Giriş: Açık Bankacılık Türkiye'nin Fintek Yolunda
Açık bankacılık, müşteri verilerine üçüncü taraf hizmet sağlayıcıların kontrolü altında erişmesini ve ödeme başlatmasını sağlayan bir hizmet modelidir. Türkiye'de BDDK (Bankacılık Düzenleme ve Denetleme Kurumu) ve TCMB tarafından belirlenen kurallar, Avrupa'nın PSD2 (Payment Services Directive 2) standardını temel almaktadır. Bu yönetmeliklerin amacı, müşteri verilerini korumak ve finansal hizmetlerde rekabeti artırmaktır.
Smart Maple olarak, Ankara merkezinde Node.js, Python, React, PostgreSQL, Redis ve AWS teknolojilerini kullanarak fintek şirketlerinin açık bankacılık platformları inşa etmelerine yardımcı olmaktayız. Bu yazıda, işletme yöneticileri ve karar vericilerin anlaması gereken temel kavramları, yasal uyum gerekliliklerini ve pratik adımları açıklayacağız.
Türkiye'nin Açık Bankacılık Yol Haritası
BDDK tarafından belirlenen düzenlemeler, bankaların müşterilerine ait üç temel hizmeti sunmasını zorunlu kılmaktadır. Hesap Bilgileri Hizmeti (AISP) müşterilerin hesap bakiyesini ve işlem geçmişini görmelerini sağlar. Ödeme Başlatma Hizmeti (PISP) müşteri izni ile ödeme işlemlerini başlatır. Kartlı Ödeme Araçları Hizmeti (CISP) ise kart tabanlı işlemleri düzenler.
2020'de devreye alınan TCMB FAST sistemi, Türkiye'de anlık ve 24/7 ödeme altyapısını oluşturmuştur. Bu sistem, açık bankacılık uygulamalarının temel taşıdır. İleri tarihli ödemeler, tekrarlayan ödemeler ve cari hesap ödemeleri FAST aracılığıyla gerçekleştirilir.
Avrupa Birliği'nin PSD2 ve yeni PSD3 direktifleri, Türkiye'deki açık bankacılık çerçevesini belirlemektedir. Bu standartlar çok faktörlü kimlik doğrulama (SCA), şifreli iletişim ve düzenleyici teknik standartlarının uygulanmasını gerektirmektedir. Müşteri verisi GDPR ve benzeri kurallara göre korunmalıdır.
Açık Bankacılık API Mimarisi
Açık bankacılık API'leri RESTful ilkeleri takip ederek tasarlanır. BDDK tarafından önerilen FAPI (Financial-grade API) spesifikasyonu, OAuth 2.0 ve OpenID Connect üzerine inşa edilmiştir. Bu tasarım, yüksek güvenlik standartlarını sağlar.
FAPI 1.0 High Assurance Profile, birkaç önemli özellik içerir. Authorization Code Flow with PKCE, müşteri yetkilendirme işlemini güvenli hale getirir. Mutual TLS (mTLS), hem bankanın hem de uygulamanın kimliğini doğrular. JWS İmzalı İstekler, API çağrılarının gerçekten yetkili kaynaktan gelmesini kanıtlar. State ve Nonce Parametreleri, siber saldırılara karşı koruma sağlar.
Yetkilendirme akışı, müşteri uygulaması, banka yetkilendirme sunucusu, banka kimlik doğrulama sistemi ve token sunucusu arasında gerçekleşir. Müşteri önce kimlik doğrulamasını yapıp izin verir, ardından yetkilendirme kodu alır. Bu kod, güvenli bir şekilde access token'a dönüştürülür. Son adımda, müşteri uygulaması bu token ile banka API'sine erişir.
Yetki Yönetimi ve Müşteri İzni
Açık bankacılık sistemlerinde müşteri izni (consent) merkezi öneme sahiptir. Her API çağrısı öncesinde, müşterinin vermiş olduğu izin kontrol edilmelidir.
Consent yaşam döngüsü altı adımda ilerler. İlk olarak, müşteri uygulaması müşteri hesaplarına erişim izni ister. Ardından, müşteri banka arayüzünde bu izni verir ve çok faktörlü kimlik doğrulaması yapılır. Yetki sunucusu, access token ile birlikte izni döndürür. Müşteri uygulaması bu token ile korunan API'ye erişir. Herhangi bir noktada müşteri izni geri çekebilir. Consent belirli bir süre sonra otomatik olarak sona erer (genellikle 90 gün).
