Günümüzde mobil ödeme ve dijital çözümler hızla yaygınlaşıyor. Türkiye’nin karekod ödeme sistemi olan TR Karekod, bu dijital dönüşümün en önemli parçalarından biri olarak ön plana çıkıyor. Bankalararası Kart Merkezi (BKM) tarafından oluşturulan TR Karekod güvenli, hızlı ve kullanıcı dostu bir ödeme altyapısı sunuyor.
TR Karekod; özellikle perakende, hizmet ve e-ticaret alanları gibi birçok farklı sektörde kullanıcı deneyimini kolaylaştırmasıyla üye işyerleri ve kart sahipleri tarafında aynı anda hızla yaygınlaşmaya devam ediyor. Bu yazımızda TR Karekod sisteminin teknik altyapısı, kullanım alanları / sağladığı faydaları, Airapi KYS ürünü ve KYS Başvuru sürecini ele alacağız.
TR Karekod Nedir?
BKM TR Karekod, Bankalararası Kart Merkezi (BKM) tarafından geliştirilen ve yaygınlaştırılan bir ödeme yöntemi altyapısıdır. TR Karekod, Türkiye’deki standart bir QR kod altyapısını ifade eder ve ödemelerin hızlı, güvenli ve kolay bir şekilde yapılmasını sağlar. Türkiye Cumhuriyet Merkez Bankası’nın 6493 sayılı Ödeme Hizmetleri ve Elektronik Para Kuruluşları Hakkındaki Kanun’a dayanan yönetmeliklerine uygun olarak oluşturulmuştur. Bu yönetmelikte Ödeme hizmetlerinde TR karekodun üretilmesi ve kullanılması hakkında ödeme hizmeti kapsamına giren ve karekod kullanılarak yapılan ödeme işlemlerin kapsamı belirlenmiş olup, ödeme hizmetlerinde TR Karekodun üretilmesi ve kullanılmasına ilişkin usul ve esasları düzenlemektir.
Görsel 1: TR Karekod Örneği
Karekod Yönlendirme Sistemi (KYS) nedir?
KYS: Kare kodların ve içeriğinde yer alan bilgilerin ödeme hizmeti sağlayıcıları arasında transfer edilmesini sağlayan ve Yönetmelik uyarınca BKM tarafından kurulan ve işletilen altyapıdır. KYS sisteminde Alıcı, Gönderen, Kart Çıkaran Kuruluş ve Kart Kabul Eden Kuruluş gibi taraflar bulunmaktadır.
KYS Sisteminin Tarafları:
Alıcı: Ödeme işlemine konu fonun ulaşması istenen gerçek veya tüzel kişi kavramını temsil etmektedir.
Gönderen: Kendi ödeme hesabından veya ödeme hesabı bulunmaksızın ödeme emri veren gerçek veya
tüzel kişiyi ifade etmektedir.
Kart Çıkaran Kuruluş: Banka kartı veya kredi kartı sistemi kuran ve bu sisteme göre kart çıkarma yetkisi verilen kuruluşlar ile Kanun kapsamında ihraç edilebilen ödeme aracı niteliğindeki kartları çıkarma yetkisi verilen kuruluşu ifade eder.
Kart Kabul Eden Kuruluş: Banka kartı veya kredi kartı sistemi kuran ve bu sisteme göre üye işyeri anlaşması yapma yetkisi verilen kuruluşlar ile Kanun kapsamında ihraç edilebilen ödeme aracı niteliğindeki kartları kabul etme yetkisi verilen kuruluştur.
TR Karekod Kullanım Alanları
TR Karekod teknolojileri EFTPOS (PCI uyumlu tekil POS) terminalleri, ÖKC (POS uygulaması ile bütünleşik veya bağlantılı ödeme kaydedici) cihazları, ATM’ler ve mobil ödeme uygulamaları gibi geniş bir kullanım alanına sahiptir ve bu sayede birçok platformda ödeme sürecini kolaylaştırır. Hem fiziksel hem de dijital ortamlarda kullanıma uygun olan bu sistem, işletmelere ve tüketicilere hız ve güvenlik sağlar.
