OTP Kodu Nedir? Tek Kullanımlık Şifre ve SMS Doğrulama Kodu Rehberi

OTP, İngilizce One-Time Password ifadesinin kısaltmasıdır; Türkçede tek kullanımlık şifre, doğrulama kodu, onay kodu ya da SMS şifresi olarak geçer. Kalıcı şifrenizden farkı iki kuraldır: kod yalnızca bir işlem için geçerlidir ve kısa bir süre sonra kendiliğinden geçersiz olur. Uzunluğu genellikle 4 ile 8 hane arasındadır.

Bu iki kural OTP'yi değerli kılar. Kalıcı bir şifre bir veri sızıntısında ortaya çıkarsa aylarca kullanılabilir; oysa süresi dolmuş ya da bir kez kullanılmış bir OTP'yi ele geçirmek saldırgana hiçbir şey kazandırmaz. Bu yüzden OTP hem kayıt sırasında numara doğrulamada hem de giriş, şifre sıfırlama ve ödeme onayında ikinci bir kilit olarak kullanılır.

Kullanıcı tarafında tek gördüğünüz bir SMS ve bir kutucuktur; arka planda ise birkaç güvenlik kuralı birlikte çalışır. İki temel yaklaşım vardır.

Üçü de "şifrenin yanında ikinci bir kanıt" sunar ama kodun nerede oluştuğu ve kimin eline geçebileceği farklıdır. Yöntemlerin iki adımlı doğrulamadaki güvenlik karşılaştırması için iki adımlı doğrulamada SMS güvenli mi yazımıza bakabilirsiniz.

• SMS OTP: Kurulum gerektirmez, her telefonda çalışır. Kod operatör hattına bağlı olduğu için hat başkasına geçirilirse kod da oraya gider.
• Doğrulayıcı uygulama (TOTP): Kod cihazınızda üretilir, hattan bağımsızdır. Telefon kaybında yedek kodlar ya da yedekleme yoksa erişim zorlaşır.
• Push onayı: Uygulama, kayıtlı cihazınıza "Giriş yapan siz misiniz?" bildirimi gönderir; kod yazmazsınız. Bildirime düşünmeden onay vermek ise ayrı bir risk yaratır.
• E-posta OTP'si: SMS'e benzer biçimde çalışır; güvenliği tamamen e-posta hesabınızın güvenliğine bağlıdır.

E-posta adresi birkaç saniyede sınırsız sayıda açılabilir; telefon numarası ise bir operatör hattı gerektirir. Bu fark, numarayı uygulamalar için pratik bir filtre hâline getirir. Başlıca nedenler:

• Bot ve spam önleme: Otomatik hesap üretimini pahalı ve yavaş hâle getirir.
• Hesap sınırı: Bir kişinin aynı anda açabileceği hesap sayısını sınırlamaya yardım eder.
• Hesap kurtarma: Şifrenizi unuttuğunuzda size ulaşmanın bir yolu olur.
• Şüpheli giriş kontrolü: Yeni cihaz ya da alışılmadık konumdan girişte ek doğrulama ister.
• İletişim ve pazarlama: Bazı servisler numarayı bildirim ve kampanya mesajları için de kullanır; gizlilik kaygısının çıktığı yer genellikle burasıdır.

OTP'yi teknik olarak kırmak zordur; bu yüzden dolandırıcılar kodu kırmaya değil, size söyletmeye çalışır. Buna sosyal mühendislik denir. Sık görülen senaryolar:

• "Yanlışlıkla sana kod gönderdim": Tanıdığınızın ele geçirilmiş hesabından gelen bu mesaj, aslında sizin hesabınızın kurtarma kodunu ister.
• Sahte banka ya da operatör görevlisi: "Hesabınızda şüpheli işlem var, doğrulamak için gelen kodu okuyun" der. Okuduğunuz kod, çoğu zaman onun başlattığı işlemin onayıdır.
• Kargo, ödül ya da çekiliş bahanesi: Küçük bir ödeme ya da teslimat için "onay kodu" istenir.
• Sahte giriş sayfası: Gerçeğine benzeyen bir sayfaya şifre ve kod yazdırılır, kod anında gerçek siteye aktarılır.

SMS onay hizmeti, bir uygulamaya kaydolurken istenen tek kullanımlık kodu kendi hattınız yerine size ayrılan bir sanal numarada almanızı sağlar. SMS Onay Evi'nde uygulamayı ve ülkeyi seçersiniz; numara 20 dakika boyunca yalnızca sizindir ve gelen OTP panelde büyük rakamlarla, tek dokunuşla kopyalanabilir biçimde görünür. Kod gelmezse ücret otomatik olarak bakiyenize döner. Adımların ayrıntısı SMS onay kodu alma rehberinde, kavramın temeli ise SMS onay nedir sayfasında.

Sınırı da net koyalım: sanal numaralı SMS onay, kişisel numaranızı gereksiz yere dağıtmamak içindir; banka, e-Devlet, ana e-posta hesabınız ya da iki adımlı doğrulama numarası için kullanılmaz. Tek SMS numarası kısa süre sonra sizden ayrıldığı için, sanal numarayla açtığınız hesapta da iki adımlı doğrulamayı doğrulayıcı uygulama ya da e-posta ile kurun. Aynı hesaba günlerce kod gelecekse numara kiralama daha uygun bir seçenektir.