SMS ile 2FA'dan passkey'e geçiş: her hesapta nasıl yapılır

Neden şimdi SMS 2FA'dan passkey'e geçmeli?

SMS kodları telefon şebekelerinin içinde ele geçirilebilir, passkey ise oltalamaya direnecek şekilde tasarlanmıştır; büyük sağlayıcılar da artık SMS'ten uzaklaşıyor: Microsoft, çoğu iş ve okul hesabı için kendi SMS ve sesli arama kodlarını 1 Şubat 2027'den itibaren kaldırıyor ^[1][8].

Risk teorik değil. Mobil güvenlik şirketi Enea, 11 Kasım 2026'da SilentAir adını verdiği, yeni tespit edilmiş bir aktörün mobil şebekelerde kötü amaçlı konum güncelleme istekleri kullanarak SMS ve aramaları ele geçirdiğini, SilentAir ile ilişkili şebeke öğelerinin en az altı Asya ülkesinde bulunduğunu ve bazı hedeflerin ele geçirmeden hemen sonra 2FA kodları aldığını açıkladı ^[11]. Hikâyenin tamamı Pouyam rehberi Is SMS 2FA Safe? What the SilentAir Attacks Show'da.

Resmî rehberler de aynı yönü gösteriyor. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Aralık 2024'te hedef alınma riski çok yüksek kişilere "SMS'i ikinci faktör olarak kullanmayın" dedi ve FIDO güvenlik anahtarlarıyla passkey'leri kimlik doğrulama uygulamalarının üstüne koydu ^[9]. ABD standart kurumu NIST, SMS ve sesli arama kodlarını, hizmetlerin alternatif sunması gereken "kısıtlı" bir doğrulayıcı olarak sınıflandırıyor ^[10].

Passkey farklı çalışır. Telefonunuzda, bilgisayarınızda ya da güvenlik anahtarınızda saklanan, yüzünüz, parmak iziniz veya ekran PIN'inizle açılan bir şifreleme anahtar çiftidir ve FIDO Alliance onu oltalamaya dayanıklı olarak tanımlar ^[8]. Sesli okunacak ya da iletilecek bir kod yoktur ve Google, passkey'lerin parolalara göre "oltalamaya karşı daha güvenli" olduğunu söylüyor ^[2]. Tüm yöntemleri yan yana karşılaştırmak için Two-Factor Authentication Explained: Which 2FA Method Is Safest? rehberine bakın.

Herhangi bir hesabı SMS 2FA'dan passkey'e nasıl geçiririm?

Her hesapta güvenli sıra şudur: passkey desteğini kontrol edin, passkey oluşturun, ikinci bir giriş yolu ekleyin, yedek kodları kaydedin, ardından telefon numarasını ikinci adım olarak kaldırın ve deneyin ^[2][3][12]. Yedek adımını atlamak, insanların hesaplarının dışında kalmasının en yaygın nedenidir.

1. Desteği kontrol edin. Hesabın güvenlik veya giriş ayarlarını açıp "Passkeys" seçeneğini arayın. 1Password'ün yürüttüğü topluluk dizini passkeys.directory, passkey'i giriş için ya da ikinci faktör olarak sunan siteleri listeler ^[12].
2. Passkey'i oluşturun; en çok kullandığınız cihazda, yüzünüz, parmak iziniz veya ekran kilidinizle onaylayın ^[2][4].
3. Yedek ekleyin. Başka bir cihazda ya da donanım güvenlik anahtarında ikinci bir passkey oluşturun veya bir kimlik doğrulama uygulaması kurun. Passkey'ler cihazlarınız arasında güvenle eşitlenebilir ya da tek cihaza bağlı kalabilir ^[8].
4. Kurtarma kodlarını kaydedin; hizmet sunuyorsa bunları çevrimdışı saklayın. Örneğin Google, telefonunuzu kaybettiğinizde kullanmak için yazdırılabilir yedek kodlar sunar ^[3].
5. SMS'i ikinci adım olarak kaldırın. CISA, daha güçlü bir yöntem kaydedildikten sonra SMS'in devre dışı bırakılmasını öneriyor; çünkü zayıf bir yedek yol kazancı boşa çıkarır ^[9].
6. Deneyin: ayarlar sayfasını kapatmadan önce çıkış yapıp passkey ile yeniden giriş yapın.

