Çoğu işletme sahibi iki faktörlü doğrulamayı bir düğme sanır. Açarsın, kapatırsın, iş biter. Oysa iki faktörlü doğrulama bir düğme değil, bir politika setidir: kimin için zorunlu, hangi işlemde tekrar sorulacak, yedek erişim nasıl sağlanacak ve kaybolduğunda kim nasıl kurtaracak. Bu soruların cevabı yoksa, panelinde açık duran o düğme sana gerçek bir koruma değil, yalnızca psikolojik bir rahatlama sağlar.
E-pin ve dijital ürün satışında risk normal e-ticaretten farklıdır. Burada çalınan şey kargoya verilmez, iptal edilmez, geri istenemez. Bakiye anında harcanır, kod anında kullanılır. Bu yüzden bir e-pin satış scripti değerlendirirken ikinci faktörün varlığı yetmez; nerede ve ne sıklıkla devreye girdiği asıl belirleyicidir. Aşağıda, bir dijital ürün satış yazılımında iki faktörlü doğrulamanın hangi katmanlara oturması gerektiğini, hangi yöntemin hangi senaryoda yetersiz kaldığını ve Pinova'nın bu konuyu nasıl ele aldığını anlatıyorum.
Hangi ikinci faktör yöntemini seçmelisin?
Piyasada üç yaygın yöntem var: SMS ile gönderilen kod, kimlik doğrulama uygulamasının ürettiği zaman tabanlı tek kullanımlık kod ve fiziksel güvenlik anahtarı. Türkiye'deki bayi gerçekliğinde en dengeli seçenek, uygulama tabanlı zaman kodudur. Kurulumu ücretsizdir, internet bağlantısı gerektirmez, operatör bağımlılığı yoktur ve numara taşıma yoluyla devralma saldırılarına kapalıdır.
SMS yöntemini tamamen dışlamak gerekmez ama tek seçenek yapmamak gerekir. SMS gecikebilir, ulaşmayabilir ve hat devralma senaryolarında doğrudan saldırgana düşer. Buna karşılık kullanıcı alışkanlığı açısından en kolay yöntemdir. Doğru yaklaşım, SMS'i başlangıç seviyesi olarak sunmak ancak bakiye taşıyan ve bayi yetkisi olan hesaplarda uygulama tabanlı yöntemi zorunlu kılmaktır.
| Yöntem | Kurulum Zorluğu | Hat Devralmaya Direnç | Çevrimdışı Çalışma | Önerilen Kullanım |
|---|---|---|---|---|
| Uygulama kodu | Orta | Yüksek | Var | Bayi ve yönetici hesapları |
| SMS kodu | Düşük | Düşük | Yok | Standart müşteri, isteğe bağlı |
| E-posta kodu | Düşük | Orta | Yok | Yalnızca ek katman olarak |
| Güvenlik anahtarı | Yüksek | Çok yüksek | Var | Ana yönetici hesabı |
| Yedek kod | Düşük | Orta | Var | Her hesapta zorunlu tamamlayıcı |
İkinci faktör sadece girişte mi sorulmalı?
Hayır, ve bu tam olarak en çok yapılan hatadır. Giriş anında bir kez sorulan doğrulama, oturumu ele geçirmiş bir saldırganı hiç durdurmaz. Kritik olan, işlem bazlı doğrulamadır. Bakiye çekme, banka hesabı veya ödeme bilgisi değiştirme, e-posta adresi güncelleme, yeni bayi kullanıcısı tanımlama ve toplu stok dışa aktarma gibi eylemlerde kod yeniden istenmelidir.
Bu tasarım, ikinci faktörü giriş bariyeri olmaktan çıkarıp yetki teyidi haline getirir. Kullanıcı deneyimi açısından da mantıklıdır: kişi günde on kez panele girer ama ayda bir kez para çeker. Sürtünmeyi nadir ve değerli işleme kaydırmak, hem güvenliği artırır hem de şikâyeti azaltır.
İkinci Faktörün Devreye Girdiği Anların Dağılımı
- Yeni cihazdan giriş 45%
- Bakiye ve ödeme işlemleri 25%
- Hesap bilgisi değişikliği 20%
- Yönetim paneli kritik ayarları 10%
Yedek kodlar olmadan bu sistem kullanılamaz
İki faktörlü doğrulamanın en büyük gerçek maliyeti saldırı değil, kilitlenen kullanıcıdır. Telefon kaybolur, sıfırlanır, uygulama silinir. Bu durumda destek hattına düşen her talep hem zaman yakar hem de sosyal mühendislik için kapı açar. Çözüm, doğrulama kurulurken kullanıcıya tek kullanımlık yedek kodlar üretip indirtmektir.
Yedek kodların doğru kurgusu şudur: en az on adet olmalı, her biri yalnızca bir kez çalışmalı, kullanıldığında listede işaretlenmeli ve beş tanesi tükendiğinde kullanıcı yeni set üretmeye yönlendirilmelidir. Bu kodlar da veritabanında açık değil, özet değeriyle tutulmalıdır. Böylece yedek erişim yolu, ana yolun güvenlik seviyesini düşürmez.
