İki Adımlı Doğrulama Nasıl Açılır?

Yazan Ayşe Yılmaz · Yayımlandı 2026-08-03 · 9 dk okuma

Parolanız ne kadar güçlü olursa olsun, bir gün başka bir sitenin veri sızıntısında ortaya çıkabilir. İki adımlı doğrulama, o günün önemli olmamasını sağlar.

Kurulum on dakika sürüyor ve bir kez yapılıyor. Bu rehber adımları, yöntemler arasındaki farkı ve en sık atlanan kısmı — yedek kodları — anlatıyor.

Neden gerekli?

Saldırganların en yaygın yöntemi hesap kırmak değil. Başka platformlardan sızmış milyonlarca e-posta ve parola çiftini otomatik olarak denemek. Aynı parolayı iki yerde kullandıysanız, birinden diğerine geçmek saniyeler sürer.

İkinci adım bu zinciri koparır. Saldırgan doğru parolayı girse bile telefonunuzdaki koda erişemez ve giriş tamamlanmaz.

Bu, oyun hesabı için ayrıca önemli: içeride bakiye var, kimlik belgeleri yüklü ve muhtemelen bir ödeme yöntemi kayıtlı. Hesap güvenliği rehberimiz diğer katmanları anlatıyor; bu yazı en kritik olanına odaklanıyor.

Yöntemler arasındaki fark

SMS kodu. Kurulumu en kolay olan. Numaranızı yazarsınız, girişte kod gelir. Zayıf yanı SIM kart takası: saldırgan operatörü ikna ederek numaranızı kendi kartına taşırsa, gelen kodları da okur. Ayrıca kapsama alanı dışındayken ya da yurt dışındayken kod gelmeyebilir.

Doğrulayıcı uygulama. Telefonunuzdaki uygulama, otuz saniyede bir yenilenen altı haneli kod üretir. Kod internet üzerinden gelmez, cihazda hesaplanır — yani çevrimdışıyken de çalışır ve SIM takasından etkilenmez. Çoğu kullanıcı için doğru seçim budur.

Donanım güvenlik anahtarı. USB veya NFC ile bağlanan fiziksel bir cihaz. Oltalamaya karşı en dirençli yöntemdir çünkü sahte bir adreste çalışmaz. Maliyeti ve yanınızda taşıma zorunluluğu vardır; her platform desteklemez.

Kurulumdan önce hazırlık

Beş dakikalık bir hazırlık, kurulumu sorunsuz kılar.

E-posta erişiminizi doğrulayın. Bazı platformlar 2FA açarken e-postaya onay gönderir. Erişemediğiniz bir adres, kurulumu ortada bırakır.

Telefonun saatini otomatiğe alın. Kodlar zamana bağlı üretilir; manuel ayarlanmış ve kaymış bir saat, kodların hiçbirinin kabul edilmemesine yol açar.

Yedek kodları nereye yazacağınıza önceden karar verin. Kurulumun son ekranında kodlar bir kez gösterilir. O anda “sonra hallederim” demek, en sık yapılan hatadır.

İki cihazınız varsa ikisini de hazır tutun. Bilgisayardan kurulum yaparken telefonla QR okutmak en rahat yoldur.

Sakin bir zaman seçin. Kurulumun ortasında kalmak, hesabı geçici olarak erişilemez hâle getirebilir. Beş dakikanızın olduğu bir anda başlayın.

Adım adım kurulum

1. Doğrulayıcı uygulamayı kurun. Telefonunuzun uygulama mağazasından bir authenticator uygulaması indirin. Uygulama seçimi büyük ölçüde tercihe bağlıdır; önemli olan yedeklemeyi destekleyip desteklemediğidir.

2. Hesap ayarlarını açın. Oyun hesabınızda genellikle “Hesabım → Güvenlik” ya da “Ayarlar → İki adımlı doğrulama” yolu izlenir. Seçenek görünmüyorsa müşteri desteğine hesabınızda 2FA desteği olup olmadığını sorun.

