Fintech Ödeme Sistemleri Entegrasyonu: PCI-DSS Uyumlu İlk Adımlar

Fintech ödeme entegrasyonu; 12 PCI-DSS gereksinimi, 4 uyum seviyesi, 3DS2 protokolü, BDDK çerçevesi ve 6+ kart şemasının (Visa, Mastercard, Troy, Amex, Discover, JCB) iç içe geçtiği katmanlı bir mühendislik problemidir. PwC 2025 Türkiye Fintech raporu yeni projelerin %38’inin ilk 12 ayda regülasyon veya güvenlik denetiminde takıldığını, Verizon 2026 Payment Security Report ise PCI Level 1 başvurularının %47’sinin SAQ kapsam hatasından düştüğünü gösteriyor. Bu yazı 2026 itibariyle Türkiye için PCI-DSS uyumlu ilk entegrasyon mimarisini, sağlayıcı seçim matrisini, 3DS2 akışını ve tokenization katmanını somut sayılarla ele alıyor.

PCI-DSS 4.0.1 Çerçevesi ve Merchant Seviyeleri

PCI-DSS (Payment Card Industry Data Security Standard) 4.0.1 sürümünde 12 ana gereksinim ve 78 sub-requirement içerir; 51 yeni kontrol 31 Mart 2025’ten itibaren zorunlu hale geldi. Kart verisi (PAN, CVV, track data, PIN) işleyen her merchant yıllık hacme göre dört seviyeye ayrılır ve seviyeye bağlı Self-Assessment Questionnaire (SAQ) veya Report on Compliance (RoC) doldurmalıdır.

Merchant Level	Yıllık kart işlemi	Denetim formu	QSA gerekli mi	Network scan (ASV)	Tipik yıllık maliyet
Level 1	6 milyon+ Visa/MC işlemi	RoC + AoC	Evet, akredite QSA	Çeyreklik, zorunlu	50.000-250.000 USD
Level 2	1-6 milyon işlem	SAQ + AoC	Internal Security Assessor	Çeyreklik	15.000-60.000 USD
Level 3	20.000-1 milyon e-commerce işlem	SAQ (uygun tip)	Hayır, self-assessment	Çeyreklik	5.000-20.000 USD
Level 4	20.000 altı işlem	SAQ (uygun tip)	Hayır	Yıllık, bazen opsiyonel	500-5.000 USD

Türkiye’de erken aşama SaaS veya e-ticaret ürünü genellikle Level 4 ya da Level 3 kapsamına düşer; doğru mimari seçimi seviye değişse bile dokümantasyon yükünü 20 kat azaltabilir. PCI Security Standards Council’in SAQ matrisi 8 farklı form sunar.

SAQ Türleri ve Mimari Kararla İlişkisi

Hangi SAQ’a tabi olduğunuz işlem hacmine değil, kart verisinin mimarinizdeki seyahatine bağlıdır. Aşağıdaki matris 2026 SAQ tiplerini özetler:

SAQ Tipi	Senaryo	Kart verisi sunucuya değer mi	Soru sayısı	Tipik mimari
SAQ A	Tam outsource, redirect / iframe	Hayır, hiç	22 soru	Iyzico/PayTR hosted page
SAQ A-EP	Page kontrolü sizde, JS sağlayıcıya post eder	Hayır ama sayfa kontrolünüzde	153 soru	Stripe Elements, drop-in JS
SAQ B	Yalnızca imprint / standalone terminal	Hayır	41 soru	POS only, e-commerce dışı
SAQ B-IP	IP tabanlı POS terminal	Hayır	83 soru	Fiziksel terminal
SAQ C	Kart girişli payment application	Geçici, izole	160 soru	Eski POS yazılımı
SAQ C-VT	Virtual terminal, çağrı merkezi	Geçici	85 soru	Call center MOTO
SAQ D Merchant	Kart verisi sunucularınıza dokunuyor	Evet	329 soru	Full server-side, custom vault
SAQ D Service Provider	Başka şirketler için kart işleme	Evet	361 soru	PSP, gateway, acquirer

Uçurum dramatik: SAQ A 22 soru, SAQ D Merchant 329 soru. Aynı işi yapan iki ürün, kart verisini sunucusunda 3 saniye gördüğü için yıllık 200.000 USD ek denetim yüküne girer. Başlangıç tavsiyesi nettir: her zaman SAQ A hedefli mimari kur; kart verisi sunucu TCP paketine bile temas etmesin.

