Banka düzeyinde güvenlik, uçtan uca
Bu sayfa, Capay Global'in her ödemeyi, her para çıkışını ve her kaydı nasıl koruduğunu katman katman açıklar. Burada anlatılan her kontrol bugün canlı ortamda çalışmaktadır.
Son inceleme: 3 Kasım 2026
Bir bakışta güven
- Aktarımda TLS şifreleme
- Depolamada AES-256 şifreleme
- HSTS ile zorunlu HTTPS
- PCI DSS: sistemlerimizde kart verisi yok
- SOC 1 ve SOC 2 kontrol çerçevesi
- İki faktörlü kimlik doğrulama
- Satır düzeyinde veri izolasyonu
- Değiştirilemez denetim izi
- Çift onaylı para gönderimleri
- KYB, AML ve yaptırım taraması
- Tam güvenlik incelemesi, Ekim 2026
Rakamlarla güvenlik
- 0
- kart numarası sistemlerimizde bugüne kadar saklandı
- 100%
- oranında veritabanı tablosu satır düzeyinde güvenlik altında
- 7
- yıl yalnızca ekleme yapılabilen denetim kaydı saklama
- 2
- onaylayıcı, eşiğinizin üzerindeki her para gönderiminde
- 300
- saniye sonra bir belge bağlantısının süresi dolar
- 400
- gün adli inceleme için saklanan uç erişim günlüğü
Nasıl kanıtlıyoruz: denetim, düzeltme, test, yeniden denetim
Sızma testiyle başlamıyoruz. Önce tüm canlı altyapıyı denetliyor, denetimin bulduklarını düzeltiyor, bağımsız bir ekibi sisteme girmeyi denemeye davet ediyor, ardından düzeltmelerin kalıcı olduğunu doğrulamak için yeniden denetliyoruz.
- 01
13 katmanda canlı ortam denetimi
Canlı platformun tam incelemesi: kimlik doğrulama, veritabanı, API, para akışları, barındırma, dağıtım, izleme, kurtarma ve daha fazlası. Ekim 2026'da tamamlandı.
- 02
Denetimin bulduklarını düzeltmek
Kritik ve yüksek seviyeli bulgular aynı gece düzeltildi ve doğrulandı. Kalan her maddenin bir sorumlusu var ve kapatılıyor; önce parayı ve erişimi koruyanlardan başlanıyor.
- 03
Harici sızma testi
Bağımsız bir güvenlik firması, düzeltmelerimizin gözden kaçırdığı her şeyi bulmak için iznimizle platforma saldıracak. Müşteriler özet raporu NDA kapsamında talep edebilir.
- 04
İkinci denetim
Her düzeltmenin kalıcı olduğunu doğrulamak için 13 katmanlı denetimi tekrarlıyor, ardından bu sayfadaki puan tablosunu güncelliyoruz.
Canlı ortam puan tablosu: 13 katman
Platformun her katmanını bugün neyin koruduğu, Ekim 2026 canlı ortam denetimimizde incelendi.
- 01
Kimlik doğrulama ve erişim
Üye işyerleri ve personel için iki faktörlü kimlik doğrulama, role dayalı yetkiler ve varsayılan olarak engelleyen giriş kontrolleri.
- 02
Veritabanı ve veri izolasyonu
Her tabloda satır düzeyinde güvenlik; böylece bir işletme yalnızca kendi verilerini okuyabilir. Her ayrıcalıklı işlev önce çağıranın rolünü kontrol eder.
- 03
API ve webhook'lar
Hash'lenmiş API anahtarları, anahtar ve IP başına istek limitleri, IP izin listeleri ve imzalı, tekrar saldırısına karşı korumalı webhook'lar.
- 04
Para bütünlüğü
Çift taraflı defter, dengelenmesi zorunlu yevmiye kayıtları, her para işleminde idempotency ve para transferlerinde iki kişilik onay.
- 05
Şifreleme ve gizli anahtarlar
Aktarımda TLS, depolamada AES-256 ve hiçbir uygulamanın okuyamadığı, hiçbir kaydın asla göstermediği kilitli tablolarda tutulan gizli bilgiler.
- 06
Barındırma ve uç ağ
Cloudflare arkasında AWS CloudFront, yalnızca özel depolama, HSTS ile zorunlu HTTPS ve katı tarayıcı başlıkları.
- 07
Dağıtım ve değişiklik kontrolü
Yerleşik güvenlik kontrolleriyle betiklenmiş sürümler, her sürümden sonra canlı kontroller ve güvenle yeniden çalıştırılabilen geçişler.
