Sanal POS ve Ödeme Altyapısı Seçimi: iyzico, PayTR ve Banka Sanal POS'u Nasıl Karşılaştırırsınız? (2026)

Kısaca: Türkiye'de web sitenizde kartla ödeme almanın iki ana yolu vardır: bankanızla sanal POS (üye iş yeri) anlaşması yapmak veya lisanslı bir ödeme kuruluşu (iyzico, PayTR, Param gibi) üzerinden çalışmak. Seçimde tek kriter komisyon olmamalı; onay süreci, hesaba geçiş süresi, taksit desteği, entegrasyon kalitesi, iade ve iptal yönetimi, pazaryeri ve abonelik desteği ile güvenlik birlikte değerlendirilmelidir. Teknik tarafta en kritik kural şudur: bir siparişi yalnızca tarayıcıya dönen yönlendirmeye bakarak değil, sunucudan doğrulanmış ödeme bildirimiyle “ödendi” yapın. Kart verisini kendi sunucunuzda işlememek, güvenlik yükünüzü ve PCI DSS kapsamınızı büyük ölçüde azaltır.

Son güncelleme: Eylül 2026

Sanal POS nedir, ödeme altyapısı nedir?

• Sanal POS: Kartlı işlemin internet üzerinden bankaya iletilmesini sağlayan sanal ödeme terminalidir. Genellikle bir bankayla yapılan üye iş yeri anlaşması ile açılır.
• Ödeme altyapısı (ödeme kuruluşu / PSP): Birden çok bankayla çalışan, kart doğrulamasını (3D Secure), taksitleri, iade ve raporlamayı sizin adınıza yöneten aracı hizmettir. Türkiye'de bu kuruluşlar 6493 sayılı Kanun kapsamında Merkez Bankası'ndan (TCMB) faaliyet izni almak zorundadır; izinli kuruluşların güncel listesi TCMB'nin Ödeme Kuruluşları sayfasında yayımlanır. Bir sağlayıcıyla anlaşmadan önce listede olup olmadığını kontrol etmek basit ve etkili bir adımdır.

Küçük ve orta ölçekli e-ticaret siteleri için ödeme kuruluşları genellikle daha hızlı kurulum ve tek entegrasyonla birçok bankada taksit sunar. Yüksek hacimli işletmeler ise doğrudan banka sanal POS'u ve birden fazla sağlayıcıyı birlikte kullanmayı tercih edebilir.

Üç ana yaklaşım

Seçerken bakmanız gereken 10 kriter

1. Lisans ve güvenilirlik. TCMB listesinde izinli kuruluş mu? Sektörde geçmişi, müşteri yorumları ve teknik belgeleri nasıl?
2. Komisyon ve ücret yapısı. İşlem başına komisyon, sabit ücret, taksit maliyeti, iade ve iptal ücretleri, minimum aylık tutarlar ve gizli kalemler. Oranlar kategori, hacim ve sektöre göre değişir; yazılı teklif alın.
3. Hesaba geçiş (valör) süresi. Ödemenin size ne zaman yattığı nakit akışınızı doğrudan etkiler.
4. Taksit ve banka kapsamı. Hedef müşterinizin kullandığı kartlarla taksit yapılabiliyor mu? Kart ailesi (World, Bonus, Maximum vb.) desteği nasıl?
5. Entegrasyon seçenekleri. Hazır eklenti, ödeme sayfası, iframe ve doğrudan API seçenekleri var mı? Sandbox (test) ortamı ve belge kalitesi nasıl?
6. Güvenlik ve sahtekârlık kontrolü. 3D Secure yönetimi, risk motoru, kara liste, tokenizasyon (kartı saklamadan tekrar ödeme).
7. İade, iptal ve kısmi iade. API üzerinden yönetilebiliyor mu? Sipariş yönetiminizle uyumlu mu?
8. İş modelinize uygunluk. Abonelik, tekrarlı ödeme, pazaryeri (alt üye iş yeri ve komisyon bölüşümü), ödeme linki, çoklu para birimi veya yabancı kart kabulü gerekiyor mu?
9. Raporlama ve mutabakat. İşlem raporları, banka mutabakatı ve muhasebe entegrasyonu için çıktı kalitesi.
10. Destek. Teknik ve operasyonel destek, sorun çözme süresi, yönetim panelinin kullanımı.

