Telefonunuzu değiştirdiniz; parolanız doğru ama hesabınız eski telefondaki kodu istiyor. İki faktörlü doğrulamayı açmak kadar, o telefona ulaşamadığınızda ne yapacağınızı bilmek de önemli. Bu yüzden 2FA yöntemlerini yalnız “hangisi daha güvenli?” diye değil, “hangisini kullanabilir ve kayıp durumunda kurtarabilirim?” diye karşılaştırmak gerekir.
Kısa cevap: Hizmet destekliyorsa ve kurtarma yolunu anlıyorsanız passkey veya FIDO güvenlik anahtarı güçlü seçeneklerdir. Doğrulama uygulaması, kod üretmek için telefon hattına ihtiyaç duymaz; fakat kodu sahte bir sayfaya yazarsanız sizi tek başına korumaz. Hesabınız yalnız SMS sunuyorsa, daha iyi bir yöntem hazır olmadan SMS doğrulamasını kapatmayın.
Önce şu ayrımı yapalım: iki adım her zaman iki faktör değildir
Parola bildiğiniz, telefon veya güvenlik anahtarı sahip olduğunuz, parmak izi ise size ait bir özelliği doğrulayan kanıttır. 2FA, iki farklı tür kanıtın birlikte doğrulanmasıdır. Arka arkaya iki parola yazmak, iki farklı faktör kullanmak anlamına gelmez.
MFA, çok faktörlü doğrulamanın genel adıdır. Parola zorunlu değildir: bir kriptografik anahtarı cihazın yerel PIN’i veya biyometrisiyle kullanmak da uygun uygulamada parolasız MFA sağlayabilir. Passkey bu nedenle her zaman “paroladan sonra yazılan ikinci kod” gibi düşünülmemeli. Teknik ayrım için NIST’in doğrulayıcılar rehberine bakabilirsiniz.
2FA yöntemleri bir bakışta
Tablonun tamamını görmek için sağa kaydırın.
| Yöntem | Günlük kullanım | Kimlik avına dayanıklılık | Kaybolmadan önce hazırlayın |
|---|---|---|---|
| SMS kodu | Kodu almak için telefon hizmeti gerekir. | Kod sahte sayfaya aktarılabilir. | Numara değişikliği ve alternatif kurtarma yolu. |
| TOTP uygulaması | Kod üretirken internet veya telefon hattı gerekmez. | Elle girilen kod sahte sayfaya aktarılabilir. | Telefon aktarımı ve güvenli kurtarma kodları. |
| Passkey | Telefon, bilgisayar veya uyumlu sağlayıcı üzerinden kullanılabilir. | FIDO/WebAuthn akışında gerçek hizmete bağlıdır. | Sağlayıcı hesabının ve cihazların kurtarma düzeni. |
| FIDO güvenlik anahtarı | Uyumlu cihazda USB veya NFC gibi bağlantılarla kullanılır. | FIDO/WebAuthn akışında gerçek hizmete bağlıdır. | İkinci kayıtlı anahtar veya bağımsız kurtarma yolu. |
Bu dört satır tamamen ayrı kutular değildir: fiziksel bir FIDO anahtarı, cihaza bağlı passkey de saklayabilir. “Kimlik avına dayanıklı” ifadesi de her dolandırıcılığa veya ele geçirilmiş bir cihaza karşı kusursuz koruma demek değildir.
SMS: kolay bulunan seçenek, ama sınırları var
SMS’in pratik tarafı, ayrıca bir uygulama kurmadan birçok hesapta kullanılabilmesidir. Buna karşılık telefon numarasının başka SIM’e taşınması veya gelen kodun sahte giriş ekranına yazılması gibi riskleri vardır. NIST, telefon şebekesine dayanan SMS ve sesli doğrulamayı kısıtlı yöntemler arasında ele alır.
Buradan “SMS işe yaramaz” sonucu çıkmaz. Başka yöntem sunulmuyorsa ek doğrulamayı kullanmak, yalnız parolaya güvenmekten daha iyi bir başlangıç olabilir. Ancak ana e-posta ve yönetici hesaplarında, hizmetin sunduğu daha güçlü seçenekleri de değerlendirin.
Doğrulama uygulaması: kod çevrimdışı üretilir
TOTP uygulaması, kayıtlı sır ve zamana göre kısa süreli kod üretir. Kodun üretilmesi için o anda mobil hat veya internet gerekmez; web hesabına giriş yapmak için elbette bağlantı gerekir. Uygulamanın yedekleme ve eşitleme özellikleri ise ayrı bir konudur.
Kısa kodun düzenli değişmesi, onu kimlik avına dayanıklı yapmaz. Sahte bir sayfaya yazılan kod, süresi dolmadan gerçek hizmete iletilebilir. Ayrıca telefon değiştirmeden önce uygulamanın aktarım yolunu kontrol edin; her uygulamanın yedekleme davranışını aynı sanmayın. TOTP’nin çalışma biçimi RFC 6238’de açıklanır.
Passkey: daha az kod, farklı bir kurtarma düzeni
Passkey, ezberleyip siteye yazdığınız bir parola yerine kriptografik anahtar kullanır. Doğrulama gerçek hizmete bağlı olduğu için, sahte bir alan adı aynı anahtarı kendi adına kullanamaz. Cihazdaki PIN veya biyometri, anahtarın yerel kullanımını doğrulayabilir; bu, parmak izinizin web sitesine gönderildiği anlamına gelmez.
