E-Ticaret ve Pazaryeri Bot Güvenliğinde SMS OTP Katmanı: Credential Stuffing ve Scraping Saldırılarına Karşı Savunma

+-----------------------------------------------------------------------------------+
|               E-TİCARET RİSK TABANLI BOT SAVUNMASI & SMS OTP AKIŞI                |
+-----------------------------------------------------------------------------------+
|                                                                                   |
|   [ İstemci İstekleri (Tarayıcı / Mobil Uygulama / Bot Script) ]                  |
|                               |                                                   |
|                               v                                                   |
|   [ WAF / Cloudflare Edge / Nginx ] ---> IP İtibarı & TLS JA3/JA4 Parmak İzi     |
|                               |                                                   |
|                               v                                                   |
|   +---------------------------------------------------------------------------+   |
|   | Risk Tabanlı Kimlik Doğrulama Motoru (RBA Decision Engine)                |   |
|   |  - Giriş Deneme Sıklığı (Redis Sliding Window Rate Limiter)               |   |
|   |  - Cihaz ve Çerez Parmak İzi (Device Fingerprint)                        |   |
|   |  - Şüpheli Davranış & ASN/Proxy Analizi                                   |   |
|   +-------------------------------------+-------------------------------------+   |
|                                         |                                         |
|                   +---------------------+---------------------+                   |
|                   |                                           |                   |
|            [ Düşük Risk (Skor < 30) ]                 [ Yüksek Risk (Skor >= 30) ]|
|                   |                                           |                   |
|                   v                                           v                   |
|      [ Doğrudan Giriş / İşlem ]               [ EnOnay SMS OTP Tetikleme Katmanı ]|
|                                                               |                   |
|                                                               v                   |
|                                               [ EnOnay Global REST API Gateway ]  |
|                                                               |                   |
|                                                               v                   |
|                                               [ Kullanıcıya Güvenli OTP İletimi ] |
|                                                               |                   |
|                                                               v                   |
|                                               [ Doğrulandı -> Oturum Aç / İşlem ] |
+-----------------------------------------------------------------------------------+

import time
import hmac
import hashlib
import httpx
import redis.asyncio as aioredis
from fastapi import Request, HTTPException

REDIS_CLIENT = aioredis.from_url("redis://localhost:6379/1", decode_responses=True)
ENONAY_API_KEY = "ENONAY_PROD_SEC_TOKEN_SAMPLE"
ENONAY_BASE_URL = "https://enonay.com/api/v1.php"

async def evaluate_login_risk(request: Request, user_phone: str, user_id: str) -> dict:
    client_ip = request.headers.get("CF-Connecting-IP") or request.client.host
    user_agent = request.headers.get("User-Agent", "")
    
    # Cihaz Parmak İzi (Fingerprint Hash)
    fp_raw = f"{client_ip}|{user_agent}"
    device_fp = hashlib.sha256(fp_raw.encode()).hexdigest()[:16]

    current_time = time.time()
    rate_key = f"rate:login:attempts:{client_ip}"
    
    # 60 saniyelik Sliding Window Rate Limiting (Redis Sorted Set)
    pipe = REDIS_CLIENT.pipeline()
    pipe.zremrangebyscore(rate_key, 0, current_time - 60)
    pipe.zadd(rate_key, {f"{current_time}-{device_fp}": current_time})
    pipe.zcard(rate_key)
    pipe.expire(rate_key, 65)
    results = await pipe.execute()
    
    attempt_count = results[2]
    risk_score = 0
    
    if attempt_count > 3:
        risk_score += 40  # Kısa sürede çoklu giriş
    if "curl" in user_agent.lower() or "python" in user_agent.lower():
        risk_score += 60  # Bot istemci şüphesi
        
    # Bilinen cihaz kontrolü
    is_known_device = await REDIS_CLIENT.sismember(f"user:devices:{user_id}", device_fp)
    if not is_known_device:
        risk_score += 35  # Yeni/Tanımsız Cihaz

    # OTP Tetikleme Koşulu (Risk Skoru >= 35)
    if risk_score >= 35:
        otp_code = await dispatch_enonay_otp(user_phone)
        return {
            "challenge_required": True,
            "risk_score": risk_score,
            "challenge_type": "SMS_OTP",
            "message": "Şüpheli oturum tespiti: Güvenlik kodunuz telefonunuza gönderildi."
        }

    return {"challenge_required": False, "risk_score": risk_score}

async def dispatch_enonay_otp(phone_number: str) -> str:
    """EnOnay REST API Gateway üzerinden tek kullanımlık SMS OTP kodu üretir ve iletir."""
    async with httpx.AsyncClient(timeout=5.0) as client:
        payload = {
            "action": "request_otp",
            "phone": phone_number,
            "service": "marketplace_security",
            "ttl_seconds": 180
        }
        headers = {"Authorization": f"Bearer {ENONAY_API_KEY}"}
        resp = await client.post(ENONAY_BASE_URL, json=payload, headers=headers)
        
        if resp.status_code != 200:
            raise HTTPException(status_code=502, detail="SMS Onay servisine ulaşılamadı.")
        return resp.json().get("session_id")