İki adımlı doğrulama, bir hesaba girerken şifrenize ek olarak ikinci bir kanıt istenmesidir. Bu ikinci kanıt telefonunuza gelen bir kod, bir uygulamanın ürettiği kod ya da elinizdeki bir güvenlik anahtarı olabilir. Şifreniz çalınsa bile ikinci adımı geçemeyen biri hesabınıza giremez.
Ancak her yöntem aynı derecede güvenli değildir. Bu rehberde iki adımlı doğrulamanın nasıl çalıştığını, yöntemlerin farklarını ve hesaplarınızda hangisini seçmeniz gerektiğini anlatıyoruz.
İki adımlı doğrulama nasıl çalışır?
Klasik girişte yalnızca bildiğiniz bir şeyi, yani şifrenizi kullanırsınız. İki adımlı doğrulama buna sahip olduğunuz bir şeyi ekler: telefonunuz, bir doğrulama uygulaması veya bir güvenlik anahtarı.
- Şifrenizi girersiniz. Platform şifrenin doğru olduğunu kontrol eder.
- İkinci adım istenir. Platform, önceden tanımladığınız yönteme göre bir kod ya da onay ister.
- Onayı verirsiniz. Kodu yazar, telefonda “Evet, benim” der veya anahtarı cihaza takarsınız.
- Giriş tamamlanır. Bazı platformlar güvendiğiniz cihazı hatırlar ve bir süre ikinci adımı tekrar sormaz.
İki adımlı doğrulama ile “iki faktörlü kimlik doğrulama” (2FA) aynı şeyi anlatır. Platformlar bu iki adı birbirinin yerine kullanır.
İki adımlı doğrulama yöntemleri
Platformların sunduğu başlıca yöntemler şunlardır:
- SMS veya sesli arama kodu: Hesaba kayıtlı numaranıza tek kullanımlık bir kod gönderilir. En yaygın ve en kolay yöntemdir.
- Doğrulama uygulaması: Google Authenticator veya Microsoft Authenticator gibi bir uygulama, kısa aralıklarla yenilenen kodlar üretir. İnternet veya şebeke bağlantısı gerektirmez.
- Uygulama bildirimi: Giriş yaptığınızda telefonunuzdaki uygulamaya bir onay bildirimi gelir. Google bu yönteme “Google istemleri” adını verir.
- Güvenlik anahtarı ve geçiş anahtarı: Fiziksel bir anahtar ya da cihazınızın parmak izi, yüz tanıma veya ekran kilidiyle yapılan doğrulamadır. Geçiş anahtarı İngilizce “passkey” olarak da bilinir.
- Yedek kodlar: Telefonunuzu kaybettiğinizde kullanmanız için önceden verilen tek kullanımlık kodlardır.
Hangi yöntem daha güvenli?
Her yöntem, hiç iki adımlı doğrulama kullanmamaktan daha güvenlidir. Yine de yöntemler arasında belirgin farklar vardır:
| Yöntem | Güvenlik | Numaranız elinizden çıkarsa | Oltalamaya karşı |
|---|---|---|---|
| SMS / sesli arama kodu | Temel | Kodlar artık size gelmez | Zayıf |
| Doğrulama uygulaması | İyi | Etkilenmez | Orta |
| Uygulama bildirimi | İyi | Etkilenmez | Orta |
| Güvenlik anahtarı / geçiş anahtarı | En yüksek | Etkilenmez | Güçlü |
SMS kodlarının en zayıf nokta olmasının nedeni telefon numarasına bağlı olmalarıdır. Google da kendi yardım sayfasında SMS ve arama kodlarının numaraya yönelik saldırılara açık olduğunu belirtir. Numaranız başka bir SIM karta taşınırsa kodlar da oraya gider. Bu saldırının nasıl işlediğini SIM Kart Dolandırıcılığı Nedir? yazımızda ayrıntılı anlattık.
Doğrulama uygulamasıyla iki adımlı doğrulama nasıl açılır?
Menü adları platforma göre değişse de adımlar hemen her yerde aynıdır:
- Uygulamayı yükleyin. Telefonunuza Google Authenticator, Microsoft Authenticator veya benzeri bir doğrulama uygulaması kurun.
- Güvenlik ayarlarını açın. Hesabınızda “Güvenlik”, “Hesap erişimi” veya “Giriş ve güvenlik” bölümüne girin.
- Yöntemi seçin. İki adımlı doğrulama bölümünde “Doğrulama uygulaması” seçeneğini işaretleyin.
- QR kodu okutun. Ekrandaki QR kodu doğrulama uygulamasıyla tarayın.
- Kodu girin. Uygulamanın ürettiği kodu platforma yazarak eşleştirmeyi onaylayın.
