Specoria
Menü
EN Ücretsiz test

İçgörülerAltyapı

Ödeme adımında bot koruması: CAPTCHA ve WAF doğrulamaları istediğiniz ajanları durdurduğunda

Mağazalar botlara en sıkı kontrolü ödeme adımında uygular; müşteri adına gelen ajan da oradan geçmeli. Ajanı nasıl doğrularsınız, bedeli ne olur?

Yazan 8 dk okuma
Alçıdan bir el, gri taş bir kemerin yanında boş bir kart tutuyor ve kartın üzerinde tek bir yuvarlak mor mühür var.
Ajan kapıdan geçmeden önce kimin gönderdiğini göstermelidir. İllüstrasyon: Specoria · yapay zekâ ile üretildi

Bir müşteri asistanına "aynı koşu ayakkabısını 43 numara olarak yeniden sipariş et, ödemeden önce dur" diyor. Ajan ürünü buluyor, numarayı seçiyor ve "Sepete ekle"ye basıyor. Karşısına sepet değil, tam sayfa bir doğrulama ekranı çıkıyor. Müşteri görevin neden yarım kaldığını hiç öğrenmiyor; mağaza ise yalnızca vazgeçip giden bir bot daha görüyor.

Sepet ve ödeme, çoğu mağazanın bot korumasını en yükseğe çektiği yer. Bunun haklı nedenleri var: kart denemesi (card testing) ve hesap kötüye kullanımı gibi. Ama burası, gerçek bir müşteri adına çalışan ajanın mutlaka geçmesi gereken tek yer de. Bu yazıda bir doğrulama ekranının ajan tarafından nasıl göründüğünü, bot yönetimi sağlayıcılarının ödeme adımındaki doğrulanmış ajanlar için neler belgelediğini ve dolandırıcılık kontrollerini korurken istediğiniz ajanları durdurmayan bir kurulumu anlatıyoruz. Sayfa sayfa genel politika için Sayfa türüne göre bot politikası yazımıza bakabilirsiniz.

Doğrulama ekranı bir ajana nasıl görünür?

"CAPTCHA" kelimesi geniş anlamda kullanılıyor ama araçlar farklı çalışıyor. Cloudflare'in belgelerini örnek alırsak:

  • Ara doğrulama sayfaları (challenge page) isteği ziyaretçi adrese ulaşmadan önce bekletir. Non-Interactive Challenge yalnızca tarayıcıda JavaScript çalıştırır; Managed Challenge'da kontrolü Cloudflare seçer ve yalnızca tarayıcı otomasyon gibi görünürse etkileşim ister; Interactive Challenge ise ziyaretçiden her zaman bir işlem bekler. Cloudflare çoğu kural için Managed Challenge öneriyor.
  • Turnstile, sayfanın önüne konan bir kapı değil, sayfanın içindeki bir bileşen. Genellikle arka planda çalışır ama bir onay kutusu gösterebilir; ürettiği belirteç, form gönderimi gibi hassas bir işlemden önce sunucuda kontrol edilmelidir.
  • Bot Fight Mode, ücretsiz pakette, bilinen bot kalıplarına uyan trafiğe tüm alan adında yüksek işlem gücü isteyen doğrulamalar uygular.

Ödeme adımında iki ayrıntı önemli. Birincisi, Cloudflare doğrulama sayfalarının, tarayıcı fetch ya da XHR isteklerinde olduğu gibi HTML dışında bir yanıt beklediğinde çalışmadığını belirtiyor. Birçok mağazada "Sepete ekle" tam da böyle bir istek gönderiyor; oradaki bir doğrulama ekranı bu adımı insan için de ajan için de sessizce bozabilir. İkincisi, "bu otomasyon mu?" sorusunu sormak için kurulmuş bir doğrulama, bir ajan için doğası gereği "evet" cevabını verir. Bunun sorun olup olmadığı, ajanın kimin adına çalıştığına bağlı.

Sağlayıcılar ödeme adımındaki ajanlar için ne belgeliyor?

Kağıttan alışveriş torbaları, boş bir fiyat etiketi ve açık bir zarf masada duruyor; kağıt bir el mor bir anahtarın üzerinde duruyor.
Alışverişçinin son söz hakkı vardır; son dokunuş bir insanın elinde kalır. İllüstrasyon: Specoria · yapay zekâ ile üretildi

Sektörün yöneldiği cevap kimlik: ajan kim olduğunu kanıtlasın, ne yapabileceğine sonra karar verilsin.

