SMS ilə 2FA-dan passkey-ə keçid: istənilən hesabda necə

Niyə indi SMS 2FA-dan passkey-ə keçməli?

SMS kodları telefon şəbəkələrinin içində ələ keçirilə bilər, passkey isə fişinqə müqavimət göstərmək üçün hazırlanıb, böyük provayderlər də indi SMS-dən uzaqlaşır: Microsoft əksər iş və məktəb hesabları üçün öz SMS və səsli zəng kodlarını 1 fevral 2027-ci ildən ləğv edir ^[1][8].

Risk nəzəri deyil. Mobil təhlükəsizlik şirkəti Enea 11 noyabr 2026-cı ildə bildirdi ki, SilentAir adlandırdığı yeni müəyyən edilmiş aktor mobil şəbəkələrdə zərərli məkan yeniləmə sorğularından istifadə edərək SMS və zəngləri ələ keçirib; SilentAir ilə əlaqəli şəbəkə elementləri ən azı altı Asiya ölkəsində aşkarlanıb, bəzi hədəflər isə ələ keçirmədən dərhal sonra 2FA kodları alıb ^[11]. Hekayənin tam mətni Pouyam bələdçisi Is SMS 2FA Safe? What the SilentAir Attacks Show-dadır.

Rəsmi tövsiyələr də eyni istiqaməti göstərir. ABŞ Kibertəhlükəsizlik və İnfrastruktur Təhlükəsizliyi Agentliyi (CISA) 2024-cü ilin dekabrında hədəfli hücumlara məruz qalan şəxslərə "SMS-i ikinci faktor kimi istifadə etməyin" dedi və FIDO təhlükəsizlik açarlarını və passkey-ləri autentifikator tətbiqlərindən yuxarı qoydu ^[9]. ABŞ standartlar qurumu NIST SMS və səsli zəng kodlarını xidmətlərin alternativ təklif etməli olduğu "məhdud" autentifikator kimi təsnif edir ^[10].

Passkey fərqli işləyir. O, telefonunuzda, kompüterinizdə və ya təhlükəsizlik açarınızda saxlanan, üzünüz, barmaq iziniz və ya ekran PIN-i ilə açılan kriptoqrafik açar cütüdür və FIDO Alliance onu fişinqə davamlı kimi təsvir edir ^[8]. Ucadan oxunacaq və ya ötürüləcək kod yoxdur, Google isə passkey-lərin parollardan "fişinqə qarşı daha təhlükəsiz" olduğunu deyir ^[2]. Bütün üsulları yan-yana müqayisə üçün Two-Factor Authentication Explained: Which 2FA Method Is Safest? bələdçisinə baxın.

İstənilən hesabı SMS 2FA-dan passkey-ə necə keçirim?

Hər hesabda təhlükəsiz ardıcıllıq eynidir: passkey dəstəyini yoxlayın, passkey yaradın, ikinci giriş yolu əlavə edin, ehtiyat kodları saxlayın, sonra telefon nömrəsini ikinci addım kimi silin və sınayın ^[2][3][12]. Ehtiyat addımını buraxmaq insanların hesabdan kənarda qalmasının ən geniş yayılmış səbəbidir.

1. Dəstəyi yoxlayın. Hesabın təhlükəsizlik və ya giriş ayarlarını açıb "Passkeys" seçimini axtarın. 1Password-ün idarə etdiyi icma kataloqu passkeys.directory passkey-i giriş üçün və ya ikinci faktor kimi təklif edən saytları sadalayır ^[12].
2. Passkey yaradın, ən çox istifadə etdiyiniz cihazda üzünüz, barmaq iziniz və ya ekran kilidi ilə təsdiqləyin ^[2][4].
3. Ehtiyat üsul əlavə edin. Başqa cihazda və ya aparat təhlükəsizlik açarında ikinci passkey yaradın, yaxud autentifikator tətbiqi qurun. Passkey-lər cihazlarınız arasında təhlükəsiz şəkildə sinxronlaşa və ya bir cihaza bağlı qala bilər ^[8].
4. Bərpa kodlarını saxlayın; xidmət təklif edirsə, onları oflayn saxlayın. Məsələn, Google telefonunuzu itirdikdə istifadə üçün çap edilə bilən ehtiyat kodlar təklif edir ^[3].
5. SMS-i ikinci addım kimi silin. CISA daha güclü üsul qeydə alındıqdan sonra SMS-i söndürməyi tövsiyə edir, çünki zəif ehtiyat yol qazancı heçə endirir ^[9].
6. Sınayın: ayarlar səhifəsini bağlamazdan əvvəl çıxış edib passkey ilə yenidən daxil olun.

