SMM Panel Güvenliği: Paneli ve Müşterileri Koruma

Bu bölümde:

• Yönetici hesabını güçlü şifre ve 2FA ile korumak
• Personel rolleri ve "gerektiği kadar yetki" ilkesi
• Sağlayıcı, bayi ve yönetici API anahtarlarının bakımı
• Dolandırıcılık kalıpları: çalıntı kart, ters ibraz, iade ve bakiye oyunları
• Bot kayıtlar ve kendi API'nizin kötüye kullanımı
• Yedekleme, müşterilerinize yönelik oltalama ve olay anı kontrol listesi

SMM panel güvenliği neden önemli?

SMM panel kurarken güvenlik "sonra bakarız" listesine girer. Girmemeli. Panel, saldırganların sevdiği üç şeyi bir arada tutar: harcanabilir bakiye, toptan hesabınızdan sipariş geçebilen sağlayıcı anahtarları ve müşteri e-posta listesi. Çalınan tek bir yönetici girişi, sağlayıcı bakiyenizi bir saat içinde boşaltabilir.

Küçük panellerde yaşanan olayların çoğu zekice hackler değildir. Başka sitede de kullanılan şifreler, gereğinden fazla yetkisi olan bir personel, WhatsApp'a yapıştırılmış bir sağlayıcı anahtarı ya da çalıntı kartla yapılmış büyük bir bakiye yüklemesi. İyi haber şu ki hepsi düzenli alışkanlıklarla önlenebilir.

Yönetici hesabını koruyun

Yönetici hesabı ana anahtardır. Ona internet bankacılığı şifreniz gibi davranın.

Yönetici hesabı kontrol listesi

1. Şifre yöneticisiyle oluşturulmuş uzun ve benzersiz bir şifre kullanın. Başka hiçbir sitede kullanmayın.
2. Sadece SMS ile değil, Google Authenticator gibi bir doğrulama uygulamasıyla iki adımlı doğrulamayı (2FA) açın.
3. 2FA yedek kodlarını telefonunuz dışında, çevrimdışı bir yerde saklayın.
4. Yönetici hesabı için ayrı bir e-posta adresi kullanın ve o e-postada da 2FA açın. E-postayı ele geçiren çoğu zaman şifreyi de sıfırlar.
5. İnternet kafe veya ortak bilgisayarlardan yönetim paneline girmeyin.
6. Eski cihazlardaki oturumları kapatın, açık oturumları düzenli kontrol edin.
7. Bilgisayarınızı ve telefonunuzu güncel tutun; tarayıcı eklentilerini sadece güvendiğiniz kaynaklardan kurun.

Personel rolleri ve gerektiği kadar yetki

Panel büyüdükçe destek personeli, sağlayıcılarla ilgilenen bir yönetici ya da içerik hazırlayan biri eklenir. Her yeni hesap yeni bir kapıdır.

Herkese sadece işine yarayan yetkiyi verin

Personel kaynaklı sorunların çoğunu önleyen kurallar:

• Herkese ayrı hesap. Sahip hesabı asla paylaşılmaz.
• Tüm personel hesaplarında 2FA zorunlu olsun.
• Ayrılan kişinin erişimini aynı gün kapatın.
• İşlem kayıtlarını (audit log) haftada bir gözden geçirin: bakiye değişiklikleri, iadeler, ayar değişiklikleri.
• Kullanıcı bakiyesini değiştirme yetkisine özellikle dikkat edin. Hiçbir karta dokunmadan panelden para çalmanın en kolay yolu budur.

SMMFor'da rol tanımlı personel hesapları (Pro pakette 3, Business pakette sınırsız) ve kimin ne yaptığını gösteren işlem kaydı bulunur.

API anahtarlarının bakımı

Bir panelde üç tür anahtar vardır ve her biri ayrı özen ister.

Anahtar alışkanlıkları

• Anahtarı asla destek talebine, Telegram/WhatsApp mesajına veya ekran kaydına koymayın.
• Her entegrasyona adı belli ayrı bir anahtar verin; birini silince diğerleri bozulmasın.
• Personel ayrıldığında veya sızıntı şüphesinde anahtarları yenileyin.
• Sağlayıcı bakiyesini kaybetmeyi göze alabileceğiniz seviyede tutun; büyük bakiye bekletmek yerine daha sık yükleyin.
• Arada bir sağlayıcıdaki sipariş geçmişini paneldeki siparişlerle karşılaştırın. Sağlayıcıda olup panelde olmayan siparişler, anahtarın başka yerde kullanıldığını gösterir.