- 08
İzleme ve uyarılar
Sağlayıcı sağlık kontrolleri, cüzdan bakiye uyarıları, defter kontrolleri, devre kesiciler ve herkese açık bir durum sayfası.
- 09
Kayıt tutma ve denetim izi
Yedi yıl saklanan, yalnızca ekleme yapılabilen bir denetim kaydı, her API çağrısında bir istek kimliği ve 400 gün saklanan uç erişim kayıtları.
- 10
Ölçeklenme ve dayanıklılık
İstek limitleri, acil durdurma anahtarları ve arızalı bir ödeme kanalını diğerlerini durdurmadan durduran devre kesiciler.
- 11
Kurtarma ve mutabakat
Her gece yapılan defter kontrolü, hiçbir ödemenin askıda kalmaması için otomatik durum kontrolleri ve asla iki kez tahsilat yapmayan güvenli yeniden denemeler.
- 12
Olay müdahalesi
Önem seviyeleri, belirlenmiş roller, bir kanalı saniyeler içinde durduran acil durum anahtarları ve müşteri bilgilendirmesi içeren yazılı bir olay müdahale planı.
- 13
Uyum ve gizlilik
Herhangi bir işletme canlıya geçmeden önce KYB, AML ve yaptırım taraması, sürekli izleme ve sistemlerimizde hiçbir kart verisi olmaması.
Bir ödemenin her adımı korunur
Bir ödemeyi müşterinizin telefonundan bakiyenize kadar izleyin ve her adımı hangi kontrolün koruduğunu görün.
- 1
Müşteriniz ödeme yapar
TLS üzerinden sunulan hazır bir ödeme sayfasında veya ödeme bağlantısında. Kart numaraları Capay Global'e hiç ulaşmaz; mobil para onayları müşterinin kendi telefonunda gerçekleşir.
- 2
Entegrasyonunuz API'yi çağırır
Hash'lenmiş, kapsamı sınırlı bir anahtarla kimlik doğrulanır; anahtar başına ve IP başına hız sınırlanır; her istek bir idempotency anahtarı ve bir istek kimliği taşır ve kart biçimindeki veriler uçta reddedilir.
- 3
Kayıt defteri işlemi kaydeder
Herhangi bir sağlayıcı çağrılmadan önce bir niyet satırı oluşturulur ve alacak kaydı istemciden değil, bu niyetten türetilir. Her yevmiye kaydı dengeli olmak zorundadır; aksi halde veritabanı onu reddeder.
- 4
Sağlayıcı onaylar
Geri çağrılar ham gövde üzerinde sabit zamanlı karşılaştırmayla imza kontrolünden geçer, tekrar oynatmaya karşı tekilleştirilir ve herhangi bir şey uygulanmadan önce sağlayıcının kendi kaydı yeniden çekilir.
- 5
Para gönderirsiniz
Alıcılar taranır, eşiğinizin üzerindeki para gönderimleri iki faktörlü ek doğrulamayla ikinci bir onaylayıcıyı bekler, hedefler onaydan sonra dondurulur ve devre kesiciler hata veren bir kanalı durdurur.
- 6
Her şeyi görürsünüz
İki faktörlü kimlik doğrulamanın arkasında kontrol paneli erişimi, satır düzeyinde güvenlikle işletme başına izole edilmiş veriler, sistemlerinize imzalı webhook'lar ve düzenlenemeyen bir denetim izi.
Derinlemesine savunma, dört katman
Her katman, üstündekinin başarısız olabileceğini varsayar. Bir istek paraya dokunabilmek için önce dördünü de geçmek zorundadır.
- 01Uç
- Cloudflare ve AWS CloudFront
- Her bağlantıda TLS
- HSTS ile zorunlu HTTPS
- Kaynak erişim kontrolü, herkese açık bucket yok
- Katı tarayıcı başlıkları
- 400 gün saklanan erişim günlükleri
- 02Uygulama
- SHA-256 ile hash'lenmiş API anahtarları
- Anahtar başına ve IP başına hız sınırları
- Her para çağrısında idempotency
- Girişte kart verisi koruması
- İmzalı, tekrar oynatma korumalı webhook'lar
- Gerçek sağlayıcılardan izole sandbox
- 03Veri
- Her tabloda satır düzeyinde güvenlik
- Depolamada AES-256 şifreleme
- Sıfır erişimli gizli anahtar tabloları
- Yalnızca ekleme yapılabilen denetim günlüğü
- Yedi yıl saklama
- Özel belge deposu, 300 saniyelik bağlantılar
- 04Para
- Minör birimler cinsinden çift taraflı kayıt defteri
- Dengeli yevmiye kaydı zorunluluğu
- İki faktörlü ek doğrulamalı çift onay
- Acil durdurma anahtarları ve devre kesiciler
- Her cüzdanda float takibi
- Gece çalışan mutabakat nöbetçisi
Aktarımda ve depolamada şifreleme
- Her bağlantıda TLS: tarayıcılar, API'ler, webhook'lar ve sağlayıcı bağlantıları. HTTPS, HTTP Strict Transport Security ile her Capay Global alan adında zorunludur.
