Parola Yöneticileri: Nasıl Çalışır, Güvenli mi?

Parola yöneticisi nedir?

Parola yöneticisi, parolalarınızı üreten, saklayan ve otomatik dolduran bir programdır ^[2]. Web tarayıcınıza veya telefonunuza yerleşik olabilir ya da üçüncü taraf ayrı bir uygulama olabilir ^[1]. Onu tek bir birincil parolayla (genellikle ana parola olarak adlandırılır) açarsınız; böylece yalnızca tek bir güçlü parolayı hatırlamanız gerekir ^[2].

Asıl faydası, parolaları artık hatırlamak zorunda olmadığınız için her hizmette benzersiz bir parola kullanabilmenizdir ^[1]. Bu önemlidir, çünkü yeniden kullanılan parolalar hasarı yayar. NCSC'nin açıkladığı gibi bir hesap ele geçirilirse, bilgisayar korsanı aynı parolayı diğer hesaplarınızda deneyebilir ^[1].

Çoğu parola yöneticisi ayrıca şunları sunar ^[1]:

• Parola üretme: her hesap için güçlü ve benzersiz bir parola oluşturma.
• Otomatik doldurma: parolayı sizin yerinize girme; yalnızca doğru web sitesinde doldurduğu için oltalamaya karşı da yardımcı olur.
• Eşitleme: parolalarınızı tüm cihazlarınızda kullanılabilir hâle getirme.
• İhlal uyarıları: kayıtlı bir parola sızdırıldığında sizi uyarma.

Güvenlik kurumları bunları öneriyor mu?

Evet. ABD siber güvenlik ajansı CISA, tüm parolaları saklamak için bir parola yöneticisi kullanmayı ve kasayı güçlü bir parola cümlesiyle korumayı öneriyor ^[3]. NIST'in 2025 yönergeleri web siteleri için daha da ileri gidiyor: hizmetler parola yöneticilerine ve otomatik doldurmaya izin vermeli, parola yapıştırmaya da izin vermelidir ^[4].

Parola yöneticisi parolaları nasıl güvende tutar?

Kayıtlı parolalarınız kasa (vault) adı verilen şifreli bir dosyada durur. Bitwarden'ın yayımladığı güvenlik teknik raporu, bulut tabanlı bir parola yöneticisinin kasayı nasıl koruduğuna dair ayrıntılı bir örnektir ^[5]:

1. Ana parolanız, bir şifreleme anahtarı oluşturmak için bir anahtar türetme işleviyle, varsayılan olarak 600.000 yinelemeli PBKDF2-SHA256 ile güçlendirilir. Kullanıcılar bunun yerine Argon2id'ye geçebilir ^[5].
2. Kasa, herhangi bir şey yüklenmeden önce cihazınızda AES-256 ile şifrelenir ^[5].
3. Ana parola ve ondan türetilen şifreleme anahtarları hiçbir zaman Bitwarden'ın sunucularına gönderilmez ya da orada saklanmaz; sunucu yalnızca oturum açmaları doğrulamak için kullanılan ana parola özetini alır ^[5].
4. Sunucular kasa verilerini yalnızca şifreli biçimde saklar ve eşitler; Bitwarden, çalışanlarının parolalarınızı göremeyeceğini söylüyor ^[5].

Bu tasarım genellikle sıfır bilgi şifrelemesi (zero-knowledge encryption) olarak pazarlanır: şirket, sunucuları ihlal edilse bile kasanızı okuyamamalıdır. Araştırmacılar, üreticilerin iddialarının tamamen kötü niyetli bir sunucuya karşı bile koruma anlamına geldiğini belirtiyor ^[6]. Anahtar güçlendirme, ana parolaya yönelik her tahmini yavaşlatır; bu nedenle şifreli bir kasa çalınırsa uzun bir ana parola önem kazanır. Araştırmacılar eski LastPass hesaplarındaki zayıf ana parolalara ve düşük yineleme sayılarına dikkat çekti ^[9].

Tarayıcı ve telefon parola yöneticileri ne durumda?

NCSC, kendi cihazlarınızda parolaları tarayıcınızın veya işletim sisteminizin kaydetmesine izin vermenin güvenli olduğunu ve Chrome, Edge ve Safari'nin bunu sunduğunu söylüyor ^[1]. Apple'ın iOS 18 ile tanıttığı Passwords uygulaması parolaları, geçiş anahtarlarını, Wi-Fi parolalarını ve doğrulama kodlarını saklar. Ayrıca tahmin edilmesi kolay, yeniden kullanılan veya bilinen veri sızıntılarında bulunan parolalar konusunda uyarır ^[10]. NCSC, tarayıcıda saklanan parolaların ancak cihazlarınız ve hesaplarınız kadar güvenli olduğunu, bu nedenle otomatik güvenlik güncellemelerini açık tutmanız gerektiğini belirtiyor ^[1].

Parola yöneticileri güvenli mi?

