Sadece şifreyle korunan bir hesapta, hiç tanımadığınız biri doğru karakterleri yazdığında sistem ona sizin adınızla “Hoş geldiniz” diyebilir. O insan sizin hayatınız hakkında hiçbir şey bilmeyebilir. Yine de doğru şifre, hesabınızın kapısını ona açabilir. İnternette kim olduğumuzu kanıtlama biçimimizin içinde böyle bir sorun var.
E-posta kutunuzu düşünün. Yıllar önce gönderdiğiniz bir fotoğraf, iş yazışmalarınız, başka hesaplarınıza yeniden erişmenizi sağlayan bağlantılar orada duruyor. Dükkânının siparişlerini telefonundan takip eden bir esnaf için de, üniversiteye hazırlanan bir genç için de o kutunun başkasının eline geçmesi ciddi bir kayıp olabilir. Günlük hayatımızdan giderek daha fazla parçayı bu hesaplara emanet ediyoruz.
Bu hesapları korumak için yıllardır şifrelerimizi uzatıyoruz. Büyük harf ekliyor, rakamları değiştiriyor, araya bir ünlem sıkıştırıyoruz. Uzun ve benzersiz şifreler hâlâ değerlidir. Fakat çok güçlü bir şifreyi, gerçek sandığınız taklit bir sayfaya kendi ellerinizle yazabilirsiniz. Şifrenin tahmin edilmesinin zor olması, yanlış yere teslim edilmesini engellemez. Güvenliğin insanın dikkatine ne kadar bağımlı olabildiğini burada görüyoruz.
Üstelik insandan sürekli aynı dikkati bekliyoruz. Yorgunken, acele ederken, bir iş yetiştirmeye çalışırken de adres çubuğundaki farkı görmesini istiyoruz. Hata yaptığında faturayı ona çıkarıyoruz. Oysa yazılımı tasarlayanların da cevaplaması gereken bir soru var: Birkaç saniyelik dalgınlığın bedelini azaltmak için sistemi nasıl değiştirebiliriz? Güvenlik eğitimi kadar, bu sorunun cevabı da önemli.
Son yıllarda yaygınlaşan “geçiş anahtarı”, İngilizce adıyla passkey, bu soruya somut bir cevap getiriyor. Destekleyen bir hizmette hesabınıza girerken telefonunuzun veya bilgisayarınızın yüz tanımasını, parmak izi okuyucusunu ya da ekran kilidini kullanabiliyorsunuz. Ekranda birkaç saniye süren bu işlemin arkasında, şifre kutusuna alışmış gözlerin hemen fark etmeyeceği bir değişiklik bulunuyor.
Geçiş anahtarı oluşturulduğunda hesabınız için birbirini tamamlayan iki kriptografik anahtar üretiliyor. Bunlardan açık anahtar hizmete kaydediliyor; gizli anahtar cihazınızda veya kullandığınız kimlik bilgisi yöneticisinde korunuyor. Giriş sırasında cihazınız, sunucudan gelen doğrulama isteğini gizli anahtarla imzalıyor. Sunucu da bu yanıtı açık anahtarla kontrol ediyor. Böylece gizli anahtarın kendisini siteye vermeden, ona sahip olduğunuzu kanıtlıyorsunuz.
Telefonunuza baktığınızda yüzünüzün görüntüsü, parmağınızı okuttuğunuzda parmak iziniz internet sitesine gönderilmiyor. Biyometrik doğrulama cihazda gerçekleşiyor ve anahtarın kullanılmasına izin veriyor. Bu ayrım önemli: Bir hesabı yüzünüzle açabilmek, her girişte yüzünüzü o şirketin sunucusuna teslim etmek anlamına gelmiyor.
