Ödeme Bildiriminde Politika Kapsamı
- Bildirim BaşlığıReport-Only mi?
- Uygulanan KuralAyrı engelleme var mı?
- İşlem SonucuÖdeme adımı çalışıyor mu?
Özgün açıklayıcı şema; gerçek müşteri verisi veya test kaydı değildir.
Güvenlik Bildirimi ile Ödeme Sonucu
Bir mağazanın tarayıcı konsolunda içerik güvenliği politikası uyarısı görünmesi, ödemenin bu nedenle başarısız olduğunu kanıtlamaz. Content-Security-Policy-Report-Only başlığı uygulanan bir engelleme politikasıyla aynı davranışı taşımaz. Bildirimin hangi başlıktan geldiği anlaşılmadan ödeme sağlayıcısının çalışmadığı sonucuna varılmamalıdır.
Kurgusal bir mağazada ödeme penceresi açılıyor, ancak konsolda çerçeveyle ilgili bildirim görülüyor olsun. Kullanıcı işlemi tamamlayabilir veya başka bir aşamada farklı sorun yaşayabilir. İnceleme, görülen güvenlik mesajını gerçek ödeme ve sipariş sonucundan ayrı kaydeder. Aynı ekrandaki iki olayın birlikte görülmesi aralarında doğrudan neden ilişkisi bulunduğunu göstermeyebilir. Destek kaydı hangi davranışın gerçekten gözlendiğini açıkça söylemelidir.
Report-Only Politikasının Kapsamı
Report-Only, belirtilen politikanın ihlallerini değerlendirmeye ve bildirmeye yarar; bu başlık tek başına içeriği engellemez. Aynı yanıtta uygulanan Content-Security-Policy de bulunabilir. Böyle bir durumda yalnız bildirim başlığının varlığına bakarak sayfada hiçbir kısıtlama uygulanmadığı söylenemez.
HTTP yanıtı incelenirken iki başlık ayrı okunur ve sorunlu isteğin hangi belgeye ait olduğu belirlenir. Örneğin mağazanın ana sayfasındaki politika ile ödeme sayfasındaki politika farklı olabilir. Bir ekranın temiz olması diğerinin de aynı başlığı taşıdığını kanıtlamaz. E-ticaret danışmanlığı değerlendirmesinde kayıt, gerçek işlem adımına bağlanır; bütün site için kapsamı bilinmeyen bir güvenli veya bozuk etiketi kullanılmaz.
Politika İnceleme Kaydı
AdPix’in özgün açıklayıcı şemasıdır. Gerçek platform ekranı, müşteri kaydı veya gerçekleştirilmiş test sonucu değildir.
Çerçeve Yönünün Doğru Anlaşılması
CSP içinde frame-src, belgenin hangi çerçeve kaynaklarını yükleyebileceğiyle ilgilidir. frame-ancestors ise belgenin hangi üst belgelerin içinde yer alabileceğini ele alır. İki yönerge aynı ilişkiyi anlatmaz. Ödeme sayfasının bir çerçeveyi yüklemesi ile sağlayıcının kendi sayfasının gömülmesine izin vermesi ayrı incelemelerdir.
Örnek olayda mağaza, sağlayıcının sayfasını açmaya çalışıyor olabilir; engelleme ise mağazanın veya karşı tarafın yanıtından kaynaklanabilir. Destek notunda bildirimin hedefi ve bildirimi üreten belge ayrılır. Yalnız hata metninde marka adının geçmesi sağlayıcının tek başına sorumlu olduğunu göstermez. Hangi yanıtta hangi kuralın bulunduğu görülmeden izin listesinin genişletilmesi yeterli ve güvenli çözüm sayılmaz.
Bildirimleri Gereksiz Veri Toplamadan İncelemek
Politika raporları sayfa adresleri ve engellenen hedefler hakkında bilgi taşıyabilir. Bu kayıtların destek kanallarında paylaşılması sırasında müşteri kimliği, sipariş bilgisi ve hassas adres parametreleri düşünülmelidir. Sorunu göstermek için gerçek ödeme bilgilerini rapora eklemek gerekli değildir.
AdPix'in önerdiği inceleme örneği, kişisel verileri ayıklanmış sayfa türünü ve ilgili yönergeyi gösterir. Tarayıcıya eklenmiş araçların veya farklı test koşullarının etkisi varsa bunlar ayrıca kaydedilir. Tekrarlanan her konsol satırı ayrı müşteri hatası gibi sayılmaz. Bildirimin hangi işlemde üretildiği ve aynı işlemin gözlenen sonucu birlikte tutulur. Böylece gürültülü bir kayıt listesinden işletmeyi etkileyen gerçek sorunu ayırmak kolaylaşır.
Düzeltmenin Kabulü Gerçek İşleme Bağlanır
Güvenlik mesajının kaybolması ödeme sürecinin bütün aşamalarının düzeldiği anlamına gelmez. İşletme açısından önemli olan ilgili ödeme adımının çalışması, sipariş sonucunun doğru oluşması ve uygulanan politikanın amaçlanan kapsamı korumasıdır. Kontrolün hangi örneklerde yapıldığı belirtilmelidir.
Sonuç kaydında gözlenen sorun, değiştirilen politika ve tekrar incelenen işlem ayrı yazılır. Report-Only bildiriminin yokluğu bütün saldırılara karşı koruma kanıtı olarak sunulmaz. Geniş izinler veya güvenlik başlığını tamamen kaldırma, yalnız mesajı susturduğu için doğru çözüm kabul edilmez. Teknik sorumlu, gerekli kaynak erişimiyle mağazanın güvenlik beklentisini birlikte değerlendirir. Buradaki açıklama ödeme sağlayıcısına özgü bir kurulum talimatı değil, doğru sorunun doğru kayıtla incelenmesi için kapsam tanımıdır.
Bu Maddedeki Terimler1 Terim
Kısa açıklamaları burada okuyabilir, ayrıntılar için sözlüğe geçebilirsiniz.
- İçerik Güvenliği Politikası (CSP)
- İçerik güvenliği politikası (CSP, Content Security Policy), sitenin hangi kaynaklardan betik, görsel ve stil yükleyebileceğini tarayıcıya HTTP başlığıyla bildiren ve siteler arası betik çalıştırma gibi saldırıların etkisini azaltan kuraldır.
Bu Konuda Nasıl Destek Oluyoruz?
Sipariş durumu ile ödeme sağlayıcısındaki işlem sonucunu ayrı değerlendiriyor, mağazanın ödeme ve iade kayıtlarındaki uyumsuzluğu inceliyoruz. Teknik destek kapsamını ilgili hizmet sayfasından değerlendirebilirsiniz.
Bu Madde Yardımcı Oldu mu?
Geri bildirim ölçüm izninizle gönderilir; ad veya iletişim bilgisi istenmez.