Ödeme Sistemleri ve Gateway Entegrasyonu

Ödeme sistemi (payment gateway) nedir?

Payment gateway (ödeme ağ geçidi), müşterinin kart bilgisini şifreleyerek bankaya taşıyan, yetkilendirme (authorization) ve tahsilatı (capture) yürüten aracı katmandır. E-ticaret ve özellikle çok satıcılı pazaryerlerinde gateway; güvenlik, taksit, alternatif ödeme yöntemleri ve satıcıya para dağıtımı gibi işlevleri tek noktada toplar. Türkiye’de iyzico, PayTR ve PayU gibi sağlayıcılar TCMB tarafından 6493 sayılı Kanun çerçevesinde lisanslı ödeme kuruluşudur ve PCI DSS uyumu sağlar; bu sayede kart verisini kendi sunucunuzda tutmadan güvenli tahsilat yaparsınız.

Türkiye’de ödeme sağlayıcıları ve maliyet

Aşağıdaki komisyon oranları temsilidir; gerçek oran cironuza, sektöre ve sözleşmeye göre pazarlıkla belirlenir. Karşılaştırma yaparken tek başına yüzdeye değil, sabit işlem ücretine ve hakediş süresine (T+ gün) de bakın.

3D Secure akışı adım adım

3D Secure, kart sahibini bankanın doğrulama adımıyla (SMS/OTP ya da uygulama onayı) teyit eden katmandır ve Türkiye’de kartlı ödemede fiilen standarttır. Genel akış:

• 1. Başlatma: tutar, sipariş no ve alıcı/sepet bilgisiyle ödeme başlatılır.
• 2. Yönlendirme: sağlayıcı bir 3D doğrulama sayfası/HTML üretir; müşteri bankasında onaylar.
• 3. Callback: banka sonucu callback ile bildirir; imza/parametreler doğrulanır.
• 4. Sonuç: başarılıysa sipariş “ödendi” yapılır ve ödeme kimliği (paymentId) saklanır.

iyzico tarafında bu akış ThreedsInitialize ile başlatılır, dönen threeds html içeriği müşteriye gösterilir ve doğrulama sonrası callback’te ThreedsPayment ile ödeme kapatılır. PayTR tarafında ise HMAC-SHA256 ile üretilen bir token alınır (get-token) ve ödeme, siteye gömülü iframe içinde tamamlanır; bu modelde kart verisi hiç sizin sayfanıza girmediği için PCI DSS yükü belirgin biçimde azalır.

PCI DSS: kart verisi güvenliği

PCI DSS, kart verisini işleyen sistemler için güvenlik standardıdır. En sağlam strateji kart verisini hiç görmemektir. Uyulması gereken temel ilkeler:

• Kart verisini saklamayın: kart numarası ve CVC asla veritabanına yazılmaz.
• Tokenizasyon: tekrar eden ödemede kart yerine sağlayıcının verdiği token kullanılır.
• Hosted/iframe: ödeme alanını sağlayıcının barındırdığı sayfa/iframe üzerinden alın.
• TLS zorunlu: tüm ödeme trafiği HTTPS/TLS üzerinden akmalı.
• Loglama disiplini: kart numarası/CVC hiçbir loga düşmez; yalnızca sipariş ve ödeme kimliği loglanır.
• Rate limiting: ödeme uç noktasına deneme sınırı koyup kart deneme (carding) saldırısını yavaşlatın.

Marketplace ödemeleri: split payment ve escrow

Çok satıcılı platformda tek çekimle alınan tutar, komisyon platformda kalacak ve kalan satıcıya gidecek biçimde split payment (bölünmüş ödeme) ya da alt işyeri (submerchant) modeliyle ayrıştırılır. Ödeme çoğu zaman escrow mantığıyla tutulur ve satıcıya settlement takvimine göre (ör. T+7, T+15) aktarılır; bu, mesafeli satışta 14 günlük iade hakkının doğurduğu riski yönetmek içindir. Ödemenin satıcıya nasıl bölüneceği, komisyonun nasıl kesileceği ve fatura akışı doğrudan komisyon yönetimi konusuyla iç içedir.

Alternatif ödeme yöntemleri

Kartın yanında sunulan yöntemler dönüşümü artırır ve maliyeti dengeler. Her yöntemin komisyonu ve operasyon yükü farklıdır.

Maliyet karşılaştırması ve formül

Tek işlemin sağlayıcı maliyeti şöyle hesaplanır:

İşlem maliyeti = (tutar × komisyon oranı) + sabit işlem ücreti

Aylık toplamda ise: aylık maliyet = GMV × komisyon oranı + işlem sayısı × sabit ücret. Örnek — aylık 500.000 TL ciro ve 2.000 işlem (temsili):

• iyzico: 500.000 × %2,49 + 2.000 × 0,25 = 12.450 + 500 = 12.950 TL
• PayTR: 500.000 × %2,79 + 2.000 × 0,25 = 13.950 + 500 = 14.450 TL
• BKM Express: 500.000 × %1,5 = 7.500 TL (en ekonomik, ancak yalnız kayıtlı kart)
• Havale: 0 TL komisyon, karşılığında manuel mutabakat iş yükü.

Doğru strateji tek sağlayıcıya kilitlenmek değil, yönteme göre yönlendirmedir: yüksek tutarlı B2B’de havale, mobilde cüzdan/Apple-Google Pay, standart kartlı satışta ana gateway. Böylece hem dönüşüm hem birim maliyet optimize edilir.

Mevzuat ve uygulama kontrol listesi

Ödeme sağlayıcıları 6493 sayılı Kanun kapsamında TCMB lisanslıdır; alıcı verileri 6698 sayılı KVKK ile korunur ve ödeme kaydında kart verisi tutulmaz. Mesafeli satışta cayma/iade hakları tüketici mevzuatına tabidir ve settlement takvimi buna göre kurgulanır. Pazaryeri işletiyorsanız aracılık faaliyeti 6563 sayılı Kanun ve ETBİS kaydı kapsamındadır; komisyon faturaları GİB e-Fatura/e-Arşiv ile kesilir.

• Kartı tokenize edin; hosted sayfa/iframe kullanın; CVC ve kart numarasını asla saklamayın.
• 3D Secure’u varsayılan yapın; callback imzasını doğrulayın.
• Ödeme uç noktasına rate limiting ve girdi doğrulaması ekleyin.
• Marketplace’te split payment + settlement (T+7/T+15) ve iade riskini birlikte tasarlayın.
• Maliyeti (tutar × oran) + sabit ücret formülüyle sağlayıcı ve yöntem bazında izleyin.

Ödeme, kargo ve fatura akışını uçtan uca birleştirmek için kargo + e-fatura entegrasyon çözümümüze bakın; size özel bir kurulum için talep formunu doldurun. Lojistik tarafını kargo entegrasyonu, gelir tarafını komisyon yönetimi yazımızda inceleyebilirsiniz.