Sağlayıcıların özelliklerini kendi belgelerinden doğrulayın: iyzico geliştirici portalı çevrimiçi ödeme ve pazaryeri ürünlerini, birden çok ödeme yöntemini ve API'yi anlatır; pazaryeri kullanıcıları için stopaj uygulamasına dikkat çeker. PayTR geliştirici merkezi ise iFrame API, Direkt API, Link API ve doğrulama için hash kullanan bildirim (callback) seçeneklerini listeler. Fiyat ve koşullar sık değiştiği için burada oran vermiyoruz.

Entegrasyon türleri: hangisi size uygun?

1. Ödeme sayfasına yönlendirme veya barındırılan form (hosted): Müşteri kartını sağlayıcının sayfasında girer. En basit ve en güvenli seçenek; kart verisi sizin sunucunuza hiç uğramaz.
2. Gömülü ödeme formu (iframe / checkout form): Form sizin sayfanızın içinde görünür ama kart bilgisi sağlayıcının çerçevesinde girilir. Deneyim daha akıcıdır ve kart verisi yine sunucunuza uğramaz.
3. Doğrudan API: Kart bilgisini kendi formunuzdan alıp API'ye iletirsiniz. En esnek seçenek ama PCI DSS kapsamı ve güvenlik sorumluluğunuz artar; yalnızca ihtiyaç ve yetkinlik varsa tercih edin.
4. Ödeme linki: Web sitesi olmayan ya da sipariş sonrası tahsilat gereken işletmeler için hızlı bir yol.

PCI DSS nedir? PCI Güvenlik Standartları Konseyi, standardı ödeme hesap verilerini depolayan, işleyen veya ileten kuruluşlar için tanımlar ve uyumu kendisi denetlemez; uyum gereklilikleri kart markaları ve bankalar üzerinden yürür. Kart verisini kendi sunucunuzda işlememeniz gereklilikleri azaltır, ancak kapsam entegrasyon biçiminize göre değişir. Kesin yükümlülük için sağlayıcınızla ve bankanızla yazılı olarak netleştirin.

Doğru entegrasyonun 8 kuralı

Ödeme entegrasyonunda hatalar doğrudan para ve müşteri güveni kaybına dönüşür:

1. Ödeme sonucunu sunucudan doğrulayın. Müşteri ödeme sonrası tarayıcıda başarılı sayfaya dönmüş olabilir ama bu, ödemenin gerçekleştiğini kanıtlamaz. Siparişi yalnızca sağlayıcının sunucu tarafı bildirimi (webhook/callback) veya sorgu API'siyle doğrulanmış sonuca göre “ödendi” yapın.
2. Bildirimin imzasını/hash'ini doğrulayın. Gelen bildirimin gerçekten sağlayıcıdan geldiğini, paylaşılan gizli anahtarla doğrulayın (PayTR bildirimlerinde hash doğrulaması bu amaçla kullanılır).
3. İşlemleri idempotent (tekrarlanabilir güvenli) yazın. Aynı bildirim iki kez gelirse sipariş iki kez işlenmesin, stok iki kez düşmesin.
4. Tutarı sunucuda belirleyin. Sepet tutarı tarayıcıdan gelen veriyle değil, sunucudaki sipariş kaydıyla hesaplansın; aksi hâlde fiyat manipülasyonu mümkün olur.
5. Gizli anahtarları kod deposuna koymayın. API anahtarlarını ortam değişkenlerinde saklayın, düzenli yenileyin.
6. Hata ve zaman aşımı senaryolarını tasarlayın. Ödeme alındı ama sipariş kaydı yazılamadı, ya da bildirim gecikti: bu durumlar için mutabakat ve düzeltme akışı olsun.
7. Test ortamında uçtan uca deneyin. Başarılı, başarısız, iptal, iade ve 3D Secure doğrulamasını sandbox'ta sınayın; canlıya geçişten önce küçük tutarlı gerçek bir işlem yapın.
8. Kayıt ve izleme kurun. Her ödeme denemesinin durumunu (kart verisi olmadan) kaydedin; sorun anında hızlıca izlenebilsin.