Görsel 2: Temsili TR Karekod kullanım alanları
Fiziksel Mağazalar
TR Karekod, POS cihazları ile entegre çalışarak mağazalarda hızlı ödeme yapılmasını sağlar. Özellikle marketler, restoranlar, giyim mağazaları gibi yoğun işlem yapılan yerlerde kullanımı yaygındır. Kullanıcılar, kasada oluşturulan karekodu mobil uygulamalarıyla okutarak ödeme işlemlerini hızlıca tamamlayabilirler.
Online Alışveriş
TR Karekod, e-ticaret platformlarında da kullanılabilir. Sanal POS üzerinden karekod oluşturularak tüketiciler, çevrimiçi alışverişlerinde güvenli bir ödeme yapabilirler. Bu yapı, kredi kartı bilgilerinin doğrudan girilmesi riskini ortadan kaldırarak, kullanıcıların mobil uygulamalar üzerinden hızlı ve kolayca ödeme yapmalarını sağlar.
ATM’ler ve Mobil Ödeme
ATM’lerde karekod kullanımı da giderek yaygınlaşıyor. Mobil uygulama üzerinden ATM karekodunun taratılmasıyla, kartsız para çekme işlemleri gerçekleştirilebilir. Bu yöntem, kullanıcıların güvenli bir şekilde para çekmelerini sağlarken, ATM dolandırıcılığı gibi sorunların da önüne geçer. 2024 yılında ATM’ler üzerinden TR Karekod ile para yatırma fonksiyonu BKM tarafından sunulmuş olup, bankalar tarafından 2025 ilk çeyreği sonuna kadar bu sürece uyumlu hale gelmeleri beklenmektedir.
TR Karekodun kullanım alanlarını yukarıdaki gibi özetlemişken bu kısımla ilgili olarak bir de iş kullanım modellerini özetlemekte fayda olacaktır:
Karekod Kullanım Modelleri
- POS/ATM’den Üretilen Karekodun Kart Çıkaran Kuruluşun Mobil Uygulaması ile Okutulması
Bu modelde, POS terminali veya ATM karekod üretir ve işlem kart çıkaran kuruluşun mobil uygulaması üzerinden tamamlanır. İki tür karekod kullanılabilir: BKM Uzun Karekod Formatı (UKF) ve BKM Kısa Karekod Formatı (KKF).
a. POS’tan BKM Uzun Karekod Formatı Üretilerek Başlayan Ödeme Akışı
İşlem tutarı terminalde belirlenir ve BKM UKF yapısına uygun karekod üretilir.
Kart hamili, mobil uygulaması aracılığıyla terminalde oluşan karekodu okur.
Kart hamili, kullanacağı kartı mobil uygulamadan seçer. Kart bilgileri KYS (Karekod Yönlendirme Sistemi) üzerinden şifrelenmiş olarak Kart Çıkaran Kuruluşa iletilir.
Kart Kabul Eden Kuruluş otorizasyon işlemini tamamlar ve karekodu başlatan mobil uygulamaya onay veya ret cevabı iletilir.
İşlem, POS terminalinde tamamlanır.
b. POS’tan BKM Kısa Karekod Formatı Üretilerek Başlayan Ödeme Akışı
Terminalde işlem tutarı belirlenir ve kısa karekod üretilir.
Kart hamili karekodu okur ve kısa karekod değeri KYS’ye iletilir.
Kart hamili işlemi onayladıktan sonra, veriler KYS aracılığıyla Kart Kabul Eden Kuruluşa yönlendirilir.
Otorizasyon tamamlandıktan sonra terminalde işlem sonuçlandırılır.
c. POS’tan Karekod Üretilerek Başlayan İptal/İade Akışı
İptal veya iade işlemi başlatıldığında, satış işlemi sorgulanır ve iptal/iade karekodu üretilir.
Kart hamili karekodu mobil uygulamasıyla okur ve işlemi onaylar.
Kart bilgileri ve işlem detayları KYS üzerinden şifrelenerek Kart Kabul Eden Kuruluşa yönlendirilir ve işlem tamamlanır.
d. ATM Karekod İşlem Akışı
ATM ana ekrandayken kart hamili mobil uygulamasıyla karekodu okur ve kart seçimini yapar.
Kart bilgileri KYS aracılığıyla şifrelenir ve Kart Kabul Eden Kuruluşa iletilir.
