Kısaca cevap
Güvenlik sorusu, şifrenizi unuttuğunuzda kimliğinizi doğrulamak için sorulan "ilk evcil hayvanınızın adı ne?" türünden bir sorudur ve zayıf bir korumadır: gerçek cevaplar tahmin edilebilir, sosyal medyadan bulunabilir veya bir telefon konuşmasında ağzınızdan alınabilir. NIST şifre belirlerken güvenlik sorusu sorulmasını yasaklıyor. Bir hizmet yine de soruyorsa gerçek cevabı değil, şifre gibi rastgele bir cevap yazın ve şifre yöneticinize kaydedin. Seçenek varsa güvenlik sorusu yerine iki adımlı doğrulamayı açın.
Bu sayfada
Güvenlik sorusu nedir?
Güvenlik sorusu, bir hizmete üye olurken seçtiğiniz ve cevabını kaydettiğiniz kişisel bir sorudur. Şifrenizi unuttuğunuzda, yeni bir cihazdan giriş yaptığınızda veya hesap bilgilerinizi değiştirmek istediğinizde hizmet bu soruyu tekrar sorar. Cevap kayıtlı cevapla eşleşirse kimliğinizi kanıtlamış sayılırsınız.
Güvenlik alanında buna "bilgiye dayalı doğrulama" (knowledge-based authentication, KBA) denir. Şifre gibi o da "bildiğiniz bir şey"dir. Fark şurada: şifreyi siz uydurursunuz, güvenlik sorusunun cevabı ise çoğu zaman hayatınızla ilgili gerçek bir bilgidir. Güvenlik sorularının zayıflığı da buradan gelir.
Güvenlik sorusu cevabı ne demek?
"Güvenlik sorusu cevabı", seçtiğiniz soruya verdiğiniz ve hizmetin sakladığı yanıttır. Birçok hizmette şifrenizi sıfırlamak için bu cevap yeterli olabilir. Bu yüzden cevabı ikinci bir şifre gibi düşünün: kim bilirse, sizin yerinize şifre sıfırlayabilir.
Güvenlik sorusu örnekleri
Hizmetler genellikle hazır bir listeden soru seçtirir. Microsoft'un kurumsal hesaplarda şifre sıfırlama için sunduğu listede bulunan sorulara benzer şekilde, en sık karşılaşılan örnekler şunlardır:
- İlk evcil hayvanınızın adı neydi?
- Anneniz hangi şehirde doğdu?
- Gittiğiniz ilk okulun adı neydi?
- Çocukluk lakabınız neydi?
- İlk arabanızın markası ve modeli neydi?
- Çocukken oturduğunuz sokağın adı neydi?
- En sevdiğiniz yemek nedir?
- Lisedeki en sevdiğiniz öğretmenin soyadı neydi?
Bu listeye bir de saldırganın gözüyle bakın: doğum yeri, okul adı ve evcil hayvan fotoğrafları çoğu insanın sosyal medya hesabında zaten duruyor. "En sevdiğiniz yemek" gibi sorularda ise cevap birkaç düzine olasılıkla sınırlıdır.
Güvenlik soruları neden güvenli değil?
- Cevaplar araştırılabilir. Doğum yeri, anne kızlık soyadı, mezun olunan okul gibi bilgiler resmi belgelerde, sosyal medyada ve veri sızıntılarında bulunabilir.
- Tanıdıklarınız bilir. Microsoft, güvenlik sorularının diğer yöntemlerden daha az güvenli olabileceğini, çünkü bazı kişilerin başkalarının sorularının cevabını bilebileceğini belirtiyor. Eski bir sevgili, bir akraba veya iş arkadaşı en yaygın soruların çoğunu cevaplayabilir.
- Tahmin edilebilir. "En sevdiğiniz renk" gibi soruların cevap havuzu çok küçüktür; birkaç denemede bulunabilir.
- Sosyal mühendisliğe açıktır. "Hangi okuldan mezun oldun?", "ilk arabanın modeli neydi?" gibi sorular sosyal medya anketlerinde, sohbetlerde ve sahte müşteri hizmetleri aramalarında masum görünür.
- Değiştirilemez. Şifreniz sızarsa yenisini belirlersiniz; ama doğduğunuz şehir hiç değişmez. Gerçek bir cevap bir kez ele geçtiğinde, o soruyu kullanan her hizmette işe yarar.
- Siz de unutabilirsiniz. "En sevdiğiniz film" yıllar içinde değişir; yazım farkları (büyük harf, Türkçe karakter) da doğru cevabın kabul edilmemesine yol açabilir.
NIST, Microsoft ve Apple ne diyor?
NIST: ABD'nin dijital kimlik rehberi NIST SP 800-63B-4, şifre doğrulayan sistemlerin kullanıcılardan şifre belirlerken bilgiye dayalı doğrulama veya güvenlik sorusu kullanmalarını istemesini yasaklıyor (metinde "SHALL NOT"). Rehberin verdiği örnek de tanıdık: "İlk evcil hayvanınızın adı neydi?"
Microsoft: Microsoft Entra'nın (kurumsal hesaplar) belgelerine göre güvenlik soruları girişte doğrulama yöntemi olarak kullanılmıyor, yalnızca kendi kendine şifre sıfırlamada kullanılabiliyor. Microsoft, bu kullanımı da Mart 2027'de kaldıracağını duyurdu. Gerekçe açık: güvenlik soruları çoğu zaman tahmin edilebiliyor veya sosyal mühendisliğe açık oluyor ve bu da şifre sıfırlama sırasında hesabın ele geçirilme riskini artırıyor.