Bazı hizmetler, SMS giriş kodları kapatıldıktan sonra bile telefon numaranızı hesap kurtarma için tutar ^[9]. Bu, geçişi ertelemek için bir neden değil; ama mobil hattınızı mümkünse operatör PIN'i veya numara taşıma kilidiyle korumak için bir nedendir. Passkey'lerin nasıl çalıştığına dair arka plan için What Are Passkeys? How Passwordless Sign-In Works and Why It Is Safer rehberine bakın.

Google hesabımı passkey'e nasıl geçiririm?

Google hesabınızın güvenlik ayarlarında bir passkey oluşturun, ardından 2-Step Verification'ı açıp telefon numarasını kendiniz kaldırın; çünkü passkey eklemek mevcut hiçbir giriş veya kurtarma yöntemini değiştirmez ya da kaldırmaz ^[2]. Google, 2-Step Verification'lı hesaplarda passkey ile giriş yapmanın ikinci adımı atladığını söylüyor, çünkü passkey cihazı sizin kontrol ettiğinizi doğrular ^[2].

1. Google hesabınıza gidin, Security & sign-in'e dokunun ve How you sign in to Google altında passkey oluşturmak için Passkeys and security keys'i açın ^[2].
2. Parmak iziniz, yüz taramanız veya ekran kilidinizle onaylayın. Google, passkey'leri Windows 10, macOS Ventura ve ChromeOS 109 veya üstünde, Android 9 ve iOS 16 veya üstünde ve FIDO2 donanım güvenlik anahtarlarında destekliyor ^[2].
3. Tek bir telefona bağlı kalmamak için başka bir cihazda ikinci bir passkey oluşturun ya da bir güvenlik anahtarı ekleyin.
4. Security bölümünde 2-Step Verification'ı açın. Yedek kodlarınızı indirin veya yazdırın; Google bunları telefonunuzu kaybettiğinizde kullanılacak 8 haneli kodlar olarak tanımlıyor ^[3].
5. 2-Step Verification yöntemi olarak kayıtlı telefon numarasını kaldırın ya da onu Google istemine veya bir kimlik doğrulama uygulamasına çevirin.

İki ayrıntı önemli. Birincisi, Google'ın 2-Step Verification için eklenen yeni bir telefon numarasına güvenmesi yedi güne kadar sürebilir; güvenilir bir passkey veya güvenlik anahtarı bunu hızlandırabilir ^[3]. Google ayrıca passkey'leri yalnızca kişisel olarak sahip olduğunuz cihazlarda oluşturmanızı, çünkü cihazın kilidini açabilen herkesin giriş yapabileceğini hatırlatıyor ^[2]. İkincisi, iş veya okul Google Workspace hesabında yalnızca passkey ile giriş yapıp yapamayacağınıza yöneticiniz karar verir; yine de passkey'leri ikinci faktör ve kurtarma seçeneği olarak oluşturabilirsiniz ^[2].

Microsoft hesabına passkey nasıl eklenir?

account.live.com/proofs/manage adresindeki Advanced Security Options'a giriş yapın, Add a new way to sign in or verify'ı seçin, ardından Face, Fingerprint, PIN veya Security Key'i seçin ^[4]. Bu sayfa kişisel Microsoft hesaplarını kapsar ^[4].

1. Passkey'i istediğiniz cihazda account.live.com/proofs/manage adresini açıp giriş yapın ^[4].
2. Add a new way to sign in or verify'ı seçin ^[4].
3. Face, Fingerprint, PIN veya Security Key'i seçip yönergeleri izleyin ^[4].
4. Passkey'i önerilen yere kaydetmek için Continue veya Create'i, telefon ya da güvenlik anahtarı seçmek için Save another way'i seçin ^[4].
5. Herhangi bir şeyi kaldırmadan önce, Microsoft'un parolasız adımlarının dayandığı bir kimlik doğrulama uygulaması kurun ^[5].

Microsoft, kişisel hesapların bir adım daha ileri gidip şifreyi kaldırmasına izin veriyor. Additional security options altında Passwordless account'un yanındaki Turn on'u seçin, ardından isteği kimlik doğrulama uygulamanızda onaylayın ^[5]. Microsoft, iki adımlı doğrulama açıkken iki kurtarma yöntemine erişiminiz olması gerektiğini belirtiyor ^[5].

SMS kodlarını durdurmak için aynı güvenlik bölümünde kimliğinizi kanıtlama yollarının listesini gözden geçirin ve passkey ile uygulama çalıştıktan sonra telefon numarasını giriş yöntemi olarak kaldırın. Microsoft, telefon değiştirirseniz eski cihaza bağlı yöntemleri kaldırmanızı söylüyor ^[5].