ATM, işlem için komisyon bilgisini gösterir ve onay verildikten sonra işlem tamamlanır.
- POS’tan Üretilen Karekodun Üçüncü Taraf Mobil Uygulama ile Okutulması
Bu modelde, kart hamili kart çıkaran kuruluşun değil, üçüncü taraf bir mobil uygulama kullanarak ödemeyi gerçekleştirir. Karekodlar burada da uzun ve kısa formatlar olarak üretilir.
a. POS’tan BKM Uzun Karekod Formatı Üretilerek Başlayan Ödeme Akışı
Terminalde işlem tutarı belirlenir ve uzun karekod üretilir.
Kart hamili üçüncü taraf mobil uygulama aracılığıyla karekodu okur ve kart seçimini yapar.
Kart bilgileri MHSK (Mobil Hizmet Sunucusu) ve KYS aracılığıyla şifrelenerek Kart Çıkaran Kuruluşa iletilir.
Otorizasyon tamamlanır ve işlem POS terminalinde sonuçlandırılır.
b. POS’tan BKM Kısa Karekod Formatı Üretilerek Başlayan Ödeme Akışı
Terminalde işlem tutarı belirlenir ve kısa karekod üretilir.
Kart hamili üçüncü taraf mobil uygulamasıyla karekodu okur. Karekodu okuyan uygulama MHSK ile KYS üzerinden işlem detaylarını paylaşır.
Kart bilgileri doğrulandıktan ve otorizasyon tamamlandıktan sonra işlem sonuçlandırılır.
c. İptal/İade Akışı
İptal/iade işlemi başlatılır ve işlem sorgulanarak iptal/iade karekodu üretilir.
Kart hamili mobil uygulamasıyla karekodu okur ve işlemi onaylar. Kart ve işlem detayları KYS aracılığıyla şifrelenerek iletilir.
İşlem tamamlanır.
d. Otorizasyon Sonucunun Mobil Uygulamaya Bildirilmesi
Otorizasyon sonucu kart çıkaran kuruluştan MHSK’e KYS aracılığı ile aktarılır.
MHSK gelen cevabı mobil uygulamaya iletir.
Mobil uygulamada kullanıcıya otorizasyon sonucunu gösterebilir.
TR Karekod’un Teknik Yapısı
TR Karekod, geleneksel ödeme yöntemlerine göre daha güvenli ve hızlıdır. İşlemlerin güvenliği, veri şifreleme yöntemleriyle sağlanırken, kullanıcılar karekodu mobil cihazlarıyla okutarak kolayca ödeme yapabilirler. Ayrıca, statik ve dinamik karekod seçenekleri sayesinde birden fazla kullanım senaryosuna uygunluk sağlar.
Statik ve Dinamik Karekod Nedir?
TR Karekod iki farklı yapıda kullanılabilir: statik karekod ve dinamik karekod.
Statik karekod, birden fazla ödeme işleminde aynı karekodun kullanıldığı bir yapıdır. Özellikle küçük işletmelerde ve hızlı ödeme gerektiren durumlarda tercih edilir. İşlem tutarı ve diğer bilgiler karekodda sabitlenmiştir.
Dinamik karekod ise her işlemde farklı bir karekod oluşturur. Bu yapı, büyük işlemlerde veya daha fazla güvenlik gerektiren durumlarda kullanılır. Dinamik karekod, işlem başına özelleştirilmiş veri içerir.
TR Karekod’un Teknik Yapısı
TR Karekod, uluslararası standartlara uygun bir veri yapısına sahiptir. Ödeme sırasında kullanılan karekodlar, işlem bilgilerini, ödeme tutarını ve güvenlik bilgilerini içerir. İki temel karekod formatı olan BKM Uzun Karekod Formatı (BKM UKF) ve BKM Kısa Karekod Formatı (BKM KKF) ile işlemler gerçekleştirilir.
BKM Uzun Karekod Formatı (UKF)
BKM UKF, daha fazla bilgi içeren ve genellikle dinamik karekod olarak kullanılan bir formattır. Bu formatta, işyeri bilgileri, işlem tutarı, ödeme sürecinde kullanılan kart bilgileri ve güvenlik verileri bulunur. Örneğin, bir mağazadan alışveriş yapıldığında, terminal tarafından oluşturulan karekod, müşterinin mobil uygulamasıyla taratılır ve ödeme bu şekilde gerçekleştirilir.