Bəzi xidmətlər SMS giriş kodları söndürüldükdən sonra belə telefon nömrənizi hesab bərpası üçün saxlayır ^[9]. Bu, keçidi təxirə salmaq üçün səbəb deyil, amma mobil xəttinizi mümkünsə operator PIN-i və ya nömrə daşınması kilidi ilə qorumaq üçün səbəbdir. Passkey-lərin necə işlədiyi barədə What Are Passkeys? How Passwordless Sign-In Works and Why It Is Safer bələdçisinə baxın.

Google hesabımı passkey-ə necə keçirim?

Google hesabınızın təhlükəsizlik ayarlarında passkey yaradın, sonra 2-Step Verification-ı açıb telefon nömrəsini özünüz silin, çünki passkey əlavə etmək mövcud heç bir giriş və ya bərpa üsulunu dəyişmir və silmir ^[2]. Google deyir ki, 2-Step Verification olan hesablarda passkey ilə daxil olmaq ikinci addımı keçir, çünki passkey cihaza nəzarət etdiyinizi təsdiqləyir ^[2].

1. Google hesabınıza keçin, Security & sign-in-ə toxunun və How you sign in to Google altında passkey yaratmaq üçün Passkeys and security keys-i açın ^[2].
2. Barmaq iziniz, üz skanı və ya ekran kilidi ilə təsdiqləyin. Google passkey-ləri Windows 10, macOS Ventura və ChromeOS 109 və ya daha yeni, Android 9 və iOS 16 və ya daha yeni versiyalarda, həmçinin FIDO2 aparat təhlükəsizlik açarlarında dəstəkləyir ^[2].
3. Bir telefona bağlı qalmamaq üçün başqa cihazda ikinci passkey yaradın və ya təhlükəsizlik açarı əlavə edin.
4. Security bölməsində 2-Step Verification-ı açın. Ehtiyat kodlarınızı endirin və ya çap edin; Google onları telefonu itirdikdə istifadə üçün 8 rəqəmli kodlar kimi təsvir edir ^[3].
5. 2-Step Verification üsulu kimi qeydə alınmış telefon nömrəsini silin və ya onu Google sorğusu ya da autentifikator tətbiqi ilə əvəz edin.

İki detal vacibdir. Birincisi, Google-un 2-Step Verification üçün əlavə edilmiş yeni telefon nömrəsinə etibar etməsi yeddi günə qədər çəkə bilər; etibarlı passkey və ya təhlükəsizlik açarı bunu sürətləndirə bilər ^[3]. Google həmçinin passkey-ləri yalnız şəxsən sizə məxsus cihazlarda yaratmağı xatırladır, çünki cihazın kilidini aça bilən hər kəs daxil ola bilər ^[2]. İkincisi, iş və ya məktəb Google Workspace hesabında yalnız passkey ilə girişə icazə verilib-verilməməsinə administratorunuz qərar verir; yenə də passkey-ləri ikinci faktor və bərpa seçimi kimi yarada bilərsiniz ^[2].

Microsoft hesabına passkey necə əlavə edilir?

account.live.com/proofs/manage ünvanında Advanced Security Options-a daxil olun, Add a new way to sign in or verify-ı seçin, sonra Face, Fingerprint, PIN və ya Security Key-i seçin ^[4]. Bu səhifə şəxsi Microsoft hesablarını əhatə edir ^[4].

1. Passkey-in olmasını istədiyiniz cihazda account.live.com/proofs/manage ünvanını açıb daxil olun ^[4].
2. Add a new way to sign in or verify-ı seçin ^[4].
3. Face, Fingerprint, PIN və ya Security Key-i seçib göstərişlərə əməl edin ^[4].
4. Passkey-i təklif olunan yerdə saxlamaq üçün Continue və ya Create-i, telefon ya da təhlükəsizlik açarı seçmək üçün Save another way-i seçin ^[4].
5. Nəyisə silməzdən əvvəl, Microsoft-un parolsuz addımlarının əsaslandığı autentifikator tətbiqi qurun ^[5].

Microsoft şəxsi hesablara bir addım irəli gedib parolu silməyə imkan verir. Additional security options altında Passwordless account yanında Turn on-u seçin, sonra sorğunu autentifikator tətbiqində təsdiqləyin ^[5]. Microsoft qeyd edir ki, iki addımlı doğrulama aktiv olduqda iki bərpa üsuluna çıxışınız olmalıdır ^[5].

SMS kodlarını dayandırmaq üçün eyni təhlükəsizlik bölməsində şəxsiyyətinizi təsdiqləmə yollarının siyahısını nəzərdən keçirin və passkey ilə tətbiq işlədikdən sonra telefon nömrəsini giriş üsulu kimi silin. Microsoft telefon dəyişsəniz köhnə cihaza bağlı üsulları silməyi tövsiyə edir ^[5].

