Çoğu işletme sahibi sızma testini şöyle sanır: bir danışman gelir, siteye bir tarayıcı sokar, ertesi gün elinde 60 sayfalık renkli bir PDF olur, sen de o PDF'i müşterine gösterip "biz güvenliyiz" dersin. Gerçek şu ki o 60 sayfanın 55'i otomatik tarayıcı çıktısıdır ve senin e-pin satış scriptinin en kritik yerine, yani bakiye-sipariş-teslimat üçgenine hiç dokunmamıştır. Kod satan tarafta çalışan biri olarak riskin nerede durduğunu biliyorsun: kimse senin CSS'ini kırmak için uğraşmıyor, bakiyeyi çoğaltmak için uğraşıyor.
İkinci yanılgı fiyat tarafında. Aynı işi anlattığın üç firmadan biri 18.000 TL, biri 65.000 TL, biri 240.000 TL diyor ve sen bunun "pazarlık" olduğunu düşünüyorsun. Değil. Üçü birbirinden tamamen farklı işi teklif ediyor ve kapsamı sen tanımlamadığın için her biri kendi işine uygun kapsamı uyduruyor. Bu yazıda dijital ürün satış scripti işleten bir işletmenin sızma testini nasıl kapsamlandıracağını, bütçeyi hangi kalemlere böleceğini ve tekliflerin içinde saklanan boşlukları madde madde açıyorum.
Sızma testi mi satın alıyorsun, yoksa tarama raporu mu?
Piyasada üç ürün aynı isimle satılıyor. Birincisi zafiyet taraması: bir araç siteni gezer, bilinen imzaları eşler, çıktıyı biçimlendirir. İkincisi sızma testi: bir insan senin e-pin scriptinin iş akışını öğrenir, bayi hesabıyla giriş yapar, sipariş oluşturur, iade ister ve o akışı kırmaya çalışır. Üçüncüsü kırmızı takım çalışması: hedefi haber vermeden, personelini de dahil ederek bütün savunmayı sınar. Sen bir e-pin satıcısıysan neredeyse her zaman ikinciyi almalısın.
Ayrımı anlamanın en kolay yolu şu soruyu sormaktır: "Bakiyesi 10 TL olan bir bayi hesabıyla 500 TL'lik kod çekmeyi denediniz mi?" Tarayıcı bunu asla denemez, çünkü denemek için önce senin bakiye mantığını anlaması gerekir. İnsan denerse, ya senin en büyük riskin kapanır ya da o gece uyuyamazsın. İkisi de sana para kazandırır.
Kapsamı sen yazmazsan satıcı yazar, o zaman da fatura senin olur
Kapsam dokümanı sızma testinin en pahalı parçasıdır ve genelde bedava sanılır. Yazılı kapsam olmadan iş başlarsa test bittiğinde "ödeme sağlayıcı geri dönüş adımı kapsam dışıydı" cümlesini duyarsın. Oysa senin en çok para kaybettiğin nokta tam orasıdır: ödeme onayı taklit edilip stoktan kod düşülmesi.
İyi bir kapsam dokümanı en az şunları isim isim sayar: alan adları ve alt alan adları, yönetim paneli yolu, bayi paneli, API uç noktaları, webhook adresleri, mobil uygulama varsa uç noktaları, test edilecek rol sayısı, veri tabanına dokunulup dokunulmayacağı, sosyal mühendisliğin dahil olup olmadığı, çalışma saatleri ve hizmet kesintisine tolerans. E-pin satış yazılımı çalıştıran bir işletmede bayi rolü ile son kullanıcı rolünün ayrı ayrı test edilmesi neredeyse zorunludur; çünkü asıl kâr kaybı bayi tarafında yaşanır.