3. QR kodunu okutun. Ekranda bir kare kod ve altında bir metin anahtarı belirir. Uygulamadan “hesap ekle” deyip kodu okutun. Kamera çalışmıyorsa metin anahtarını elle girebilirsiniz.

4. Kodu doğrulayın. Uygulama altı haneli bir kod üretecek. Bunu siteye girerek eşleşmeyi onaylayın. Kod kabul edilmezse telefonunuzun saatinin otomatik ayarlandığından emin olun — bu kodlar zamana bağlı üretilir ve birkaç dakikalık sapma girişi bozar.

5. Yedek kodları saklayın. Bu, en çok atlanan ve en pahalıya mal olan adım. Sistem size genellikle sekiz ile on arası tek kullanımlık kod verir. Bunlar telefonunuzu kaybettiğinizde hesaba girmenin tek yoludur.

Yedek kodlar nereye saklanır?

Kötü fikirler, sırayla en kötüden:

• Telefonda ekran görüntüsü olarak (telefon kaybolunca kodlar da gider — yani tam olarak işe yaraması gereken anda yok olur)
• Aynı hesabın e-postasında (e-posta ele geçirilirse ikisi birden gider)
• Notlar uygulamasında düz metin olarak

İyi seçenekler:

• Parola yöneticisinin güvenli not alanında
• Kâğıda yazıp evde bir çekmecede
• Şifrelenmiş bir dosyada, bulut yedeğiyle

Kodlar tek kullanımlıktır. Birini kullandığınızda listeden düşer; liste tükenmeden yenisini üretmeyi unutmayın.

Kod neden çalışmıyor? Sık karşılaşılan sorunlar

Kurulumdan sonra en sık bildirilen sorun, uygulamanın ürettiği kodun kabul edilmemesi. Nedenlerin neredeyse tamamı birkaç başlıkta toplanır.

Telefonun saati kaymış. Doğrulayıcı kodlar zamana bağlı üretilir. Telefonunuzun saati sunucununkinden birkaç dakika farklıysa kodlar tutmaz. Çözüm: telefon ayarlarından tarih ve saatin otomatik ayarlanmasını açmak. Bazı doğrulayıcı uygulamalarda ayrıca bir “zaman düzeltme” seçeneği bulunur.

Kod süresi dolmuş. Kod otuz saniyede bir yenilenir. Yazarken süre dolduysa yeni kodu bekleyin; süre çubuğu bitmek üzereyken kod girmek sık yaşanan bir hatadır.

Yanlış hesabın kodu. Doğrulayıcı uygulamada birden fazla hesap varsa, benzer isimler karışabilir. Kurulum sırasında hesaba tanınabilir bir ad vermek bu karışıklığı önler.

QR kodu iki kez okutulmuş. Aynı kurulumu iki farklı cihaza eklediyseniz, sonradan yapılan bir sıfırlama eski girdiyi geçersiz kılmış olabilir. Bu durumda 2FA’yı kapatıp yeniden kurmak en temiz çözümdür.

Uygulama yedekten geri yüklenmiş. Bazı uygulamalar yedekten geri yüklendiğinde anahtarları taşımaz. Yeni telefona geçmeden önce uygulamanın kendi aktarma özelliğini kullanın.

Telefon değiştirirken taşıma

Yeni telefona geçiş, 2FA hesaplarının en sık kaybedildiği andır. Doğru sıra şudur:

1. Eski telefon hâlâ elinizdeyken başlayın. Sıfırlanmış bir telefondan aktarma yapılamaz.
2. Doğrulayıcı uygulamanın kendi “hesapları aktar” özelliğini kullanın; genellikle eski cihazda bir QR kodu üretilir ve yeni cihazdan okutulur.
3. Aktarma bittikten sonra yeni cihazdan her hesaba tek tek giriş yaparak kodların çalıştığını doğrulayın.
4. Ancak bundan sonra eski telefonu sıfırlayın.

