Pazaryeri Entegrasyonunda Güvenlik: 2FA ve Roller

Pazaryeri entegrasyonunda güvenlik üç temele dayanır: her kullanıcıya kendi hesabı ve iki adımlı doğrulama, işine göre sınırlı rol, pazaryeri API anahtarlarının kontrollü yönetimi. Entegrasyon paneli tek yerden tüm kanallarınızın stoğuna ve fiyatına yazabildiği için, tek bir pazaryeri hesabından daha değerli bir hedeftir. Bu yazı, teknik bilgi gerektirmeden uygulayabileceğiniz kuralları ve bir kontrol listesi sunar.

Entegrasyon paneli neden kritik bir hedef

Bir pazaryeri hesabı ele geçirilirse hasar o kanalla sınırlı kalır. Entegrasyon paneli ele geçirilirse tek işlemle tüm kanallarda fiyat sıfırlanabilir, stok değiştirilebilir, müşteri bilgileri dışarı çıkabilir. Üstelik saldırganın panele girmesi için sizin dışarıdan saldırıya uğramanız gerekmez; en yaygın senaryo, herkesin bildiği ortak bir parola ve şirketten ayrılmış bir çalışandır.

Bu yüzden entegratör seçerken sorulan ilk güvenlik sorusu "rol ve 2FA var mı?" olmalıdır; entegratör seçerken sorulacak 15 soru listesinde on üçüncü soru budur. Bulutegra'da kullanıcı rolleri ve iki adımlı doğrulama panelin standart parçasıdır.

Kural 1: Herkese kendi hesabı, herkese 2FA

Ortak hesap en yaygın ve en tehlikeli alışkanlıktır. "Ofis" adlı bir kullanıcı ve herkesin bildiği bir parola varsa, kimin ne yaptığı bilinmez ve bir kişi ayrıldığında parolayı herkes için değiştirmek gerekir.

Uygulama adımları:

1. Panelde her çalışan için ayrı kullanıcı açın; ad ve e-posta kişiye ait olsun.
2. Her kullanıcıda iki adımlı doğrulamayı zorunlu yapın. Kod üreten bir uygulama SMS'ten daha güvenlidir.
3. Yedek kodları güvenli yerde saklayın; telefon kaybında tek giriş yolu bunlardır.
4. Yönetici hesabını günlük işte kullanmayın. Yöneticinin de günlük iş için daha dar yetkili ikinci hesabı olsun.
5. Parola yöneticisi kullanın; parolayı e-posta veya mesajla paylaşmayın.

Tek cümlelik kural: Panelde "kim yaptı?" sorusunun cevabı her işlem için tek bir kişi olmalıdır.

Kural 2: Yetki işe göre verilir

Rol tabanlı yetki, her kullanıcının yalnız işi için gereken ekranları görmesi ve yalnız o alanlara yazabilmesi demektir. Bulutegra'da altı hazır rol vardır; çoğu işletmenin ihtiyacını ilk dördü karşılar:

• Yönetici: tüm ekranlar, kullanıcı yönetimi, kanal bağlantıları, sahiplik bayrağı, yazma yetkisi devri.
• İçerik: ürün bilgisi, başlık, açıklama, görsel, kalite sekmesi. Fiyat ve stok yazamaz.
• Depo: siparişler, kargo, iade kabulü, barkodla depo işlemi. Fiyat değiştiremez, kanal bağlantısına dokunamaz.
• Muhasebe: hakediş ve mutabakat, kârlılık, raporlar, CSV dışa aktarım. Ürün ve stoğa yazamaz.
• İade: iade kabulü ve iade süreci; siparişleri görür ve ERP'ye aktarabilir.
• Raporlama: yalnız panel özeti ve raporlar. Hiçbir değişiklik yapamaz.

Rol verirken şu soruları sorun:

• Bu kişi işini yapmak için hangi ekranlara bakmalı?
• Hangi alanlara yazması gerekiyor? Bakmakla yazmak farklıdır.
• Bu yetkiyle yanlışlıkla yapabileceği en büyük hata nedir?

Fiyat yazma ve kanal bağlantısı değiştirme yetkisi en dar tutulacak yetkidir. Kampanya dönemlerinde geçici yetki veriyorsanız, kampanya bitince geri alın; bu konu kampanya dönemlerinde stok ve fiyat yönetimi yazısında da geçer.

Kural 3: API anahtarları ve kanal yetkileri

Entegrasyon, pazaryerlerine sizin adınıza API anahtarıyla bağlanır. Bu anahtarlar parola kadar değerlidir.

• Anahtarı yalnız entegrasyon paneline girin; e-posta, mesaj veya tabloya yazmayın.
• Pazaryeri izin veriyorsa anahtara yalnız gereken izinleri verin.
• Etsy ve eBay gibi kanallarda tek tıkla yetkilendirme kullanın; anahtar kopyalamak gerekmez, yetkiyi pazaryeri panelinden istediğinizde iptal edebilirsiniz.
• Anahtarı üreten pazaryeri hesabı kişiye değil şirkete ait olsun; kişi ayrıldığında hesap kapanmasın.
• Anahtarları belirli aralıklarla yenileyin; yenileme sonrası kanal izleme ekranında bağlantının sağlıklı olduğunu görün.
• Hangi anahtarın hangi kanal ve hangi yetkiyle tanımlı olduğunu tek bir listede tutun.

