Panelinin ele geçirilmesi için şifrenin sızmasına gerek yok. Bu, e-pin ve dijital ürün satan işletmelerin en geç öğrendiği gerçektir. Saldırganın ihtiyacı olan tek şey, sen giriş yaptıktan sonra tarayıcınla sunucu arasında gidip gelen o küçük oturum çerezidir. O değeri eline geçiren biri, senin şifreni hiç bilmeden, iki adımlı doğrulamaya hiç takılmadan, senin yerine oturmuş gibi panele girer. Sistem onu sen sanır, çünkü sunucu açısından kimlik kanıtı o çerezdir. Şifre güçlü olabilir; bu senaryoda hiç sorulmaz bile.
Çoğu kişi bunun ancak "hacklenmiş bir sunucuda" olacağını sanır. Gerçekte oturumlar çok daha sıradan yollarla çalınır: yorum alanına veya ürün açıklamasına sokulmuş bir betik, bir alt alan adında duran eski ve bakımsız bir uygulama, HTTPS'e zorlanmadığı için tek bir istekte açık giden bağlantı, adres satırında taşınan bir oturum parametresi ya da paneline destek için giriş yapmış birinin ofis bilgisayarındaki eklenti. Bu yazıda oturum çalmanın gerçek yollarını ve bir e-pin satış scriptinde aramanız gereken savunma katmanlarını tek tek açacağım.
Oturum tam olarak nasıl çalınıyor?
Dört ana yol var. Birincisi ve en yaygını, siteye sokulan betik çalıştırma açığıdır; ürün adı, yorum, destek mesajı ya da bir yönetici notu gibi alanlardan giren kod, tarayıcıda çalışıp çerezi dışarıya yollar. İkincisi oturum sabitlemedir: saldırgan sana önceden belirlediği bir oturum kimliğini taşıyan bir bağlantı gönderir, sen o oturumda giriş yaparsın ve sistem oturum kimliğini yenilemediği için aynı kimlik artık yetkili hâle gelir. Üçüncüsü alt alan adı sızıntısıdır; çerez fazla geniş bir alan için tanımlanmışsa, unuttuğun bir test alt alanı panelinin çerezini okuyabilir hâle gelir. Dördüncüsü ağ tarafıdır: HTTPS zorlanmıyorsa tek bir açık istek yeter.
Bu dördünün ortak noktası şu: hiçbiri şifreyle ilgilenmez. Bu yüzden savunmayı kimlik doğrulamada değil, oturumun yaşam döngüsünde kurmak gerekir. Yani çerezin nasıl işaretlendiği, kimliğin ne zaman yenilendiği, oturumun neye bağlandığı ve ne kadar yaşadığı sorularının cevabı, şifre politikasından daha belirleyicidir.
Çerez bayrakları gerçekten bu kadar mı fark ediyor?
Ediyor, çünkü bayraklar saldırı yüzeyini doğrudan kapatır. HttpOnly, çerezi tarayıcıdaki koddan tamamen görünmez kılar; böylece betik çalıştırma açığı bulunsa bile çerez okunup gönderilemez. Secure, çerezin yalnızca şifreli bağlantıda taşınmasını zorunlu tutar. SameSite, çerezin dış sitelerden gelen isteklerde gönderilmesini kısıtlayarak sahte istek saldırılarının çoğunu kökünden keser; yönetici paneli için sıkı ayar tercih edilir. Path ve alan tanımı ise çerezi yalnızca gerektiği yola daraltır. Buna bir de yönetim paneli için ayrı isimli, ayrı yollu bir çerez kullanımını eklediğinde müşteri tarafındaki bir problem yönetim tarafına bulaşmaz.
| Saldırı yolu | Bunu engelleyen önlem | Tek başına yeterli mi? | Öncelik |
|---|---|---|---|
| Betik çalıştırma ile çerez okuma | HttpOnly + çıktı kaçışlama + içerik politikası | Katmanlı olmalı | Kritik |
| Açık bağlantıda dinleme | Secure bayrağı + HTTPS zorlama + HSTS | Evet, doğru kurulursa | Kritik |
| Oturum sabitleme | Giriş ve yetki değişiminde kimlik yenileme | Evet | Kritik |
| Sahte site üzerinden istek | SameSite + istek başına token | İkisi birlikte | Kritik |
| Alt alan adından okuma | Çerez alanını daraltma, ayrı çerez adı | Evet | Yüksek |
| Çalınmış çerezle uzaktan kullanım | Bağlam denetimi + kısa zaman aşımı | Riski azaltır | Yüksek |
| Terk edilmiş açık oturum | Boşta zaman aşımı + aktif oturum listesi | Evet | Orta |
Giriş sonrası oturum kimliğini yenilemek neden pazarlıksız bir kuraldır?