Kullanıcı telefonunun saati birkaç saniye şaşabilir. Doğrulamada bir önceki ve bir sonraki zaman dilimini de kabul et; aksi halde kodlar geçerliyken reddedilir ve destek yükün ikiye katlanır.
Kaba kuvvet denemesine karşı ne yapmalısın?
Altı haneli bir kodun bir milyon olasılığı vardır ve bu, sınırsız deneme hakkı verildiğinde otomatik araçlar için engel sayılmaz. Bu yüzden doğrulama ekranında mutlaka deneme sınırı olmalıdır: aynı oturumda beş hatalı denemeden sonra hesap belirli bir süre kilitlenmeli ve kullanıcıya bildirim gitmelidir.
İkinci önlem, kullanılan kodun tekrar kabul edilmemesidir. Zaman tabanlı kod otuz saniye geçerlidir; bu pencere içinde aynı kodun ikinci kez kullanılması engellenmezse, araya giren bir saldırgan yakaladığı kodu hemen kullanabilir. İyi yazılmış bir e-pin yazılımı her başarılı doğrulamada kullanılan zaman dilimini kaydeder ve aynı dilimi bir daha kabul etmez.
Devreye alma stratejisi: zorunlu mu, isteğe bağlı mı?
Bir gecede herkese zorunlu tutmak, giriş yapamayan müşteri dalgası yaratır. Kademeli geçiş daha sağlıklıdır. Önce yönetici ve bayi rollerinde zorunlu kıl, standart müşteride teşvikli biçimde aç. Ardından belirli bir bakiye eşiğini geçen hesaplara zorunluluk getir. Son aşamada tüm hesaplara yay.
Geçiş döneminde iletişimi ihmal etme. Panel içi bilgilendirme, e-posta hatırlatması ve kısa bir kurulum rehberi, destek yükünü ciddi biçimde azaltır. Bir dijital ürün satış scripti seçerken bu bilgilendirme ekranlarının hazır gelip gelmediğine de bak; sıfırdan yazmak sandığından uzun sürer.
Uygulama kontrol listesi
Aşağıdaki maddeler, doğrulama sistemini canlıya almadan önce tek tek işaretlenmelidir.
| Madde | Doğrulama Yöntemi | Beklenen Davranış |
|---|---|---|
| Yedek kod üretimi | Doğrulamayı ilk kez aç | 10 kod üretilir ve indirilebilir |
| Tek kullanım | Aynı yedek kodu iki kez gir | İkinci deneme reddedilir |
| Kod tekrar kullanımı | Aynı zaman kodunu iki kez gir | Sistem ikinciyi kabul etmez |
| Deneme sınırı | Yanlış kodu altı kez gir | Geçici kilit ve bildirim |
| İşlem bazlı sorgu | Bakiye çekme talebi oluştur | Kod yeniden istenir |
| Cihaz hatırlama süresi | Güvenilir cihaz işaretle | Süre sınırlı ve iptal edilebilir |
| Kapatma koruması | Doğrulamayı kapatmayı dene | Şifre ve kod birlikte istenir |
| Yönetici görünürlüğü | Kullanıcı listesini aç | Kimde açık olduğu görünür |
Korumayı düğmeden politikaya taşı
Pinova, uygulama tabanlı doğrulama, yedek kod yönetimi, işlem bazlı tekrar sorgu ve rol bazlı zorunluluk ayarlarını birlikte sunar. Özellikleri incele, kendi rol yapına göre planla.
İki faktörlü doğrulama satışlarımı düşürür mü?
Doğru kurgulandığında düşürmez. Standart alışveriş akışında ek adım istememeli, yalnızca yeni cihazdan giriş ve para ile ilgili işlemlerde devreye girmelidir. Sürtünmeyi nadir işlemlere kaydırmak dönüşümü korur.
Kullanıcı telefonunu kaybederse ne olur?
Önce yedek kodlarını kullanır. Yedek kod da yoksa, destek üzerinden kimlik teyidiyle sıfırlama yapılır; bu süreç mutlaka bekleme süresi ve kayıt altına alma ile birlikte yürütülmelidir.
Güvenilir cihaz özelliği riski artırır mı?
Süresi sınırlandırılırsa artırmaz. Otuz günlük bir hatırlama süresi makuldür; ancak hassas işlemlerde güvenilir cihazda bile kod tekrar sorulmalı ve kullanıcı bu cihazları panelden iptal edebilmelidir.
Ana yönetici hesabında ek önlem gerekir mi?
Evet. Ana yönetici için mümkünse fiziksel güvenlik anahtarı, değilse uygulama kodu ile birlikte IP kısıtlaması önerilir. Bu hesabın ele geçirilmesi, diğer tüm önlemleri anlamsız kılar.
İki faktörlü doğrulama, kurulduğu gün değil, ilk saldırı denemesinin sessizce durdurulduğu gün işe yarar; o anı hiç görmezsin ama farkı bilançonda kalır. Rol bazlı zorunluluk, yedek kod yönetimi ve işlem bazlı tekrar sorgunun birlikte nasıl çalıştığını görmek için canlı demo üzerinde bir hesap açıp doğrulamayı kendin kur, sonra bakiye işlemi denemeye çalış; ihtiyacına uygun paketi fiyat sayfasından seçebilir, kurulum için sipariş adımına geçebilirsin.