Microsoft iş hesaplarında SMS kodlarını bitiriyor mu?

Evet, Microsoft'un kendi gönderdiği kodlar için: 1 Şubat 2027'den itibaren, Microsoft'un kurumlara yönelik giriş hizmeti olan Microsoft Entra ID'de Microsoft tarafından sağlanan SMS ve sesli kimlik doğrulama, Global Administrators ve harici kullanıcılar dışındaki tüm kullanıcılar için kaldırılıyor ^[1]. Bu iki grup 1 Temmuz 2027'de takip edecek ^[1].

Değişiklik daha önce başladı. 1 Eylül 2026'dan itibaren passkey, Entra ID'de varsayılan kimlik doğrulama deneyimi oldu ve SMS veya sesli arama etkin kullanıcılar için otomatik açıldı; bu kullanıcılar giriş yaparken passkey kaydetmeye yönlendiriliyor ^[1]. Microsoft'un sayfası, SMS ve sesli aramanın "artık güvenli kimlik doğrulama yöntemleri olarak konumlandırılmadığını" söylüyor ^[1].

Bunun sizin için anlamı:

• İş hesabınız passkey kurmanızı isterse kabul edin: Microsoft'un planı, kullanıcıları giriş yapıp MFA'yı tamamladıklarında passkey kaydetmeye yönlendiriyor ^[1]. Yalnızca normal Microsoft giriş sayfasının içinde görünen bir isteme göre hareket edin.
• Kurumunuzun ayarlarına bağlı olarak passkey; Microsoft Authenticator'da, bir FIDO2 güvenlik anahtarında, Windows'ta veya eşitlenen bir kimlik bilgisi yöneticisinde saklanabilir ^[1].
• Dahili misafir kullanıcılar sonraki tarihi değil, 1 Şubat 2027 tarihini izler ^[1].
• Hangi yöntemlere izin verildiğine dair sorular, politikayı yöneten BT bölümünüze gider.

Kendiniz başlatmadığınız bir giriş veya passkey isteğini asla onaylamayın ve beklenmedik bir e-posta ya da mesajdaki bağlantıdan asla passkey kurmayın.

Apple hesabım için passkey kullanabilir miyim?

İkinci faktör olarak hayır: Apple hesapları iki faktörlü kimlik doğrulama için altı haneli bir doğrulama kodu kullanır ve Apple'ın sunduğu oltalamaya dayanıklı yükseltme passkey değil, fiziksel FIDO güvenlik anahtarlarıdır ^[7]. Apple'ın bu özellikle ilgili sayfası passkey'lerden söz etmiyor ^[7].

Apple'ın Security Keys for Apple Account koşulları net ^[7]:

• En az iki FIDO Certified güvenlik anahtarı; altı taneye kadar ekleyebilirsiniz ^[7].
• Apple hesabınızla giriş yapılmış her cihazda iOS 16.3, iPadOS 16.3 veya macOS Ventura 13.2 ya da üstü ^[7].
• İki faktörlü kimlik doğrulamanın zaten açık olması ^[7].
• Çocuk hesapları ve Managed Apple Accounts desteklenmez ^[7].

iPhone'da Settings'i açın, adınıza dokunun, ardından Sign-in & Security, sonra Two-Factor Authentication ve Security Keys'e girip adımları izleyin ^[7]. Apple, kurulum sırasında etkin olmayan (90 günden uzun süredir kullanılmayan) cihazlardan çıkış yapılacağını ve tüm güvenilir cihazlarınızı ve güvenlik anahtarlarınızı kaybederseniz hesabınızın dışında kalıcı olarak kalabileceğinizi uyarıyor ^[7]. Tüm güvenlik anahtarlarını kaldırırsanız hesap altı haneli kodlara döner ^[7].

Apple, güvenlik anahtarlarını oltalama veya sosyal mühendislik dolandırıcılıkları gibi hedefli saldırılara karşı ek koruma isteyen kişiler için tasarlanmış olarak tanımlıyor ^[7].

WhatsApp passkey'i nasıl kurulur?