- Veritabanları ve nesne depolama için depolamada AES-256 şifreleme; altyapı sağlayıcılarımızın donanım destekli anahtar yönetimiyle yönetilir.
- Gizli anahtarlar (sağlayıcı kimlik bilgileri, webhook sırları, idempotency anahtarları) hiçbir uygulama rolünün okuyamadığı sıfır erişimli tablolarda tutulur; her günlükten ve her denetim satırından maskelenir.
- Doğrulama belgeleri, işletmenin kendi klasörüyle sınırlı özel bir bucket'ta saklanır ve yalnızca 300 saniyelik imzalı bağlantılarla açılır.
PCI DSS: kart sahibi verisi bulundurmayan bir platform
- Hiçbir zaman bir kart numarası veya CVV almayız, saklamayız, işlemeyiz ya da iletmeyiz. Giriş koruması her API gövdesinde kart biçimindeki verileri reddeder ve bir veritabanı tetikleyicisi bunları tahsilatlarda, para gönderimlerinde ve iadelerde geri çevirir.
- Sunulduğu yerlerde kart ödemeleri, iş ortaklarımızın PCI DSS kapsamında işletilen barındırılan sayfalarda çalışır; Capay Global yalnızca maskelenmiş referanslarla çalışır.
- Sanal kartlar lisanslı bir iş ortağı aracılığıyla çıkarılır; tam kart numarası sistemlerimizde asla saklanmaz.
Para bütünlüğü
- Minör birimler cinsinden çift taraflı kayıt defteri: her hareket benzersiz referanslı dengeli bir yevmiye kaydıdır ve bir veritabanı tetikleyicisi dengelenmeyen her kaydı reddeder.
- Her para çağrısında idempotency: önce rezervasyon satırları, benzersiz yevmiye referansları ve sağlayıcıya gönderilen aynı anahtar; böylece bir yeniden deneme asla iki kez tahsil edemez veya ödeyemez.
- Para gönderimleri, düzeltmeler ve döviz işlemlerinde çift onay; onaylayıcı için iki faktörlü ek doğrulama.
- Her giriş noktasında acil durdurma anahtarları, gönderim hatalarında devre kesiciler, her cüzdanda float takibi ve defterleri mutabakata sokan, gece çalışan bir kayıt defteri nöbetçisi.
- Sandbox, gerçek bir sağlayıcıya fiziksel olarak ulaşamaz.
Kimlik ve erişim
- Üye işyerleri ve personel için iki faktörlü kimlik doğrulama (TOTP); kapılar şüphe anında kapanır, asla açılmaz.
- Her tabloda satır düzeyinde güvenlik: bir işletme yalnızca kendi satırlarını okuyabilir; bunu uygulama kodu değil, veritabanı zorunlu kılar.
- Ekibiniz (sahip, finans, geliştirici, destek) ve bizim ekibimiz için rol tabanlı yetkiler; her ayrıcalıklı işlem önce yetkiyi doğrular.
- Sızdırılmış parola kontrollü parola politikası, kısa ömürlü tek kullanımlık kodlar, hız sınırlı giriş ve çıkışta önbellekler temizlenerek sonlanan oturumlar.
- Yönetici davetleri, rol değişiklikleri ve devre dışı bırakmalar denetlenir ve anında yürürlüğe girer.
API ve webhook güvenliği
- API anahtarları SHA-256 ile hash'lenir; yalnızca bir önek saklanır ve anahtar, oluşturulduğunda bir kez gösterilir.
- Anahtar başına ve IP başına hız sınırları, isteğe bağlı IP izin listeleri, günlük harcama limitleri, ülke ve yöntem kısıtlamaları ve tek tıkla rotasyon.
- Ajan anahtarlarındaki gerçek para yeteneği ayrıca ve yalnızca iki faktörlü kimlik doğrulamanın arkasında etkinleştirilir.
