Yoğun bakımda solunum cihazına (ventilatör) bağlı bir hastanın başında bekleyen bir hekim düşünün. Hastanenin elektrik şebekesinde jeneratörün yakıtı bitmek üzeredir. Ancak jeneratöre yakıt siparişi vermek için hastane yönetiminin kurduğu ucube sistem gereği, hastanın yurt dışında, okyanusun üzerinde uçakta olan bir akrabasının cep telefonuna SMS onay kodu gitmesi gerekmektedir!

Akrabanın telefonu uçak modundadır, kapsama alanı dışındadır. Ekranda 180 saniyelik bir geri sayım sayacı çalışır: 3... 2... 1... Süre dolar. SMS girilemediği için yakıt pompası kilitlenir, jeneratör durur ve yoğun bakımdaki solunum cihazlarının ekranları kararır. Koca bir hastane, hayati bir mekanizmayı tek bir telekomünikasyon şebekesinin SMS koduna bağladığı için facianın eşiğine gelmiştir.

Modern kurumsal dünyada holdinglerin, e-ticaret devlerinin ve kurumsal markaların başına gelen en absürt ve en can yakıcı kesinti dalgası tam olarak bu SMS rehin krizidir: Alan adı yenileme tarihinde bankanın çıkardığı 3D Secure provizyon engeli ve ulaşılamayan yetkili cep telefonu.

Okyanusun Üzerinde 10.000 Metrede Gelen Fatura

Bir ihracat ve üretim devinin ana alan adı holdingadi.com... Yıllık cirosu milyon dolarları bulan şirket, küresel tedarik zincirini, yabancı müşterilerle yazışmalarını ve gümrük operasyonlarını tamamen bu alan adı üzerinden yürütmektedir.

Alan adının tescil yenileme tarihi 20 Şubat'tır.

Şirket genel müdürü ve kurucusu, tam o gün sabah saat 08:00'de İstanbul'dan New York'a giden 11 saatlik bir uçuşa biner. Telefonunu "Uçak Modu"na alır ve koltuğunda uykuya dalar.

Alan adı tescil firmasının otomasyon botu saat 10:00'da devreye girer. Sistemde kayıtlı olan kurumsal kredi kartından alan adı yenileme bedeli olan 15 doları çekmek için bankanın sanal POS API'sine istek atar: AUTH_REQUEST: $15.00.

Fakat Türk bankacılık sistemi ve BDDK kuralları gereği, bankanın sahtecilik önleme (Fraud) motoru devreye girer: "Son 3 aydır bu karttan internet üzerinden yurt dışı ödemesi yapılmadı. Güvenlik riski tespit edildi; işlem 3D Secure SMS onayına yönlendirildi!"

Banka sistemi, genel müdürün cebine o meşhur SMS'i fırlatır:

"15.00 USD tutarındaki alan adı yenileme işleminizi onaylamak için şifreniz: 849214. Bu şifre 180 saniye geçerlidir."

Fakat genel müdür o sırada Atlantik Okyanusu'nun 10.000 metre üzerinde, cep telefonunun çekmediği bir irtifada uyumaktadır!

180 Saniyenin Tükenişi ve clientHold İdamı

180 saniye geçer. SMS onaylanamaz. Banka API'si tescil firmasına buz gibi bir hata kodu döner:

Transaction Failed: 3D Secure Authentication Timeout / Verification Failed

Tescil firmasının otomasyonu işlemi 3 kez daha tekrarlar; sonuç hep aynıdır. Kredi kartından para çekilemez.

Ve alan adının 30 günlük "Grace Period" (ek ödeme süresi) de çoktan dolmuşsa, kayıt operatörü (Registrar) ICANN kuralları gereği giyotini indirir:

Domain Status: clientHold
Domain Status: serverHold

Alan adı DNS kök sunucularından anında düşürülür.