Microsoft iş hesablarında SMS kodlarını ləğv edirmi?

Bəli, Microsoft-un özünün göndərdiyi kodlar üçün: 1 fevral 2027-ci ildən Microsoft-un təşkilatlar üçün giriş xidməti olan Microsoft Entra ID-də Microsoft tərəfindən təqdim olunan SMS və səsli autentifikasiya Global Administrators və xarici istifadəçilərdən başqa bütün istifadəçilər üçün ləğv edilir ^[1]. Bu iki qrup 1 iyul 2027-ci ildə izləyəcək ^[1].

Dəyişiklik artıq başlayıb. 1 sentyabr 2026-cı ildən passkey Entra ID-də standart autentifikasiya təcrübəsi oldu və SMS və ya səsli zəng aktiv olan istifadəçilər üçün avtomatik açıldı; bu istifadəçilərdən girişdə passkey qeydiyyatdan keçirmək istənir ^[1]. Microsoft-un səhifəsində deyilir ki, SMS və səsli zəng "artıq təhlükəsiz autentifikasiya üsulları kimi təqdim olunmur" ^[1].

Bunun sizin üçün mənası:

• İş hesabınız passkey qurmağı təklif edirsə, qəbul edin: Microsoft-un planı istifadəçiləri daxil olub MFA-nı tamamladıqda passkey qeydiyyatdan keçirməyə yönləndirir ^[1]. Yalnız adi Microsoft giriş səhifəsinin içində görünən sorğuya əməl edin.
• Təşkilatınızın ayarlarından asılı olaraq passkey Microsoft Authenticator-da, FIDO2 təhlükəsizlik açarında, Windows-da və ya sinxronlaşan etibarnamə menecerində saxlanıla bilər ^[1].
• Daxili qonaq istifadəçilər sonrakı tarixi deyil, 1 fevral 2027 tarixini izləyir ^[1].
• Hansı üsullara icazə verildiyi barədə suallar siyasəti idarə edən İT şöbənizə ünvanlanır.

Özünüz başlatmadığınız giriş və ya passkey sorğusunu heç vaxt təsdiqləməyin və gözlənilməz e-poçt ya da mesajdakı keçiddən heç vaxt passkey qurmayın.

Apple hesabım üçün passkey istifadə edə bilərəmmi?

İkinci faktor kimi yox: Apple hesabları iki faktorlu autentifikasiya üçün altı rəqəmli doğrulama kodu istifadə edir, Apple-ın təklif etdiyi fişinqə davamlı təkmilləşdirmə isə passkey deyil, fiziki FIDO təhlükəsizlik açarlarıdır ^[7]. Apple-ın bu funksiya haqqında səhifəsi passkey-ləri qeyd etmir ^[7].

Apple-ın Security Keys for Apple Account tələbləri aydındır ^[7]:

• Ən azı iki FIDO Certified təhlükəsizlik açarı; altıya qədər əlavə edə bilərsiniz ^[7].
• Apple hesabınızla daxil olunmuş hər cihazda iOS 16.3, iPadOS 16.3 və ya macOS Ventura 13.2 ya da daha yeni versiya ^[7].
• İki faktorlu autentifikasiya artıq aktiv olmalıdır ^[7].
• Uşaq hesabları və Managed Apple Accounts dəstəklənmir ^[7].

iPhone-da Settings-i açın, adınıza toxunun, sonra Sign-in & Security, Two-Factor Authentication və Security Keys-ə keçib addımlara əməl edin ^[7]. Apple xəbərdarlıq edir ki, quraşdırma zamanı aktiv olmayan (90 gündən çox istifadə edilməyən) cihazlardan çıxış ediləcək və bütün etibarlı cihazlarınızı və təhlükəsizlik açarlarınızı itirsəniz hesabınıza həmişəlik giriş imkanını itirə bilərsiniz ^[7]. Bütün açarları silsəniz, hesab altı rəqəmli kodlara qayıdır ^[7].

Apple təhlükəsizlik açarlarını fişinq və ya sosial mühəndislik fırıldaqları kimi hədəfli hücumlardan əlavə qorunma istəyən insanlar üçün nəzərdə tutulmuş kimi təsvir edir ^[7].

WhatsApp passkey-i necə qurulur?

WhatsApp-da Settings-i açın, Account-a, sonra Passkeys, Create passkey və Continue-ya toxunun və ekran kilidinizlə təsdiqləyin ^[6]. WhatsApp deyir ki, parollardan və ya SMS doğrulama kodlarından fərqli olaraq passkey-lər kriptoqrafik şəkildə qorunur və yalnız fiziki cihazınız və biometrik məlumatlarınız ya da ekran kilidinizlə əlçatandır ^[6].