WhatsApp'ta Settings'i açın, Account'a, ardından Passkeys, Create passkey ve Continue'ya dokunun ve ekran kilidinizle onaylayın ^[6]. WhatsApp, parolalardan veya SMS doğrulama kodlarından farklı olarak passkey'lerin şifrelemeyle korunduğunu ve yalnızca fiziksel cihazınız ile biyometrik verileriniz veya ekran kilidinizle erişilebildiğini söylüyor ^[6].

1. Android'de Android 9 veya üstü, ekran kilidi ve telefona bağlı bir şifre yöneticisi hesabı, örneğin Google Password Manager veya Samsung Password Manager gerekir ^[6].
2. WhatsApp'ı açın, menüye, ardından Settings'e dokunun ^[6].
3. Account, Passkeys, Create passkey ve ardından Continue'ya dokunun ^[6].
4. İstendiğinde parmak iziniz, yüzünüz veya ekran kilidinizle onaylayın ^[6].

WhatsApp, passkey oluşturduktan sonra uygulamayı yeniden yüklerseniz kayıt sırasında bunu kullanmanızın istenebileceğini belirtiyor ^[6]. Passkey'i değiştirmek için silip aynı menüden yenisini oluşturursunuz ^[6].

WhatsApp'ın sayfası, passkey'in kayıt sırasında SMS kodunun yerini aldığını söylemiyor; bu yüzden onu ek bir katman olarak görün. İki adımlı doğrulama PIN'ini de koruyun; böylece numaranızı ele geçiren biri yine de yalnızca sizin bildiğiniz bir şeye ihtiyaç duyar.

Hangi hesaplar SMS yerine passkey destekliyor?

Google, Microsoft ve WhatsApp passkey'i SMS kodlarından daha güçlü bir seçenek olarak sunuyor, Apple hesapları ise bunun yerine güvenlik anahtarı kullanıyor; pek çok küçük hizmet de hâlâ yalnızca SMS veya kimlik doğrulama uygulaması sunuyor ^[2][4][6][7]. Aşağıdaki tablo, 15 Kasım 2026 itibarıyla her birinde ayarın nerede olduğunu özetliyor.

Destek sık değişir; başlamadan önce her hizmetin kendi güvenlik sayfasını kontrol edin. passkeys.directory dizini passkey'i giriş için veya ikinci faktör olarak destekleyen hizmetleri listeler ^[12].

Diğer her şeyin kilidini açan hesaplara öncelik verin: ana e-postanız, telefonunuzun bulut hesabı (Google veya Apple), şifre yöneticiniz, banka ve iş hesaplarınız. E-postanız düşerse saldırgan diğer şifrelerin çoğunu sıfırlayabilir.

Bir hesap passkey desteklemiyorsa ne yapmalı?

SMS yerine bir kimlik doğrulama uygulaması kullanın ve uygulama çalıştığında SMS'i yedek yöntem olarak kapatın ^[9]. CISA, kodları hâlâ oltalamayla çalınabildiği için kimlik doğrulama uygulamalarını FIDO anahtarları ve passkey'lerin altına koyuyor, ama şifrelenmeyen ve bir sağlayıcının şebekesinde ele geçirilirse okunabilen SMS'ten daha iyi olduklarını söylüyor ^[9]. Telekom sinyalleşmesi üzerinden ele geçirme, yani Enea'nın SilentAir için anlattığı yöntem ^[11], telefon şebekesi üzerinden gönderilen mesajları hedefler; uygulamanın içinde üretilen kodlar böyle değildir.

• Kodları yedekleyebilen veya yeni telefona taşıyabilen bir kimlik doğrulama uygulaması seçin; böylece telefonu kaybetmek sizi dışarıda bırakmaz.
• Hizmetin kurtarma kodlarını kâğıtta saklayın.
• Sizi arayan veya mesaj atan hiç kimseye, hizmetin destek ekibi olduğunu iddia etse bile, asla kod okumayın.
• Birkaç ay sonra tekrar kontrol edin: passkey desteği hızla yayılıyor ve Microsoft'un iş hesaplarında SMS'ten uzaklaşması yönü gösteriyor ^[1].

Bir banka veya kamu hizmeti yalnızca SMS sunuyorsa bunu kendiniz değiştiremezsiniz, ama riski azaltabilirsiniz: mobil hattınızı operatör PIN'iyle koruyun, sesli mesaj PIN'inizi gizli tutun ve SIM değiştirme (SIM swap) belirtisi olabilecek ani sinyal kaybına dikkat edin. Bu genel bir güvenlik rehberidir; her hizmetin ayarları konusunda son söz kendi yardım sayfalarınındır.