OTP Kodu Nedir? SMS, E-posta ve Uygulama Tabanlı Kodların Farkları
OTP, yalnızca bir kez ve kısa süre için geçerli olan doğrulama kodudur. SMS, e-posta ve uygulama tabanlı OTP türlerini, geçerlilik sürelerini ve güvenli kullanım kurallarını anlatıyoruz.
İçindekiler
Bir uygulamaya kaydolurken, bankacılık işlemi yaparken ya da yeni bir cihazdan giriş yaparken telefonunuza gelen altı haneli kodu mutlaka görmüşsünüzdür. Peki OTP kodu nedir ve neden bu kadar yaygın kullanılır? OTP, İngilizce "One-Time Password" ifadesinin kısaltmasıdır ve Türkçede "tek kullanımlık şifre" anlamına gelir. Adından da anlaşılacağı gibi bu kodlar yalnızca bir kez ve kısa bir süre için geçerlidir.
Bu yazıda OTP'nin nasıl çalıştığını, SMS, e-posta ve uygulama tabanlı türleri arasındaki farkları, geçerlilik sürelerini ve en önemlisi bu kodları kullanırken uymanız gereken güvenlik kurallarını bulacaksınız.
OTP kodu nedir ve nasıl çalışır?
Klasik şifreler siz değiştirene kadar aynı kalır; bir kez ele geçirildiklerinde tekrar tekrar kullanılabilirler. OTP ise her işlem için yeniden üretilir ve kullanıldığı anda ya da süresi dolduğunda geçersiz olur. Böylece biri kodu sonradan öğrense bile çoğu zaman işe yaramaz.
Temel mantık şöyledir: Hizmet, kimliğinizi doğrulamak istediğinde size ait olduğunu bildiği bir kanala (telefon numarası, e-posta adresi ya da cihazınızdaki uygulama) bir kod gönderir veya ürettirir. Siz bu kodu ekrana girdiğinizde sistem, o kanalın gerçekten sizin kontrolünüzde olduğunu teyit etmiş olur. Bu yaklaşım, şifrenin yanına "sahip olduğunuz bir şey" faktörünü ekleyerek iki faktörlü doğrulamanın temelini oluşturur.
OTP türleri: SMS, e-posta ve TOTP
SMS OTP
En yaygın türdür. Kod telefon numaranıza kısa mesajla gönderilir; kurulum gerektirmez ve hemen her telefonda çalışır. Ancak SMS'ler operatör altyapısına bağlı olduğu için gecikebilir ve numaranın başka bir karta taşındığı SIM swap gibi saldırılara karşı daha savunmasızdır.
E-posta OTP
Kod e-posta adresinize gönderilir. Özellikle hesap oluşturma ve şifre sıfırlama işlemlerinde sık kullanılır. Güvenliği büyük ölçüde e-posta hesabınızın ne kadar iyi korunduğuna bağlıdır.
TOTP (uygulama tabanlı)
TOTP, "Time-based One-Time Password" yani zamana dayalı tek kullanımlık şifre demektir. Bir authenticator uygulaması, hesabı kurarken paylaşılan gizli anahtarı ve o anki saati kullanarak genellikle 30 saniyede bir yenilenen kodlar üretir. Kod ağ üzerinden gönderilmediği için internet bağlantısı olmadan da çalışır ve SMS'e göre daha güvenli kabul edilir. TOTP'nin yanında, zaman yerine bir sayaç kullanan HOTP adlı bir yöntem de vardır; ancak günlük kullanımda en sık karşılaşılan TOTP'dir.
| Özellik | SMS OTP | E-posta OTP | TOTP |
|---|---|---|---|
| Kodun iletildiği yer | Telefon numarası | E-posta adresi | Cihazdaki uygulama |
| Kurulum ihtiyacı | Yok | Yok | Uygulama kurulumu gerekir |
| Bağlantı ihtiyacı | Şebeke gerekir | İnternet gerekir | Gerekmez |
| Tipik yenilenme | Her talepte yeni kod | Her talepte yeni kod | Genellikle 30 saniyede bir |
| Başlıca risk | SIM swap, gecikme | E-posta hesabının ele geçirilmesi | Cihaz kaybı (yedek kodlar önemli) |
OTP kodları ne kadar süre geçerlidir?
