Kripto Hesap Güvenliği - 2FA, Güvenilir Adres ve API Anahtarı
Kripto ödeme hesabınızı 2FA, güvenilir çekim adresleri ve doğru API anahtarı yönetimiyle koruyun. Satıcılar için uygulanabilir güvenlik rehberi.
Kripto hesap güvenliği, ödeme alan her satıcının ilk gününden itibaren ciddiye alması gereken bir konudur. Blokzincirde gönderilen bir işlem geri alınamaz. Bu yüzden bakiyenizi korumanın yolu saldırganın işlemi başlatmasını en baştan engellemektir. Bu rehberde iki adımlı doğrulamayı (2FA), güvenilir çekim adreslerini ve API anahtarı yönetimini adım adım ele alıyoruz.
Kripto hesap güvenliği neden farklıdır?
Klasik bir banka hesabında şüpheli bir transferi itiraz ederek geri çevirme şansınız olabilir. Kripto paralarda böyle bir mekanizma yoktur. TRON ağında bir USDT veya TRX transferi onaylandıktan sonra kesinleşir. Onayların ne anlama geldiğini blok onayı nedir yazımızda ayrıntılı anlattık. Kısacası güvenlik "sonradan düzeltme" üzerine değil, "önceden engelleme" üzerine kurulmalıdır.
Bir satıcı hesabına yönelik tipik riskler şunlardır:
- Parola sızıntısı: Başka bir sitede kullandığınız parolanın ele geçirilmesi.
- Oltalama (phishing): Sahte bir giriş sayfasıyla bilgilerinizin toplanması.
- API anahtarı sızıntısı: Anahtarın herkese açık bir depoya ya da tarayıcı koduna düşmesi.
- Adres manipülasyonu: Çekim adresinizin benzer görünen sahte bir adresle değiştirilmesi. Bu konuyu adres zehirleme saldırısı yazımızda inceledik.
MercanPay'in güvenlik katmanları bu risklerin her birine ayrı bir engel koyacak şekilde tasarlanmıştır.
Katman 1: İki adımlı giriş (2FA)
MercanPay paneline giriş iki adımda yapılır. Parolanızı girdikten sonra ikinci bir doğrulama istenir. Bu doğrulama e-postanıza gelen bir kod ya da bir authenticator uygulamasının ürettiği tek kullanımlık kod (TOTP) olabilir.
Hangisini seçmelisiniz? Mümkünse authenticator uygulamasını tercih edin. E-posta kodu da güçlü bir ikinci katmandır, ancak e-posta hesabınızın kendisi ele geçirilirse bu katman zayıflar. Authenticator kodu ise yalnızca telefonunuzda üretilir.
Birkaç pratik öneri:
- E-posta hesabınızda da mutlaka 2FA açın. Ödeme panelinizin güvenliği e-postanızın güvenliğinden bağımsız değildir.
- Authenticator uygulamasının yedekleme ve kurtarma seçeneklerini önceden ayarlayın. Telefon kaybında erişimi kaybetmeyin.
- Parolanızı yalnızca bu hesap için kullanın ve bir parola yöneticisinde saklayın.
Katman 2: Her çekimde çift doğrulama
Panelden yapılan her çekim için varsayılan olarak hem e-postanıza gelen kod hem de authenticator (TOTP) kodu istenir. Yani biri parolanızı ele geçirip bir şekilde oturum açsa bile telefonunuza ve e-postanıza aynı anda erişmeden çekim yapamaz.
Tek istisna sizin açtığınız bir ayardır: en az 7 gündür kayıtlı olan ve en az 3 başarılı çekim yapılmış bir adresi, parola + e-posta kodu + authenticator koduyla "2FA'sız çekim" adresi olarak işaretleyebilirsiniz. Yalnızca bu adrese yapılan çekimlerde kod sorulmaz. Parola sıfırlandığında ya da authenticator kaldırıldığında bu güven otomatik olarak geri alınır.
Bu adım ilk başta biraz fazla gibi gelebilir. Ancak çekim, bir saldırganın asıl hedefidir. Fatura oluşturmak ya da raporlara bakmak bakiyenizi riske atmaz, çekim ise atar. Bu nedenle en sıkı kontrol tam da burada uygulanır.
Katman 3: Kayıtlı ve güvenilir çekim adresleri
Çekim adreslerinizi panelde kayıtlı adresler olarak saklayabilirsiniz. Böylece her seferinde uzun bir TRON adresini kopyalayıp yapıştırmanız gerekmez ve kopyala-yapıştır sırasında adresin değiştirilmesi riski azalır.
Bir adım ötesi güvenilir (2FA'sız çekime açık) adreslerdir. Bir adres şu koşullardan biri sağlandığında güvenilir olarak işaretlenebilir:
- Adres en az 7 günlüktür ve ona 3 başarılı çekim yapılmıştır, ya da
- Erken açma talebiniz onaylanmıştır.
Adresi güvenilir yapmak için de parolanız, bir e-posta kodu ve authenticator kodu istenir.
Bu ayrım neden önemli? API üzerinden yapılan çekimler yalnızca güvenilir adreslere gidebilir. API çekimleri onay kodu istemez. Bu kural sayesinde API anahtarınız sızsa bile bir çekim, ancak sizin önceden güvenilir olarak işaretlediğiniz adreslere yönlendirilebilir. Güvenilir olmayan bir adrese API ile çekim denendiğinde istek address_not_trusted hatasıyla reddedilir.
