PCI DSS

Bu sayfa, kurumunuzun PCI DSS kapsamını belirlerken ihtiyaç duyacağı bilgiyi sunar: Lunixi'nin kart verisine ilişkin kontrolleri, kart saklama prosedürünün nasıl işlediği ve entegrasyon yolu tercihinin kapsam üzerindeki sonucu.

⚠️

Kapsam kararınızı entegrasyon yolunu seçmeden önce verin. Kart numarasının (PAN) kurumunuzun sistemlerinden geçip geçmediğini belirleyen şey seçtiğiniz entegrasyon yoludur. Bu tercih, denetim kapsamınızı ve doldurmanız gereken öz değerlendirme formunu doğrudan etkiler.

Sertifikasyon durumu

Kontrollerimiz PCI DSS v4.0, Seviye 1 Hizmet Sağlayıcı gereksinimlerine göre tasarlandı ve sertifikasyon süreci devam ediyor.

Rollerin dağılımı

PCI DSS, kart verisine dokunan her tarafa ayrı yükümlülük yükler. Lunixi bu ilişkide hizmet sağlayıcı, kurumunuz üye işyeri konumundadır. Lunixi'nin uyumu, kurumunuzun uyumunu kapsamaz; yalnızca kapsamınızı daraltabilir.

Yol	PAN kurumunuzun sistemlerinden geçer mi?	Kapsamınız
Barındırılan ödeme formu	Hayır — kart doğrudan Lunixi'nin formuna girilir	En dar. Tipik olarak SAQ A
Doğrudan API (sunucudan sunucuya)	Evet — PAN'ı kurumunuz toplar ve iletir	Tam kapsam. PCI DSS uyumu kurumunuzda
Kayıtlı kartla ödeme	Hayır — elinizde yalnızca opak `storedCardToken` bulunur	Kartın ilk alınma yöntemine bağlıdır

Kapsamı belirleyen kriter, kart verisinin kurumunuzun ortamına girip girmediğidir — Lunixi'nin onu saklayıp saklamadığı değil. Kendi ortamınızda hiçbir noktada PAN bulunmasını istemiyorsanız barındırılan ödeme formunu tercih edin. Bkz. Checkout Formu.

Kart verisinin korunması

Kart verisi, uygulama katmanından yalıtılmış özel bir şifreleme altyapısı üzerinden korunur.

Şifreleme ve çözme işlemleri donanım güvenlik modülünde (HSM) gerçekleşir; uygulama bu işlemleri kendisi yapmaz.
Şifreleme anahtarları uygulama katmanına hiç inmez. Uygulama belleğinde, yapılandırma dosyalarında veya veritabanında bulunmaz.
Veritabanında kart numarasının yalnızca şifreli metni tutulur.
Çözme işlemi yalnızca PAN'ın bankaya iletilmesi gereken akışlarda yapılır; çözülen değer hiçbir zaman kalıcı hâle getirilmez.
Şifreleme altyapısına giden bağlantılar TLS ile korunur ve uzak yapılandırmalarda sertifika sabitlemesi zorunludur.

Saklanan ve saklanmayan veriler

Veri	Saklanıyor mu	Biçim
Kart numarası (PAN)	Kart saklama etkinken evet	Şifreli metin; anahtar HSM'de kalır
CVC / CVV	Hayır	Hiçbir kayıtlı kart kaydında yer almaz — aşağıya bakınız
Maskeli kart numarası	Evet	BIN + son dört hane; gösterim amaçlı düz metin
Son kullanma, marka, kart türü, banka	Evet	Düz metin — yönlendirme, taksit ve gösterim için gereklidir
Kart hamili adı	Evet	Düz metin — PCI DSS kapsamında hassas kimlik doğrulama verisi değildir

Kart doğrulama kodu (CVC/CVV) saklanmaz. Kayıtlı kart kayıtlarında böyle bir alan bulunmaz. CVC yalnızca formun kartı güvenli alan üzerinden aldığı an ile ilgili ödemenin yetkilendirilmesi arasında, tek kullanımlık bir kayıtta şifreli olarak bulunur; kayıt kullanıldığı anda silinir, kullanılmazsa süresi dolduğunda temizlenir. Yetkilendirme sonrasında CVC hiçbir yerde kalmaz (PCI DSS Gereksinim 3.2).

Şifreli kart numaraları, kartın alınma biçimine göre üç ayrı kayıtta tutulabilir: kısa ömürlü geçici kart kaydı, tek kullanımlık tokenizasyon kaydı ve satıcı kart kasası. Üçü de yalnızca şifreli metin tutar.

Kart saklama prosedürü

Kart saklama, kurumunuzun müşterilerinin kartlarını sonraki ödemelerde yeniden kullanabilmesi için işletilen kontrollü bir süreçtir. Aşağıdaki adımlar, sürecin PCI DSS açısından anlamlı olan denetim noktalarını tanımlar.