Uzun Karekod Formatı (UKF) yapısı şu şekildedir:
- İşyeri bilgileri ve hesap bilgileri
- İşlem tipi (satış, iptal, iade gibi)
- Ödeme tutarı ve para birimi
- Kart bilgileri ve doğrulama yöntemleri (PIN girişi gibi)
BKM Kısa Karekod Formatı (KKF)
BKM KKF ise daha basit işlemler için kullanılır. Statik karekod formatında tercih edilen bu yapıda, işlem verileri daha az detay içerir ve genellikle küçük işletmelerde hızlı ödeme süreçleri için kullanılır.
Kısa Karekod Formatı (KKF) yapısı şu şekildedir:
- Karekod Biçim Göstergesi
- Karekod Üretici Kodu
- CRC Bütünlük kontrolü
- Hash
- Karekod referans numarası
BKM kısa karekod yapısında oluşan örnek bir düz metin değer şu şekilde olabilir: 9908001234567890120123456789012345678901234567891280BE
Bu düz metin için oluşan karekod görseli Görsel 3’teki gibi olacaktır.
Görsel 3: Örnek BKM kısa karekod görsel
AirApi ile Karekod Yönlendirme Sistemi
Görsel 4: Airapi logosu ve KYS
Airapi KYS sistemi, banka ve ödeme kuruluşların BKM üzerinden birbirleri ile iletişimi için REST API mimari kullanılarak, istek / yanıt mesaj içeriklerinde ise JSON veri formatı kullanılarak geliştirilmiştir. Bu kapsamda KYS sistemi altyapısı Architecht’in Açık Bankacılık çözümü olan “Airapi” ürünü içerisine yeni bir iş modülü olarak iş ortaklarına kullanımına açılmıştır. KYS altyapısı Airapi ürünü içerisine yeni bir iş modülü olarak eklendikten sonra BKM’nin belirlediği tüm sertifikasyon testlerinden başarılı bir şekilde geçmiştir.
Airapi KYS’nin temel görevlerini şu şekilde sıralayabiliriz:
- Karekod verilerini ödeme hizmeti sağlayıcıları arasında transfer etmek.
- Şifrelenmiş verilerin güvenli bir şekilde iletilmesini sağlamak.
- İşlemlerin doğruluğunu kontrol etmek ve veri bütünlüğünü sağlamak.
Görsel 5: Akış örneği: Üçüncü Parti (Ödeme Kuruluşu) Cüzdan Uygulamaları üzerinden Karekod ile Ödeme yapılabilmesi
Ödeme Kuruluşu Cüzdan uygulamaları işlem adımları şu şekilde özetlenebilir:
- Kartı Kabul Eden Kuruluş tarafında QR kod üretilir.
- Kullanıcı, mobil uygulaması aracılığıyla üretilmiş olan karekodu okur ve ödeme için kartını seçer.
- Kart bilgileri ve işlem detayları KYS aracılığıyla Kart Çıkaran kuruluşa iletilir.
- Kart Çıkaran eden kuruluş, otorizasyon verilerini doğrular ve işlemi onaylar.
- İşlem sonucunda, karekod işleminin tamamlandığı bilgisi KYS üzerinden mobil uygulamaya iletilir.
KYS, işlemler sırasında veri güvenliğini sağlamak için AES şifreleme ve hash algoritmalarını bir arada kullanır. Bu sayede, veriler bir ödeme sağlayıcısından diğerine iletilirken bütünlükleri korunur ve güvenli bir şekilde iletilir. Air Api KYS Sistemi içerisinde Karekod Üretme Servisi, Karekod Okuma-Doğrulama Servisi, Issuer Bilgilendirme Servisi, İşlem Sonuç Bilgilendirme Servisi gibi servis altyapıları sunularak ödeme kuruluşları için KYS sistemine hızlı bir şekilde entegre olma imkânı sunmaktadır.