BDDK standartlarına göre müşteriler granüler seçimler yapabilir:
| İzin Türü | Açıklama | Geçerlilik Süresi |
|---|---|---|
| ReadAccountsBasic | Hesap numarası, iban, bakiye | 90 gün |
| ReadAccountsDetail | Detaylı hesap bilgileri | 90 gün |
| ReadTransactionsBasic | İşlem özeti | 90 gün |
| ReadTransactionsDetail | Detaylı işlem bilgileri | 90 gün |
| ReadPAN | Kart numarası (kısmi) | 90 gün |
| InitiatePaymentsSinglePayment | Tek ödeme başlatma | 1 ödeme |
| InitiatePaymentsPeriodicPayments | Tekrarlayan ödemeler | 365 gün |
| InitiatePaymentsRecurringPayments | Yinelenen ödemeler | 365 gün |
Consent yönetimi sisteminin temel işlevi, her müşteri isteğinde gerekli izinlerin mevcut olup olmadığını kontrol etmektir. Sistemin veritabanında izinler, durum bilgisi ve süre sonu tarihleri saklanır. İzin geri çekildiğinde, sistem durumunu "iptal edildi" olarak işaretler ve hiçbir yeni işleme izin vermez.
Hesap Toplama (Account Aggregation)
Hesap toplama, farklı bankaların sunduğu hesap bilgilerini birleştirir ve müşterilere tek bir panelde gösterir. Türkiye'deki bankaların farklı API tasarımları, bu işlemi zorlaştırır.
Çok banka entegrasyonunun anahtarı, veri normalleştirmedir. Her banka farklı veri formatı sunabilir. Örneğin, Garanti BBVA hesap tiplerini "CACC", "SVGS" gibi kodlarla tanımlarken, İş Bankası farklı isimler kullanabilir. Hesap toplama sistemi, bu farklı formatları ortak bir şemaya dönüştürmelidir.
Pratik olarak, her banka için özel bir bağlayıcı yazılır. Bu bağlayıcı, banka API'sine mTLS sertifikası ile güvenli bağlantı kurar, hesap verilerini çeker ve standardize edilmiş bir formata dönüştürür. Sistem, birden fazla banka ile paralel olarak iletişim kurar ve sonuçları birleştirir. Hata durumunda, başarısız banka hakkında bilgi saklanır ancak diğer bankaların verileri yine de sunulur.
Sistem yapısında, her banka için hesap sorgulama sorumluluğu ayrı bir servise atanır. Zaman aşımı koruması uygulanarak, bir bankanın yavaş cevap vermesi diğer bankaları etkilemez. Kullanıcının toplam bakiyesi, tüm bankaların bakiyeleri toplanarak hesaplanır.
Ödeme Başlatma Servisi (Payment Initiation Service)
FAST sistemi üzerinden yapılan ödemeler, BDDK tarafından kesin standartlar ile düzenlenmiştir. Ödeme hizmeti sağlayıcısı (PISP), müşteri izni ile ödeme işlemini başlata ve durumunu takip edebilir.
Ödeme başlatma işlemi, consent doğrulaması ile başlar. Sistem önce müşterinin geçerli bir izni olduğunu ve bu izinin ödeme başlatma yetkisini içerip içermediğini kontrol eder. Geçerli izin varsa, ödeme talebi oluşturulur ve imzalanır. Bu imzalama işlemi, ödemenin gerçekten sistemi tarafından yapıldığını kanıtlar.
Ödeme talebinin hemen ardından, güvenlik amacıyla çok faktörlü doğrulama gerektirir. Müşteri OTP (tek seferlik şifre), biyometri veya PIN ile kimlik doğrulaması yapır. Doğrulama başarılı olduğunda, ödeme FAST sistemi aracılığıyla banka altyapısına gönderilir.
Ödeme durumu izlemesi, veritabanı sorgularından hızlandırılmış bellek (cache) ile yapılır. Müşteri tarafında gerçekleşme talebi çoğaltıldığında, sistem son bilinen durumu hemen döndürür. Arka planda, sistem FAST sistemi ile güncel durumu sorgulamaya devam eder.
Güvenlik Mimarisi: mTLS, JWS ve Sertifika Yönetimi
Mutual TLS (mTLS), banka ve uygulamanın birbirinin kimliğini doğrulamasını sağlar. Basit HTTPS'den farklı olarak, mTLS hem sunucunun hem de istemcinin sertifika sunmasını gerektirir. Bu sayede, hiçbir kimliği belirsiz istemci sisteme bağlanamaz.