1. Yetkilendirme — varsayılan kapalı

Kart saklama her satıcı için varsayılan olarak kapalıdır ve panel üzerinden açıkça etkinleştirilmesi gerekir (Ödeme → Form Ayarları → Kart Saklama). Etkinleştirilmediği sürece hiçbir kart kaydedilmez ve kayıtlı kartla çekim talepleri reddedilir. Desteklenen tek kasa sağlayıcısı Lunixi'nin kendi şifreleme altyapısıdır; üçüncü taraf bir kasaya yönlendirme yapılmaz.

2. Kaydın oluşması — yalnızca başarılı 3D Secure çekiminden sonra

Bir kart, üç koşulun tamamı sağlanmadıkça kasaya yazılmaz:

İlgili ödemede kart saklama talebi işaretlenmiş olmalıdır,
Satıcı için kart saklama etkin olmalıdır,
Ödeme 3D Secure ile tamamlanmış olmalıdır.

Kart yalnızca çekim başarıyla sonuçlandıktan sonra kasaya yazılır. Böylece doğrulanmamış veya başarısız bir işlemden kart kaydı oluşmaz.

3. Müşteri anahtarının belirlenmesi

Kartın hangi müşteriye bağlanacağını belirleyen anahtar sunucu tarafında çözümlenir; istek gövdesinden okunmaz. Bu kontrol, bir çağıranın başka bir müşterinin kasasına kart yazmasını veya o kasayı okumasını engeller. Anahtar çözümlenemezse kart kaydedilmez ve ödeme akışı kesintiye uğramadan devam eder.

4. Tekilleştirme

Aynı kart birden fazla kez kaydedilmeye çalışıldığında yeni kayıt oluşmaz; mevcut kaydın token'ı döner. Tekillik denetimi, aday kayıtların şifreleme altyapısı üzerinden çözülüp tam kart numarası karşılaştırması yapılmasıyla gerçekleştirilir. Bu işlem sırasında açık değerler yalnızca karşılaştırma süresince süreç belleğinde bulunur ve hiçbir zaman kalıcı hâle getirilmez.

5. Token'ın kullanımı

Kaydın ardından kurumunuza yalnızca opak bir storedCardToken verilir. Token kart numarasını içermez, kart numarasından türetilmez ve tersine çevrilemez. Sonraki çekimler bu token ile yapılır; kurumunuzun sistemlerine kart numarası hiç inmez.

6. Yaşam döngüsünün sonu

Müşteri veya kurumunuz bir kartı silebilir; silinen kaydın token'ı geçersizleşir.
Son kullanma tarihi geçen kartlar otomatik olarak pasifleştirilir: listelemede görünmez ve çekim için kullanılamaz.
Geçici kart ve tokenizasyon kayıtları, süreleri dolduğunda otomatik olarak temizlenir.

Uçların alan sözleşmesi ve entegrasyon adımları için: Kayıtlı Kartlar.

Kayıt hijyeni

Uygulama kayıtlarında kart verisi bulunmaması, merkezi bir maskeleme katmanıyla sağlanır. Kayıt içeriğindeki kart numarası adayları maskelenmeden önce Luhn algoritmasıyla doğrulanır; maskeleme katmanı hem uygulama kayıt hattına hem de hata izleme hattına bağlıdır. Ayrıntı için KVKK sayfasına bakınız.

Sorumluluk paylaşımı

Sorumluluk	Lunixi	Kurumunuz
Lunixi API altyapısı ve anahtar yönetimi	✅	—
Kart verisinin Lunixi'ye iletimi	✅ (TLS 1.2+)	✅ — ham kart verisi kayıt altına alınmamalıdır
Kurumunuzun sunucuları, uygulamaları ve ağı	—	✅
API anahtarı ve kimlik bilgisi yönetimi	—	✅ — secret yönetimi çözümü kullanılmalıdır
Kayıt hijyeni (kayıtlarda PAN bulunmaması)	✅	✅
Kurumunuzun kapsam belirlemesi ve denetimi	—	✅

Entegrasyon kontrol listesi

API anahtarları secret yönetimi çözümünde tutuluyor; kaynak kodda veya kayıtlarda bulunmuyor
Tüm çağrılar HTTPS üzerinden yapılıyor — Lunixi şifresiz bağlantıları reddeder
Authorization başlığı hiçbir kayıt hattına yazılmıyor
Doğrudan API kullanılıyorsa kurumunuzun PCI DSS yükümlülüğü denetçinizle teyit edildi
En dar kapsam hedefleniyorsa barındırılan ödeme formu kullanılıyor
Kart verisi uygulama kayıtlarına, hata raporlarına veya analitik sistemlerine yazılmıyor
Denetim kayıtları kurumunuzun PCI DSS gereksinimlerine uygun süreyle saklanıyor

İletişim

Kapsam değerlendirmesi, şifreleme ve anahtar yönetimi tanımları ya da sertifikasyon durumu hakkındaki sorularınız için: [email protected]

KVKK Sertifikasyonlar