Saat 14:00: Holding Genel Merkezinde Kıyamet

Saat 14:00'te holdingin genel merkezinde hayat durur:

  • Şirket içindeki 500 personelin kurumsal e-postaları kilitlenir. Dışarıdan gelen hiçbir sipariş maili teslim alınamaz.
  • Yabancı ortaklar telefonla arar: "Sitenize girilmiyor, şirketiniz battı mı?"
  • Gümrük müşavirliği arar: "İhracat beyannamesi e-postanız gelmediği için 20 konteyner mal limanda kaldı, ceza yazılıyor!"

Şirketin genel müdür yardımcısı ve IT direktörü panik içinde birbirine girer: "Muhasebe faturaları ödemedi mi? Şirketin kredi kartında limit mi bitti?"

Muhasebe müdürü ekstreye bakar: "Kartta 500 bin TL limit var! Ama ödeme yapılmamış görünüyor!"

Hosting firmasının santrali kilitlenir:

"Siz nasıl bir kurumsunuz! Şirketimizin 15 dolarlık alan adını hangi hakla kapatırsınız? Milyonluk konteynerlerimiz limanda kaldı! Bütün zararımızı sizden tazmin edeceğiz!"

Destek mühendisi logları ekrana yansıtır: "Sayın yetkili, sistemimiz kartınızdan 4 kez çekim yapmayı denemiş ancak bankanız 3D Secure SMS onayı talep etmiştir. SMS onaylanmadığı için bankanız işlemi reddetmiştir. Bizim yapabileceğimiz hiçbir şey yoktur."

IT direktörü donakalır: "SMS kime gitti?"

Cevap: "Kart sahibi olan Genel Müdürünüz Mehmet Bey'in cep telefonuna."

Ve Mehmet Bey hâlâ New York uçağındadır; inmesine daha 4 saat vardır!

Tek Bir SMS Koduna Kurban Edilmeyen Altyapı Protokolü

Bir şirketin dijital şahdamarı olan alan adı ve sunucu altyapısını tek bir şahsın cep telefonuna gelecek 3D Secure SMS'ine rehin bırakmak, sorumsuzluğun zirvesidir. Bu krizleri ebediyen engellemenin kurumsal yolları şunlardır:

  1. Alan Adını 5 veya 10 Yıllık Yenileyin: Kurumsal şirketler alan adlarını asla yıllık (1 yıllık) tescil etmemelidir! 10 yıllık tescil bedeli bir akşam yemeği parasıdır. Alan adınızı 10 yıllık uzatın, önünüzdeki on yıl boyunca kredi kartı, SMS veya banka provizyon stresi yaşamayın.
  2. Mail Order / Kurumsal B2B Anlaşması: Büyük kayıt kuruluşlarıyla çalışıyorsanız, şirketinize özel bir "Cari Hesap / Kredi Bakiyesi" tanımlatın. Şirket banka havalesiyle tescil firmasına 1.000 dolarlık bir avans bakiye yatırsın; sistem yenileme günü geldiğinde parayı karttan değil, doğrudan bu nakit bakiyeden çeksin.
  3. Tekrarlayan Ödemelere İzin Veren Kurumsal Kartlar: Bankanızla görüşerek hosting ve alan adı sağlayıcısının Sanal POS kimliğini (Merchant ID) kurumsal kartınızda "3D Secure Zorunluluğundan Muaf (Recurring / Tokenized Payment)" listesine ekletin. Böylece sistem periyodik yenilemelerde SMS sormadan çekimi tamamlar.
  4. Yenileme Tarihini 30 Gün Öne Çekmek: Yenileme işlemini son güne bırakmayın. Alan adı bitiş tarihinden en az 30 gün önce faturayı manuel olarak onaylayıp ödeyin. Böylece bir sorun çıksa bile çözmek için önünüzde koca bir ay olur.

Uçaktaki birinin telefonuna gelecek SMS kodunu beklerken hastayı ölüme terk eden acil servis nasıl bir ihmal cinayetiyse; şirketinin geleceğini tek bir cep telefonunun çekim gücüne bağlayan yönetim de öyle bir idari basiretsizlik içindedir. Altyapı rehin tutulamaz; dijital varlıklar tesadüflere değil, kurumsal emniyet mekanizmalarına emanet edilmelidir.