Google reCAPTCHA kurulumu

Nerede bulunur: Sol menü → Entegrasyonlar → Güvenlik → Google reCAPTCHA Kimler için: Bot doğrulaması için Google reCAPTCHA kullanmak isteyen, özellikle Google Cloud'u zaten kullanan mağazalar. Kısaca: Google'da mağaza adreslerinizle bir reCAPTCHA anahtarı oluşturur, site anahtarını ve gizli anahtarı (legacy secret key) Treyza'ya girer, her adresi bir kez vitrinde doğrularsınız. v3 görünmezdir, v2 "Ben robot değilim" kutusu gösterir. Ayda 10.000 doğrulamaya kadar ücretsizdir.

Ne işe yarar?

Google reCAPTCHA, Google'ın bot doğrulama hizmetidir. Google bu hizmeti bugün Google Cloud Fraud Defense adıyla, Google Cloud'un bir parçası olarak sunar; anahtarlarınız bir Google Cloud projesinin içinde durur. Treyza yerleşik korumasına ek olarak Google'ın milyonlarca siteden öğrendiği bilgiyle kötü niyetli trafiği tanır.

İki sürümü vardır: v3 hiçbir şey göstermeden her isteğe bir puan verir; v2 müşteriye "Ben robot değilim" kutusunu işaretletir.

Google'a ulaşılamazsa, aylık ücretsiz doğrulama hakkınız dolarsa ya da Google doğrulamaları reddetmeye başlarsa ziyaretçiler otomatik olarak Treyza yerleşik korumasıyla doğrulanır; mağazanız kilitlenmez. Ayrıntı: Bot koruması: mağazanız nasıl korunur?.

v3 mü, v2 mi?

Sıralamayı baştan bilin (en çok burada takılınıyor)

reCAPTCHA yalnız Google'a önceden tanıttığınız adreslerde çalışır ve Google'daki anahtar türü ile Treyza'daki Sürüm aynı olmalıdır. Üstelik Google yanlış bir gizli anahtarı ayrı bir hata olarak bildirmediği için gizli anahtar sunucudan sınanamaz. Bu yüzden Treyza anahtarlarınızı bir adreste devreye almadan önce o adreste bir kez Vitrinde doğrula ile sınar. Doğrulanmamış adreste Treyza yerleşik koruma çalışmaya devam eder; yanlış bir ayar müşterilerinizi girişte kilitlemez.

Doğru sıra:

1. Mağazanızın açıldığı adresleri çıkarın.
2. v3 mü v2 mi olacağına karar verin (yukarıdaki tablo).
3. Google'da bu adreslerle, seçtiğiniz türde bir anahtar oluşturun.
4. Site anahtarını ve gizli anahtarı (legacy secret key) kopyalayın.
5. Anahtarları Treyza'ya girin, entegrasyonu etkinleştirin ve kaydedin.
6. Açık kalan pencerede her adresi Vitrinde doğrula ile doğrulayın.
7. Gizli pencerede mağazanıza giriş yaparak deneyin.
8. Aydınlatma metninizi güncelleyin.

---

1) Mağazanızın adreslerini çıkarın

Adresleri https:// olmadan, sonunda /, yol ya da port olmadan yazın. treyza.shop adresinin kendisini değil, yalnız kendi mağazanızın adresini ekleyin.

---

2) Google'da anahtar oluşturun

İki yol vardır; ikisi de anahtarı bir Google Cloud projesinin içinde oluşturur. Anahtar oluşturmak için faturalandırma bilgisi girmeniz gerekmez. Bu sayfada düğme ve alan adlarını Google'ın kendi belgelerindeki İngilizce hâliyle yazıyoruz; Google hesabınız Türkçe kullanılıyorsa aynı yerdeki Türkçe karşılığını seçin.

Yol A — reCAPTCHA yönetici konsolu (en kısa yol)

Google Cloud'u hiç kullanmadıysanız bu yolu seçin. Google gerekli projeyi ve ayarları sizin için kendisi açar.

1. google.com/recaptcha/admin/create adresini açın ve Google hesabınızla giriş yapın.
2. Label alanına mağazanızı hatırlatacak bir ad yazın, örneğin "Modashop vitrin".
3. Türü seçin: v3 için Score based (v3), v2 için Challenge (v2). v2'de altında ek seçenekler çıkarsa "I'm not a robot" kutusu (checkbox) olanı seçin.
4. Alan adı alanına 1. adımdaki ilk adresi yazıp yanındaki ekle (+) simgesine basın; her adres için tekrarlayın.
5. Google Cloud'u ilk kez kullanıyorsanız hizmet şartlarını okuyup onay kutusunu işaretleyin.
6. Submit düğmesine basın.

Yol B — Google Cloud konsolu

Google Cloud'u zaten kullanıyorsanız anahtarı doğrudan konsoldan da oluşturabilirsiniz.