Uygulama aktarma desteklemiyorsa alternatif yol, her hesapta 2FA’yı kapatıp yeni cihazda yeniden kurmaktır. Sıkıcı ama güvenlidir.

Kurulum sonrası: ne değişiyor?

Her girişte parolanın ardından altı haneli kod istenecek. Çoğu platform “bu cihazı hatırla” seçeneği sunar; kendi bilgisayarınızda işaretlemek makul, ortak bir cihazda kesinlikle değil.

Şunu da bilin: doğrulama açıkken bile bazı hassas işlemler ek onay isteyebilir — ödeme yöntemi ekleme, e-posta değiştirme ya da para çekme talebi gibi. Bu ek adımlar rahatsız edici gelebilir; koruduğu şey düşünülünce makul bir maliyet.

Oltalama, iki adımlı doğrulamayı nasıl aşmaya çalışır?

İkinci adım, parola hırsızlığını etkisiz kılar. Bu yüzden saldırganlar yöntem değiştirdi: artık kodu da istiyorlar.

Gerçek zamanlı oltalama. Sahte bir giriş sayfası açılır, siz parolayı girersiniz. Saldırgan aynı anda gerçek siteye o parolayla giriş yapar, site size kod gönderir, sahte sayfa da “doğrulama kodunuzu girin” der. Kodu yazdığınız anda saldırgan onu gerçek siteye aktarır. Kod tek kullanımlıktır ama saldırgan onu saniyeler içinde kullanır.

Bu saldırıya karşı tek kesin savunma, kodu doğru adrese girmektir. Yani adresi yer iminizden açmak. Parola yöneticileri de burada yardımcı olur: sahte adreste otomatik doldurma yapmadıkları için sessiz bir uyarı verirler.

Kod bombardımanı (MFA fatigue). Saldırgan parolayla defalarca giriş dener, telefonunuza arka arkaya onay bildirimi düşer. Amaç, bıkkınlıkla “onayla”ya basmanızı sağlamaktır. Beklemediğiniz bir doğrulama isteği geldiğinde yapılacak şey onaylamak değil, parolayı hemen değiştirmektir — çünkü o istek, parolanızın birinin elinde olduğunun kanıtıdır.

Sosyal mühendislik. “Güvenlik ekibinden arıyoruz, hesabınızda şüpheli işlem var, size gönderdiğimiz kodu okur musunuz?” Cevap her zaman hayır. Meşru hiçbir kurum bu kodu istemez.

SIM kart takası. Saldırgan operatörü ikna ederek numaranızı kendi kartına taşır. SMS yöntemi kullananlar için gerçek bir risktir; uygulama tabanlı kodlar bundan etkilenmez. Operatörünüzde numara taşıma için ek güvenlik (işlem şifresi) tanımlatmak, bu riski azaltır.

Doğrulayıcı uygulama seçerken nelere bakılır?

Uygulamalar arasındaki farklar küçük ama bir ikisi önemli:

Yedekleme desteği. Telefon kaybında hesapların geri gelmesini sağlar. Yedek şifreli olmalı ve şifresi yalnızca sizde durmalı.

Çoklu cihaz desteği. Kodu iki cihazdan üretebilmek pratik bir güvence sağlar; buna karşılık saldırı yüzeyini de büyütür. Tabletiniz başkalarının erişimine açıksa bu özelliği kapatın.

Uygulama kilidi. Uygulamanın kendisinin parola ya da biyometriyle kilitlenebilmesi, telefonun kilidi kırıldığında ikinci bir bariyer kurar.

Dışa aktarma. Cihaz değiştirirken hesapları taşımanın kolay olması. Dışa aktarma imkânı olmayan bir uygulama, sizi kendisine bağlar.

Reklam ve izleme. Doğrulayıcı uygulamalar basit araçlardır; içinde reklam ve analitik izleyici barındıran bir uygulama seçmek için sebep yok.

