Güncelleme: 7 Ekim 2026 · Eklenti sürümü: 1.0.21 · Standart: PCI DSS v4.0.1
Bu rehber, Invum POS eklentisiyle kartlı ödeme alan WooCommerce mağazalarının hangi PCI DSS formunu (SAQ) doldurması gerektiğini ve eklentinin bu konuda neleri sizin yerinize yaptığını anlatır. Hukuki ya da denetim tavsiyesi değildir; hangi formu ve taramayı isteyeceğine kartı kabul eden bankanız veya ödeme kuruluşunuz karar verir.
1. Kısa cevap: hangi formu doldurursunuz?
Formu, kart bilgisinin nerede girildiği belirler.
| Varsayılan ödeme hesabınız | Kart bilgisi nerede girilir? | Form |
|---|---|---|
| iyzico | iyzico'nun ödeme formunda | SAQ A |
| PayTR (iFrame) | PayTR'nin sayfanıza gömülü penceresinde | SAQ A |
| NestPay altyapılı bankalar (Akbank, Halkbank, İş Bankası, Ziraat Bankası, TEB, QNB, ING, Şekerbank, Anadolubank, Alternatif Bank, Türkiye Finans, Cardplus) | Sizin ödeme sayfanızdaki kart formunda | SAQ D |
| Garanti BBVA, Yapı Kredi (Posnet), VakıfBank | Sizin ödeme sayfanızdaki kart formunda | SAQ D |
| Param, PayTR Direkt, Craftgate, Moka | Sizin ödeme sayfanızdaki kart formunda | SAQ D |
Neden SAQ D? Bu yöntemlerde kart numarası ve CVV, alıcının tarayıcısından önce sizin sunucunuza (WordPress) gelir; eklenti bunları hiçbir yere yazmadan, bellekteyken bankaya iletir. Yazılmasa bile kart verisi sunucunuzdan geçtiği için PCI SSC'nin kuralına göre SAQ A ve SAQ A-EP'ye uymazsınız. (SAQ A-EP yalnız "web sitesi kart verisini almayan" mağazalar içindir.)
Saklı kartla tekrar ödeme (tek tıkla ödeme, abonelik yenilemesi) yalnız ödeme kuruluşunun verdiği bir anahtarla (token) yapılır; kart numarası girilmez. Formunuzu değiştirmez.
> Not: 1.0.20 ve önceki sürümlerde bu yöntemlerin açıklamasında yanlışlıkla "PCI SAQ A-EP" yazıyordu. 1.0.21'de düzeltildi.
2. Yükünüzü azaltmanın en kolay yolu
PCI yükünüz en az olsun istiyorsanız varsayılan hesabınızı iyzico ya da PayTR (iFrame) yapın (Invum POS › POS Hesapları › "Varsayılan yap"). Kart bilgisi ödeme kuruluşunun formunda girildiği için SAQ A'da kalırsınız.
Bankanızla doğrudan çalışmanız gerekiyorsa (daha düşük komisyon, banka kampanyaları) SAQ D'yi kabul etmiş olursunuz; aşağıdaki §4'ü okuyun.
3. Eklentinin sizin yerinize yaptıkları
Eklentinin kendisi kart verisini saklamaz ve Invum'a hiçbir kart ya da sipariş verisi göndermez.
- Kart numarası, CVV ve son kullanma tarihi veritabanınıza ve loglara yazılmaz. Loglara giden her içerik önce maskelenir.
- 3D Secure geçişinde kart verisi şifrelenir (1.0.21). Bazı bankaların 3D formu kart numarasını ve CVV'yi içerir. Bu form birkaç dakikalığına saklanırken artık her ödeme için ayrı bir anahtarla şifrelenir; anahtar veritabanına hiç yazılmaz, alıcının tarayıcısında kısa ömürlü güvenli bir çerezde durur ve kullanılınca silinir. Veritabanınız ya da yedeğiniz ele geçse bile kart bilgisi okunamaz. 1.0.20 veya daha eski sürüm kullanıyorsanız hemen güncelleyin.
- Saklı kartlarda yalnız ödeme kuruluşunun token'ı, kartın ilk 6–8 hanesi (BIN), son 4 hanesi ve son kullanma ay/yılı tutulur.