- Giden webhook'lar zaman damgası ve tekrar oynatma korumasıyla HMAC imzalıdır; gelen sağlayıcı geri çağrıları ham gövde üzerinde sabit zamanlı karşılaştırmayla doğrulanır ve herhangi bir durum değişikliğinden önce sağlayıcının gerçek kaydı yeniden çekilir.
Uyum programı
- Canlıya geçmeden önce KYB: kayıt belgeleri, gerçek faydalanıcılar, yaptırım taraması ve iki kişilik onay.
- Net çözüm akışlarıyla sürekli AML izleme, periyodik KYB yenileme ve işletme başına risk derecelendirmesi.
- Finansal kayıtlar ve denetim günlükleri, düzenleme ve silmeyi veritabanı düzeyinde engelleyen, yalnızca ekleme yapılabilen tablolarda yedi yıl saklanır.
- SOC 1 ve SOC 2 Güven Hizmetleri Kriterleri'ne (güvenlik, erişilebilirlik, gizlilik, işleme bütünlüğü) ve PCI DSS kart sahibi verisi bulundurmama duruşuna eşlenmiş kontroller.
- Canlı platformun (veritabanı, kimlik doğrulama, web dağıtımı, API, para yolları, tarayıcı) tam güvenlik incelemesi Ekim 2026'da tamamlandı; her bulgu düzeltildi veya bir sorumluya atandı.
Altyapı ve operasyonlar
- Siteler ve uygulamalar Cloudflare arkasında AWS CloudFront üzerinden sunulur; kaynak erişim kontrolü vardır ve her depolama bucket'ı özeldir.
- Katı tarayıcı başlıkları: çerçeveleme yasak, Content-Security-Policy frame-ancestors none, Permissions-Policy ve çapraz kaynak opener izolasyonu.
- Adli inceleme için 400 gün saklanan uç erişim günlükleri; her API çağrısında istek kimlikleri, IP'ler ve kullanıcı aracıları.
- Her derlemede bağımlılık denetimi, herkese açık bir durum sayfası, her sağlayıcıda sağlık kontrolleri ve operasyon ekibine olay uyarıları.
Verileriniz nerede tutulur
Her güvenlik incelemesindeki veri konumu sorularına açık yanıtlar.
Platform veritabanı ve belgeler
Veritabanı sağlayıcımız aracılığıyla Amazon Web Services üzerinde barındırılır ve depolamada AES-256 ile şifrelenir.
Web siteleri, panel ve ödeme sayfası
Sayfaların müşterilerinize yakın yüklenmesi için Cloudflare arkasındaki Amazon CloudFront uç ağından tüm dünyaya sunulur. Uç ağda hiçbir müşteri kaydı saklanmaz.
Ödeme ortakları
Bir ödemeyi tamamlamak için gereken bilgiler yalnızca ödemeyi işleyen lisanslı mobil para, banka ve kart ortaklarıyla paylaşılır.
Ekibimizin erişimi
Müşteri kayıtlarını yalnızca yetkili personel, role dayalı yetkilerle açabilir ve her ayrıcalıklı işlem düzenlenemeyen bir denetim kaydına yazılır.
Bir sorun çıkarsa
Bir güvenlik olayını ilk uyarıdan son değerlendirmeye kadar nasıl yönettiğimiz.
- 01
Tespit et
Sağlayıcı arızaları, cüzdan bakiyesi, defter uyuşmazlıkları ve olağan dışı etkinlik hakkındaki otomatik uyarılar operasyon ekibimize ulaşır.
- 02
Sınırla
Acil durdurma anahtarları ve devre kesiciler etkilenen ödeme kanalını saniyeler içinde durdurur; açığa çıkan anahtarlar veya oturumlar anında iptal edilebilir.
- 03
Bildir
Etkilenen müşteriler ne olduğunu, bunun kendileri için ne anlama geldiğini ve ne yaptığımızı gereksiz gecikme olmadan ve yasanın öngördüğü süre içinde öğrenir.
- 04
Ders çıkar
Her ciddi olay, yazılı bir değerlendirme ve tekrarlanmasını önleyen düzeltmelerle sonuçlanır.
Yazılı olay müdahale planımız önem seviyelerini, rolleri, müdahale sürelerini ve müşteri bilgilendirmesini belirler. İş ortakları ve kurumsal müşteriler NDA kapsamında bir kopyasını talep edebilir.
Sizden beklediklerimiz
Güvenlik ortak bir sorumluluktur. Üç alışkanlık, hesabınızı altındaki platform kadar güçlü tutar.