1. Android-də Android 9 və ya daha yeni versiya, ekran kilidi və telefona bağlı parol meneceri hesabı, məsələn Google Password Manager və ya Samsung Password Manager lazımdır ^[6].
2. WhatsApp-ı açın, menyuya, sonra Settings-ə toxunun ^[6].
3. Account, Passkeys, Create passkey və sonra Continue-ya toxunun ^[6].
4. Sorğu gəldikdə barmaq iziniz, üzünüz və ya ekran kilidi ilə təsdiqləyin ^[6].

WhatsApp qeyd edir ki, passkey yaratdıqdan sonra tətbiqi yenidən quraşdırsanız, qeydiyyat zamanı ondan istifadə etməyiniz istənə bilər ^[6]. Passkey-i dəyişmək üçün onu silib eyni menyudan yenisini yaradırsınız ^[6].

WhatsApp-ın səhifəsi qeydiyyat zamanı passkey-in SMS kodunu əvəz etdiyini demir, ona görə onu əlavə qat kimi qəbul edin. İki addımlı doğrulama PIN-ini də saxlayın ki, nömrənizi ələ keçirən şəxsə yenə də yalnız sizin bildiyiniz bir şey lazım olsun.

Hansı hesablar SMS əvəzinə passkey dəstəkləyir?

Google, Microsoft və WhatsApp passkey-i SMS kodlarından daha güclü seçim kimi təklif edir, Apple hesabları isə əvəzində təhlükəsizlik açarlarından istifadə edir; bir çox kiçik xidmət hələ də yalnız SMS və ya autentifikator tətbiqi təklif edir ^[2][4][6][7]. Aşağıdakı cədvəl 15 noyabr 2026-cı il tarixinə hər birində ayarın harada olduğunu ümumiləşdirir.

Dəstək tez-tez dəyişir; başlamazdan əvvəl hər xidmətin öz təhlükəsizlik səhifəsini yoxlayın. passkeys.directory kataloqu passkey-i giriş üçün və ya ikinci faktor kimi dəstəkləyən xidmətləri sadalayır ^[12].

Qalan hər şeyin açarı olan hesablara üstünlük verin: əsas e-poçtunuz, telefonunuzun bulud hesabı (Google və ya Apple), parol meneceriniz, bank və iş hesablarınız. E-poçtunuz ələ keçsə, hücumçu digər parolların çoxunu sıfırlaya bilər.

Hesab passkey dəstəkləmirsə nə etməli?

SMS əvəzinə autentifikator tətbiqindən istifadə edin və tətbiq işlədikdən sonra SMS-i ehtiyat üsul kimi söndürün ^[9]. CISA autentifikator tətbiqlərini FIDO açarları və passkey-lərdən aşağı qoyur, çünki onların kodları hələ də fişinqlə oğurlana bilər, lakin onların şifrələnməyən və provayderin şəbəkəsində ələ keçirilərsə oxuna bilən SMS-dən yaxşı olduğunu deyir ^[9]. Telekom siqnalizasiyası vasitəsilə ələ keçirmə, yəni Enea-nın SilentAir üçün təsvir etdiyi üsul ^[11], telefon şəbəkəsi ilə göndərilən mesajları hədəfləyir, tətbiqin daxilində yaradılan kodlar isə belə deyil.

• Kodların ehtiyat nüsxəsini çıxara və ya onları yeni telefona köçürə bilən autentifikator tətbiqi seçin ki, telefonu itirmək sizi hesabdan kənarda qoymasın.
• Xidmətin bərpa kodlarını kağızda saxlayın.
• Sizə zəng edən və ya yazan heç kimə, xidmətin dəstək komandası olduğunu desə belə, heç vaxt kod oxumayın.
• Bir neçə aydan sonra yenidən yoxlayın: passkey dəstəyi sürətlə yayılır, Microsoft-un iş hesablarında SMS-dən uzaqlaşması isə istiqaməti göstərir ^[1].

Bank və ya dövlət xidməti yalnız SMS təklif edirsə, bunu özünüz dəyişə bilməzsiniz, amma riski azalda bilərsiniz: mobil xəttinizi operator PIN-i ilə qoruyun, səsli poçt PIN-inizi gizli saxlayın və SIM dəyişdirmə (SIM swap) əlaməti ola biləcək qəfil siqnal itkisinə diqqət edin. Bu ümumi təhlükəsizlik bələdçisidir; hər xidmətin ayarları üzrə son söz onun öz kömək səhifələrinindir.