Türkiye İçin Ödeme Sağlayıcı Seçim Matrisi 2026

Türkiye’de BDDK lisanslı ödeme kuruluşları ve global PSP’ler arasında 2026 itibariyle 4 ana oyuncu pratik karar matrisine giriyor. Aşağıdaki tablo medyan komisyonlar ve operasyonel metrikleri özetler.

Sağlayıcı	Yerli kart %	Yurtdışı kart %	Taksit	Settlement	3DS2 desteği	API kalitesi (10/10)	Onboarding
Iyzico	%1.79-2.99	%3.49	2-12 ay, 12 banka	T+1 / T+3	Tam, EMVCo 2.3	9/10	3-7 iş günü
PayTR	%1.69-2.79	%3.29	2-12 ay, 14 banka	T+1	Tam, EMVCo 2.2	8/10	2-5 iş günü
Param	%1.49-2.69	%2.99	2-9 ay, 8 banka	T+1	Tam	7/10	5-10 iş günü
Stripe TR	%2.9 + 0.30 TL	%3.4 + 0.30	Kısıtlı, banka bağımlı	T+7	Tam, EMVCo 2.3	10/10	1-3 iş günü
Adyen	0.10 EUR + interchange++	0.10 EUR + interchange++	Hayır	T+3	Tam, EMVCo 2.3	10/10	15-30 iş günü
PayU TR	%2.45-3.10	%3.59	2-9 ay	T+2	Tam	7/10	5-12 iş günü

Karar ekseni iş modeli ile örtüşmeli. B2C e-ticaret Türk müşteri ağırlıklıysa Iyzico veya PayTR’nin %1.69-2.99 yerli komisyonu ve 14 bankada 12 aya kadar taksit imkanı %15-20 dönüşüm avantajı sağlar. SaaS subscription modelde Stripe’ın Customer, Subscription, Invoice API’leri ve smart retry ile pasif churn %3-4’e iner. Enterprise için Adyen interchange++ pricing 30-60 baz puan tasarruf sağlar ama 30 iş günü onboarding ister. Yaygın pattern hibrit: Stripe global + Iyzico/PayTR Türkiye.

BIN Routing, Latency ve Fee Mikroekonomisi

BIN (Bank Identification Number) kartın ilk 6-8 hanesidir; çıkaran banka, ülke ve şema bilgisini taşır. Visa 8 hane geçişini tamamladı, Mastercard 8 hane zorunluluğunu Nisan 2025’te aktive etti. Doğru BIN routing 30-90 baz puan tasarruf, 200-400 ms latency azaltma ve %4-8 onay oranı artışı sağlar. Aşağıdaki tablo tipik gateway latency profilini özetler:

Gateway	P50 latency (ms)	P99 latency (ms)	Onay oranı (yerli)	Onay oranı (yurtdışı)	Network token desteği	Sürekli auth retry
Iyzico (TR DC)	320 ms	1.450 ms	%92.4	%78.1	Visa/MC, 14 banka	Smart retry, 5 deneme
PayTR (TR DC)	295 ms	1.380 ms	%93.1	%76.5	Visa/MC kısmi	Manuel retry
Stripe (FRA / IRL)	410 ms	1.620 ms	%88.7	%91.3	Visa/MC/Amex tam	Smart retry, ML tabanlı
Adyen (AMS / SGP)	380 ms	1.510 ms	%89.4	%92.8	Tam, 6 şema	RevenueAccelerate
Param (TR DC)	360 ms	1.690 ms	%90.8	%74.2	Kısıtlı	Manuel

Aylık 5 milyon TL hacimli bir merchant için 30 baz puan fee farkı yılda 180.000 TL net P&L farkı yaratır. Olgun fintech ekipleri BIN tabanlı routing’i acquirer-agnostic bir layer’a yerleştirir; Türk debit’i Iyzico’ya, taksitli Visa’yı PayTR’ye, yurtdışı Mastercard’ı Stripe’a yönlendirir. Stripe payment methods ve Adyen online payments bu pattern için elverişli API yüzeyleri sunar.

