Tanım
İki adımlı doğrulama (2FA, Two-Factor Authentication), bir hesaba girişte paroladan sonra ikinci, farklı türde bir kanıt isteyen kimlik doğrulama yöntemidir. İkinci adım genellikle telefondaki doğrulayıcı uygulamanın ürettiği tek kullanımlık kod, donanım güvenlik anahtarı ya da passkey’dir; parola sızsa bile hesabın ele geçirilmesini büyük ölçüde zorlaştırır.
İki adımlı doğrulama yöntemleri nelerdir?
İki adımlı doğrulama, “bildiğiniz bir şey” (parola) ile “sahip olduğunuz bir şeyi” birleştirir. Yöntemler güvenlik düzeyine göre farklılaşır:
| Yöntem | Nasıl çalışır? | Güvenlik |
|---|---|---|
| SMS kodu | Telefona kısa mesajla kod gelir | Düşük; SIM kopyalama ve yönlendirme saldırılarına açık |
| TOTP uygulaması | Google Authenticator, Microsoft Authenticator gibi uygulamalar 30 saniyede bir kod üretir (RFC 6238) | İyi; ağ bağlantısı gerektirmez |
| Donanım anahtarı / passkey | FIDO2/WebAuthn ile cihaz ya da anahtar üzerinden imza | En yüksek; oltalama sitelerine karşı dirençli |
TOTP kodları sahte bir giriş sayfasına yazılırsa saldırgan tarafından anında kullanılabilir; passkey ve donanım anahtarları ise imzayı yalnızca gerçek alan adına verdiği için bu tür oltalama saldırılarından etkilenmez. Hangi yöntemi seçerseniz seçin, parolanızın da güçlü ve başka sitelerde kullanılmamış olması gerekir.
İki adımlı doğrulama hangi hesaplarda açılmalı?
İki adımlı doğrulama, ele geçirildiğinde diğer hesaplara da kapı açan hesaplarda öncelikle açılmalıdır: e-posta hesabı (parola sıfırlama bağlantıları buraya gelir), alan adı ve hosting müşteri paneli, kontrol panelleri (cPanel, Plesk), sunucu yönetim arayüzleri ve ödeme hesapları. Kurulum sırasında verilen yedek kodları güvenli bir yerde saklayın; telefon kaybolduğunda hesaba yalnızca bu kodlarla girebilirsiniz. LIONFIN xMail hesaplarında bu özelliğin nasıl açılacağı xMail iki adımlı doğrulama rehberinde anlatılır; konunun neden önemli olduğu iki adımlı doğrulama neden önemli yazısında ele alınır.