Kaçınılacak hatalar

Kodu paylaşmak. Hiçbir destek çalışanı doğrulama kodunuzu istemez. Telefonda, canlı sohbette ya da sosyal medyada kodu isteyen herkes sahtekârdır. Kodu bir başkasına söylemek, kapıyı açıp anahtarı teslim etmektir.

Aynı telefonda hem kod hem parola. Parola yöneticiniz ve doğrulayıcı uygulamanız aynı cihazdaysa, o cihazı kaybettiğinizde iki katman birden gider. Parola yöneticisinin ayrı bir ana parolayla kilitli olması bu riski azaltır.

Telefon değiştirirken taşımayı unutmak. Yeni telefona geçmeden önce doğrulayıcı hesaplarını aktarın. Eski telefonu sıfırladıktan sonra bu iş çok daha zordur.

Numarayı güncellememek. SMS yöntemini kullanıyorsanız, numara değiştiğinde hesap ayarlarından da güncelleyin. Eski numaraya giden kodlar, kurtarma zincirini kırar.

Nerelerde daha açmalısınız?

Oyun hesabı tek başına yeterli değil. Kurtarma zincirini düşünerek sıralamak gerekiyor: bir hesap, kendisini kurtaran hesap kadar güvenlidir.

E-posta hesabı — en yüksek öncelik. Parola sıfırlama bağlantıları buraya gelir. E-posta ele geçirilirse, ikinci adım olmayan her hesap sırayla düşer. Önce burada açın.

Ödeme uygulamaları ve bankacılık. Kart ve cüzdan hesapları, oyun hesabına bağlı olduğu için zincirin parçasıdır.

Bulut hesabı (Apple/Google). Telefon yedeklerini ve çoğu uygulamanın oturumlarını tutar.

Parola yöneticisi. Diğer tüm parolaların anahtarı; ana parolanın yanına ikinci adım eklenmesi şart.

Sosyal medya. Doğrudan para tutmaz ama kimlik doğrulama ve kurtarma senaryolarında kullanılır; ayrıca ele geçirilmiş bir hesap, yakınlarınıza oltalama mesajı göndermek için kullanılır.

Hepsini bir oturuşta yapmanız gerekmiyor. Sıralamayı takip edip haftada birini halletmek, üç hafta içinde zincirin tamamını kapatır.

Doğrulama açık: bundan sonra neye dikkat?

Kurulum bitti, ama birkaç alışkanlık önlemi ayakta tutar:

Beklenmedik kod istekleri. Telefonunuza siz giriş yapmadan bir doğrulama kodu geldiyse, birileri parolanızı deniyor demektir. Kodu yok sayın ve parolayı hemen değiştirin.

Yedek kodları tazeleyin. Birkaçını kullandıysanız yeni bir set üretin ve eskisini imha edin.

Aktif oturumları kontrol edin. Ayda bir bakmak yeterli; tanımadığınız cihaz varsa kapatın.

Kurtarma bilgilerini güncel tutun. Telefon numarası ya da yedek e-posta değiştiğinde hesap ayarlarından da güncelleyin.

2FA’yı geçici olarak kapatmayın. “Bir defalık” kapatmalar, genellikle açılmayı unutmakla sonuçlanır.

Kısa özet

İki adımlı doğrulama, güvenlik önlemleri arasında en iyi maliyet-fayda oranına sahip olanı: on dakikalık bir kurulum, parolanızın sızması hâlinde hesabınızı ayakta tutuyor.

Bir başka açıdan bakılırsa: 2FA, hesabınızı kırılmaz yapmaz. Yaptığı şey, saldırganın maliyetini yükseltmektir. Toplu parola denemeleriyle çalışan bir saldırgan için ikinci adım olan bir hesap, olmayan milyonlarca hesabın yanında ekonomik olarak anlamsız hâle gelir. Güvenlikte hedef genellikle mükemmellik değil, kolay hedef olmamaktır.