- Yedek kodları saklayın. Size verilen yedek kodları telefon dışında güvenli bir yere kaydedin.
Telefon değiştirmeden önce doğrulama uygulamanızdaki hesapları yeni telefona taşıyın. Aksi hâlde yedek kodlarınızla giriş yapıp kurulumu baştan yapmanız gerekir.
Platformlara göre dikkat edilecekler
Bazı platformların iki adımlı doğrulama kuralları birbirinden farklıdır:
- Google: Bildirim onayı, geçiş anahtarı, güvenlik anahtarı, doğrulama uygulaması, SMS ve 8 haneli yedek kodlar sunar. Google, geçiş anahtarlarının ve güvenlik anahtarlarının hesabı oltalama saldırılarına karşı koruduğunu belirtir.
- X (Twitter): SMS ile iki adımlı doğrulama, 20 Mart 2023’ten beri yalnızca Premium abonelere açıktır. Diğer kullanıcılar doğrulama uygulaması veya güvenlik anahtarı kullanabilir.
- WhatsApp: Buradaki iki adımlı doğrulama, sizin belirlediğiniz 6 haneli bir PIN’dir. Ayrıntılar WhatsApp SMS Onay rehberimizde.
- Bankalar: Türkiye’de bankalar giriş ve işlem onayında giderek daha çok mobil uygulama onayını kullanıyor. SIM kart değiştirdiğinizde bankanız SMS ile onayı geçici olarak durdurabilir.
Sanal numarayla açılan hesaplarda iki adımlı doğrulama
Sanal numarayla açtığınız bir hesapta ikinci adımı SMS’e bağlamamalısınız. Tek kullanımlık numara bir süre sonra size ait olmaz, bu yüzden SMS kodları artık size ulaşmaz.
Bunun yerine şu üç adımı uygulayın:
- E-posta ekleyin: Hesaba erişebildiğiniz bir e-posta adresi tanımlayın.
- Uygulamayı seçin: İkinci adım olarak doğrulama uygulaması veya güvenlik anahtarı kullanın.
- Yedek kodları saklayın: Telefonunuzu kaybetme ihtimaline karşı yedek kodları ayrı bir yerde tutun.
Hangi hesaplarda sanal numara kullanmamanız gerektiğini Sanal Numara Güvenli mi? yazımızda anlattık. Kısaca: banka, e-Devlet ve operatör gibi kritik hesaplarda her zaman kendi adınıza kayıtlı hattınızı kullanın.
Sıkça sorulan sorular
İki adımlı doğrulama açmak zorunlu mu?
Çoğu platformda zorunlu değildir, ama önerilir. Bazı platformlar ve bankalar ise belirli işlemler için ikinci adımı zorunlu tutar.
Telefonumu kaybedersem hesabıma nasıl girerim?
Kurulum sırasında aldığınız yedek kodlardan birini kullanın. Yedek kodunuz yoksa platformun hesap kurtarma adımlarını izlemeniz gerekir; bu süreç uzun sürebilir.
SMS ile iki adımlı doğrulama hiç kullanılmamalı mı?
Hiç iki adımlı doğrulama kullanmamaktan iyidir. Ancak seçme şansınız varsa doğrulama uygulaması veya güvenlik anahtarı daha güvenlidir.
Doğrulama uygulamasının ürettiği kodlar neden değişiyor?
Uygulama, saate dayalı kısa ömürlü kodlar üretir. Kod genellikle 30 saniyede bir yenilenir; bu yüzden ele geçirilse bile kısa sürede geçersiz olur.
Geçiş anahtarı (passkey) nedir?
Şifre yerine cihazınızın parmak izi, yüz tanıma veya ekran kilidiyle giriş yapmanızı sağlayan bir yöntemdir. Sahte sitelere karşı koruma sağladığı için en güvenli seçenekler arasındadır.
Sanal numara iki adımlı doğrulama için kullanılabilir mi?
Önerilmez. Tek kullanımlık numara kalıcı olarak size ait olmadığı için ikinci adım kodları ileride başkasına gidebilir. İkinci adım için doğrulama uygulaması kullanın.
Sonuç
İki adımlı doğrulama, şifreniz çalınsa bile hesabınızı koruyan en etkili önlemlerden biridir. Mümkün olan her hesapta açın ve SMS yerine doğrulama uygulaması veya güvenlik anahtarı tercih edin.
Kişisel numaranızı her uygulamaya vermek istemiyorsanız Doğrulat’a üye olun; kayıt kodunuzu tek kullanımlık bir numarayla alın, hesabınızı ise doğrulama uygulamasıyla güvene alın.