KYS Güvenlik Katmanları
TR Karekod, ödeme işlemlerinin güvenli bir şekilde gerçekleştirilmesi için bir dizi gelişmiş güvenlik katmanı kullanır. Özellikle dijital ödeme sistemlerinde, sahteciliğin ve dolandırıcılığın önlenmesi kritik bir önem taşır. TR Karekod, güvenlik katmanlarını uluslararası standartlara uygun olarak geliştirmiştir ve bu sayede işlemlerin güvenli bir şekilde tamamlanmasını sağlar. Bu katmanlar şunları içerir:
1. AES Şifreleme (Advanced Encryption Standard)
TR Karekod’un güvenlik altyapısının temelinde AES (Advanced Encryption Standard) şifreleme teknolojisi yer alır. AES, veri güvenliğini sağlamak için simetrik bir şifreleme algoritması kullanır. Simetrik şifreleme, aynı anahtarın hem veri şifrelemesi hem de çözülmesi için kullanıldığı bir yöntemdir. AES, 128-bit, 192-bit ve 256-bit anahtar uzunlukları ile çalışabilir. TR Karekod, genellikle 256-bit AES şifreleme kullanarak en üst düzeyde güvenlik sağlar.
AES Şifreleme Süreci:
Şifreleme Anahtarı: Ödeme sırasında kullanılan veriler, kart çıkaran kuruluş tarafından oluşturulan bir AES şifreleme anahtarı ile şifrelenir. Bu anahtar, işlem verilerinin güvenli bir şekilde iletilmesini sağlar.
Veri Şifreleme: TR Karekod’un içeriğinde yer alan işlem verileri (kart numarası, işlem tutarı gibi) AES algoritması ile şifrelenir. Bu sayede, veriler sadece ilgili taraflar tarafından çözülebilir hale getirilir.
Veri Çözme: Ödeme sağlayıcısı, aynı şifreleme anahtarını kullanarak şifrelenmiş verileri çözer ve işlemi doğrular.
AES’in Gücü:
AES’in simetrik yapısı ve 256-bit anahtar uzunluğu, kırılması neredeyse imkansız bir güvenlik sağlar. Bilgisayar sistemlerinin mevcut kapasitesi göz önünde bulundurulduğunda, bu şifreleme teknolojisinin brute force (deneme yanılma) saldırılarına karşı dayanıklı olduğu bilinmektedir. AES, aynı zamanda hızlı bir şifreleme algoritması olduğu için işlem sürelerini olumsuz etkilemeden yüksek güvenlik sağlar.
2. Hash Fonksiyonları ve Özet Güvenlik (Hashing)
Hashing, TR Karekod’un güvenlik altyapısında kullanılan bir diğer önemli tekniktir. Hash fonksiyonları, verilerin belirli bir uzunlukta sabit bir değere dönüştürülmesini sağlar. Bu işlem, verilerin doğruluğunu kontrol etmek için kullanılır. TR Karekod, ödemelerde kullanılan verilerin bütünlüğünü sağlamak ve sahte karekodların kullanılmasını önlemek için hash değerlerini kullanır.
Hash İşlemi Nasıl Çalışır?
Bir veri seti (örneğin işlem tutarı, işyeri bilgisi, kart numarası) bir hash fonksiyonuna tabi tutulur ve bu veri setinden sabit uzunlukta bir hash değeri elde edilir.
Hash değeri, işlem sırasında karekodun içinde saklanır ve veri ile birlikte ödeme sağlayıcıya iletilir.
Ödeme sağlayıcı, aynı hash fonksiyonunu kullanarak kendisi de bir hash değeri üretir ve bu değeri karekoddaki hash değeri ile karşılaştırır.
Eğer iki hash değeri birbirine eşitse, verinin bütünlüğü korunmuş demektir. Eşleşme olmazsa, veri üzerinde bir değişiklik yapıldığı anlamına gelir ve işlem iptal edilir.
Hash fonksiyonları, şifreleme işlemi yapmaz; bunun yerine verilerin bozulmadan, sahteciliğe uğramadan iletilip iletilmediğini kontrol eder. TR Karekod’da SHA-256 gibi güçlü hash algoritmaları kullanılır. SHA-256, 256-bit uzunluğunda hash değerleri üreterek yüksek güvenlik sağlar.
