Authenticator Uygulaması Nedir, Nasıl Kurulur?

Authenticator nedir, ne işe yarar?

Authenticator, "kimlik doğrulayıcı" anlamına gelir. Google Authenticator, Microsoft Authenticator ve benzeri uygulamalar, bir hesaba girerken şifrenize ek olarak istenen ikinci kanıtı, yani doğrulama kodunu üretir. Bu sayede şifreniz bir sızıntıda ya da sahte bir sayfada ele geçse bile, telefonunuzdaki uygulama olmadan hesabınıza girilemez.

Bu uygulamalar iki faktörlü doğrulamanın (2FA) bir yöntemidir. 2FA'nın genel mantığını ve diğer yöntemlerle karşılaştırmasını iki faktörlü doğrulama (2FA) yazısında anlattık. Bu yazı, uygulamanın kendisine odaklanıyor: nasıl kurulur, nasıl kullanılır ve telefon değiştirdiğinizde ne yapılır.

Authenticator nasıl çalışır?

Bir hesaba authenticator eklediğinizde hizmet size bir QR kod gösterir. Bu QR kodun içinde yalnızca sizin hesabınıza ait gizli bir anahtar bulunur. Uygulama bu anahtarı telefonunuza kaydeder ve her 30 saniyede bir, anahtar ile o anki saatten 6 haneli yeni bir kod hesaplar. Hizmetin sunucusu da aynı anahtara sahip olduğu için aynı kodu hesaplayıp karşılaştırır.

Bu yöntemin adı TOTP'dir (zamana dayalı tek kullanımlık şifre) ve RFC 6238 standardında tanımlanmıştır. Hesaplamanın ayrıntısını tek kullanımlık şifre (OTP, TOTP) nedir yazısında bulabilirsiniz. Kullanıcı için önemli üç sonucu var:

• İnternet gerekmez: Kod telefonunuzda hesaplanır. Uçakta, yurt dışında veya şebeke yokken de çalışır.
• SIM karta bağlı değildir: Numaranız başka bir SIM karta taşınsa bile kodlar dolandırıcıya gitmez. SMS kodlarının bu zayıflığını SMS ile doğrulama güvenli mi yazısında ele alıyoruz.
• Saat doğru olmalıdır: Kod saate göre hesaplandığı için telefonunuzun saati kaymışsa kodlar tutmaz.

QR kod ve altındaki "kurulum anahtarı", kodları üreten gizli anahtarın kendisidir. Bu ekranın fotoğrafını kimseyle paylaşmayın, ekran görüntüsünü galeride bırakmayın. Anahtarı ele geçiren biri sizinle aynı kodları üretebilir.

Google Authenticator nasıl kullanılır?

Google Authenticator'ı yalnızca resmi mağazadan (Android'de Google Play, iPhone'da App Store) indirin. Google'ın yardım sayfasına göre Android sürümü için Android 6.0 veya sonrası gerekir. Uygulama ilk açıldığında Google hesabınızla oturum açmanızı önerir; oturum açarsanız kodlarınız Google hesabınızda saklanır ve cihazlarınız arasında eşitlenir. İsterseniz hesap olmadan da kullanabilirsiniz, ancak bu durumda telefon kaybolursa kodlar da kaybolur.

Bir hesaba Google Authenticator eklemek

1. Korumak istediğiniz hesabın (e-posta, sosyal medya, oyun platformu vb.) güvenlik ayarlarında iki adımlı doğrulama bölümünü açın ve "authenticator uygulaması" veya "kimlik doğrulayıcı uygulama" seçeneğini seçin. Ekranda bir QR kod belirir.
2. Google Authenticator'da yeni hesap ekleme düğmesine dokunun ve QR kodunu tara seçeneğiyle ekrandaki kodu okutun. QR kod okutamıyorsanız hizmetin gösterdiği kurulum anahtarını elle girebilirsiniz.
3. Uygulamada hesabın adıyla birlikte 6 haneli bir kod görünür. Bu kodu, kurulumu tamamlamak için hizmetin ekranındaki alana yazın.
4. Hizmetin size verdiği yedek kodları kaydedin. Yedek kodların neden önemli olduğunu yedek kodlar nedir yazısında anlattık.

Google hesabınızın kendisini korumak için ise Google hesabınızın 2 Adımlı Doğrulama ayarlarında kimlik doğrulayıcı kurulumunu başlatırsınız. Google hesabına özel adımları Google hesabında iki adımlı doğrulama yazısında bulabilirsiniz.

Girişte kodu kullanmak

Şifrenizi yazdıktan sonra hizmet "doğrulama kodunu girin" dediğinde Google Authenticator'ı açın, ilgili hesabın satırındaki kodu yazın. Kodun yanındaki süre göstergesi bitmek üzereyse bir sonraki kodu bekleyin; böylece kod siz yazarken geçersiz olmaz. Google, kodların ekranda görünmesini istemediğiniz durumlar için uygulamanın ayarlarında bir Gizlilik Ekranı seçeneği de sunar.