SMMFor'da sağlayıcı anahtarları şifreli saklanır; yönetici API anahtarları oluşturulurken 2FA kodu ister, sadece bir kez gösterilir ve yalnızca seçtiğiniz yetkileri taşır. Bayi anahtarları API ve bayilik bölümünde daha ayrıntılı anlatılıyor.

Dolandırıcılık kalıpları ve önlemler

Ödeme dolandırıcılığı, çoğu panel için en pahalı güvenlik sorunudur. Küçük tutarlı dijital siparişler, çalıntı kartı denemek isteyenler için caziptir.

Çalıntı kart ve ters ibraz

Kalıp şu: yeni bir hesap kartla bakiye yükler, bakiyeyi hemen servislerde harcar; haftalar sonra kartın gerçek sahibi bankasına itiraz eder. Yüklenen parayı, sağlayıcı maliyetini ve ters ibraz ücretini kaybedersiniz. Ters ibraz sayısı artarsa sanal POS veya ödeme kuruluşu hesabınız kapanabilir.

Uyarı işaretleri:

• Yeni hesap, ilk yüklemesi ortalamanıza göre çok yüksek.
• Kısa sürede farklı kartlarla art arda yükleme denemeleri.
• Rastgele görünen veya geçici e-posta adresi.
• Kartın ülkesi, IP ülkesi ve dil tercihi birbirini tutmuyor.
• Bakiye birkaç dakika içinde geri alınması zor servislere harcanıyor.

İşe yarayan önlemler:

1. Her ödeme yöntemi için minimum ve maksimum yükleme tutarı belirleyin, yeni müşteriler için daha düşük limit koyun.
2. Kartla ödemeyi sadece e-postası doğrulanmış müşterilere veya başka bir yöntemle ilk yüklemesini yapmış müşterilere açın. SMMFor dahil birçok panelde her ödeme yöntemini kimin kullanabileceğini seçebilirsiniz.
3. Ödeme kuruluşunuzun dolandırıcılık araçlarını ve 3D Secure'u kullanın.
4. Riskiniz yüksekse ilk büyük yüklemeleri siparişler işlenmeden önce elle kontrol edin.
5. İtiraza kanıt olarak sipariş kayıtlarını, IP bilgisini ve sözleşme onay tarihini saklayın.
6. Her itiraza kanıtla cevap verin; cevapsız bırakılan itiraz kaybedilir.

İade ve bakiye oyunları

• Yanlış link oyunu: Müşteri gizli hesaba sipariş verir, sonra iade ister. İade politikanız bunu kapsamalı (bkz. yasal sözleşmeler bölümü).
• Çift sipariş: Aynı linke iki ayrı servisten sipariş verip teslim edilmedi demek. İade etmeden önce linkin sipariş geçmişine bakın.
• Referans ve bonus avcılığı: Kayıt bonusu veya referans komisyonu toplamak için açılan çok sayıda hesap. Referans ödülünü sadece gerçekleşmiş yüklemelerde ve bir bekleme süresinden sonra verin.
• Kupon sızıntısı: Büyük bir gruba düşen herkese açık kupon. Kişi başı kullanım limiti ve son kullanma tarihi koyun.

Kripto, Papara ve havale ödemeleri

Kripto ödemelerde ters ibraz yoktur, bu bir riski ortadan kaldırır. Elle onaylanan yöntemlerde (havale/EFT, dekont veya ekran görüntüsüyle bildirilen ödemeler) ise başka bir risk vardır: sahte dekont. Bakiyeyi eklemeden önce paranın gerçekten hesabınıza geçtiğini kontrol edin; sadece ekran görüntüsüne güvenmeyin.

Botlar, sahte kayıtlar ve kötüye kullanım

Herkese açık paneller otomatik kayıtları, sızdırılmış şifre denemelerini ve içerik kazımayı çeker.