Sertifika zinciri, BDDK Root CA'dan başlar ve her banka için ayrı CA'ya kadar inişli çıkışlı ilerlenir. Her bankanın sertifikası, kendi CA'sından imzalanmıştır.
JWS (JSON Web Signature) imzaları, API isteklerinin bütünlüğünü ve kaynağını kanıtlar. İstek, bir özel anahtar ile kriptografik olarak imzalanır. Banka, bu imzayı karşılık gelen genel anahtarla doğrulayarak, isteğin gerçekten uygulamadan geldiğini ve hiçbir şekilde değiştirilmediğini teyit eder.
Güvenli istemci kütüphanesi, mTLS bağlantısını yönetir, JWS imzalarını otomatik olarak oluşturur ve sertifikaları gerektiğinde döndürür. Sertifika sona erme tarihi yaklaştığında, sistem yeni sertifikaları yükler ve eski olanları yedekler.
Banka API Karşılaştırması
Türkiye'deki başlıca bankaların açık bankacılık API'leri aşağıda karşılaştırılmıştır:
| Özellik | Garanti BBVA | İş Bankası | Akbank | Yapı Kredi |
|---|---|---|---|---|
| API Standard | FAPI 1.0 High | FAPI 1.0 High | FAPI 1.0 High | FAPI 1.0 High |
| Kimlik Doğrulama | OAuth 2.0 PKCE | OAuth 2.0 PKCE | OAuth 2.0 PKCE | OAuth 2.0 PKCE |
| mTLS Gerekli | Evet | Evet | Evet | Evet |
| JWS İmza | RS256/ES256 | RS256 | RS256/ES256 | RS256 |
| Consent Geçerlilik | 90 gün | 90 gün | 365 gün (PISP) | 90 gün |
| AISP Hesap Okuma | Evet | Evet | Evet | Evet |
| PISP Ödeme Başlatma | Evet | Evet | Evet | Evet |
| CISP Kart Servisleri | Sınırlı | Sınırlı | Evet | Evet |
| Scheduled Payments | Evet | Evet | Evet | Evet |
| Recurring Payments | Evet | Evet | Sınırlı | Evet |
| Rate Limiting | 1000/saat | 500/saat | 2000/saat | 750/saat |
| Sandbox Ortamı | Evet | Evet | Evet | Evet |
| Teknik Destek | 24/7 | Çalışma saatleri | 24/7 | 24/7 |
| API Versyon | v3.1.12 (PSD2) | v1.2 | v3.2 (PSD3 hazırlık) | v2.1 |
API Yetenekleri Detay
| Yetenek | Açıklama | Garanti | İş B. | Akbank | Yapı Kredi |
|---|---|---|---|---|---|
| Hesap listesi | Müşteri hesaplarını listele | ✓ | ✓ | ✓ | ✓ |
| Bakiye sorgulama | Gerçek zamanlı bakiye | ✓ | ✓ | ✓ | ✓ |
| İşlem geçmişi | 12 aylık işlem kaydı | ✓ | ✓ | ✓ | ✓ |
| IBAN doğrulama | IBAN geçerliliği kontrol | ✓ | ✓ | ✓ | ✓ |
| Tekli ödeme | Bir kerelik ödeme başlatma | ✓ | ✓ | ✓ | ✓ |
| Scheduled payments | İleri tarihli ödeme | ✓ | ✓ | ✓ | ✓ |
| Tekrarlayan ödeme | Günlük/haftalık/aylık ödeme | ✓ | ✓ | ✗ | ✓ |
| Ödeme durumu | Gerçek zamanlı durumu | ✓ | ✓ | ✓ | ✓ |
| Ödeme iptal | İşlem iptal etme | ✓ | ✓ | ✓ | ✓ |
| SCA (Çok faktörlü) | Strong Customer Auth | ✓ | ✓ | ✓ | ✓ |
| JWS imzası | Request imzalama | ✓ | ✓ | ✓ | ✓ |
| mTLS | Karşılıklı sertifika | ✓ | ✓ | ✓ | ✓ |
| Token enkripsiyon | AES-256 şifreleme | ✓ | ✓ | ✓ | ✓ |
Açık Bankacılık Projesi Maliyet Analizi
Türkiye'de kurumsal bir açık bankacılık projesi uygulamak, kapsamına göre değişken maliyetler içermektedir.