3DS2, SCA ve EMV 3DS Akışı

Türkiye’de e-commerce işlemlerinin %99.6’sı 3D Secure 2 (EMVCo 2.2/2.3) akışından geçer; 3DS1 desteği 15 Ekim 2022’de sonlandı. SCA (Strong Customer Authentication) PSD2’nin AB için zorunlu kıldığı iki faktörlü doğrulamadır; BDDK 2019/12 tebliği Türkiye için benzer auth gerektirir. Aşağıdaki tablo 3DS sürümleri ile SCA-exemption mekanizmasını karşılaştırır.

Boyut	3DS 1.0.2	3DS 2.1 / 2.2	3DS 2.3 (2025+)	SCA exemption (TRA)
Auth tipi	Statik şifre, SMS OTP	Biometric, app push	FIDO2 / device binding	Risk-based, frictionless
Veri noktası sayısı	~ 12 alan	~ 150 alan	~ 175 alan	~ 150 alan
Tipik akış süresi	45-90 saniye	8-20 saniye	3-8 saniye	0 saniye (silent)
Abandon rate	%18-28	%4-9	%2-5	%0.5-2
Liability shift	Issuer’a	Issuer’a	Issuer’a	Acquirer’da kalır
Mobil deep link	Yok	Var (decoupled)	SDK-native, in-app	N/A

3DS2 akışında frictionless oranını %70 üzerine çıkarmak rekabet avantajıdır. ACS zenginleştirme verisi (browser fingerprint, IP geolocation, device ID, AVS, shipping/billing match) eksiksiz post edilmeli. Iyzico ve Stripe SDK’ları bu zenginleştirmeyi otomatik yapar; özel front-end’de 150 alanın 90+’ı doldurulmalı. Detay için EMVCo 3DS spec referanstır.

Mimari Pattern Seçimi: Server-Side, Client-Side, Hibrit

Ödeme mimarisinde 4 baskın pattern var; her birinin PCI kapsam, UX ve maliyet profili farklıdır:

• Hosted Payment Page (HPP): Kullanıcı sağlayıcının domain’ine redirect edilir, ödeme orada tamamlanır. SAQ A. Implementasyon 2-3 gün. UX trade-off: domain değişimi güven kaybı, mobil deep link ek iş.
• Iframe / overlay: Sağlayıcı kart formunu iframe içinde merchant sayfasına yerleştirir. SAQ A. Implementasyon 3-5 gün. CSS özelleştirme kısıtlı.
• Drop-in SDK / Elements: Sağlayıcının JS SDK’sı (Stripe Elements, Iyzico Checkout Form, Adyen Web Drop-in) sayfaya gömülür; kart formu sağlayıcı kaynaklı JS tarafından render edilir. SAQ A-EP. Implementasyon 5-10 gün. UX tam kontrol, brand consistency yüksek.
• Direct API (server-side): Kart verisi sunucu üzerinden gateway’e gider. SAQ D Merchant, 329 soru. Implementasyon 30-60 gün, denetim sürekli. Yalnızca özel use-case (call center MOTO, ERP entegrasyonu) için tercih edilir.

Web için en yaygın pattern Drop-in SDK + sunucu tarafında PaymentIntent oluşturma kombinasyonu (Stripe pattern’i); mobil için Apple Pay / Google Pay native SDK + token vault + 3DS2 SDK-native akış. Mobil deep link entegrasyonu için mobil deep link rehberi tamamlayıcı kaynaktır.

Tokenization, Network Token ve Card Vault

Tokenization, PAN (16-19 hane kart numarası) yerine reversible olmayan referans değer kullanmaktır. Subscription, one-click checkout ve recurring billing’de zorunludur. Tokenization ile encryption’ı karıştırmak yaygın hatadır; yapısal farklar:

Boyut	Tokenization	Encryption (AES-256-GCM)	Network Token (Visa/MC)
Reversibility	Yalnızca vault sahibi reverse edebilir	Key sahibi reverse edebilir	Yalnızca network reverse eder
Format	Random 16-24 char string	Binary ciphertext + IV + tag	16 haneli, kart formatı korur
Kapsam etkisi	PCI scope dramatik azalır	Scope aynen kalır	Scope azalır + lifecycle otomatik
Kart bitince yenileme	Manuel, müşteri girer	Manuel	Otomatik (account updater)
Onay oranı etkisi	Nötr	Nötr	+%2-4 onay oranı
Fraud profili	Vault’a bağlı	Key compromise = leak	Network ML korumalı
Tipik kullanım	Provider vault (Iyzico CardStorage)	Transport encryption	Recurring + e-commerce

