Ana içeriğe geç

İki adımlı doğrulama nedir?

Şifren çalınsa bile hesabına girilmesini zorlaştırır. Ama her yöntem aynı derecede güçlü değil.

Şifre bildiğin bir şeydir. İkinci adım ise sende olan bir şeydir: telefonun veya bir güvenlik anahtarı. Saldırganın ikisine birden ulaşması gerekir.

Yöntemler, zayıftan güçlüye

Yöntem Güç Bilmen gereken
SMS veya e-posta kodu Zayıf Hiç yoktan iyidir, ama numaran başka SIM'e geçirilebilir.
Uygulama bildirimi Orta Yanlışlıkla "onayla"ya basabilirsin.
Kod uygulaması (TOTP) İyi Çoğu kişi için yeterli. Sahte sitelere karşı korumaz.
Güvenlik anahtarı, geçiş anahtarı (FIDO2) En iyi Sahte sitelerde çalışmaz. Her site desteklemiyor.

SMS ve e-posta

Saldırgan operatörü kandırıp numaranı kendi SIM'ine geçirebilir, buna SIM değişimi denir. Türkiye'de birçok bankacılık işlemi SMS'e dayandığı için bu yöntem burada da tehlikeli.

Telefonun aniden çekmemeye başlarsa ve SMS alamıyorsan operatörünü hemen ara. e-Devlet'ten adına kayıtlı hatları düzenli kontrol et. Bankan mobil onay gibi SMS dışında bir seçenek sunuyorsa onu kullan.

Uygulama bildirimi

Telefonuna "giriş sen misin?" diye bir bildirim gelir. SMS'ten iyidir, ama saldırganlar arka arkaya bildirim göndererek bıktırıp onaylatmayı dener. Sen giriş yapmıyorken gelen bildirimi onaylama, şifreni de hemen değiştir.

Kod uygulaması (TOTP)

QR kodu okutursun, uygulama her 30 saniyede bir yeni kod üretir. İnternete bağlı olman gerekmez.

Zayıf yanı: Sahte bir siteye şifreni ve kodu yazarsan, saldırgan kod geçerliyken onları gerçek sitede kullanabilir. Bu yüzden kodu kimseye söyleme, nereye yazdığına da dikkat et.

Ente AuthKodlarını cihazlar arasında uçtan uca şifreli olarak senkronize eder.ÜcretsizTüm cihazlarAçık kaynakDetaylarAegis AuthenticatorKodları sadece telefonunda şifreli olarak tutar.AndroidÜcretsizAçık kaynakDetaylar

Güvenlik anahtarı ve geçiş anahtarı

YubiKey gibi küçük bir cihazdır, dokunarak giriş yaparsın. FIDO2/WebAuthn standardı sitenin adresini de doğruladığı için sahte sitede çalışmaz. Şifre yerine geçen geçiş anahtarları da aynı standarda dayanır. Destekleyen sitelerde en iyi seçenektir.

Bazı anahtarlardaki Yubico OTP seçeneği ise sahte sitelere karşı korumaz ve aynı kimliği her sitede kullanır. Seçeneğin varsa FIDO2'yi tercih et.

Önce nerede açmalı?

  1. E-posta hesabın. Diğer hesapların şifre sıfırlama postaları oraya gelir.
  2. Şifre yöneticin.
  3. e-Devlet. Şifre ve Güvenlik Ayarlarım → İki Aşamalı Giriş İşlemleri yolundan açılır. Kimlikle doğrulanmış bir telefon numarası gerekir, kayıtlı cihaz onayı ve yedek kodlar da seçilebilir.
  4. Banka ve sosyal medya.

Üç kural

  • En zayıf yöntemin kadar güçlüsün. Kod uygulamasını açtıysan, mümkünse SMS seçeneğini kapat.
  • Yedeğin olsun. Kurulumda verilen kurtarma kodlarını kâğıda yaz ve şifrelerinden ayrı sakla. Telefonunu kaybedersen hesabına dönmenin tek yolu bunlar olabilir. Güvenlik anahtarı kullanıyorsan iki tane al.
  • Kodları şifrelerinle aynı yerde tutma. Nedeni burada.

Güvenlik anahtarı aldıysan

Varsayılan ayarları değiştir, PIN belirle ve destekliyorsa dokunma onayını aç. Bilgisayarının kilit ekranı, SSH bağlantıları veya KeePassXC kasası için de kullanılabilir. Bunlar için Yubico'nun belgelerine bak.

Kaynaklar

Son kontrol: 9 Kasım 2026