Güvenlik ve uyum

• 3D Secure: Türkiye'de internetten kartlı ödemelerde 3D Secure doğrulaması yaygın ve standart bir güvenlik katmanıdır; ödeme sağlayıcınız bunu yönetir. Bunu devre dışı bırakmaya çalışmak yerine, akışın kullanıcı için akıcı olmasına odaklanın.
• Kart verisini saklamayın. Tekrarlı ödeme veya “kartımı hatırla” için sağlayıcının tokenizasyon özelliğini kullanın.
• Sayfa güvenliği. Ödeme sayfalarında yalnızca güvenilir, gerekli betikleri çalıştırın. Ödeme sayfasına sonradan eklenen kötü niyetli betikler (e-skimming) kart bilgisi çalabilir; üçüncü taraf betikleri sınırlandırın.
• KVKK. Müşteri ve sipariş verisinin işlenmesi için aydınlatma metni ve güvenlik önlemleri gerekir. Ayrıntı için KVKK uyumlu web sitesi rehberimize bakın.
• Mesafeli satış. Ödeme öncesinde ön bilgilendirme ve mesafeli satış sözleşmesinin onaylanması, fiyat ve toplam tutarın net gösterilmesi gerekir. Yasal çerçeve için kendi site mi pazaryeri mi yazımıza bakabilirsiniz.

Pazaryeri ve çok satıcılı sistemlerde ödeme

Birden fazla satıcının ürün sattığı platformlarda ödeme tek bir “kasa”dan geçse de, tutarın satıcılar arasında ve platform komisyonuyla bölüştürülmesi gerekir. Bu, standart bir e-ticaret ödemesinden farklıdır: alt üye iş yeri kaydı, komisyon hesabı, iade sırasında ilgili satıcıdan geri alma ve vergisel konular (ör. stopaj) devreye girer. Pazaryeri modeli için bu yapıyı destekleyen bir sağlayıcı seçin ve iş modelinizi sağlayıcının sunduğu ürünle başlangıçta doğrulayın; sonradan geçiş zordur.

Yurt dışına satış ve Stripe

Stripe'ın küresel kullanılabilirlik sayfasında işletme hesabı açılabilen ülkeler listelenir ve Türkiye bu listede yer almaz. Yalnızca yurt dışına abonelik veya dijital ürün satan SaaS ve yazılım işletmeleri için çözüm, çoğunlukla yurt dışında kurulu bir şirket üzerinden Stripe ya da “merchant of record” (satıcı yerine geçen) hizmetler gibi alternatiflerdir. Bu yol vergi ve hukuki sonuçlar doğurur; mali müşavir ve avukatla birlikte planlanmalıdır. Yurt içi kart sahiplerine satış içinse Türkiye'de lisanslı ödeme kuruluşları ve banka sanal POS'ları kullanılır. SaaS mimarisi tarafı için SaaS platform rehberimize göz atın.

Ödeme sayfası dönüşümünü nasıl etkiler?

Ödeme, satın alma yolculuğunun en hassas adımıdır. Baymard'ın sepet terk oranı listesine göre (Baymard) ortalama terk oranı yaklaşık %70'tir ve terk sebepleri arasında beklenmedik ek maliyetler, sitenin güvenilirliğine dair kaygı, hesap oluşturma zorunluluğu ve uzun ya da karmaşık ödeme süreci yer alır. Bu yüzden ödeme adımında toplam tutarı (kargo ve vergi dâhil) erken gösterin, misafir olarak alışverişe izin verin, tanıdık ödeme yöntemlerini ve güven işaretlerini sunun, form alanlarını azaltın. Daha geniş bir çerçeve için dönüşüm oranı yazımıza bakın.

