--- title: "Bayilerimizin sipariş vereceği bir portal yaptırırken nelere dikkat etmeliyiz?" description: "Bayi portalında asıl risk yetkilendirmedir; ilk test, bir bayinin URL'deki numarayı değiştirerek başkasının carisine erişip erişemediğidir." canonical_url: https://lovefengis.com/blog/bayi-siparis-portali-yetki-kontrolu last_updated: 2026-10-18T06:01:53.351Z lang: tr llms_txt: https://lovefengis.com/llms.txt --- 1. [Ana sayfa](https://lovefengis.com/) 2. [Blog](https://lovefengis.com/blog) 3. Bayilerimizin sipariş vereceği bir portal yaptırırken nelere dikkat etmeliyiz? 18 Ekim 2026 Blog # Bayilerimizin sipariş vereceği bir portal yaptırırken nelere dikkat etmeliyiz? Bayi portalında asıl risk yetkilendirmedir; ilk test, bir bayinin URL'deki numarayı değiştirerek başkasının carisine erişip erişemediğidir. [Ulaş Saraç](https://lovefengis.com/yazar/ulas-sarac) Kurucu, lovefengis · 2 dk [LinkedIn](https://www.linkedin.com/in/ulassarac/) İçindekiler [Logo Müşteri Bilgi Sistemi hangi işleri yapar?](https://lovefengis.com/blog/bayi-siparis-portali-yetki-kontrolu#logo-musteri-bilgi-sistemi-hangi-isleri-yapar) [Yetki kontrolünde kayda mı, kaydın alanlarına mı bakmalıyız?](https://lovefengis.com/blog/bayi-siparis-portali-yetki-kontrolu#yetki-kontrolunde-kayda-mi-kaydin-alanlarina-mi-bakmaliyiz) [Kimliği değiştirmek nasıl bir riske yol açar?](https://lovefengis.com/blog/bayi-siparis-portali-yetki-kontrolu#kimligi-degistirmek-nasil-bir-riske-yol-acar) [Yayına geçmeden önce hangi kontrolleri istemelisiniz?](https://lovefengis.com/blog/bayi-siparis-portali-yetki-kontrolu#yayina-gecmeden-once-hangi-kontrolleri-istemelisiniz) Bayi portalında asıl riskin yetkilendirmede olduğunu düşünüyorum. Bayilerinizin kendi cari, fiyat ve stok bilgilerini görerek sipariş vereceği bir portal yaptırırken ilk testiniz, bir bayinin URL'deki numarayı değiştirerek başka bir bayinin carisini görüp göremediği olmalıdır. Bunu, portalın nasıl görüneceğini konuşmadan önce sınamalısınız. ## Logo Müşteri Bilgi Sistemi hangi işleri yapar? Logo'nun ekosistem çözümleri arasında yer verdiği [Müşteri Bilgi Sistemi](https://www.logo.com.tr/logo-ekosistem-cozumleri/musteri-bilgi-sistemi), Logo ERP üzerinde işlem yapılan müşteriyi mesaj yoluyla bilgilendirir; resmî sayfa geliştiriciyi Lima Yazılım Teknolojileri olarak gösterir ve müşterilerin borçlarını anında görebildiğini ve bakiye mutabakatını hızlıca yapabildiğini belirtir. ## Yetki kontrolünde kayda mı, kaydın alanlarına mı bakmalıyız? Yetkilendirmeyi değerlendirirken hem bayinin hangi kayda erişebildiğine hem de eriştiği kayıtta hangi alanları görebildiğine ve değiştirebildiğine bakmalısınız; OWASP bu sorunları ayrı risk başlıkları altında ele alır. - Kayıt düzeyi: OWASP API Security Top 10 2023 listesinin birinci sırasındaki nesne düzeyinde bozuk yetkilendirme (Broken Object Level Authorization, API1:2023), kullanıcıdan gelen kimlikle veri kaynağına erişen fonksiyonlarda [nesne düzeyinde kontrolü](https://owasp.org/API-Security/editions/2023/en/0x11-t10/) gündeme getirir. - Alan düzeyi: OWASP API Top 10 2023 listesinin üçüncü sırasındaki nesne özelliği düzeyinde bozuk yetkilendirme (API3:2023), yetkisiz kişilere fazla veri gösterilmesini ve verinin yetkisiz değiştirilmesini kapsar. ## Kimliği değiştirmek nasıl bir riske yol açar? İstekte gönderilen nesne kimliğini değiştirmek, OWASP'ın [BOLA açıklamasında anlattığı](https://owasp.org/API-Security/editions/2023/en/0xa1-broken-object-level-authorization/) saldırı yoludur. Kimlik sıralı bir sayı, UUID ya da herhangi bir metin olabilir. Adres yolunda, sorgu parametresinde, başlıkta veya istek gövdesinde kolayca bulunabilir. OWASP, sunucunun erişilecek nesneyi istemciden gelen kimliğe bakarak seçmesi nedeniyle bu açığın API tabanlı uygulamalarda son derece yaygın olduğunu ve yetkisiz veri ifşasına, veri kaybına veya verinin değiştirilmesine yol açabildiğini belirtir. Oturumdaki kullanıcı kimliğini istekteki kimlik parametresiyle karşılaştırmak ise OWASP'ın açıklamasına göre sorunun yalnız küçük bir kısmını kapatabilir; açığı çözmek için yeterli olmaz. ## Yayına geçmeden önce hangi kontrolleri istemelisiniz? Kullanıcı politikalarına ve hiyerarşisine dayanan bir yetki mekanizması ve bu mekanizmayı sınayan testler istemelisiniz; OWASP'ın [yetkilendirme önerileri arasında](https://owasp.org/API-Security/editions/2023/en/0xa1-broken-object-level-authorization/) bu kontrolü, istemciden gelen girdiyle kayda erişen her fonksiyonda yapmak yer alır. Kayıt kimliklerinde tahmin edilemeyen rastgele değerler tercih etmek de yetki kontrolüne ek bir önlemdir. Konuyu [Müşteri portalı](https://lovefengis.com/hizmetler/musteri-portali) sayfasında daha ayrıntılı okuyabilirsiniz. Yapay zekâ desteğiyle hazırlanan bu yazıdaki rakamlar, tarihler ve kurallar altta listelenen belgelerden alındı. ## Kaynaklar 1. Logo Yazılım (logo.com.tr), [Müşteri Bilgi Sistemi](https://www.logo.com.tr/logo-ekosistem-cozumleri/musteri-bilgi-sistemi). Erişim: 27 Eylül 2026 2. OWASP API Security Project, [OWASP Top 10 API Security Risks – 2023](https://owasp.org/API-Security/editions/2023/en/0x11-t10/). Erişim: 27 Eylül 2026 3. OWASP API Security Project, [API1:2023 Broken Object Level Authorization](https://owasp.org/API-Security/editions/2023/en/0xa1-broken-object-level-authorization/). Erişim: 27 Eylül 2026 ## Diğer yazılar 1. [Blog 17 Ekim 2026 Web uygulamamızın güvenlik testini nasıl yaptırmalıyız? Bence sızma testinin değerini, bulunan açıkların sayısından önce hangi standarda göre neyin test edildiğinin yazılı olması belirler. Ulaş Saraç 2 dk](https://lovefengis.com/blog/web-uygulamasi-guvenlik-testi) 2. [Blog 2 Ekim 2026 ERP’mizi değiştirmeden özel rapor ekranı ya da uygulama yaptırabilir miyiz? Eksik ekran veya akış için ERP’yi değiştirmeden, API ve ekosistem yollarıyla yanına özel bir panel ya da uygulama yazılabilir. Ulaş Saraç 2 dk](https://lovefengis.com/blog/erp-degistirmeden-ozel-panel-uygulama) 3. [Blog 13 Ekim 2026 Yapay zekâ projesinin gerçekten işe yaradığını nasıl ölçersiniz? Yapay zekâ projesinin başarısını gerçek örneklerinizden kurulan test seti ve önceden belirlediğiniz ölçütler gösterir. Ulaş Saraç 2 dk](https://lovefengis.com/blog/yapay-zeka-projesi-nasil-olculur) ## Sitemap See the full [sitemap](https://lovefengis.com/sitemap.md) for all pages on lovefengis.com.