Bugün yapabilecekleriniz: oyun hesabınızda ve e-posta hesabınızda doğrulamayı açın, yedek kodları çevrimdışı bir yere kaydedin ve aynı oturumda sorumlu oyun limitlerinizi de tanımlayın. Güvenlik ve kontrol aynı ayarlar sayfasında yaşıyor; ikisini birlikte halletmek en verimlisi.

Sık sorulan birkaç ayrıntı

Her girişte kod istenecek mi? Çoğu platform “bu cihazı hatırla” seçeneği sunar; kendi bilgisayarınızda işaretlerseniz kod yalnızca yeni bir cihazdan girişte istenir.

İnternetim yokken kod üretilir mi? Uygulama tabanlı kodlar çevrimdışı üretilir; SMS için şebeke gerekir.

Aynı hesabı iki telefona kurabilir miyim? Çoğu uygulamada evet. Pratik bir güvence sağlar ama ikinci cihaz da korunmalıdır.

Kodları başkası benim için girebilir mi? Teknik olarak evet, ama bu kodu paylaşmak demektir ve önlemi ortadan kaldırır.

2FA’yı kapatırsam ne olur? Hesap eski güvenlik seviyesine döner ve yalnızca parolayla korunur. Geçici kapatmalar unutulmaya yatkındır; gerçekten gerekiyorsa hemen ardından yeniden açın.

Yedek kodum bitti, ne yapmalıyım? Hesap ayarlarından yeni bir set üretin; eski set otomatik geçersiz olur.

Kurulum sonrası hızlı kontrol

Bittiğinde şu beş maddeyi doğrulayın:

1. Çıkış yapıp yeniden giriş denediniz mi? Kod istendi mi?
2. Yedek kodlar çevrimdışı bir yerde mi duruyor?
3. E-posta hesabınızda da doğrulama açık mı?
4. Telefonunuzun saati otomatik ayarlı mı?
5. Aktif oturumlar listesinde tanımadığınız cihaz var mı?

Beşi de tamamsa kurulum bitmiştir ve bir daha dokunmanız gerekmez — telefon değiştirene kadar.

Ailedeki diğer hesaplar

Kendi hesaplarınızı kurduktan sonra, aynı yöntemi yakınlarınıza da göstermek makul bir sonraki adım. Özellikle e-posta hesapları için.

Pratik bir yaklaşım: kurulumu birlikte yapın ve yedek kodları ortak bir güvenli yerde saklayın. Bir aile üyesi telefonunu kaybettiğinde, kodlara ulaşabilen ikinci bir kişi olması süreci günlerden dakikalara indirir.

Yaşlı kullanıcılar için SMS yöntemi bazen daha uygundur: kurulumu basit, ek uygulama gerektirmez. Güvenlik açısından ideal olmasa da, hiç doğrulama olmamasından belirgin biçimde iyidir. Mükemmeli beklerken hiçbir şey yapmamak, güvenlikte en sık yapılan hatalardan biri.

Donanım anahtarı kimin için mantıklı?

Fiziksel güvenlik anahtarları, oltalamaya karşı en dirençli yöntem. Çalışma mantığı basit: anahtar, girişi yalnızca doğru alan adında onaylar. Sahte bir sayfa ne kadar iyi taklit edilmiş olursa olsun, anahtar orada çalışmaz.

Buna karşılık maliyet ve pratiklik sorunları var: cihazın satın alınması gerekir, yanınızda taşınması gerekir ve kaybolması hâlinde yedek bir anahtar ya da yedek kod şarttır. Ayrıca her platform desteklemez.

Kimin için mantıklı? Yüksek bakiye tutan, sık işlem yapan ya da daha önce hesap ele geçirme yaşamış kullanıcılar için. Ortalama bir kullanıcı için uygulama tabanlı doğrulama, maliyet-fayda dengesi açısından yeterli kalır.

Alacaksanız iki tane alın: biri günlük kullanım, biri evde yedek. Tek anahtarla çalışmak, tek kopya anahtarla eve girmeye benzer.