1. Google Cloud konsolunda Google Cloud Fraud Defense sayfasını açın: console.cloud.google.com/security/recaptcha. Sayfanın üstündeki proje seçicide doğru projenin seçili olduğunu kontrol edin.
2. Sayfa sizden bir API'yi (reCAPTCHA Enterprise API) etkinleştirmenizi isterse Enable düğmesine basın.
3. Keys sekmesini seçip Create key düğmesine basın.
4. Display name alanına bir ad yazın.
5. Application type için Web'i seçin; Domain list bölümü açılır.
6. Add a domain düğmesine basıp Domain alanına ilk adresi yazın; her adres için tekrarlayın.
7. Disable domain verification anahtarını kapalı bırakın.
8. v3 için bir şey seçmeniz gerekmez; puan tabanlı anahtar varsayılandır. v2 için Next Step (optional) düğmesine basın ve Will you use challenges? anahtarını açın (Challenge security seçimini varsayılanında bırakabilirsiniz).
9. Are you creating this key for testing purposes only? sorusu çıkarsa kapalı bırakın; test anahtarı gerçek ziyaretçileri değerlendirmez.
10. Create key düğmesine basın.

---

3) Site anahtarını ve gizli anahtarı kopyalayın

Google Cloud konsolu gizli anahtarı kendiliğinden göstermez; onu ayrı bir pencereden alırsınız. Anahtarı hangi yolla oluşturduysanız oluşturun, iki anahtar da Google Cloud konsolunda durur:

1. console.cloud.google.com/security/recaptcha adresini açın ve proje seçicide anahtarınızın bulunduğu projeyi seçin.
2. Keys sekmesinde anahtarınızı bulun. Anahtarın kimliği (Key ID) sizin site anahtarınızdır; kopyalayın.
3. Anahtarınıza tıklayıp Key Details sayfasını açın.
4. Integration sekmesinde Use Legacy Key düğmesine basın. Bu düğme yoksa Integrate with a third-party service or plugin düğmesine basın.
5. Açılan pencerede gizli anahtar (Google'ın deyişiyle "legacy secret key") görünür; kopyalayın.

---

4) Anahtarları Treyza'ya girin

1. Treyza panelinde sol menüden Entegrasyonlar'ı açın.
2. Güvenlik bölümünde Google reCAPTCHA kartına tıklayın.
3. Açılan pencerede alanları doldurun:

4. Bağlantı Test Et düğmesine basın ve sonucu okuyun:

5. Entegrasyonu Etkinleştir anahtarını açın.
6. Kaydet düğmesine basın. Pencere açık kalır ve "Kaydedildi. Şimdi alan adlarınızı vitrinde doğrulayın." metniyle birlikte Alan adı doğrulaması listesi belirir.

Önce etkinleştirmek güvenlidir: reCAPTCHA yalnız doğrulanmış adreslerde kullanılır, doğrulanmamış adreslerde Treyza yerleşik koruma çalışmaya devam eder.

Kapattığınız bir işlem (örneğin Formlarda kullan) reCAPTCHA yerine Treyza yerleşik korumasıyla korunmaya devam eder; hiçbir işlem korumasız kalmaz. Form dosya yüklemeleri her zaman yerleşik korumayla doğrulanır.

En düşük puan (yalnız v3)

reCAPTCHA v3 her isteğe 0,0 (büyük olasılıkla bot) ile 1,0 (büyük olasılıkla insan) arasında bir puan verir. Puan, En düşük puan (yalnız v3) alanına yazdığınız değerin altında kalırsa Treyza isteği reddetmez: ziyaretçi birkaç saniyelik ek güvenlik doğrulamasından geçer ve işlemine devam eder. Böylece puanı düşük çıkan gerçek bir müşteri de mağazanıza girebilir.

Değer 0,1 ile 0,9 arasında olmalıdır. Bu değeri değiştirmek alan adı doğrulamalarını sıfırlamaz.

---

5) Adreslerinizi vitrinde doğrulayın

Kaydettiğiniz anahtarlar hemen devreye girmez. Pencerede şu açıklamayı görürsünüz: "Anahtarlar, her alan adında vitrinde bir kez doğrulanana kadar devreye girmez; bu sürede müşterileriniz Treyza yerleşik korumasıyla korunur."