Kullanıcı henüz giriş yapmadan da bir oturumu olur; sepeti, dili, gezinme durumu orada tutulur. Giriş anında yapılması gereken şey, o oturumun içeriğini taşıyıp kimliğini tamamen yeni bir değerle değiştirmektir. Bu tek satırlık davranış, sabitleme saldırısını imkânsız hâle getirir. Aynı yenileme, yetki yükselten her anda tekrarlanmalıdır: iki adımlı doğrulama geçildiğinde, yönetici moduna girildiğinde, şifre değiştirildiğinde. Ayrıca şifre değişikliği veya çıkış işlemi, o kullanıcının diğer tüm oturumlarını da geçersiz kılmalıdır; yoksa "çıkış yaptım" hissi gerçeği yansıtmaz.
İncelenen oturum ele geçirme vakalarında ilk giriş yolu
- Betik çalıştırma açığı ile çerez okuma 50%
- Zayıf çerez ayarı ve alt alan sızıntısı 25%
- Oturum sabitleme ve kimliğin yenilenmemesi 15%
- Cihaz tarafı ve ağ dinleme 10%
Oturumu IP'ye bağlamak çözüm mü, yoksa yeni bir problem mi?
Cevap ikisi arasında. Oturumu katı biçimde tek bir IP adresine bağlamak, mobil veri ile kablosuz ağ arasında geçen bir yöneticiyi dakikada bir dışarı atar ve kısa sürede güvenlik önlemini kapatmana yol açar. Doğru yaklaşım bağlam denetimidir: tarayıcı imzasının ani değişimi, IP'nin farklı bir ağ bloğuna atlaması, uzak bir konumdan aynı saniyede gelen ikinci bir istek gibi sinyalleri puanlar ve eşik aşıldığında oturumu düşürmek yerine yeniden doğrulama ister. Yönetici tarafında ise bir adım daha ileri gidip para veya stok içeren işlemlerde ikinci bir onay istemek en etkili frendir.
Buna bir de görünürlük eklemek gerekir. Her yöneticinin kendi aktif oturum listesini görebilmesi, yani hangi cihaz, hangi tarayıcı, hangi IP ve son hareket zamanı; üstelik istediğini tek tuşla kapatabilmesi. Bu ekran, çalınmış bir oturumun fark edilme süresini günlerden dakikalara indirir. Ek olarak yeni bir cihazdan giriş olduğunda e-posta veya anlık bildirim gitmesi, senin uyumadığın tek gözün olur.
Site bir güvenlik ağı veya yük dengeleyici arkasındaysa sunucu her isteği aynı IP'den görür. Bu durumda bağlam denetimi ve hız sınırı çalışmaz hâle gelir. Gerçek istemci IP'sini yalnızca güvendiğin vekil başlığından oku, o başlığı doğrulamadan asla kabul etme.
Sahte istek saldırısı ile oturum çalma neden birlikte düşünülmeli?
Oturumun çalınması gerekmeyen bir saldırı türü daha var: senin geçerli oturumunu, senin farkında olmadığın bir istekte kullanmak. Saldırgan sana bir bağlantı veya görünmez bir form gönderir, tarayıcın çerezi otomatik ekler ve panelde "bakiye ekle" ya da "kodu göster" gibi bir işlem tetiklenir. Savunması iki parçalıdır: her durum değiştiren istekte oturuma bağlı tek kullanımlık bir token doğrulaması ve SameSite ayarı. Ayrıca duruma müdahale eden hiçbir işlemin basit bir bağlantıyla yapılmaması gerekir; silme, teslim etme, bakiye yükleme gibi eylemler yalnızca token taşıyan gönderim istekleriyle çalışmalıdır.