| Kapsam paketi | İçerik | Gerçekçi adam-gün | Bütçe aralığı | Kimin için |
|---|---|---|---|---|
| Yüzey taraması | Otomatik tarama + kısa doğrulama | 1-2 | 15-30 bin TL | Yeni açılan tek sayfalı satış sitesi |
| Standart web testi | OWASP akışları, 2 rol, manuel doğrulama | 5-7 | 45-90 bin TL | Aylık cirosu orta seviye panel |
| İş mantığı odaklı test | Bakiye, sipariş, iade, stok, kupon mantığı | 8-12 | 90-180 bin TL | Bayili yapı, otomatik teslimat |
| API + entegrasyon testi | Webhook taklidi, imza doğrulama, tedarikçi API | 4-6 | 60-110 bin TL | Dış tedarikçiye bağlı stok çeken sistem |
| Kırmızı takım | Haber verilmeyen tam senaryo + personel | 15+ | 250 bin TL üstü | Kurumsal, denetime giren yapı |
Bütçenin gerçekte nereye gittiğini biliyor musun?
Sızma testi faturasının büyük kısmı yazılıma değil insan saatine gider. Bu yüzden fiyat sorarken "kaç adam-gün" diye sormak, "kaç TL" diye sormaktan daha bilgi verir. Adam-gün sayısı düşükse kapsam dar demektir; kapsam geniş ama adam-gün düşükse teklif yalan demektir.
Aşağıdaki dağılım, iş mantığı odaklı bir epin yazılım testinde bütçenin tipik kırılımıdır. Keşif ve kapsam çıkarma kaleminin küçümsenmesi en sık yapılan hatadır: danışman senin ürün-varyant-stok modelini anlamadan değerli hiçbir şey bulamaz.
Sızma testi bütçesinin kırılımı
- Manuel test eforu 45%
- Keşif ve kapsam çıkarma 25%
- Raporlama ve sunum 20%
- Düzeltme sonrası yeniden test 10%
Teklifleri karşılaştırırken hangi maddeyi kimse yazmıyor?
Yeniden test. Bulgular kapatıldıktan sonra aynı ekibin tekrar bakıp "kapandı" demesi gerekir. Tekliflerin çoğunda bu madde yoktur; olmadığı için fiyat düşük görünür. Yeniden test olmadan elindeki rapor bir alışveriş listesidir, bir güvence belgesi değildir.
İkinci eksik madde kanıt seviyesidir. "Yetki atlama bulundu" cümlesi geliştiricine hiçbir şey anlatmaz. İstek/yanıt çiftini, kullanılan rolü, tekrar üretme adımlarını ve etkiyi para cinsinden yazan rapor işe yarar. Üçüncü eksik madde ise iletişim kanalıdır: kritik bir bulgu testin 2. gününde çıkarsa 12. günü beklemek yerine sana aynı gün haber verilmesi yazılı olmalı.
Kendi sistemini teste hazır hale getirdin mi?
Pahalı danışmanın ilk üç gününü "hesap açılmadı, ortam çökük, veri yok" derdiyle geçirirse o para yanar. Test öncesi hazırlık senin sorumluluğundur ve ücretsizdir. Kopya bir ortam, her rol için hazır hesaplar, gerçeğe benzer ama gerçek olmayan veri, kapatılmış ödeme sağlayıcı canlı anahtarları ve alınmış tam yedek. Bu beş madde bütçeni doğrudan yüzde yirmi verimli kılar.
Bir de kapsam dışı bırakacaklarını netleştir: tedarikçi API'sinin gerçek uçlarına yük bindirmek genelde sözleşme ihlalidir. Dijital ürün satış yazılımı kullanan işletmelerde bu detay atlanır ve test sırasında tedarikçi hesabın askıya alınır.