Geçmeden önce şu soruyu yanıtlayın: “Bu cihaz elimden çıkarsa passkey’ime nasıl ulaşacağım?” Bazı passkey’ler sağlayıcınız üzerinden cihazlar arasında eşitlenir, bazıları tek cihaz veya anahtara bağlıdır. Bir hizmetin “passkey destekli” olması, sizin hesabınızdaki eski parola ve kurtarma yollarını otomatik olarak kapattığı anlamına da gelmez. Ayrıntılar FIDO Alliance’ın passkey açıklamasında yer alır.
Fiziksel güvenlik anahtarı: tek anahtara bağımlı kalmayın
FIDO güvenlik anahtarı, giriş sırasında kullandığınız ayrı bir donanımdır. Telefon, bilgisayar ve hizmetle uyumunu önceden kontrol etmek gerekir. Her USB aygıtı güvenlik anahtarı değildir; anahtarın desteklediği protokol ve kullanım biçimi önemlidir.
Hizmet izin veriyorsa ikinci bir anahtar kaydetmek veya bağımsız bir kurtarma yolu hazırlamak, tek anahtarın kaybında hesabın dışında kalma riskini azaltır. Ana e-posta, alan adı ve site yönetimi gibi birbirine bağlı hesaplarda bu konu özellikle önemlidir. Hesabınızda zaten şüpheli hareket varsa olağan kurulum sırasını beklemeyin; WordPress sitesindeki şüpheli davranışlar için ilk müdahale rehberimiz ayrı bir başlangıç noktasıdır.
Bir yöntemi değiştirmeden önce altı kontrol
- Kurtarma bilgilerinizi kontrol edin. Kayıtlı e-posta ve telefon size ait ve erişilebilir mi?
- Yeni yöntemi öğrenin. Olağan bir geçişte önce düşük riskli bir hesapla başlayabilirsiniz. Aktif ele geçirilme işaretlerini bu nedenle ertelemeyin.
- Kurtarma yolunu hazırlayın. Kodları sohbetlere, paylaşılan ekran görüntülerine veya herkese açık klasörlere koymayın. QR kodu ve kurulum sırrı da gizlidir.
- Yeni girişi bağımsız oturumda deneyin. Mevcut oturumu açık tutarken ikinci cihaz veya ayrı bir tarayıcı oturumu kullanın. Aynı oturumu paylaşan yeni sekme yeterli test değildir.
- Son çalışan yolu hemen kaldırmayın. Yeni yöntemin çalıştığını ve kurtarma bilgisine erişebildiğinizi doğrulayın. Sırf bakmak için tek kullanımlık kurtarma kodunu tüketmeyin.
- Eski cihazı en son temizleyin. Aktarım ve yeni giriş tamamlanmadan telefonu sıfırlamayın.
Hangi başlangıç size daha uygun?
Seyahatte telefon hattına güvenemiyorsanız, TOTP’nin çevrimdışı kod üretmesi işe yarayabilir. Passkey destekleyen günlük bir hesabınız varsa, cihaz ve sağlayıcı kurtarmasını anlayarak değerlendirin. Birden fazla kritik hesabı yönetiyorsanız, fiziksel anahtarın uyumluluğunu ve yedek erişim yolunu birlikte planlayın. Hesap yalnız SMS sunuyorsa mevcut korumayı hazırlıksız kapatmayın.
Bu bir marka sıralaması değil. Cihaz paylaşımı, erişilebilirlik, işyerinin kuralları ve hizmetin gerçekten sunduğu seçenekler kararı değiştirebilir.
Sık sorulan sorular
2FA açıkken hesabım yine ele geçirilebilir mi?
Evet. Doğrulama yöntemi tek başına bütün riskleri çözmez. Kod paylaşımı, zararlı yazılım, açık oturum ve zayıf kurtarma yolları ayrıca önem taşır. “Açtım, artık hiçbir şeyi kontrol etmeme gerek yok” diye düşünmeyin.
Telefonuma istemediğim giriş onayı geliyor; kabul edeyim mi?
Başlatmadığınız isteği onaylamayın. Hizmete kendi bildiğiniz adresten girerek hesap oturumlarını ve güvenlik uyarılarını kontrol edin. Sıradan onay bildirimini veya sayı eşleştirmeyi passkey ile aynı yöntem saymayın.
Kurtarma kodu ikinci faktörün yerine geçer mi?
Hizmete göre yedek doğrulama veya hesap kurtarma yolu olarak kullanılır. Günlük kullanım yöntemi gibi düşünmeyin ve başkasıyla paylaşmayın. Tek kullanımlık kod kullanıldığında aynı kod tekrar işe yaramayabilir.
Son karar: Doğru seçim, hem güvenle kullanabildiğiniz hem de cihaz kaybında hesabınızı geri alabildiğiniz yöntemdir. Önce desteklenen seçenekleri ve kurtarmayı kontrol edin; sonra geçiş yapın.
Yöntem notu: Bu rehber resmî teknik belgelere dayalı bir açıklamadır. Ürünlere ait kurulum süresi ölçümü, laboratuvar karşılaştırması veya yapılmış bir cihaz testi iddiası içermez.
