Fintech Ödeme Sistemi

Bu çalışma, ödeme kuruluşları ve elektronik para senaryoları için geliştirdiğimiz yüksek performanslı işlem altyapısı referans mimarisini sergiler. Sistem; kart tahsilatı, cüzdan bakiyesi ve para transferi akışlarını saniyede binlerce işlem hedefiyle, finansal tutarlılıktan ödün vermeden işlemek üzere tasarlandı.

Zorluk

Ödeme sistemlerinde iki gereksinim sürekli çatışır: hız ve tutarlılık. Bir ödeme isteği milisaniyeler içinde yanıtlanmalı, ama hiçbir koşulda bakiye tutarsızlığı oluşmamalıdır. Ağ kesintisi, servis çökmesi veya çifte istek (duplicate request) senaryolarında bile "para ne yaratılır ne yok olur" ilkesi korunmalıdır. Buna ek olarak PCI-DSS kapsamında kart verisinin izolasyonu, şüpheli işlem tespiti ve regülasyon raporlaması gibi gereksinimler mimariye baştan dahil edilmelidir. Hedefimiz; bu kısıtların tamamını karşılayan, yatay ölçeklenebilir ve denetlenebilir bir işlem çekirdeği tasarlamaktı.

Mimari ve Çözüm

İşlem çekirdeğini Go ile, servisler arası iletişimi gRPC üzerinden kurguladık; finansal kayıt modeli çift kayıtlı defter (double-entry ledger) ilkesine dayanır.

• Defter (ledger) servisi: Her finansal hareket, borç ve alacak bacaklarıyla atomik kaydedilir; bakiye, hareketlerin toplamından türetilir ve hiçbir zaman doğrudan güncellenmez.
• İdempotans katmanı: Her işlem isteği benzersiz anahtar taşır; ağ tekrarlarında aynı istek ikinci kez işlenmez, mevcut sonuç döndürülür.
• Akış omurgası: Apache Kafka üzerinden olay yayını; mutabakat, bildirim ve raporlama servisleri işlem akışını çevrimdışı tüketir, ana akışı yavaşlatmaz.
• Güvenlik katmanı: Kart verisi tokenizasyon ile izole edilir; sırlar ve anahtarlar HashiCorp Vault'ta tutulur, servisler kısa ömürlü kimliklerle erişir. PCI-DSS kapsam alanı bilinçli olarak daraltılmıştır.
• Şüpheli işlem tespiti: Kural tabanlı gerçek zamanlı kontroller (hız limiti, tutar deseni, coğrafi tutarsızlık) işlem akışının içinde, eşik üstü durumlar manuel inceleme kuyruğunda yönetilir.
• Gözlemlenebilirlik: Prometheus metrikleri ve dağıtık izleme (tracing) ile her isteğin servisler arası yolculuğu izlenebilir; gecikme bütçeleri servis bazında tanımlıdır.

Dağıtım Kubernetes üzerinde çok bölgeli (multi-zone) kurgulandı; defter servisi PostgreSQL üzerinde eşzamanlı replikasyonla çalışır, yük devretme (failover) prosedürleri tatbikatlarla doğrulanır.

Teknik Sonuçlar

• Mimari, saniyede binlerce işlem hedefiyle boyutlandırıldı; yük testlerinde işlem onay gecikmesi için 100 ms altı hedef esas alındı.
• Çift kayıtlı defter modeli, gün sonu mutabakatında hesapların kuruş düzeyinde denkliğini yapısal olarak garanti eder.
• İdempotans tasarımı, ağ tekrarları ve istemci kaynaklı çifte isteklerde mükerrer tahsilatı mimari düzeyde imkânsız kılar.
• Tokenizasyon ve Vault tabanlı sır yönetimi, PCI-DSS denetim kapsamını daraltarak uyum maliyetini düşürmeyi hedefler.
• Olay temelli mutabakat ve raporlama, regülasyon raporlarının ana işlem akışına yük bindirmeden üretilmesini sağlar.

Bu referans mimari; ödeme kuruluşları, e-para şirketleri ve yüksek hacimli tahsilat altyapısı kuran platformlar için uyarlanabilir. Lisanslama sürecindeki ekiplerle teknik gereksinim analizinden itibaren çalışıyoruz.