Parola yöneticileri sırlarınızı tek bir yerde toplar; bu nedenle güvenlikleri hem saldırganlar hem de araştırmacılar tarafından herkesin gözü önünde sınandı. Bilinmeye değer iki vaka var.

LastPass ihlalinde ne oldu?

Ağustos 2022'de saldırganlar, birbirine bağlı iki olayda LastPass'e sızdı. İkincisinde kıdemli bir mühendisin kişisel bilgisayarındaki medya sunucusu yazılımında bulunan bir açıktan yararlanarak ana parolasını çalmak için bir tuş kaydedici (keylogger) yüklediler ^[8]. Bu sayede LastPass'in yedek veritabanını indirmek için gereken anahtarları ele geçirdiler ^[8]. Aralık 2025'te Birleşik Krallık Bilgi Komiserliği Ofisi (ICO), LastPass'e 1,2 milyon sterlin para cezası verdi. Şirketin yeterince sağlam güvenlik önlemleri uygulamadığını tespit etti ^[8]. Birleşik Krallık'ta 1,6 milyona kadar kullanıcı etkilendi. Adlar, e-posta adresleri, telefon numaraları ve kayıtlı web sitesi URL'leri çalındı ^[8].

ICO, müşterilerin parolalarının şifresinin çözüldüğüne dair bir kanıt bulmadı ^[8]. Bundan ayrı olarak 2023'te güvenlik araştırmacıları, 150'den fazla mağduru ve 35 milyon doları aşan kripto para hırsızlığını LastPass'te saklanan kurtarma ifadeleriyle (seed phrase) ilişkilendirdi. Çalınan kasalardaki zayıf ana parolaların çevrimdışı olarak kırıldığından şüphelendiler ^[9]. Araştırmacılar hırsızlıkları ihlale kesin olarak bağlayamayacaklarını söyledi; bu nedenle bu durum doğrulanmış bir bulgu değil, bir şüphe olarak kalıyor ^[9].

ETH Zürih'in 2026 çalışması neyi ortaya koydu?

ETH Zürih ve Università della Svizzera italiana (USI) araştırmacıları, dört bulut tabanlı parola yöneticisinin “sıfır bilgi” iddialarının, örneğin bir ihlalden sonra şirket sunucusu tamamen kötü niyetli hâle geldiğinde geçerli olup olmadığını test etti ^[6]. Bitwarden'a karşı 12, LastPass'e karşı 7, Dashlane'e karşı 6 ve 1Password'e karşı 6 farklı saldırı sundular ^[6]. Saldırıların çoğu parolaların ele geçirilmesine olanak tanıyor; en ağırları bir kuruluştaki tüm kasaların tamamen ele geçirilmesine kadar uzanıyor ^[6].

Bağlam önemli. Saldırılar, saldırganın üreticinin sunucularını zaten kontrol ettiğini varsayıyor ^[7]. Birçoğu ardından oturum açma veya eşitleme gibi sıradan kullanıcı işlemlerine ihtiyaç duyuyor; diğerleri paylaşım veya anahtar yenileme gibi işlemler gerektiriyor ^[7]. Araştırmacılar bulguları üreticilere bildirdi ve düzeltme çalışmaları sürüyor ^[6]. Dashlane en ciddi sorunun arkasındaki eski kriptografiyi kaldırdığını söyledi; LastPass ise ciddiyet değerlendirmesinin bazı kısımlarına itiraz etti ^[7]. Araştırmacılar, gelişmiş saldırganların bu zayıflıkları zaten biliyor olma ihtimalini dışlayamadıklarını belirtti ^[7].

Peki yine de kullanmalı mısınız?

Resmî tavsiye hâlâ evet. NCSC ^[1] ve CISA ^[3] parola yöneticilerini öneriyor, çünkü çoğu insan için alternatif zayıf parolaları yeniden kullanmak. Bu vakalardan çıkan dersler; güçlü bir ana parola seçmek, iki adımlı doğrulamayı açmak ve yazılımı güncel tutmaktır ^[1][3].

Parola yöneticileri, parolaları saklamanın diğer yollarıyla nasıl karşılaştırılır?

Her yaklaşım, kolaylığı farklı risklerle dengeler. NCSC, örneğin hesaplarını yönetmek için ailesinden yardım alması gereken kişiler gibi bazıları için parolaları bir deftere yazmayı kabul edilebilir buluyor, çünkü bir saldırganın fiziksel erişime ihtiyacı olur ^[1]. Ancak bazı bankaların parolaları yazmayı yasakladığı, erişimi olan herkesin bunları kopyalayabileceği ve otomatik doldurmanın oltalama sitelerine karşı sağladığı korumayı kaybedeceğiniz konusunda uyarıyor ^[1]. CISA, parolaları bilgisayarınızdaki bir dosyaya kaydetmemenizi öneriyor ^[2].

Parola yöneticisi nasıl seçilir ve kurulur?