- 1Sahipler ve finans ekibinden başlayarak her ekip üyesi için iki faktörlü kimlik doğrulamayı açın.
- 2API anahtarlarını asla kodda değil, bir gizli anahtar yöneticisinde tutun ve personel değiştiğinde rotasyon yapın.
- 3Üretim anahtarlarınızda bir para gönderimi onay eşiği ve bir IP izin listesi belirleyin.
Politikalar ve belgeler
Kontrollerin arkasındaki belgeler; yayımlanmış ve güncel tutuluyor.
Güvenlik soruları, yanıtlandı
Verilerim şifreleniyor mu?
Evet. Capay Global'e yapılan her bağlantı TLS kullanır ve veriler depolamada AES-256 ile şifrelenir. Gizli anahtarlar kilitli tablolarda saklanır ve günlüklerde asla görünmez.
Kart numaralarını saklıyor musunuz?
Hayır. Capay Global hiçbir zaman bir kart numarası veya CVV almaz, saklamaz, işlemez ya da iletmez. Kart verileri API ucunda ve veritabanı içinde reddedilir; kart ödemeleri yalnızca iş ortaklarımızın PCI DSS kapsamındaki barındırılan sayfalarda çalışır.
SOC 2 ve PCI DSS uyumlu musunuz?
Kontrol çerçevemiz SOC 1 ve SOC 2 Güven Hizmetleri Kriterleri'ne eşlenmiştir ve platform, PCI DSS kart sahibi verisi bulundurmama duruşunda çalışır. İş ortakları ve kurumsal müşteriler güvenlik genel bakışını, kontrol matrisini ve sağlayıcılarımızın denetim raporlarını talep edebilir.
Capay Global'de biri paramı taşıyabilir mi?
Tek bir kişi taşıyamaz. Eşiğinizin üzerindeki para gönderimleri sizin tarafınızda ikinci bir onaylayıcı gerektirir; bizim tarafımızdaki ayrıcalıklı işlemler bir yetki ve yazılı gerekçe ister ve asla düzenlenemeyen bir denetim kaydı bırakır; kayıt defteri de dengesiz her hareketi reddeder.
Bir güvenlik açığını nasıl bildiririm?
Ayrıntılarla birlikte destek ekibimize yazın; her bildirim teyit edilir ve hızla ele alınır. Sorumlu açıklama talep ediyoruz ve iyi niyetli araştırmacıları asla kovuşturmuyoruz.
Sızma testi yaptırdınız mı?
Katı bir sıra izliyoruz: önce tam bir canlı ortam denetimi (Ekim 2026'da tamamlandı), ardından düzeltmeler, ardından bağımsız bir sızma testi ve son olarak düzeltmelerin kalıcı olduğunu doğrulamak için ikinci bir denetim. İş ortakları ve kurumsal müşteriler, NDA kapsamında denetim özetimizi ve yayımlandığında sızma testi özetini talep edebilir.
Verilerim nerede saklanıyor?
Platform veritabanı ve belgeler Amazon Web Services üzerinde barındırılır ve depolamada AES-256 ile şifrelenir. Web siteleri ve ödeme sayfaları, hiçbir müşteri kaydı saklamayan küresel bir uç ağdan sunulur.
Sorumlu açıklama
Güvenlik araştırmacılarını memnuniyetle karşılıyoruz. Capay Global'de bir güvenlik açığı bulduğunuzu düşünüyorsanız bize gizli olarak bildirin ve düzeltmemiz için makul bir süre tanıyın. Her bildirimi teyit ederiz ve iyi niyetli araştırmaları asla kovuşturmayız.
- 1Ayrıntıları ekibimize gönderin: ne bulduğunuzu, nerede bulduğunuzu ve nasıl yeniden oluşturulacağını.
- 2Aldığımızı onaylar ve düzeltilene kadar sizi bilgilendiririz.
- 3Kamuya açıklamadan önce düzeltmemiz için bize makul bir süre tanıyın.
Bize bir güvenlik anketi mi gönderiyorsunuz?
Sözleşmeden sonra değil, önce gönderin. Bu sayfa ve puan tablosuyla, NDA kapsamında ise ayrıntılı güvenlik özetimiz, kontrol matrisi ve sağlayıcılarımızın tasdikleriyle yanıtlıyoruz.
Afrika genelinde tahsilata bugün başlayın
Ücretsiz hesap oluşturun, sandbox üzerinde geliştirin ve doğrulamanın ardından canlıya geçin.
Koridorlarınızı ve hacimlerinizi dilediğiniz zaman bize anlatın.