Microsoft Authenticator kurulumu

Microsoft Authenticator da aynı TOTP kodlarını üretir; Microsoft dışındaki hesaplar (Google, sosyal medya, oyun platformları) için de kullanılabilir. Kurulum mantığı aynıdır: uygulamada hesap ekleme seçeneğine dokunur, hizmetin gösterdiği QR kodu okutur ve üretilen kodla kurulumu onaylarsınız. Microsoft hesaplarında ayrıca kod yazmak yerine telefona gelen bildirimi onaylayarak giriş yapmak mümkündür.

Bilmeniz gereken bir değişiklik: Microsoft, Authenticator'daki şifre otomatik doldurma özelliğini 2025'te kaldırdı. Microsoft'un duyurusuna göre Temmuz 2025'te otomatik doldurma durdu, Ağustos 2025 ortasından itibaren kayıtlı şifreler uygulamada görünmez oldu. Şifreler Microsoft hesabınızla eşitlenmeye devam ettiği için Microsoft Edge üzerinden erişilebilir; uygulamada kayıtlı ödeme bilgileri ise silindi. Yani Microsoft Authenticator bugün doğrulama kodu ve giriş onayı içindir, şifre yöneticisi yerine geçmez. Şifreleriniz için ayrı bir şifre yöneticisi kullanın.

Google Authenticator başka telefona nasıl aktarılır?

Yeni telefona geçerken kodları taşımanın iki yolu vardır:

• Google hesabıyla eşitleme: Eski telefonda Google Authenticator'a Google hesabınızla oturum açtıysanız, yeni telefonda uygulamayı kurup aynı hesapla oturum açmanız yeterlidir; kodlar gelir.
• Hesapları aktar: Eşitleme kullanmıyorsanız eski telefonda menüden Hesapları aktar > Hesapları dışa aktar yolunu izleyin, taşınacak hesapları seçin. Uygulama bir QR kod gösterir. Yeni telefonda Hesapları aktar > Hesapları içe aktar seçeneğiyle bu QR kodu tarayın.

Aktarımdan sonra yeni telefonda birkaç hesabın kodunu gerçek bir girişte deneyin. Hepsinin çalıştığından emin olmadan eski telefondaki uygulamayı silmeyin veya telefonu sıfırlamayın.

Microsoft Authenticator başka telefona aktarma

Microsoft Authenticator'da aktarım bulut yedeğiyle yapılır. Microsoft'un yardım sayfasına göre:

• Android'de uygulamanın ayarlarından bulut yedeklemeyi açarsınız; yedek kişisel bir Microsoft hesabına kaydedilir.
• iPhone'da yedek iCloud'a kaydedilir; bunun için cihazda iCloud Drive, iCloud Anahtar Zinciri ve iCloud yedeklemesinin açık olması gerekir.
• Yedek yalnızca aynı tür cihaza geri yüklenebilir. iPhone'da alınan yedek Android'e, Android'de alınan yedek iPhone'a geri yüklenemez.
• Yedekte diğer hizmetlerin tek kullanımlık kod hesapları yer alır. İş veya okul hesaplarında ve şifresiz giriş kullanan hesaplarda yalnızca hesap adları yedeklenir; bu hesapları yeni telefonda yeniden doğrulamanız gerekebilir.

iPhone'dan Android'e (veya tersi) geçiyorsanız hesapları yeni telefonda tek tek yeniden eklemeniz gerekir: her hizmete eski telefondaki kodla girin, iki adımlı doğrulama ayarlarından authenticator'ı yeni telefon için yeniden kurun.

Kod çalışmıyorsa ne yapmalı?

• Saati kontrol edin: Google'ın önerisi, cihazınızın saatinin yerel saat diliminize göre doğru ve otomatik ayarlı olmasıdır. Telefonun tarih ve saat ayarında otomatik seçeneğini açın.
• Doğru hesabın kodunu yazın: Uygulamada birden fazla hesap varsa hesap adına bakın.
• Süresi dolmak üzere olan kodu kullanmayın: Bir sonraki kodu bekleyin.
• Hiç giremiyorsanız: Hizmetin giriş ekranındaki başka yöntem seçeneğini, yedek kodları veya resmi hesap kurtarma sürecini kullanın.

Authenticator kullanırken güvenlik ipuçları

• Kodu kimseye söylemeyin: Authenticator kodları, sahte bir giriş sayfasına yazılırsa saldırgan tarafından hemen kullanılabilir. Kodu yalnızca kendi başlattığınız girişte, adresini kontrol ettiğiniz sayfada girin. Kod isteyen mesaj ve aramaların nasıl çalıştığını sosyal mühendislik ve şifre güvenliği yazısında anlattık.
• Telefonunuzu kilitli tutun: Kodlar telefondadır; güçlü bir ekran kilidi kullanın.
• Yedeği ihmal etmeyin: Eşitleme veya bulut yedeği kullanmıyorsanız her hesabın yedek kodlarını saklayın.
• Güçlü şifreyle birlikte kullanın: Authenticator şifrenin yerini tutmaz. Her hesap için ayrı, uzun ve rastgele bir şifre oluşturmak için şifre üreticiyi kullanabilirsiniz.
• Daha güçlüsü varsa onu da ekleyin: Hizmet passkey veya güvenlik anahtarı destekliyorsa bunlar sahte sayfalara karşı daha dayanıklıdır; ikinci bir yöntem olarak ekleyin.