PCI DSS Uyumluluğu ve SSL: E-Ticaret Sitesi İçin 2026 Zorunlulukları

Sitenizde kart bilgisi alıyorsanız (veya iframe ile bir ödeme gatewayine yönlendiriyorsanız), PCI DSS (Payment Card Industry Data Security Standard) uyumu opsiyonel değil. Uyumsuz kalırsanız bankanız işlem kesebilir, kart markaları ceza uygulayabilir (VISA/Mastercard: aylık $5.000 – $100.000).

PCI DSS ve SSL — Doğrudan Gereksinimler

• Gereksinim 4.1: "Kart verisi güvenli protokoller (TLS 1.2+) ile şifrelenmeli"
• Gereksinim 4.2: "İletim sırasında güçlü şifreleme"
• Gereksinim 2.3: Yönetim erişimi (cPanel, WHM, SSH) da şifrelenmeli

PCI Uyumsuz Yapılandırmalar

Şu yapılandırmalar PCI uyumluluk denetimini geçemez:

• ❌ TLS 1.0 veya 1.1 aktif (2020'den beri yasak)
• ❌ SSL 2.0 / SSL 3.0 aktif
• ❌ RC4, DES, 3DES şifreleri
• ❌ MD5 imzalı sertifika
• ❌ 1024-bit RSA anahtar (min 2048-bit)
• ❌ Self-signed sertifika

PCI Uyumlu Doğru Yapılandırma

# Nginx PCI DSS uyumlu
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305;
ssl_prefer_server_ciphers off;

# HSTS + preload
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;

# OCSP Stapling
ssl_stapling on;
ssl_stapling_verify on;

# 2048-bit DH parametreleri (üretin: openssl dhparam -out dhparam.pem 2048)
ssl_dhparam /etc/nginx/dhparam.pem;

Sertifika Seçimi PCI İçin

• Minimum: DV SSL 2048-bit RSA veya ECC (Sectigo PositiveSSL yeterli)
• Kurumsal görünüm: OV SSL — ziyaretçi güveni
• Yasal koruma: EV SSL + $1M+ garanti — kart çalınma davasında koruma

PCI Uyum Testi

Bankanız yılda bir ASV taraması (Approved Scanning Vendor) ister — otomatik güvenlik taraması. Genelde Trustwave, Qualys, Comodo. Başarısız olursanız 30 gün içinde düzeltmeniz gerekir.

Kendinizi test edin:

• SSL Labs: ssllabs.com/ssltest — A+ hedefleyin
• Bizim SSL Checker — Türkçe rapor

Sertifika + WAF + Log = PCI

SSL tek başına PCI uyumu için yeterli değil. Web Application Firewall, log tutma, düzenli güvenlik güncellemeleri de gerekiyor. Ama SSL en temel katmandır — o olmadan diğerlerini bile denetlemezler.

→ E-ticaret için önerdiğimiz SSL sertifikaları