Proje Bileşenleri ve Tahmini Maliyet
| Bileşen | Geliştirici | Altyapı | Toplam |
|---|---|---|---|
| API Geliştirme | |||
| OAuth 2.0 FAPI sunucusu | 12,000 USD | 2,000 USD | 14,000 USD |
| Consent yönetimi | 8,000 USD | 1,500 USD | 9,500 USD |
| Account aggregation | 10,000 USD | 3,000 USD | 13,000 USD |
| PISP (Ödeme başlatma) | 15,000 USD | 2,500 USD | 17,500 USD |
| Güvenlik | |||
| mTLS + JWS | 6,000 USD | 1,000 USD | 7,000 USD |
| Sertifika yönetimi | 4,000 USD | 500 USD | 4,500 USD |
| Güvenlik testleri | 8,000 USD | 2,000 USD | 10,000 USD |
| Veritabanı | |||
| PostgreSQL tasarımı | 5,000 USD | 1,500 USD | 6,500 USD |
| Redis cache | 3,000 USD | 1,000 USD | 4,000 USD |
| Veri normalleştirme | 6,000 USD | 500 USD | 6,500 USD |
| Test & QA | |||
| İşlevsel testler | 7,000 USD | 1,000 USD | 8,000 USD |
| BDDK uyum testleri | 9,000 USD | 1,500 USD | 10,500 USD |
| Penetration testler | 8,000 USD | 1,000 USD | 9,000 USD |
| Dokümantasyon | |||
| API dokümantasyon | 3,000 USD | 500 USD | 3,500 USD |
| Operasyon rehberleri | 2,000 USD | 200 USD | 2,200 USD |
| Dağıtım | |||
| AWS altyapı kurulumu | 5,000 USD | 3,000 USD | 8,000 USD |
| CI/CD pipeline | 4,000 USD | 1,000 USD | 5,000 USD |
| Monitoring | 3,000 USD | 2,000 USD | 5,000 USD |
| TOPLAM | 109,000 USD | 24,800 USD | 133,800 USD |
Bir projeyi tamamlamak için gereken zaman, geliştirici maliyetinin toplam budjeye bölünmesiyle hesaplanabilir. Aylık geliştirici maliyeti tipik olarak 3,500 USD tutarında (1 senior backend, 1 frontend/integration ve 1 QA/security uzmanı) ise, proje yaklaşık 31 ay süre alabilir.
Yıllık İşletme Maliyeti
| Maliyet Kalemi | Tutar |
|---|---|
| AWS (EC2, RDS, ALB) | 12,000 USD/yıl |
| SSL/TLS sertifikaları | 2,000 USD/yıl |
| Banka API entegrasyonu | 5,000 USD/yıl |
| Monitoring ve logging | 3,000 USD/yıl |
| Personel (1 FTE DevOps) | 24,000 USD/yıl |
| Siber güvenlik | 4,000 USD/yıl |
| TOPLAM | 50,000 USD/yıl |
Implementasyon Adımları
Başarılı bir açık bankacılık projesi, planlı ve aşamalı bir yaklaşımı gerektirir.
Faz 1: Tasarım ve Planlama (4 hafta) - BDDK ve PSD2 standartlarını inceleyip, API mimarisini tasarlamanız gerekmektedir. Veritabanı şeması oluşturulur ve banka entegrasyonları planlanır.
Faz 2: OAuth 2.0 ve Güvenlik (6 hafta) - Yetkilendirme sunucusu geliştirilir. mTLS ve JWS imzası uygulanır. Consent yönetim sistemi kurulur ve sertifika altyapısı hazırlanır.
Faz 3: API Geliştirme (8 hafta) - Hesap bilgileri servisi geliştirilir. Ödeme başlatma servisi yapılır. Çok banka aggregation sistemi kurulur ve rate limiting eklenir.
Faz 4: Test ve Uyum (6 hafta) - İşlevsel testler yapılır. BDDK uyum kontrolleri gerçekleştirilir. Penetration testler yapılır ve sandbox ortamında canlı testler koşturulur.
Faz 5: Dağıtım ve Operasyon (3 hafta) - Production ortamına geçişin ardından, monitoring ve alerting sistemleri kurulur. Bankalarla teknik entegrasyon sağlanır ve 24/7 destek başlatılır.
En İyi Uygulamalar
API versiyonlaması, gelecekteki değişiklikleri yönetmeyi sağlar. Farklı API versiyonları, geriye doğru uyumluluğu korur ve kırıcı değişiklikleri kontrol eder.
