Modern bir e-ticaret sitesi görünürde bir web sayfasıdır, ama arka planda mobil uygulama, ödeme sağlayıcı, kargo entegrasyonu ve pazaryeri bağlantılarının hepsi API’ler üzerinden konuşur. E-ticaret API güvenliği, ürün, fiyat, sepet, sipariş ve müşteri verisini taşıyan bu programatik uçların yalnızca yetkili istekleri işlemesini sağlar. Kullanıcının hiç görmediği bu katman, saldırganların gördüğü ilk kapıdır.

E-ticaret API güvenliği, mağazanın vitrinini değil; siparişi, ödemeyi ve müşteri verisini taşıyan görünmez boru hattını korumakla ilgilidir.

En Sık Görülen Açık: Yetkilendirme Hatası

E-ticaret API’lerinde en yıkıcı zafiyet genellikle karmaşık bir istismar değil, basit bir yetki kontrolü eksikliğidir. Bir sipariş uç noktası ‘/siparis/10453’ isteğini alırken, o siparişin gerçekten isteği yapan kullanıcıya ait olup olmadığını doğrulamazsa, numarayı değiştiren biri başkasının adresini, telefonunu ve satın aldığı ürünleri okuyabilir. Bu sınıfa BOLA (Broken Object Level Authorization) denir ve OWASP Top 10 API listesinin başında yer alır. Kimlik doğrulaması yapılmış bir kullanıcının bile her nesneye erişim yetkisi ayrıca sorgulanmalıdır.

İkinci yaygın hata, iş mantığının istemciye güvenmesidir. Fiyatı, indirim oranını ya da kargo ücretini API isteğinin gövdesinden okuyan bir uç nokta, saldırganın 1.500 TL’lik ürünü 15 TL’ye sipariş etmesine kapı açar. Fiyat ve stok gibi kritik değerler her zaman sunucu tarafında, güvenilir kaynaktan yeniden hesaplanmalıdır.

Otomasyon ve Bot Baskısı

E-ticaret API’lerini insan değil, çoğunlukla otomasyon zorlar. Rakip firmalar fiyat kazımak için ürün uçlarını dakikada binlerce kez çağırır; dolandırıcılar çalınmış kart listelerini denemek için ödeme uçlarını tarar (carding); spekülatörler sınırlı stoklu ürünleri kapatmak için sepet uçlarını istismar eder. Bu trafiği ayıklamak için Bot yönetimi ve bot koruması devreye girer; istek başına hız sınırlama, cihaz parmak izi ve davranış analiziyle otomatik trafiği meşru müşteriden ayırır.

Sağlam Bir API Temeli Kurmak

Çoğu e-ticaret sistemi REST mimarisi üzerine kuruludur, dolayısıyla REST API güvenliği ilkeleri doğrudan uygulanır: her istek belirteçle (token) doğrulanmalı, belirteçler kısa ömürlü olmalı, hassas veri asla URL’de taşınmamalı ve tüm trafik TLS ile şifrelenmelidir. Bu ilkelerin nasıl uygulanacağı ise genel API güvenliği disiplinine dayanır; giriş doğrulama, çıktı kodlama ve hata mesajlarında bilgi sızdırmama bu bütünün parçalarıdır.

• Her nesne erişiminde sahiplik ve yetki kontrolü yapılması (BOLA’ya karşı)
• Fiyat, indirim ve stok gibi değerlerin sunucuda yeniden doğrulanması
• Uç nokta bazında hız sınırlama ve otomatik trafik ayıklama
• Kısa ömürlü belirteçler ve dar kapsamlı yetkilendirme (least privilege)
• Kullanılmayan ve eski API sürümlerinin kapatılması

Sürekli Test Neden Şart?

E-ticaret platformları haftalık hızda değişir; yeni bir kampanya uç noktası ya da güncellenen bir mobil sürüm, önceki testlerin kapsamadığı bir açık getirebilir. Bu yüzden API güvenliği tek seferlik bir denetim değil, sürekli bir süreçtir. Yeni yayınlanan uçların düzenli aralıklarla taranması için Düzenli zafiyet tarama hizmetimiz değişen saldırı yüzeyini takip ederek yeni açıkların üretime çıkmadan yakalanmasını sağlar.