  • Cloudflare. 1 Temmuz 2026'dan beri imzalı ajanlar doğrulanmış bot sayılıyor ve Direct ya da Intermediary olarak etiketleniyor. Sınıflandırmada Transact adlı bir davranış var: kullanıcılar adına ödeme ya da başka işlemler. Cloudflare bu davranış etiketlerinin WAF özel kurallarında ayrı alanlar olmadığını söylüyor; kurallar Verified Bot alanını ve Bot Management ile birlikte Web Bot Auth ile kendini tanıtan ajanlar için bir Signed Agent alanını kullanıyor. Aracı hizmetler için de bir uyarısı var: işletmeciye güvenip arkasındaki her son kullanıcıya güvenmeyebilirsiniz.
  • HUMAN. AgenticTrust ürününde izinler bilinen her ajan için ayrı ayrı veriliyor. Yalnızca ürün ve içerik okumaya izin verilirse ajan giriş ve ödeme sayfalarından engelleniyor; Checkout (ödeme) ayrı bir izin, "misafir kullanıcı olarak da" kapsıyor ve her ajana oturum başına dakikalık bir istek sınırı tanımlanıyor.
  • Visa ve Akamai. Visa'nın Trusted Agent Protocol'ü ajanın imzasını alan adınıza ve yapılan işleme, yani göz atmaya ya da ödemeye bağlıyor. Akamai ve Visa, Aralık 2025'te bu protokolü Akamai'nin platformunda destekleyeceklerini duyurdu; amaç, protokolü Akamai'nin davranış analizi ve kullanıcı tanımasıyla birleştirip ajanın göz mü attığını yoksa ödeme mi yaptığını mağazaya göstermek.
  • Mastercard. Cloudflare, Ekim 2025'te Mastercard'ın mağazaların güvenilir ajanları tanıyabilmesi için Web Bot Auth'u Agent Pay'e eklediğini duyurdu.

Ürünler farklı ve çoğu erken aşamada, ama ortak bir kalıp var: ödeme için ayrı bir izin, doğrulanmış ajana verilen ve sınırlarla gelen.

Sepet ve ödeme yolları için bir kurulum

  1. Gerçek yolları listeleyin. Altyapınızın kullandığı sepet, ödeme, sepete ekleme isteği ve ödeme dönüş adresleri. Yalnızca /checkout için yazılmış bir kural /sepet altındaki sepeti ya da bir API yolunu kaçırır.
  2. Bu yollarda doğrulanmış ajanları doğrulama ekranından muaf tutun. Cloudflare'de Skip eylemli bir özel kural, eşleşen istekleri Super Bot Fight Mode'dan ve hız sınırı kurallarından muaf tutabiliyor. Paketinizi bilin: Cloudflare, Bot Fight Mode'un WAF kurallarıyla hiç atlanamayacağını söylüyor; ona dayanan bir mağaza ödeme adımı için istisna tanımlayamaz.
  3. Doğrulanmış trafikte doğrulama ekranı yerine hız sınırı kullanın. Bir müşteri için tek sipariş veren ajanın yüksek bir istek hızına ihtiyacı yok. Cloudflare'in hız sınırı kuralları ücretsiz pakette bile yol ve Verified Bot alanlarını kabul ediyor. Dakika başına bir üst sınır, kontrolden çıkmış bir ajanı ondan bir şey çözmesini istemeden durdurur.
  4. Kimliği belirsiz trafikte Interactive yerine Managed seçin. Müşterinin kendi tarayıcısında çalışan ajanlar çoğu zaman müşteriden ayırt edilemez. Bir insanın bir saniyede geçtiği bir kontrol, her seferinde tıklama isteyen bir kontrolden daha az kaybettirir.
  5. Ödemede insan onayını koruyun. Ajanlar hızlansın diye müşterinin ödemeyi kendisinin onayladığı adımı kaldırmayın. Ajanlar da bu adıma göre tasarlanıyor: OpenAI, ChatGPT agent'ın etkisi yüksek işlemlerde kullanıcı onayı istediğini söylüyor. Doğrulama, ödeme formuna kimin ulaşabileceğine karar verir; ödeyip ödememeye yine müşteri karar verir.