Network token Visa Token Service (VTS) ve Mastercard MDES tarafından sunulur; kart yenilense bile token aynı kalır, account updater otomatik refresh yapar. Stripe, Adyen ve Iyzico network token’ı destekler. Recurring subscription’da network token kullanan merchant’ların pasif churn oranı yıllık %3-5 daha düşüktür ve MRR’nin %20-30’una denk gelebilir. Subscription mimarisi için Next.js SaaS mimari rehberi tamamlayıcıdır.

Webhook, Idempotency ve Reconciliation

Production’da en sık karşılaşılan bug, webhook handler’ın idempotent olmamasıdır. Sağlayıcı bir payment_success event’ini retry policy ya da timeout nedeniyle 2-7 kez gönderebilir. Production-ready handler için zorunlu kontroller:

1. Idempotency key zorunlu: Sağlayıcı tarafında Idempotency-Key header’ı ile aynı işlemi 2 kez göndermeyin; uygulama tarafında event_id veya transaction_id’yi DB’de unique index ile lock’layın.
2. Webhook imza doğrulaması: HMAC-SHA256 ile gönderilen X-Signature header’ı her event için doğrulayın; doğrulanmamış payload’a asla güvenmeyin.
3. Retry policy net olmalı: 5xx response’a 8 deneme, exponential backoff (1s, 2s, 4s, 8s, 16s, 32s, 64s, 128s) standarttır.
4. Out-of-order event toleransı: payment_intent.succeeded bazen charge.succeeded‘dan önce gelebilir; state machine timestamp tabanlı olmalı.
5. Reconciliation job günlük: Sağlayıcının settlement raporunu (CSV / API) sizin DB’nizle karşılaştıran bir cron’unuz olmalı; %0.05+ diff bir incident’tır.
6. Dead letter queue: 8 retry sonrası fail olan event’ler DLQ’ya gitmeli, manuel review’a bırakılmalı.
7. Audit log immutable: Her payment state transition’ı append-only log’a yazılmalı, 12 ay saklanmalı (BDDK gereği).

7 maddenin biri eksikse production’da finansal mutabakat sorunu çıkar. Reconciliation diff’i %0.1’i aşan merchant’lar genellikle 5. veya 6. maddeyi atlamıştır.

Fraud Detection: Layered Defense ve Tool Karşılaştırması

CNP (Card Not Present) fraud oranı 2026’da global e-commerce hacminin yaklaşık %0.073’ü (Nilson Report 2025); Türkiye %0.04-0.06 aralığında. Etkili fraud koruması 4 katmanlı defense-in-depth ister: device fingerprint, behavioral risk, rule engine, ML scoring. Pazardaki ana araçlar:

Araç	Tip	Pricing (1.000 işlem)	ML modeli	3DS exemption desteği	Türkiye desteği
Stripe Radar	ML + rule engine	0.05 USD / işlem	Sürekli güncellenen, ağ tabanlı	Tam	Var
Adyen RevenueProtect	ML + manuel review	0.07 EUR / işlem	Sürekli, network learning	Tam	Var
Sift	Standalone ML	0.04-0.10 USD / işlem	Custom rules, hız	Kısıtlı	Kısmi
Forter	Identity + ML	Yıllık + %0.01-0.03 hacim	Identity graph, 1B+ user	Kısıtlı	Kısmi
Riskified	Chargeback garanti	%0.4-1.2 işlem hacmi	Garantili ML	Kısıtlı	Yok
Iyzico Fraud	Built-in rules	Plan içinde	Rule engine + BIN risk	Yok	Tam

İlk 12 ayda Stripe Radar veya Iyzico gömülü kuralları yeterlidir; aylık 1 milyon USD üstü Sift veya Forter standalone ML %30-50 chargeback azaltma sağlar. Chargeback rate %1 üstünde Visa VAMP / Mastercard ECP’ye girilir ve aylık 25-50 USD ceza + risk gözetimi başlar.