Rate limiting, sistem kaynaklarını koruyor. Her uygulama saatlik istek sınırına sahip olurken, kullanıcı ve endpoint bazında daha düşük sınırlar uygulanır. Sistem, kalan istek sayısını başlıklarda raporlar.
Hata yönetimi, açık ve yararlı hata mesajları sunarken hassas bilgileri gizlemeli. Her hata kodu, HTTP durumu, zaman damgası ve talep kimliği ile sunulmalıdır. Müşterilerin sorunu çözmesine yardımcı olmak için ipuçları dahil edilmelidir.
Veri şifreleme, veritabanında AES-256, HTTPS transit'te ve IBAN/PAN tokenizasyonu ile hassas veri korunmalıdır.
Audit logging, her işlemin kim tarafından, ne zaman, hangi kaynağa ve sonuç ile yapıldığını kaydeder. Bu bilgiler, uyum kontrolleri ve güvenlik araştırmalarında kritik öneme sahiptir.
Sonuç
Açık bankacılık API'si geliştirmesi, teknik derinlik ve yasal uyum gereksinimleri bakımından karmaşık bir projedir. Başarı için BDDK ve PSD2 standartlarını tam olarak anlamak, OAuth 2.0 FAPI spesifikasyonunu doğru uygulamak, güvenliği her aşamada ön planda tutmak, çok banka entegrasyonunun zorluk derecesini anlamak ve test ile uyum sürecine yeterince zaman ayırmak gereklidir.
Smart Maple'ın deneyimli ekibi, Türkiye'deki açık bankacılık projelerinde kapsamlı danışmanlık sunar. Teknik derin bilgi, BDDK uyum uzmanlığı ve AWS altyapı deneyimi ile, başarılı bir sonuç sağlamamıza izin verin.
Açık bankacılık stratejiniz hakkında danışmak için smart-maple.com adresini ziyaret edin.
İlgili Makaleler
MLOps Rehberi: Makine Öğrenmesi Modellerini Production'a Taşıma
Giriş: MLOps Nedir ve Neden Önemlidir? Makine öğrenmesi modelleri geliştirmek günümüzde nispeten kolaydır. Açık kaynak kütüphaneleri kullanarak son derece başarılı modeller oluşturabiliriz. Ancak bu modelleri production ortamına taşıyarak, ölçeklendirebilir, güvenilir ve sürdürülebilir şekilde çalıştırmak tamamen farklı bir hikayedir. Araştırmalara göre, veri bilimcileri tarafından geliştirilen makine öğrenmesi modellerinin %87'si hiçbir zaman production ortamına ulaşmaz. Bu başarısızlı
Devamını Oku: MLOps Rehberi: Makine Öğrenmesi Modellerini Production'a TaşımaLLM Fine-Tuning ve Özel Model Eğitimi Rehberi [2026]
LLM Fine-Tuning: Kurumsal Yapay Zeka Stratejisinin Temel Taşı Büyük dil modelleri (LLM), genel amaçlı metin üretimi ve anlama konusunda etkileyici performans sergiliyor. Ancak kurumsal ortamlarda belirli bir alan, terminoloji veya iş sürecine uyum sağlamaları gerektiğinde, genel bilgileri çoğu zaman yetersiz kalıyor. Bu noktada fine-tuning, yani ince ayar süreci devreye giriyor. Fine-tuning sayesinde mevcut bir temel modeli, kendi verileriniz ve ihtiyaçlarınız doğrultusunda özelleştirmek
Devamını Oku: LLM Fine-Tuning ve Özel Model Eğitimi Rehberi [2026]Bilgisayarlı Görü Uygulamaları: Nesne Tespiti, OCR ve Endüstriyel AI
Bilgisayarlı Görü Uygulamaları: Endüstriyel ve Medikal AI'nin Temel Teknolojisi Bilgisayarlı görü, makine öğrenmesinin en etkili alanlarından biridir. Türkiye'de yaşanan dijital dönüşüm sürecinde, özellikle üretim, sağlık ve lojistik sektörlerinde görü tabanlı otomasyon kritik hale gelmiştir. Smart Maple olarak Ankara'da geliştirdiğimiz çözümler, son beş yılda 150+ kuruluşunun üretim verimliliğini ortalama %35 oranında artırmıştır. Bu rehberde, bilgisayarlı görü teknolojisinin iş değeri
Devamını Oku: Bilgisayarlı Görü Uygulamaları: Nesne Tespiti, OCR ve Endüstriyel AI