Bedeli: dolandırıcılık ve kart denemesi

Bunların hiçbiri bedelsiz değil. Stripe kart denemesini, çalıntı kart bilgilerinin geçerli olup olmadığını betiklerle kart kaydı ya da küçük ödemeler üzerinden yoklamak olarak tarif ediyor ve misafir alışverişin ödeme formuna ulaşmayı kolaylaştırdığı uyarısını yapıyor. Önerdiği önlemler arasında kart doğrulayabilen her istekte CAPTCHA, hız sınırları ve hesap başına kart ya da IP adresi başına yeni müşteri sayısı gibi sınırlar var. Stripe ayrıca IP adresi gibi tek bir sinyale dayanan basit güvenlik duvarı kurallarının tek başına genellikle yetmediğini söylüyor.

Bu yüzden dürüst tutum "ajana asla doğrulama gösterme" demekten daha dar:

  • Davranışı değil, kimliği muaf tutun. Ödeme yollarında doğrulanmış ajanlar için yazılmış bir Skip kuralı, otomasyon gibi görünen her şey için yazılmış bir kural değildir. Kart denemesi yapanlar hızlı oldukları için geçiş hakkı kazanmaz.
  • Ödeme sağlayıcınızın kendi katmanı var. Stripe, önerdiği entegrasyonların bir kart denemesi saldırısı sırasında CAPTCHA'yı dinamik olarak devreye alabildiğini söylüyor. WAF'taki muafiyetiniz bunu değiştirmez; değiştirmemeli de.
  • Doğrulama onay değildir. Doğrulanmış bir aracı hizmetin arkasında kötü niyetli bir son kullanıcı olabilir; ajan siparişi de yine dolandırıcılık taramanızdan geçer. Bu kuralların ajanı nasıl yanlış okuyabileceğini Ajan siparişleri dolandırıcılık filtrenize ulaştı yazımızda anlattık.

Bedeli gösteren sayıları izleyin

  • Kural başına doğrulama çözülme oranı. Cloudflare bunu çözülen doğrulamaların gösterilen doğrulamalara bölümü olarak tanımlıyor. Ödeme adımındaki bir kuralda oranın yüksek olması gerçek ziyaretçilerin doğrulamaya takıldığını gösterir. Düşük oran başarı gibi görünür; ama vazgeçen bir ajan da kazıyıcı bir bot gibi sayılır.
  • Ödeme yollarında doğrulanmış botlara gösterilen doğrulamalar. Skip kuralından sonra bu sayı sıfıra yakın olmalı.
  • Sepet isteklerinde doğrulama yanıtları. Cloudflare her doğrulama sayfası yanıtına cf-mitigated: challenge başlığını ekliyor. Böylece bir "sepete ekle" isteğinin sepet yerine kaç kez doğrulama ekranı döndürdüğünü sayabilirsiniz.

Ajanın alışveriş yaptığı gibi test edin

Gerçek bir tarayıcı ajanını ürün sayfasından ödeme adımına gönderin ve son ödeme butonundan önce durdurun. Ekim 2026'daki saha çalışmamızı böyle yürüttük: beş canlı mağaza, mağaza başına iki alışveriş görevi ve dört model ailesiyle 40 koşu; her koşu ajan ödeme adımına ulaştığı anda bitti. En güçlü iki model 9 görevin 9'unda, daha hafif iki model 7'sinde ödeme adımına ulaştı. 40 koşu küçük bir örneklem; ama modeller arasındaki fark tam da mağazanın yolu zorlaştırdığı noktalarda ortaya çıktı.

Sonuç

Ödeme adımı, bot korumasıyla ajan ticaretinin doğrudan karşılaştığı yer. "Otomasyon musun?" diye soran bir doğrulama dürüst bir ajanı her seferinde durdurur. Daha iyi soru şu: "Kimsin ve burada ne yapabilirsin?" Sepet ve ödeme yollarında ajanları doğrulayın, onlara doğrulama ekranı yerine sınır koyun, ödemede müşterinin kendi onayını koruyun ve kurallarınızın gerçekte neyi durdurduğunu ölçün.

Specoria gerçek tarayıcı ajanlarını ürün sayfasından ödeme adımına kadar, son ödeme butonuna basmadan yürütüyor ve bot korumasının ya da başka bir engelin onları nerede durdurduğunu kaydediyor. Ücretsiz hazırlık testiyle başlayabilirsiniz.

Kaynaklar