• Bot kayıtlar görmeye başlarsanız kayıt ve giriş ekranına captcha benzeri bir doğrulama ekleyin.
• İlk yüklemeden veya ilk siparişten önce e-posta doğrulaması isteyin.
• Aynı IP aralığından veya benzer e-posta kalıplarıyla açılan çok sayıda hesaba dikkat edin.
• Tek bir hesabın veya API anahtarının ne kadar hızlı sipariş geçebileceğini sınırlayın, ani artışları inceleyin.
• Hizmet vermediğiniz içerikleri (örneğin başka hesaplara toplu şikayet) servis açıklamalarınızda ve sözleşmenizde yasaklayın, açıkça kuralı çiğneyen siparişleri iptal edin.
• Trafik saldırısı görürseniz alan adınızın önünde bir CDN veya koruma hizmeti kullanın. SMMFor'da kendi alan adını bağlayan paneller Cloudflare üzerinden bağlanır.

Yedekleme ve geri dönüş

Yedek, bir felaketi kötü bir güne çevirendir. Kendi scriptinizi çalıştırıyorsanız yedekler sizin sorumluluğunuzda. Barındırılan bir platform kullanıyorsanız neyin, ne sıklıkla yedeklendiğini öğrenin.

Neler saklanmalı?

• Veritabanı: kullanıcılar, bakiyeler, siparişler, ödemeler, servisler. İşin kendisi budur.
• Ayarlar ve içerik: sayfalar, tasarımlar, sözleşmeler, e-posta şablonları.
• Kendi dışa aktarımlarınız: kullanıcı, ödeme ve sipariş raporlarının aylık bir kopyası, kontrolünüzdeki ayrı bir yerde.
• Sağlayıcıların, ödeme kuruluşlarının ve her hesabın hangi e-postayla açıldığının yazılı listesi.

En az bir kez geri yüklemeyi deneyin. Hiç geri yüklenmemiş yedek sadece bir umuttur. SMMFor otomatik yedek alır ve her paneli diğerlerinden izole tutar; yine de kendi kayıtlarınız için aylık dışa aktarım iyi bir alışkanlıktır.

Müşterilerinize yönelik oltalama

Paneliniz tanındıkça biri onu taklit etmeye çalışabilir. Sık görülen saldırılar:

• Benzer alan adları: Tek harfi değiştirilmiş adreslerle giriş bilgisi veya bakiye toplamak.
• Sahte destek hesapları: Telegram veya WhatsApp'ta "doğrudan bana gönder, daha ucuz yüklerim" diyen hesaplar.
• Sahte bakiye kampanyaları: Gerçek olamayacak kadar yüksek bonus vaat eden mesajlar.

Müşterilerinizi korumak için:

1. Resmi alan adınızı ve destek kanallarınızı sitede ve hoş geldin e-postasında açıkça yazın.
2. Ekibinizin asla şifre, 2FA kodu veya panel dışında ödeme istemediğini duyurun.
3. Bütçeniz elveriyorsa alan adınızın bariz yazım hatalı sürümlerini de alın.
4. Taklit hesapları bulundukları platforma bildirin.
5. E-postaları kendi alan adınızdan, SPF, DKIM ve DMARC ayarları yapılmış şekilde gönderin; sahteleri ayırt etmek kolaylaşır.

Olay anı kontrol listesi

Bir ihlalden şüpheleniyorsanız bu listeyi sakin şekilde uygulayın. Hız, mükemmellikten önemlidir.

1. Durdurun: Sahip şifresini değiştirin, tüm oturumları kapatın, şüpheli personel hesaplarını devre dışı bırakın.
2. Anahtarları yenileyin: Her sağlayıcıda API anahtarını yeniden oluşturun, yönetici API anahtarlarını silin, açığa çıkmış olabilecek ödeme kuruluşu bilgilerini sıfırlayın.
3. Para akışını dondurun: Riskli ödeme yöntemlerini ve bayi kazanç çekimlerini geçici olarak durdurun.
4. Kayıtlara bakın: İşlem kaydı, son bakiye değişiklikleri, yeni yönetici veya personel hesapları, yeni ödeme yöntemleri, özel kod değişiklikleri.
5. Bakiyeleri düzeltin: Sahte bakiye değişikliklerini geri alın, hâlâ iptal edilebilen siparişleri iptal edin.
6. Sağlayıcı ve ödeme kuruluşuyla konuşun: Şüpheli siparişleri veya işlemleri durdurmalarını isteyin.
7. Müşterileri bilgilendirin: Verileri etkilenmiş olabilirse açık bir dille haber verin. KVKK, ciddi veri ihlallerinin Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere belirli süreler içinde bildirilmesini öngörür; yurt dışı müşteriler için GDPR'ın da benzer kuralları vardır.
8. Ne olduğunu yazın: Neyin olduğunu ve neyi değiştirdiğinizi not edin, aynı şey tekrar yaşanmasın.