1. Kayıttan sonra açık kalan penceredeki Alan adı doğrulaması listesine bakın; mağazanızın bütün adresleri sıralanır. Başlığın yanında sağlayıcının adı ve entegrasyonun durumu (Aktif ya da Pasif) yazar. (Aynı liste Entegrasyonlar → Güvenlik bölümündeki Treyza Bot Koruması kartında da görünür.) Anahtarlar henüz kaydedilmediyse ya da pencerede kaydedilmemiş bir değişiklik varsa liste yerine "Alan adlarını doğrulamak için önce anahtarları kaydedin." yazar; önce Kaydet'e basın.
2. Bir adresin yanındaki Vitrinde doğrula düğmesine basın. Mağazanızın o adresteki giriş sayfası yeni bir sekmede açılır. Giriş yapmanız gerekmez.
3. v2 kullanıyorsanız sayfadaki "Ben robot değilim" kutusunu işaretleyin (gerekirse resimleri seçin). v3'te bir şey yapmanız gerekmez. Birkaç saniye içinde sayfada sonuç bandı çıkar: "Bot koruması bu alan adında doğrulandı. Panele dönüp sayfayı yenileyebilirsiniz."
4. Panel sekmesine dönün; penceredeki liste kendiliğinden yenilenir. Listedeki diğer adresler için 2-3. adımları tekrarlayın.
5. Bitince pencereyi Kapat ile kapatıp sayfayı yenileyin. Adreslerin durumu Treyza Bot Koruması kartındaki listede görünür; doğruladığınız adresler Doğrulandı olur.

Listede her adresin yanında şu durumlardan biri yazar:

Hiçbir adres doğrulanmadıysa listenin üstünde "Anahtarlar henüz hiçbir alan adında doğrulanmadı." yazar. Entegrasyon Aktif ise bu not uyarı renginde, Pasif ise bilgi notu olarak görünür.

Doğrulama başarısız olursa bantta "Doğrulama başarısız:" ve ardından sebebi yazar:

---

6) Çalıştığını doğrulayın

1. Tarayıcınızda bir gizli pencere açın (Chrome'da Ctrl + Shift + N).
2. Doğruladığınız bir adreste mağazanızın giriş sayfasını açın, örneğin https://modashop.treyza.shop/login.
3. Ne görmelisiniz:
   • v3: Doğrulama kutusu yoktur. Formun altında "Bu site reCAPTCHA ile korunmaktadır." satırı görünür.
   • v2: Formda "Ben robot değilim" kutusu görünür. Kutuyu işaretlemeden giriş düğmesine basarsanız "Lütfen "Ben robot değilim" kutusunu işaretleyin." uyarısı çıkar.
4. Bir müşteri hesabıyla giriş yapın (v2'de önce kutuyu işaretleyin). Giriş başarılı olmalı.
5. Treyza panelinde Entegrasyonlar → Güvenlik → Treyza Bot Koruması kartında Doğrulama yöntemi Google reCAPTCHA v3 (ya da Google reCAPTCHA v2) olmalı ve Son 7 gün altındaki Geçen sayısı artmalıdır.

---

Sorun giderme

Doğrulama sırasındaki hatalar için önce 5. adımdaki "Bantta yazan sebep" tablosuna bakın.

---

Ücret ve aylık sınır

reCAPTCHA'nın ücretsiz katmanı (Essentials) ayda 10.000 doğrulama içerir. Sınır, Google hesabınızın (kuruluşunuzun) bütün projelerinin ve sitelerinin toplamıdır. Her giriş, kayıt, şifre sıfırlama ve form gönderimi, başarısız denemeler dâhil, bir doğrulama sayılır. Örneğin günde ortalama 350 korunan işlem yapan bir mağaza ay sonuna doğru sınıra ulaşır.

Treyza Bot Koruması kartında bu mağazanın aylık sayısını görürsünüz: "Bu ay {count} reCAPTCHA doğrulaması (Google'ın ücretsiz kotası kuruluş başına ayda 10.000)". Sayı 8.000'e ulaşınca satır uyarı renginde görünür. Bu sayı yalnız bu mağazayı sayar; Google'ın sınırı ise kuruluşunuzdaki bütün siteleri birlikte sayar.

---

Rozet ve Google metni

reCAPTCHA v3 normalde sayfanın sağ alt köşesine sabit bir rozet koyar. Bu rozet, vitrindeki sağ alt köşede yüzen düğmelerle çakıştığı için Treyza onu gizler ve Google'ın şart koştuğu tek satırlık "Bu site reCAPTCHA ile korunmaktadır." metnini korunan formun altına kendisi ekler. Sizin yapmanız gereken bir şey yoktur.

---

KVKK ve aydınlatma metni

reCAPTCHA çalışırken ziyaretçinin IP adresi ve tarayıcısından toplanan teknik bilgiler risk analizi için Google'a gider; Google bu verileri yurt dışında işleyebilir. Ayrıca tarayıcıya risk analizi için gerekli bir çerez (_GRECAPTCHA) yazılır. Google, bu bilgiyi yalnız hizmeti sunmak ve güvenliğini sağlamak için işlediğini, kişiselleştirilmiş reklam gibi başka amaçlarla kullanmadığını belirtir.

