Anahtar yalnızca A–Z harfleri ve 2–7 rakamlarından oluşmalı.
Önceki: — · Sonraki: —
Kodlar tarayıcınızda hesaplanır; gizli anahtar gönderilmez. Bu araç geliştirme ve kurulum testi içindir: gerçek hesaplarınızın 2FA anahtarını bir web sayfasına yazmayın, telefonunuzdaki kimlik doğrulama uygulamasında tutun. Kod, cihazınızın saatine göre üretilir; saat birkaç saniyeden fazla saparsa kod tutmaz.
Kısaca cevap
Gizli anahtarı (Base32, örneğin JBSWY3DPEHPK3PXP) kutuya yapıştırın; araç Google Authenticator, Microsoft Authenticator ve benzeri uygulamalarla aynı 6 haneli kodu üretir ve 30 saniyede bir yeniler. Kendi uygulamanıza iki adımlı doğrulama ekleyen geliştiriciler “Yeni anahtar üret” ile test anahtarı ve kurulum QR kodu da oluşturabilir. Hesaplama tarayıcınızda yapılır; yine de gerçek hesaplarınızın 2FA anahtarını web sayfalarına yazmayın.
Bu sayfada
Nasıl kullanılır?
- Anahtarı girin veya “Yeni anahtar üret” ile 160 bitlik rastgele bir test anahtarı oluşturun. Boşluklar ve küçük harfler sorun olmaz.
- Kodu okuyun. Büyük kod şu anki koddur; çubuk ve “Kalan” süre kodun ne zaman değişeceğini gösterir. Önceki ve sonraki kodlar, saat farkı sorunlarını ayıklamak için yanında durur.
- İsterseniz ayarları değiştirin. Varsayılan değerler (6 hane, 30 saniye, SHA-1) hemen her hizmetin kullandığı değerlerdir. Bazı uygulamalar yalnızca bu varsayılanları destekler.
- QR kod: Hizmet ve hesap adını yazdığınızda oluşan QR kodu telefonunuzdaki kimlik doğrulama uygulamasıyla okutup iki tarafın aynı kodu ürettiğini görebilirsiniz.
TOTP nasıl çalışır?
TOTP (Time-based One-Time Password, RFC 6238), sunucu ile telefonunuzun paylaştığı bir gizli anahtar ve ortak saat üzerinden kod üretir:
- Unix zamanı 30’a bölünür ve aşağı yuvarlanır; bu sayı her 30 saniyede bir artan bir sayaçtır.
- Sayaç, gizli anahtarla HMAC-SHA1 işleminden geçirilir.
- Çıkan 20 baytlık sonucun belirli 4 baytı seçilir ve 106’ya bölümünden kalan alınır; bu 6 haneli koddur.
Sunucu da aynı hesabı yapar ve kodları karşılaştırır. Kod ağ üzerinden hiçbir yere gönderilmeden üretildiği için SMS’e göre daha güvenlidir. Konuyu tek kullanımlık şifre (OTP) nedir ve authenticator uygulaması nedir yazılarında ayrıntılı anlattık.
Kod tutmuyorsa
- Saat farkı: TOTP, cihazın saatine dayanır. Telefonun veya bilgisayarın saati 30 saniyeden fazla saparsa kod tutmaz. Saati “otomatik” ayara getirin. Birçok sunucu bu yüzden bir önceki ve bir sonraki kodu da kabul eder.
- Yanlış anahtar: Anahtar Base32 alfabesindedir (A–Z ve 2–7). 0, 1, 8 ve 9 rakamları geçersizdir; O harfi ile 0 rakamı karıştırılmış olabilir.
- Farklı ayar: Hizmet 8 hane, 60 saniye veya SHA-256 kullanıyorsa aynı ayarları seçin.
Bu araç ne için kullanılmamalı?
2FA’nın amacı, kodun yalnızca sizin cihazınızda üretilmesidir. Gerçek hesaplarınızın gizli anahtarını bir web sayfasına yazmak, o anahtarı ikinci bir yere taşımak demektir. Bu araç geliştirme, test ve öğrenme içindir. Telefonunuzu değiştirirken kodlarınızı taşımak için Google Authenticator’ı yeni telefona taşıma rehberini, telefonunuzu kaybetmeye karşı yedek kodları kullanın.
Sık sorulan sorular
2FA kodu nasıl alınır?
Hizmetin güvenlik ayarlarında iki adımlı doğrulamayı açtığınızda bir QR kod gösterilir. Bunu telefonunuzdaki Google Authenticator veya Microsoft Authenticator gibi bir uygulamayla okuttuğunuzda uygulama her 30 saniyede yeni bir 6 haneli kod üretir.
Bu araç Google Authenticator ile aynı kodu mu üretiyor?
Evet. Aynı gizli anahtar ve aynı ayarlarla (6 hane, 30 saniye, SHA-1) RFC 6238 standardına göre hesaplandığı için kodlar birebir aynıdır. Araç, standardın resmi test değerleriyle doğrulanmıştır.
Gizli anahtarım sunucuya gönderiliyor mu?
Hayır. Kod tarayıcınızda Web Crypto ile hesaplanır; anahtar ve kodlar hiçbir yere gönderilmez. Yine de gerçek hesaplarınızın anahtarını web sayfalarına yazmamanızı öneririz.
2FA kodu neden hatalı diyor?
En sık sebep cihaz saatinin kaymış olmasıdır. Telefonunuzun tarih ve saat ayarını otomatik yapın. Kod değişmek üzereyken girildiyse bir sonraki kodu bekleyin.
Base32 anahtar nedir?
Gizli anahtarın A–Z harfleri ve 2–7 rakamlarıyla yazılmış halidir. QR kod okutulamadığında hizmetler bu anahtarı elle girmeniz için metin olarak da gösterir.