Müşteri hesaplarının güvenliği

Sadece kendi hesabınızı değil, müşterilerinizin hesaplarını da düşünün. Bir müşterinin hesabı ele geçirilirse bakiyesi harcanır, şikayet ve iade talebi size gelir.

• Müşterilere de iki adımlı doğrulama seçeneği sunun ve özellikle yüksek bakiyeli bayilere kullanmalarını önerin.
• Şifre sıfırlama bağlantıları kısa süreli ve tek kullanımlık olsun.
• E-posta adresi veya şifre değiştiğinde müşteriye bildirim e-postası gitsin; habersiz bir değişiklik fark edilir.
• Destek ekibiniz, sadece "hesap benim" diyen birine e-posta değişikliği yapmasın. Kayıtlı e-postadan yazılmasını veya son ödeme bilgilerini doğrulamasını isteyin.
• Bayilere, API anahtarlarını kendi sunucularında saklamalarını ve tarayıcı tarafındaki koda koymamalarını hatırlatın.

Kendi scriptinizi çalıştırıyorsanız

Kendi sunucunuzda bir panel scripti çalıştırıyorsanız yukarıdakilere ek olarak altyapının güvenliği de size kalır:

1. İşletim sistemini, web sunucusunu, veritabanını ve scripti düzenli güncelleyin.
2. Sunucuya şifreyle değil SSH anahtarıyla bağlanın, gereksiz portları kapatın.
3. Veritabanını dışarıya açmayın, sadece uygulamanın erişmesine izin verin.
4. Yedekleri aynı sunucuda değil, ayrı bir yerde tutun.
5. Hata kayıtlarını ve olağan dışı giriş denemelerini izleyin.

Bu işler zaman alır ve hata payı yüksektir. Hazır script ile kiralık panel arasındaki farkı script mi kiralama mı karşılaştırmasında bulabilirsiniz.

Sık yapılan güvenlik hataları

• Yönetici hesabında veya yöneticinin e-postasında 2FA olmaması.
• Tüm ekibin tek bir giriş bilgisini paylaşması.
• "Ne olur ne olmaz" diye sağlayıcıda büyük bakiye bekletmek.
• Doğrulanmamış yüklemelerde referans ödülünü anında ödemek.
• Dekont ekran görüntüsüne bakarak bakiye eklemek.
• Kaynağı belirsiz nulled (kırılmış) script kullanmak; riskleri için nulled script yazısına bakın.
• Yedekten geri yüklemeyi hiç denememek.

Haftalık güvenlik rutini

1. İşlem kaydında bakiye değişikliklerini, iadeleri ve ayar değişikliklerini gözden geçirin.
2. Büyük yükleme yapan yeni hesapları kontrol edin.
3. Sağlayıcı harcamasını panel gelirleriyle karşılaştırın, olağan dışı bir şey var mı bakın.
4. Artık kullanılmayan personel hesaplarını ve API anahtarlarını kaldırın.
5. Açık itirazları okuyun ve kanıtla cevaplayın.

Sonraki adım

Sağlam bir zemin kurduktan sonra büyümeye odaklanabilirsiniz. Referans sistemi, bayiler, alt paneller ve müşteriyi elde tutma için SMM panel büyütme bölümüyle devam edin.

Sunucu, yedek ve şifreleme işleriyle kendiniz uğraşmak istemiyorsanız SMMFor'da panelinizi açabilir, 3 gün ücretsiz deneme ile başlayıp fiyatlar sayfasından size uygun paketi seçebilirsiniz.