Pinova tam olarak bu katmanları varsayılan olarak kurar. Yönetim paneli ayrı ve daraltılmış bir çerezle çalışır, çerez bayrakları sıkı ayarlanır, giriş ve yetki yükselmelerinde oturum kimliği yenilenir, her durum değiştiren istek token denetiminden geçer, aktif oturumlar ekrandan izlenip uzaktan kapatılabilir ve hassas işlemler ayrı yetki ile denetim kaydına yazılır. Pinova kod veya e-pin satmaz; e-pin satan işletmenin kullandığı dijital ürün satış yazılımı olduğu için bu savunmalar sana kurulum işi olarak değil, hazır davranış olarak gelir.
| Kontrol maddesi | Beklenen değer | Durum |
|---|---|---|
| HttpOnly bayrağı | Tüm oturum çerezlerinde açık | Zorunlu |
| Secure bayrağı + HTTPS zorlama | Açık, HSTS ile birlikte | Zorunlu |
| SameSite ayarı | Panel için sıkı, vitrin için dengeli | Zorunlu |
| Girişte kimlik yenileme | Her giriş ve yetki yükselmesinde | Zorunlu |
| Panel için ayrı çerez | Farklı ad ve daraltılmış yol | Önerilir |
| Durum değiştiren istekte token | Oturuma bağlı, tek kullanımlık | Zorunlu |
| Boşta zaman aşımı | Yönetici için 15-30 dakika | Zorunlu |
| Mutlak oturum ömrü | En fazla 12-24 saat | Önerilir |
| Aktif oturum listesi | Görüntüleme ve uzaktan kapatma | Önerilir |
| Yeni cihaz bildirimi | E-posta veya anlık bildirim | Önerilir |
| Gerçek IP okuma | Yalnızca güvenilen vekil başlığından | Zorunlu |
Oturum güvenliğini sonradan yamamak zorunda kalma
Sıkı çerez ayarları, kimlik yenileme, token denetimi ve uzaktan oturum kapatma hazır gelen bir altyapıyla yola çık.
İki adımlı doğrulama oturum çalmayı engeller mi?
Engellemez. İki adımlı doğrulama yalnızca giriş anını korur; saldırgan giriş sonrası üretilen oturum çerezini ele geçirirse doğrulama adımı hiç devreye girmez. Bu yüzden oturum tarafında çerez bayrakları, kimlik yenileme ve zaman aşımı ayrı bir katman olarak kurulmalıdır.
Oturumu tarayıcı imzasına bağlamak güvenli mi?
Tek başına zayıf bir önlemdir, çünkü tarayıcı imzası taklit edilebilir ve tarayıcı güncellemesinde kendiliğinden değişir. Bunu katı bir kural yerine puanlanan bir sinyal olarak kullanmak, şüphe durumunda yeniden doğrulama istemek daha doğru bir kurgudur.
Boşta kalma süresi ne kadar olmalı?
Yönetici paneli için on beş ila otuz dakika makul bir aralıktır; müşteri tarafında daha uzun tutulabilir. Bunun yanına bir de mutlak ömür konulmalı, yani oturum ne kadar aktif olursa olsun belirli bir süre sonra yeniden giriş istenmelidir.
Çalındığını nasıl fark ederim?
En pratik yöntem aktif oturum listesi ve yeni cihaz bildirimidir. Tanımadığın bir cihaz veya ağ bloğu gördüğünde o oturumu uzaktan kapatır, ardından şifreyi ve doğrulama gizli anahtarını yenilersin. Denetim kayıtları da hangi işlemlerin o oturumdan yapıldığını görmeni sağlar.
Oturum güvenliği, tek bir ayarla kapatılan bir madde değil; çerez işaretlemesinden kimlik yenilemeye, zaman aşımından uzaktan oturum kapatmaya kadar uzanan bir zincir. Bu zinciri sonradan kurmak, çalışan bir sisteme dokunmak anlamına geldiği için hem riskli hem pahalıdır; o yüzden seçtiğin e-pin yazılımının bunları varsayılan olarak getirmesi en büyük kazancın olur. Hangi savunmanın nerede devreye girdiğini görmek istersen özellikler bölümünü gez, paketleri fiyat sayfasında karşılaştır ve canlı demo üzerinden aktif oturum yönetimini, yetki ayrımını ve denetim kayıtlarını kendi hesabınla dene.