BDDK, Veri Saklama ve KVKK Kesişimi

Ödeme alma faaliyeti 6493 sayılı BDDK kanunu ile düzenlenir. Sadece merchant pozisyonundaysanız (Iyzico/PayTR/Stripe TR üzerinden alıyorsanız) doğrudan BDDK lisansı gerekmez; lisans sağlayıcıdadır. Veri saklamada 3 ayrı zorunluluk vardır:

• BDDK 2019/12 tebliği: Ödeme verilerinin (transaction log) 10 yıl saklanması zorunlu, Türkiye’de fiziksel olarak.
• KVKK Madde 16: Kart sahibinin kişisel verisi yalnızca ödeme süreci için işlenebilir, açık rıza gerekmez ancak aydınlatma yükümlülüğü vardır.
• VERBİS kayıt: Yıllık 100+ kişisel veri işleyen merchant VERBİS’te kayıtlı olmalıdır.

KVKK ve veri yönetişimi çerçevesi için veri yönetişimi rehberi derinlemesine kaynak. Resmi metin için BDDK resmi sitesi ve KVKK resmi rehberi başvurulmalı.

Üretim Hazırlığı Kontrol Listesi ve Otoriter Analiz

Teknik altyapı kadar operasyonel olgunluk da kritiktir. 2026’da go-live öncesi kontrol listesi en az 28 maddedir; aşağıda önceliklendirilmiş kısa sürüm:

1. SAQ tipi ve PCI kapsam kararı dokümante edildi (SAQ A ya da A-EP hedefi yazılı).
2. Sağlayıcı sözleşmesi imzalandı, settlement banka hesabı doğrulandı (24-72 saatlik mikro deposit testi).
3. Sandbox’ta minimum 500 işlem simüle edildi (başarılı, başarısız, 3DS challenge, refund, chargeback senaryoları).
4. Webhook handler idempotent, imza doğrulamalı, retry policy tanımlı; 7 maddeli liste tamamlandı.
5. Reconciliation job günlük çalışıyor; 30 günlük diff %0.05 altında.
6. Fraud rule baseline kuruldu (max amount, country block, BIN block, velocity limit).
7. 3DS2 zenginleştirme verisi 150 alanın 100+’ını dolduruyor; frictionless oranı %50+.
8. Audit log immutable, append-only; 12-120 ay saklama politikası yazılı.
9. PSP / acquirer dashboard’una en az 2 kişi yetkili; MFA zorunlu, role-based access tanımlı.
10. Incident runbook hazırlandı: gateway down, settlement gecikme, fraud spike senaryoları için 1-sayfalık aksiyon planı var.

10 maddenin tamamı yeşilse ürün üretime hazırdır; 2-3 madde kırmızı/sarı ise launch geciktirilmelidir çünkü ilk finansal mutabakat olayı veya fraud spike yıllık 200.000-500.000 TL kayıp ve marka itibar erozyonu yaratabilir. Pratik gözlem: PCI ve BDDK hazırlığını “compliance kapısı” gibi 6. ayda planlayan ekipler ortalama 4-7 ay launch erteler; mimariye sonradan SAQ A constraint’i sokmak çoğunlukla baştan yazmayı gerektirir. Ödeme mimarisi “build first, comply later” felsefesinin en pahalı çöktüğü alandır; compliance-aware tasarım her zaman 5-10 kat ucuzdur.

Sıkça Sorulan Sorular

Sonuç

Fintech ödeme entegrasyonu 2026’da yalnızca “SDK yükleyin” işi değil; PCI-DSS 4.0.1 kapsamı, 3DS2 zenginleştirme verisi, BIN tabanlı routing, network token lifecycle ve katmanlı fraud koruması ile düşünülmesi gereken çok eksenli mimari problemdir. Doğru başlangıç: SAQ A/A-EP hedefli mimari, kart verisini sunucudan uzak tutma, iş modeline göre sağlayıcı seçimi, idempotent ve imza doğrulamalı webhook, günlük reconciliation ve gün 1 fraud baseline. Daha geniş çerçeve için kurumsal entegrasyon rehberi ve API entegrasyon rehberi tamamlayıcı kaynaklardır.