Katman 4: API anahtarı güvenliği
API anahtarları sitenizin MercanPay ile konuştuğu kimlik bilgileridir. Her anahtar yalnızca verdiğiniz yetkilerle çalışır:
| Yetki | Ne sağlar | Ne zaman verilmeli |
|---|---|---|
read |
Durum, kurlar, desteklenen coinler, zincir sorguları | İzleme ve raporlama araçları |
invoices |
Fatura oluşturma, okuma, listeleme | E-ticaret sitesi, ödeme akışı |
withdrawals |
Bakiyeden çekim | Yalnızca otomatik ödeme gönderen sistemler |
En önemli kural en az yetki ilkesidir. Mağazanızın ödeme almak için yalnızca invoices yetkisine ihtiyacı vardır. withdrawals yetkisini sadece gerçekten otomatik çekim yapan ayrı bir anahtara verin.
Anahtar hijyeni için kontrol listesi:
- Anahtarı asla tarayıcı koduna, mobil uygulamaya ya da herkese açık bir depoya koymayın.
- Sunucuda ortam değişkeninde saklayın (ör.
MERCANPAY_API_KEY). - Farklı sistemler için ayrı anahtarlar oluşturun. Biri sızarsa yalnızca onu iptal edersiniz.
- Sızdığından şüphelendiğiniz anahtarı panelde API Anahtarları sayfasından hemen iptal edin.
- Webhook imza sırrını da (
whsec_…) aynı özenle saklayın. İmza doğrulamayı webhook imzası doğrulama rehberimizde anlattık.
# .env dosyası sürüm kontrolüne eklenmemeli
MERCANPAY_API_KEY=mp_...
MERCANPAY_WEBHOOK_SECRET=whsec_...
Katman 5: 24 saatlik çekim kilidi
Parolanızı sıfırladığınızda ya da iki adımlı doğrulamayı kapattığınızda, sonraki 24 saat boyunca çekim yapılamaz. API bu durumda withdrawals_locked hatası döner.
Bu kilit, hesabı ele geçirmeye çalışan birinin önünde kritik bir engeldir. Saldırgan parolayı sıfırlamayı başarsa bile bakiyeyi hemen çekemez. Siz de bu sürede güvenlik e-postası sayesinde durumu fark edip müdahale edebilirsiniz. Meşru bir sıfırlama yaptıysanız yapmanız gereken tek şey biraz beklemektir.
Katman 6: Aktivite günlüğü ve güvenlik e-postaları
Panelde, hesabınızda yapılan önemli işlemleri gösteren bir aktivite günlüğü bulunur. Ayrıca kritik olaylarda size güvenlik e-postaları gönderilir.
Bu e-postaları görmezden gelmeyin. Tanımadığınız bir giriş ya da sizin yapmadığınız bir değişiklik bildirimi alırsanız:
- Hemen parolanızı değiştirin.
- API anahtarlarınızı gözden geçirin, şüpheli olanları iptal edin.
- Kayıtlı adres listenizi kontrol edin.
- Panel içindeki destek talebi sistemi üzerinden bize yazın.
Aktivite günlüğünü düzenli aralıklarla, örneğin haftada bir, gözden geçirmek iyi bir alışkanlıktır.
Ekip ve operasyon için öneriler
Güvenlik yalnızca teknik ayarlardan ibaret değildir. Birkaç operasyonel alışkanlık da büyük fark yaratır:
- Çekim adresini iki kez kontrol edin: Adresin yalnızca başını ve sonunu değil, ortasını da karşılaştırın.
- Küçük test çekimi yapın: Yeni bir adrese ilk kez büyük tutar göndermeden önce küçük bir tutarla deneyin. Minimum çekim 10 USD değerindedir.
- Cihaz hijyeni: Paneli güncel bir tarayıcıdan ve güvendiğiniz cihazdan kullanın.
- Yer imi kullanın: Paneli arama sonuçlarından ya da e-postadaki bağlantılardan değil, kaydettiğiniz yer iminden açın. Bu, oltalama sayfalarına karşı basit ama etkili bir önlemdir.
Sık sorulan sorular
E-posta kodu mu, authenticator mı daha güvenli?
Her ikisi de ikinci bir katman sağlar. Ancak authenticator kodu yalnızca cihazınızda üretildiği için e-posta hesabınızın güvenliğine bağlı değildir. Mümkünse authenticator kullanın.
API ile neden istediğim adrese çekim yapamıyorum?
API çekimleri onay kodu gerektirmediği için yalnızca güvenilir olarak işaretlenmiş kayıtlı adreslere gidebilir. Bu, anahtarınız sızsa bile paranızın bilinmeyen bir adrese gitmesini önler.
Parolamı sıfırladım, neden çekim yapamıyorum?
Parola sıfırlama ya da 2FA'yı kapatma sonrasında 24 saatlik güvenlik kilidi devreye girer. Süre dolunca çekimler normal şekilde açılır.
API anahtarım sızdıysa ne yapmalıyım?
Panelde API Anahtarları sayfasından anahtarı hemen iptal edin, yeni bir anahtar oluşturup sunucunuza tanımlayın ve aktivite günlüğünü kontrol edin.
MercanPay ile başlayın
Güvenliği baştan tasarlanmış bir altyapıyla USDT ve TRX ödemesi almak için satıcı başvurunuzu yapın. Entegrasyon ayrıntıları için dokümantasyonu inceleyebilir, genel akış için USDT TRC20 ile ödeme alma rehberimize göz atabilirsiniz.