Aktaş Digital ne yapıyor?

E-ticaret sitelerine, web uygulamalarına ve özel yazılımlara iyzico, PayTR gibi ödeme altyapılarının entegrasyonunu yapıyoruz; ödeme akışını kart verisi sunucularınızdan geçmeyecek biçimde tasarlıyor, sunucu tarafı doğrulama, iade ve mutabakat akışlarını kuruyoruz. Ödemenin parçası olduğu projeler için özel yazılım e-ticaret altyapısı, çok satıcılı yapılarda ödeme bölüşümü için Marketplace sistemi çözümlerimiz bulunuyor. Muhasebe ve e-belge tarafındaki sistem entegrasyonlarını ise otomasyon çözümlerimiz kapsamında ele alıyoruz. Projenize uygun ödeme altyapısını birlikte seçmek için teklif formumuzdan yazın.

Sık Sorulan Sorular

Sanal POS ile ödeme altyapısı (iyzico, PayTR) arasındaki fark nedir?

Sanal POS, bir bankayla yapılan üye iş yeri anlaşmasıyla açılan ödeme terminalidir. iyzico ve PayTR gibi ödeme kuruluşları ise birden çok bankayla çalışıp tek entegrasyonla ödeme almanızı, taksit ve raporlama gibi hizmetleri sağlar. Küçük ve orta işletmeler için genellikle ödeme kuruluşu daha hızlı bir başlangıçtır.

Şahıs işletmesi olarak ödeme altyapısı alabilir miyim?

Bu, her sağlayıcının kendi başvuru şartlarına bağlıdır; şahıs işletmelerini kabul eden sağlayıcılar vardır. Gerekli belgeler ve onay koşulları için doğrudan sağlayıcının güncel başvuru sayfasına bakın.

Komisyon oranı düşük olan sağlayıcıyı mı seçmeliyim?

Yalnızca komisyona bakmayın. Hesaba geçiş süresi, taksit desteği, onay oranı, ek ücretler, entegrasyon kalitesi ve destek toplam maliyeti belirler. Aynı oran farklı koşullarla çok farklı gerçek maliyet doğurabilir.

PCI DSS uyumu için ne yapmalıyım?

Kart verisini kendi sunucunuzda saklamayan ve işlemeyen (barındırılan ödeme sayfası veya iframe gibi) bir entegrasyon seçin; kapsamınız daha küçük olur. Yükümlülüğünüzü sağlayıcınızla ve bankanızla netleştirin.

Ödemeyi başarılı sayfasından mı yoksa bildirimle mi onaylamalıyım?

Yalnızca sunucu tarafından doğrulanmış bildirim ya da sorgu sonucuyla. Tarayıcıya dönüş sayfası kullanıcı tarafından değiştirilebilir ve ağ kesintisinde hiç gelmeyebilir.

Abonelik veya tekrarlı ödeme alabilir miyim?

Evet, birçok sağlayıcı tokenizasyon ve abonelik ürünleri sunar. Kart saklama, izin ve iptal akışı için sağlayıcının belgelerine ve mevzuata uygun tasarım yapın.

Sonuç

Doğru ödeme altyapısı, komisyon tablosundan çok daha fazlasıdır: kurulum hızı, hesaba geçiş, taksit, güvenlik, iade akışı ve iş modelinize uygunluk birlikte değerlendirilmelidir. Barındırılan veya gömülü bir ödeme formuyla kart verisini sunucunuzdan uzak tutun, sonucu sunucu tarafında doğrulayın ve sandbox'ta uçtan uca test edin. Bugün yapabileceğiniz ilk iş: Son üç ayki ortalama sepet tutarınızla, en çok kullandığınız kartlarla ve taksit oranlarınızla iki sağlayıcıdan yazılı teklif istemek.