NCSC'ye göre en iyi parola yöneticisi, ihtiyaçlarınızı karşılayan ve kullanmayı en kolay bulduğunuz yöneticidir ^[1]. Göz önünde bulundurulacak noktalar arasında tüm cihazlarınızda ve işletim sistemlerinizde çalışıp çalışmadığı, ürettiği parolaları kontrol edip edemeyeceğiniz, ücretli mi yoksa ücretsiz sürüm mü kullanacağınız ve parola paylaşımı ya da ihlal uyarıları gibi ek özellikler var ^[1]. Üçüncü taraf bir parola yöneticisinin tarayıcınınkine göre başlıca avantajı, farklı tarayıcı ve cihazlar arasında eşitleme yapabilmesidir ^[1].

1. Güçlü bir ana parola oluşturun. CISA, rastgele veya birbiriyle ilgisiz 4 ila 7 kelimeden oluşan bir parola cümlesi şeklinde en az 16 karakterlik parolalar öneriyor ^[2] ve kasa parolasının uzun, benzersiz ve rastgele olması gerektiğini söylüyor ^[3].
2. Parola yöneticisi için iki adımlı doğrulamayı açın. NCSC'ye göre bu, suçlular birincil parolanızı öğrense bile onları dışarıda tutar ^[1].
3. Kurtarma seçeneklerini ayarlayın. Birincil parolanızı unutursanız, birçok parola yöneticisi parola ipuçları veya güvenilir kişiler aracılığıyla acil durum erişimi sunar ^[1]. Bunları ihtiyaç duymadan önce kurun.
4. Zayıf parolaları değiştirin. Mevcut parolalarınızı gözden geçirin ve uzun, benzersiz ve rastgele olmayanları parola yöneticisinin ürettikleriyle değiştirin ^[3].
5. Paylaşılan bilgisayarlardan kaçının. Paylaşılan veya herkese açık bir bilgisayarın tarayıcısına asla parola kaydetmeyin ^[1].
6. Sunulduğu yerde geçiş anahtarı ekleyin. NCSC artık ilk oturum açma tercihi olarak geçiş anahtarlarını, bunların bulunmadığı yerlerde ise güçlü parolaları ve iki adımlı doğrulamayı öneriyor ^[11]. Birçok parola yöneticisi geçiş anahtarlarını da saklar; NCSC bu araçları kimlik bilgisi yöneticileri olarak adlandırıyor ^[12].

Resmî yönergeler artık hangi parola kurallarını öneriyor?

2025'te son hâli verilen NIST SP 800-63B-4, web siteleri ve hizmetler için uzun süredir geçerli olan parola kurallarını parola yöneticilerine uygun biçimde değiştirdi ^[4]:

• Tek faktör olarak kullanılan parolalar en az 15 karakter, başka bir faktörle birlikte kullanılan parolalar en az 8 karakter olmalıdır ^[4].
• Hizmetler en az 64 karakterlik parolalara izin vermelidir ^[4].
• Hizmetler, farklı karakter türlerinin karışımını zorunlu tutmak gibi bileşim kuralları dayatmamalıdır ^[4].
• Hizmetler düzenli aralıklarla parola değişikliğini zorunlu kılmamalı, ancak ele geçirilme kanıtı varsa değişikliği zorunlu kılmalıdır ^[4].
• Yeni parolalar yaygın, tahmin edilebilir veya ele geçirilmiş parolalardan oluşan bir engel listesine göre kontrol edilmelidir ^[4].
• Hizmetler parola yöneticilerine ve otomatik doldurmaya izin vermeli, yapıştırmaya da izin vermelidir ^[4].

Bu kurallar doğrudan sizin için değil, hizmetler için geçerlidir. Parola yöneticisinin uzun ve rastgele parolalar üretip doldurmasını kolaylaştırırlar.

Parola yöneticilerini bundan sonra ne bekliyor?

Parola yöneticileri genel kimlik bilgisi yöneticilerine dönüşüyor. Apple'ın Passwords uygulaması parolaların yanında geçiş anahtarlarını ve doğrulama kodlarını da tutuyor ^[10]. NCSC, geçiş anahtarları yaygınlaşırken insanların bunların henüz sunulmadığı yerlerde bir parola yöneticisiyle yönetilen parolaları kullanmaya devam etmesini bekliyor ^[11][12].

2026 araştırması üreticilerin güvenlik iddiaları üzerinde de baskı oluşturdu. Araştırmacılar, yeni kullanıcıların varsayılan olarak en güncel kriptografiyle sisteme alınmasını ve mevcut müşterilerin geçiş yapıp yapmamayı seçebilmesini öneriyor ^[7]. Makalenin en son Ağustos 2026'da güncellenen tam sürümü, 1Password hakkında ek sonuçlar içeriyor ^[6].

Bu metin bir ürün önerisi değil, genel güvenlik bilgisidir. Bir parola yöneticisine hesaplarınızı emanet etmeden önce yayımladığı güvenlik belgelerini ve güncelleme geçmişini inceleyin.