsin. Özellik listesi ve paketler burada.
Oturum süresini uzun tutmak müşteri kaybını önler mi?
Son müşteri tarafında evet, yönetim tarafında hayır. Alışveriş oturumu uzun yaşayabilir; fiyat, stok ve bakiyeye erişen hesaplar için kısa hareketsizlik eşiği ve hassas işlemde yeniden doğrulama tercih edilmeli.
İki adımlı doğrulama varsa oturum ayarlarına gerek var mı?
Var. İki adımlı doğrulama yalnızca giriş anını korur. Giriş tamamlandıktan sonra kullanıcıyı temsil eden şey oturumdur; bu katman zayıfsa doğrulama atlanmış sayılır.
Aynı hesabın birden çok yerde açık olması sorun mu?
Kendiliğinden sorun değil ama görünür olmalı. Kullanıcı aktif oturumlarını görebiliyor ve kapatabiliyorsa risk yönetilebilir; görmüyorsa yetkisiz erişim aylarca fark edilmeden sürebilir.
Panel adresini gizlemek gerçek bir güvenlik önlemi mi?
Tek başına değil, ama etkili bir gürültü azaltıcıdır. Otomatik deneme trafiğini büyük ölçüde keser ve kayıtlarda kalan uyarıların gerçekten anlamlı olmasını sağlar.
Oturum güvenliği, panelinde kimsenin övünmediği ama olay çıktığında herkesin aradığı katmandır. Çerez bayraklarını kur, girişte kimliği yenile, rolüne göre süre tanımla, aktif oturumları kullanıcıya göster ve başarısız denemeleri kademeli kilide bağla. Beş maddelik bu liste, paneline giren herkesin — senin, bayinin, destek personelinin — güvenliğini aynı anda yükseltir. Bu ayarların gerçek bir panelde nasıl hissettirdiğini görmek için canlı demo üzerinden giriş yapıp oturum yönetimi ekranlarını kendin inceleyebilirsin.