3. PIN Doğrulama ve PCI Uyumluluğu
Ödeme işlemlerinde, kullanıcının kimliğini doğrulamak ve işlemin gerçekten yetkili kişi tarafından yapıldığından emin olmak için PIN doğrulama mekanizması kullanılır. TR Karekod, PCI DSS (Payment Card Industry Data Security Standard) uyumluluğu olan sistemlerde PIN doğrulama işlemlerini destekler. PCI DSS, kartlı ödeme sistemlerinde veri güvenliği için oluşturulmuş bir standarttır ve kart bilgilerinin güvenliğini sağlamak için gereken tüm güvenlik önlemlerini içerir.
PIN Doğrulama Süreci:
Karekod ile ödeme yaparken, kullanıcı mobil uygulaması üzerinden işlemi onaylamadan önce PIN bilgilerini girer.
PIN bilgisi, ödeme terminali ya da mobil cihaz tarafından doğrulanır ve işlem PIN’in doğrulanmasının ardından tamamlanır.
PIN doğrulaması, özellikle büyük tutarlı işlemlerde güvenlik seviyesini artırmak için kullanılır.
PCI Uyumluluğu:
TR Karekod, PCI DSS sertifikalı terminallerle uyumlu çalışarak, işlemlerde kullanılan kart bilgilerini ve PIN verilerini korur. Bu sertifikaya sahip cihazlar, veri güvenliği açısından belirli güvenlik kriterlerini yerine getirmiştir. Örneğin, PIN girişi sırasında kullanılan cihazlar (POS terminalleri veya mobil cihazlar), PIN’in yetkisiz kişiler tarafından ele geçirilmesini engelleyecek güvenlik katmanlarına sahiptir.
4. Veri Gizliliği ve Yetkilendirme
TR Karekod sistemi, her işlemde minimum veri paylaşımı prensibiyle çalışır. Yani, işlemin gerçekleşmesi için gerekli olan bilgiler dışında herhangi bir ek bilgi paylaşımı yapılmaz. Bu yaklaşım, özellikle kişisel verilerin korunmasını sağlar ve işlemlerde gizliliği ön plana çıkarır.
Veri yetkilendirme mekanizmaları, işlem sırasında sadece yetkili tarafların verilere erişmesini sağlar. Örneğin, kart numarası veya işlem tutarı gibi kritik bilgiler, yalnızca ilgili ödeme sağlayıcısının erişebileceği şekilde şifrelenmiş olarak iletilir. Yetkisiz kişilerin veya üçüncü tarafların bu verilere ulaşması engellenir.
TR Karekod, sunduğu güvenlik katmanları ile ödeme işlemlerinde üst düzey güvenlik sağlar. AES şifreleme, hash fonksiyonları, PIN doğrulama ve KYS gibi güvenlik mekanizmaları hem kullanıcı hem de işyeri açısından güvenli bir ödeme altyapısı sunar. Bu sistem, sadece hız ve kullanım kolaylığı sağlamakla kalmaz, aynı zamanda veri güvenliği ve işlem bütünlüğü açısından da güvenli bir ortam oluşturur.
Karekod Başvuru Süreci
BKM’ye Karekod Üretici Kodu almak veya KYS’ye katılım amacıyla yapılacak başvurulara ilişkin bilgi ve belgeler aşağıda yer almaktadır.
Karekod Üretici Kodu alacak Üyelerin;
1. Karekod Üretici Kodu Başvuru ve Bildirim Formu’nu doldurarak BKM’ye iletmesi,
Karekod Üretici Kodu alacak, aynı zamanda KYS’den hizmet alacak Üyelerin;
1. Karekod Üretici Kodu Başvuru ve Bildirim Formu’nu doldurarak BKM’ye iletmesi,
2. KYS Katılımcı Taahhütnamesi’ni imzalaması,
3. KYS Sorumlu Çalışan Bilgi Formu’nu doldurarak BKM’ye iletmesi
4. Üretim ortamında olan Üyelerin Karekod Yönlendirme Sistemi Kuralları dokümanında “KYS’ye Katılım” bölümünde yer alan idari şartları,
5. Sertifikasyonda olan ve katılacağını bildiren Üyelerin ise Karekod Yönlendirme Sistemi Kuralları dokümanında “KYS’ye Katılım” bölümünde yer alan idari ve teknik şartları
yerine getirmesi gerekmektedir.
Kaynakça
Önceki