Geçiş anahtarının kimlik avına karşı gücü de hizmete bağlı çalışmasından geliyor. Bir dolandırıcı giriş sayfasının renklerini, logosunu ve menülerini kopyalayabilir. Ancak farklı bir alan adındaki taklit sayfa, gerçek hizmet için oluşturulmuş geçiş anahtarını aynı şekilde kullanamaz. Tarayıcı ile cihazın yaptığı kontrol, sahte sayfayı gözünüzle ayırt etmenizden bağımsız bir koruma sağlar. Burada, kullanıcının dalgınlığını hesaba katan bir tasarım görüyoruz.
Bu değişimin artık günlük kullanıma girdiğine ilişkin güncel veriler de var. FIDO Alliance’ın 15 Ekim 2026’da yayımladığı raporda, bu ölçümü bildiren 12 hizmette geçiş anahtarlarının başarılı girişler içindeki payının ortalaması yüzde 36 olarak veriliyor. Bu oran bütün interneti veya Türkiye’deki kullanıcıları temsil etmiyor. Yine de araştırmaya katılan hizmetlerde, şifresiz girişin insanların kullandığı somut bir seçeneğe dönüştüğünü gösteriyor.
Benim bu gelişmede asıl ilgimi çeken, kullanıcıya daha az yük bindirerek koruma sağlayabilmesi. Teknolojide ilerlemeyi çoğu zaman ekrana gelen yeni özelliklerle ölçüyoruz. Oysa bazen asıl ilerleme, zaten yapmak istediğimiz bir işi daha az hata ihtimaliyle tamamlayabilmektir. Bir hesabına girmek isteyen insanın, her seferinde karşısındaki sayfanın sahtesini yakalayacak kadar dikkatli olmasını beklemek ağır bir sorumluluk.
Elbette geçiş anahtarı kullanmak bütün riskleri ortadan kaldırmıyor. Cihazın güvenliği ve hesabın diğer giriş yolları önemini koruyor. Örneğin Google hesabınıza geçiş anahtarı eklemek, mevcut şifrenizi veya kurtarma seçeneklerinizi kendiliğinden kaldırmıyor. Dolayısıyla hesabın güvenliğini değerlendirirken bütün bu yolları birlikte düşünmek gerekiyor. Yeni bir giriş yöntemi, ihmal edilmiş diğer ayarları otomatik olarak düzeltmiyor.
Telefonun kaybolması ihtimalini de daha baştan düşünmeliyiz. Bazı geçiş anahtarları güvenilir cihazlar arasında eşitlenebilirken bazıları tek bir cihazda kalır. Kullandığınız hizmetin kurtarma seçeneklerini ve başka hangi cihazdan giriş yapabildiğinizi önceden bilmek gerekir. Yeni yönteme geçmeden, hesabınıza yeniden nasıl ulaşacağınızı öğrenmek birkaç dakikalık iştir; o bilgiyi telefonunuz kaybolduktan sonra aramak çok daha zor olabilir.
Bu yazıyı bitirdikten sonra e-posta hesabınızın güvenlik ayarlarına bakın. Geçiş anahtarı desteği varsa kendi kullandığınız cihazda nasıl etkinleştirildiğini inceleyin; kurtarma bilgilerinizi de kontrol edin. Ortak kullanılan bir bilgisayarda kendiniz için geçiş anahtarı oluşturmayın. İlk bakacağınız hesabın, diğer hesaplarınızın kurtarma mesajlarının geldiği adres olması iyi bir başlangıçtır. Günlük hayatınızdaki önemini fark etmek için o hesabı kaybetmeyi beklemeniz gerekmiyor.
İnternette güvenliği konuşurken uzun süre insanlara daha fazla şey ezberletmeye çalıştık. Şimdi bu yükün bir bölümünü daha iyi tasarlanmış sistemlere bırakma imkânımız var. Bence iyi teknolojinin ölçülerinden biri de budur: İnsan hata yapabildiği hâlde onu koruyabilmek. Çünkü bir yabancının şifrenizi öğrenmesi, sizin hayatınıza davet edilmiş olması demek değildir.