Geçerlilik süresi hizmetten hizmete değişir ve herkes için geçerli tek bir standart yoktur. Genel eğilimler şöyledir:
- SMS ve e-posta ile gönderilen kodlar çoğunlukla birkaç dakika geçerli kalır; bazı hizmetlerde bu süre biraz daha uzun olabilir.
- TOTP kodları genellikle 30 saniyelik zaman dilimleriyle yenilenir; bazı sistemler küçük saat farklarını tolere etmek için bir önceki kodu da kabul edebilir.
- Yeni bir kod istediğinizde çoğu sistemde önceki kod geçersiz hâle gelir. Bu nedenle her zaman en son gelen kodu kullanın.
- Art arda çok sayıda hatalı deneme yapmak, güvenlik amacıyla geçici bir kilitlenmeye neden olabilir.
Kod geç geliyorsa ya da hiç ulaşmıyorsa SMS onay kodu gelmiyor rehberimizdeki adımları deneyebilirsiniz.
Güvenlik: OTP kodunuzu asla paylaşmayın
OTP'nin tüm güvenliği, kodun yalnızca sizde kalmasına dayanır. Banka, operatör ya da herhangi bir hizmetin gerçek çalışanları bu kodu sizden telefonda, mesajla veya e-postayla istemez. Kodu isteyen biri varsa, büyük olasılıkla hesabınıza erişmeye çalışan bir dolandırıcıdır.
- Kodu yalnızca işlemi kendiniz başlattıysanız ve yalnızca resmi uygulama ya da sitede kullanın.
- Kod mesajının tamamını okuyun; birçok hizmet kodun hangi işlem için gönderildiğini belirtir.
- Talep etmediğiniz bir kod gelirse kimseyle paylaşmayın ve ilgili hesabın şifresini değiştirmeyi düşünün.
- Kodu ekran paylaşımı yaparken ya da kalabalık ortamlarda yüksek sesle okumayın.
- Mümkün olan hesaplarda SMS yerine TOTP veya fiziksel güvenlik anahtarı kullanın.
Hizmetler OTP'yi nerelerde kullanır?
OTP bugün çok farklı senaryolarda karşımıza çıkar: yeni hesap açarken telefon numarasının doğrulanması, yeni cihazdan yapılan girişlerde ikinci doğrulama adımı, şifre sıfırlama, kartlı ödemelerde işlem onayı ve hesap ayarlarındaki kritik değişiklikler bunların başında gelir.
Yalnızca kayıt sırasında bir kez doğrulama isteyen ve kişisel numaranızı bağlamak istemediğiniz hizmetlerde, OnaySIM'in Numara Al sayfasından sanal numara alarak gelen kodu panelinizdeki "Aktif Kodlar" bölümünde görebilirsiniz. Numara yaklaşık 20 dakika size ayrılır; kod gelmezse ücret bakiyenize iade edilir. Ancak sanal numaralar geçicidir: bankacılık, ana e-posta ve kurtarılması önemli hesaplarda kalıcı numaranızı kullanmaya devam edin. Kendi uygulamasının doğrulama akışını test etmek isteyen geliştiriciler API dokümantasyonu sayfasına göz atabilir. Her durumda ilgili platformun kullanım koşullarına uyun.
Sonuç
Kısaca özetlemek gerekirse, OTP kodu nedir sorusunun cevabı şudur: tek bir işlem için üretilen, kısa süre geçerli olan ve yalnızca sizin bilmeniz gereken bir doğrulama kodu. SMS, e-posta ve TOTP türlerinin her birinin güçlü ve zayıf yönleri vardır. Kritik hesaplarda uygulama tabanlı yöntemleri tercih etmek, kodlarınızı kimseyle paylaşmamak ve her zaman en son gelen kodu kullanmak güvenliğinizin temelini oluşturur.