| Kontrol maddesi | Sorumlu | Ne zaman | Atlanırsa sonuç |
|---|---|---|---|
| Yazılı kapsam ve varlık listesi | İşletme | Sözleşme öncesi | Fiyat ve içerik anlaşmazlığı |
| Test ortamının klonlanması | Teknik ekip | 7 gün önce | Canlı veri zarar görür |
| Her rol için test hesapları | İşletme | 3 gün önce | Yetki testleri yapılamaz |
| Tedarikçi API izin yazısı | İşletme | Test öncesi | Hesap askıya alınır |
| Kritik bulgu acil bildirim maddesi | Sözleşme | Sözleşmede | Açık günlerce açık kalır |
| Yeniden test hakkı ve süresi | Sözleşme | Sözleşmede | Düzeltme doğrulanmaz |
| Ham kanıt dosyalarının teslimi | Danışman | Rapor ile | Geliştirici tekrar üretemez |
| Tam yedek ve geri dönüş planı | Teknik ekip | Test günü | Kesinti uzar |
Tek seferde büyük paket almak yerine bütçeni ikiye ayır: yarısını iş mantığı odaklı ilk testte harca, diğer yarısını altı ay sonraki yeniden test ve yeni modül testi için sakla. Yılda iki kez bakılan sistem, bir kez derin bakılan sistemden daha güvenlidir.
Rapordan sonraki 30 gün her şeyi belirler
Bulguların kapatılması testin kendisinden daha zordur, çünkü artık iş sendedir. Raporu alır almaz bulguları etkiye göre sırala ve her satıra bir sahip ile bir tarih yaz. Sahipsiz bulgu kapanmaz. Kritik seviyedekiler için 72 saat, yükseklerde 14 gün, orta ve düşüklerde bir sonraki sürüm hedefi makul bir ritimdir.
Burada kullandığın altyapının bakım modeli devreye girer. Kendi geliştirdiğin bir panelde her düzeltmeyi sen yazarsın; bakımlı bir e-pin yazılımı kullanıyorsan bulguların önemli bir kısmı yayınlanan sürümle birlikte zaten kapanır. Pinova tarafında rol-yetki matrisi, bakiye hareketlerinin değiştirilemez kaydı ve ödeme dönüş imzası doğrulaması çekirdekte durduğu için sızma testi raporları genelde "sunucu yapılandırması" ve "özel geliştirme" başlıklarına iner; yani düzeltme maliyeti düşer. Modül listesini özellikler bölümünde, lisans seviyelerini fiyat tablosunda görebilirsin.
Test raporunun yarısını daha ilk günden kapat
Rol-yetki kontrolü, bakiye denetim kaydı ve imzalı ödeme dönüşü çekirdekte gelirse sızma testin çok daha kısa bir düzeltme listesiyle bitiyor.
Küçük bir e-pin sitesi için sızma testi gerçekten şart mı?
Ciron küçükse kırmızı takım gerekmez ama iş mantığı testi gerekir. Bakiye ve teslimat akışını kıran biri, cironun büyüklüğüne bakmadan stokunu boşaltır. En düşük anlamlı adım, iki rolle yapılan 5 adam-günlük manuel testtir.
Sızma testi sırasında sitem kapanır mı?
Doğru kapsamda kapanmaz. Yük ve servis dışı bırakma testleri ayrıca yazılır ve genelde kapsam dışı tutulur. Yine de tam yedek al ve testi düşük trafik saatlerine planla.
Rapor müşterime veya tedarikçime gösterilebilir mi?
Ham rapor teknik kanıt içerir, paylaşılmaz. Bunun için danışmandan ayrıca yönetici özeti veya kapsam-sonuç yazısı iste; bu belge sözleşmede madde olarak geçmeli.
Aynı firmadan her yıl mı test almalıyım?
İlk yıl aynı ekipten yeniden test almak mantıklı, çünkü sistemi tanıyor. Üçüncü yıldan sonra ekip değiştirmek yeni gözle bakılmasını sağlar; eski raporları yeni ekibe vermemek ise daha dürüst bir sonuç verir.
Sızma testi bir belge alma töreni değil, senin kendi iş mantığını yabancı bir gözle sınatma kararıdır. Kapsamı sen yazarsan bütçeyi de sen yönetirsin; yazmazsan hem fazla ödersin hem eksik test alırsın. Elindeki altyapının bu testten kaç maddeyle çıkacağını merak ediyorsan, rol ayrımını ve bakiye denetim kaydını kendi gözünle görmek için canlı demo üzerinden panele girip bir bayi hesabıyla sipariş akışını baştan sona deneyebilirsin.