Sahiplik bayrağı da bir güvenlik aracıdır: ürün × kanal için "bu kanalı entegrasyon mu yönetiyor, dış sistem mi?" işareti, yetkisiz bir aracın kanala yazmasını engeller. Bu bayrağın kurulumda nasıl kullanıldığı gölge mod yazısında anlatılıyor.

Kural 4: Ayrılan çalışan, kayıt takibi ve uyarılar

Personel değişimi, güvenlik açıklarının en sık doğduğu andır. Aynı gün uygulanacak adımlar:

1. Panel hesabını kapatın; silmek yerine pasife alın ki işlem geçmişi kalsın.
2. O kişinin bildiği ortak parola varsa hepsini değiştirin.
3. Kişi kendi adına pazaryeri API anahtarı ürettiyse anahtarı iptal edip yeniden üretin.
4. Kişinin telefonundaki bildirim ve mobil arayüz erişimini kapatın.
5. Son otuz günün işlem geçmişini gözden geçirin: toplu fiyat değişikliği, CSV dışa aktarım, kanal bağlantısı değişikliği.
6. Yeni sorumluya rolü devredin; yetkiyi kişiye değil işe göre verin.

Kayıt takibi için panelde işlem geçmişinin kullanıcı adıyla tutulması şarttır. "Kim, ne zaman, hangi ürünün fiyatını değiştirdi?" sorusuna dakikalar içinde cevap alabilmelisiniz. Aynı kayıt, hata durumunda da işe yarar: bir kanalda fiyat yanlış görünüyorsa sorunun kullanıcı işleminden mi, dış sistemden mi, pazaryerinden mi geldiği geçmişten okunur.

Yeni çalışan alırken de aynı disiplin geçerlidir. İlk gün en dar rolle başlayın; ihtiyaç ortaya çıktıkça genişletin. Tersini yapmak, yani geniş yetkiyle başlayıp sonra daraltmak, pratikte hiç yapılmaz.

Sistem sağlığı ve uyarılar

Güvenlik yalnız erişimle ilgili değildir; sistemin çalıştığını bilmek de güvenliktir. Sessiz kalan bir kanal bazen kopan bir API anahtarının işaretidir. Kanal izleme sürekli çalışıyorsa, sorunu bir kampanya gecesi değil dakikalar içinde fark edersiniz. Sistem sağlığı ekranı, sorunun sizde mi, entegratörde mi, pazaryerinde mi olduğunu gösterir.

Bildirimlerin kime gideceğini de bilinçli seçin. Kanal uyarısı yalnız yöneticiye gidiyorsa ve yönetici tatildeyse uyarı boşa düşer. En az iki kişiye, tercihen mobil arayüz üzerinden bildirim tanımlayın. Kanal izlemenin ne sıklıkla çalıştığı ve uyarının nereye düştüğü, entegratör seçerken sorulacak 15 soru listesinde de yer alır.

Güvenlik kontrol listesi

Üç ayda bir gözden geçirin:

• Her kullanıcının kendi hesabı var, ortak hesap yok.
• Tüm kullanıcılarda 2FA açık, yedek kodlar saklı.
• Roller işe göre; fiyat yazma yetkisi en fazla iki–üç kişide.
• Yönetici hesabı günlük işte kullanılmıyor.
• API anahtarları listesi güncel; hangi kanal, hangi yetki, ne zaman yenilendi.
• Pazaryeri hesapları şirket e-postasıyla açılmış.
• Ayrılan çalışan için altı adımlık liste uygulanmış.
• İşlem geçmişi aylık örneklemeyle gözden geçiriliyor.
• Kanal izleme uyarısı en az bir telefona düşüyor.
• Sahiplik bayrağı her kanal için doğru.

Müşteri iade portalı ve mesaj kutusu gibi müşteriye açık alanlarda da aynı mantık geçerlidir: iade portalı yalnız e-posta ve sipariş koduyla erişilir, personel tarafı ise rolle sınırlıdır. Ayrıntı iade yönetimi ve iade portalı yazısında.

Bulutegra ile nasıl çalışır

Bulutegra'da her kullanıcı kendi hesabıyla girer, iki adımlı doğrulama her hesapta açılabilir ve Yönetici / İçerik / Depo / İade / Muhasebe / Raporlama rolleri hazır gelir. Etsy ve eBay için tek tıkla yetkilendirme, ürün × kanal sahiplik bayrağı, sürekli kanal izleme ve sistem sağlığı ekranı aynı panelde bulunur. Yetkileri kendi ekibinize göre nasıl kuracağınızı görmek için demo talep edin ya da teklif isteyin.