- Banka ve ödeme kuruluşu API anahtarlarınız veritabanında AES-256 ile şifreli durur.
- Bankadan dönen ödeme sonucu imza/hash ile doğrulanır; sahte "ödendi" bildirimi siparişi ödenmiş yapamaz.
- Kart denemesi (carding) koruması: çalıntı kart listelerini ödeme formunuzda deneyen botlar, art arda başarısız ödemelerden sonra durdurulur.
- İletim: Bankalara ve ödeme kuruluşlarına bağlantılar HTTPS (TLS) üzerindendir.
Bunlar PCI yükünüzü azaltır ama formu sizin yerinize doldurmaz; sitenizin geri kalanının (sunucu, WordPress, diğer eklentiler, yönetici hesapları) güvenliği sizin sorumluluğunuzdadır.
4. Sizin yapmanız gerekenler
Her mağaza (SAQ A ve SAQ D)
- Bankanıza/ödeme kuruluşunuza sorun: hangi seviyedesiniz (çoğu küçük mağaza Seviye 4), hangi formu ve hangi sıklıkta istiyorlar, dış zafiyet taraması (ASV) istiyorlar mı?
- Sitenizin tamamı HTTPS olsun ve TLS 1.0/1.1 kapalı olsun (barındırma firmanıza sorun).
- WordPress, WooCommerce, tema ve eklentileri güncel tutun. Kullanmadığınız eklentileri silin; ödeme sayfanıza yalnız güvendiğiniz eklentiler betik eklesin.
- Yönetici hesaplarına iki aşamalı doğrulama ekleyin (ör. ücretsiz "Two-Factor" eklentisi), paylaşılan hesap kullanmayın, yönetici sayısını en aza indirin.
- Ödeme kuruluşunuzun yıllık PCI uyum belgesini (AOC) isteyip saklayın.
- Bir olay planınız olsun: kart verisi sızıntısından şüphelenirseniz kimi arayacağınız (banka, ödeme kuruluşu), KVKK'ya 72 saat içinde bildirim.
SAQ A mağazaları için ek
- PCI DSS v4.0.1, SAQ A için "ödeme sayfanızın yetkisiz betik saldırılarına karşı korunduğunu" ister. Kart, ödeme kuruluşunun (iyzico, PayTR) formunda girildiği için formun güvenliği onların sorumluluğundadır; sizin payınız ödeme sayfanıza tanımadığınız betik/eklenti eklememek ve siteyi güncel tutmaktır.
SAQ D mağazaları için ek
SAQ D, PCI DSS'nin neredeyse tamamını kapsar. Küçük bir mağaza için en önemlileri:
- Çeyreklik dış zafiyet taraması (ASV) — PCI SSC onaylı bir tarama firmasıyla (bankanız önerebilir).
- Güvenlik duvarı / WAF ve yalnız gereken portların açık olması.
- Kötü amaçlı yazılım taraması ve dosya bütünlüğü izleme (değişen PHP dosyalarını fark etmek).
- Erişim kayıtlarının tutulması ve düzenli gözden geçirilmesi.
- Yıllık sızma testi (bankanız istiyorsa).
- Sunucuya erişimi olan herkesin (barındırma firması dahil) kimlikli ve kayıtlı olması.
Bu yük size ağır geliyorsa §2'deki gibi barındırılan forma (iyzico / PayTR iFrame) geçmek en etkili çözümdür.
5. Sık sorulanlar
Invum PCI sertifikalı mı, onun belgesi bana yeter mi? Hayır. Invum bir yazılımdır; kart verinizi saklamaz, iletmez, işlemez, bu yüzden "hizmet sağlayıcı" olarak PCI belgesi vermez. Formu siz doldurursunuz; ödeme kuruluşunuzun belgesi (AOC) sizin dosyanıza girer.
Kart bilgisini hiç görmeyen bir mod var mı? Evet: iyzico ve PayTR iFrame. Bankalarda barındırılan ödeme sayfası (3D Pay Hosting gibi) şu an eklentide yok.
Formu nereden indiririm? PCI SSC belge kütüphanesinden (pcisecuritystandards.org › Document Library › SAQ). Bankanız kendi portalında da sunabilir.
Sorum var. Eklenti içinden Invum POS › Destek Talepleri sayfasını ya da support@invum.com.tr adresini kullanın.