2 Nisan 2026'dan beri Google bu verileri sizin adınıza işleyen taraftır (veri işleyen); veri sorumlusu mağaza sahibi olarak sizsiniz. Google artık sitelerden kendi Gizlilik Politikası'na ve Hizmet Şartları'na bağlantı vermelerini istemiyor; ziyaretçiyi bilgilendirmek sizin aydınlatma metninizin işidir. Önerilen metinler ve yurt dışına aktarım notu için Yasal Sayfalar (Sözleşmeler) sayfasına bakın.

---

Sık sorulan

Anahtarları kaydettim ama müşterilerim hâlâ yerleşik korumayla doğrulanıyor. reCAPTCHA bir adreste ancak iki koşul birlikte sağlanınca devreye girer: adres Vitrinde doğrula ile doğrulanmıştır ve Entegrasyonu Etkinleştir anahtarı açıktır. Alan adı doğrulaması listesinde Doğrulanmadı yazan her adresi doğrulayın ve entegrasyonun etkin olduğunu kontrol edin (4. ve 5. adımlar).

Neden "Bağlantı Test Et" gizli anahtarımı sınamıyor? Google, yanlış bir gizli anahtarı ayrı bir hata olarak bildirmez; yanıtı, reddedilmiş bir doğrulamanın yanıtıyla aynıdır. Bu yüzden gizli anahtar sunucudan sınanamaz. Bağlantı Test Et yalnız anahtarların biçimini kontrol eder; asıl sınamayı, sizin vitrinde yaptığınız taze bir doğrulamayla Vitrinde doğrula yapar.

Google'ın test anahtarlarını kullanabilir miyim? Hayır. Google'ın herkese açık v2 test anahtarları her ziyaretçiyi, botlar dâhil, geçirir; koruma göstermelik kalacağı için Treyza bu anahtarları kabul etmez. Girerseniz Kaydet'te "Belgelenmiş test anahtarları canlı mağazada kullanılamaz; sağlayıcı panelinden gerçek anahtarları kopyalayın." uyarısı çıkar. v3 için zaten test anahtarı yoktur. Kendi anahtarınızı kullanın.

reCAPTCHA'yı kullanmak için faturalandırma açmam gerekir mi? Anahtar oluşturmak ve ayda 10.000 doğrulamaya kadar kullanmak için gerekmez. Aylık sınırı aşan bir mağazanız varsa, reCAPTCHA korumasının ay sonuna kadar sürmesi için Google faturalandırmayı açmanızı önerir; açmazsanız Treyza o ay yerleşik korumaya geçer.

Eski bir reCAPTCHA anahtarım var, kullanabilir miyim? Evet. Google eski anahtarları Google Cloud projelerine taşıdı. Anahtarınızın gizli anahtarını 3. adımdaki gibi Integration → Use Legacy Key yoluyla bulun ve anahtarın alan adı listesinde mağaza adreslerinizin olduğundan emin olun.

Birden fazla mağazam var. Aynı anahtarı kullanabilir miyim? Kullanabilirsiniz (her mağazanın adresini aynı anahtarın alan adı listesine ekleyip aynı anahtarları her mağazaya girersiniz). Yine de her mağaza için ayrı anahtar açmanızı öneririz. Aylık 10.000 doğrulama sınırının kuruluşunuzun bütün sitelerinin toplamı olduğunu unutmayın.

Yeni bir özel alan adı bağladım. Yeni adresi önce anahtarın alan adı listesine ekleyin (View key actions → Edit key → Update key), sonra Treyza'da Alan adı doğrulaması listesinde o adres için Vitrinde doğrula'ya basın. Doğrulayana kadar o adreste yerleşik koruma çalışır.

reCAPTCHA'yı kapatırsam ne olur? Entegrasyonu Etkinleştir anahtarını kapatıp Kaydet'e bastığınızda bütün işlemler Treyza yerleşik korumasına döner; pencereyi Kapat ile kapatabilirsiniz. Anahtarlarınız silinmez.

Google Cloud'da anahtarı silersem ne olur? Silinen anahtar geri getirilemez ve o anahtarla doğrulama yapılamaz. Anahtarı silmeden önce Treyza'da entegrasyonu kapatın ya da yeni bir anahtar girip adreslerinizi doğrulayın.

---

İlgili sayfalar

• Bot korumasının genel işleyişi ve özet kartı: Bot koruması: mağazanız nasıl korunur?
• Cloudflare Turnstile kurulumu: Cloudflare Turnstile kurulumu
• Entegrasyon kurma ve etkinleştirme: Entegrasyonları Yönetme (Liste, Kurulum, Açma/Kapama)
• Özel alan adı bağlama: Özel Domain
• Aydınlatma metni ve çerez politikası: Yasal Sayfalar (Sözleşmeler)