Apple: Apple, güvenlik sorularını iki faktörlü kimlik doğrulaması açık olmayan hesaplar için ikincil bir kimlik doğrulama yöntemi olarak tanımlıyor ve iki faktörlü kimlik doğrulamayı hesabı korumanın en güvenli yolu olarak öneriyor. Apple'a göre bu yöntemi açtığınızda güvenlik sorularını hatırlamanız gerekmez.
Kaynaklar: NIST SP 800-63B-4, Microsoft Learn, Apple Destek (İngilizce).
Güvenlik sorusu cevabı nasıl verilir?
Bazı hizmetler hâlâ güvenlik sorusunu zorunlu tutar. Bu durumda sorunun kendisini değiştiremezsiniz ama cevabın gücü sizin elinizdedir. Doğru yaklaşım şudur: gerçeği yazmayın, şifre gibi bir cevap yazın ve kaydedin.
- Rastgele bir cevap üretin. Hizmet cevabın gerçek olup olmadığını bilmez; yalnızca kayıtlı cevapla eşleşmesine bakar. Akılda kalır parola üreticisi ile birkaç rastgele Türkçe kelimeden oluşan bir cevap oluşturabilirsiniz. Telefonda sesli söylemeniz gerekebilecek cevaplarda kelime tabanlı cevaplar karakter dizilerinden daha pratiktir.
- Şifre yöneticisine kaydedin. Soruyu ve cevabı, o hesabın kaydına not olarak ekleyin. Nasıl yapılacağını şifre yönetimi yazısında anlattık.
- Her hizmette farklı cevap verin. Aynı cevabı her yerde kullanmak, aynı şifreyi her yerde kullanmakla aynı risktir.
- Her soruya farklı cevap verin. Birden fazla soru soruluyorsa cevaplar birbirinin kopyası olmasın. Microsoft Entra, örneğin, aynı cevabın birden fazla soruya verilmesine izin vermiyor.
Örnek: "İlk evcil hayvanınızın adı neydi?" sorusuna "Pamuk" yerine tuzluk-mercan-yayla-47 gibi bir cevap. Sizi tanıyan biri bile bu cevabı bilemez; şifre yöneticiniz sayesinde siz de unutmazsınız.
"Güvenlik sorumu hatırlayamam" diye gerçek cevabı yazmak ya da cevabı telefon notlarına şifresiz kaydetmek, soruyu korumasız bırakmakla aynıdır. Şifre yöneticisi kullanmıyorsanız cevapları, şifrelerinizle aynı özenle sakladığınız bir yere yazın.
Güvenlik sorusuyla nerelerde karşılaşırsınız?
- Windows yerel hesabı: Windows'ta Microsoft hesabı yerine yerel hesap kullanıyorsanız, hesabı oluştururken belirlediğiniz güvenlik soruları şifre sıfırlamada kullanılır. Adımları Windows'ta unutulan parolayı sıfırlama yazısında bulabilirsiniz.
- Apple Hesabı: İki faktörlü kimlik doğrulaması açık olmayan eski hesaplarda şifre değiştirme, aygıt bilgilerini görme veya yeni bir aygıtta satın alma gibi işlemlerde güvenlik soruları sorulabilir.
- Eski web siteleri ve bazı kurumsal sistemler: Özellikle uzun süredir değişmeyen üyelik sistemlerinde hâlâ yaygındır.
- Telefonla müşteri hizmetleri: Bazı kurumlar telefonda kimliğinizi doğrulamak için kayıtlı bilgilerinizi sorabilir. Kurumu siz aramadıysanız, arayan kişiye güvenlik sorusu cevabı, şifre veya doğrulama kodu vermeyin; telefonu kapatıp kurumu bildiğiniz numaradan kendiniz arayın.
Güvenlik sorusu mu, şifre ipucu mu, iki adımlı doğrulama mı?
Üçü sıkça karıştırılır:
| Yöntem | Ne işe yarar? | Güvenlik |
|---|---|---|
| Güvenlik sorusu | Şifre unutulduğunda kimliği doğrulamak | Zayıf; cevap rastgele ve kayıtlı değilse kolay bulunur |
| Şifre ipucu | Şifreyi hatırlamanıza yardımcı olmak | Başkasının da görebileceği bir ipucu şifreyi ele verebilir |
| İki adımlı doğrulama | Şifreye ek olarak ikinci bir kanıt istemek | Güçlü; özellikle uygulama, geçiş anahtarı veya güvenlik anahtarıyla |
Şifre ipucunun güvenli yazılışını şifre ipucu nasıl yazılır yazısında, iki adımlı doğrulamayı iki faktörlü doğrulama (2FA) yazısında anlattık. Hizmet izin veriyorsa hesabınızın kurtarma yolunu güvenlik sorusundan iki adımlı doğrulamaya ve yedek kodlara taşıyın.
Güvenlik sorusunun cevabını unuttuysanız
Her hizmetin kendi kurtarma yolu vardır. Apple'da güvenlik sorularını iforgot.apple.com üzerinden, Apple Hesabı şifrenizle ve kimliğinizi doğrulayarak sıfırlayabilirsiniz. Üst üste çok sayıda yanlış cevap verirseniz sorular geçici olarak kullanılamaz ve bekleme süresinin bitmesi gerekir. Windows'ta yerel hesabın hem şifresini hem de güvenlik sorularının cevaplarını unuttuysanız seçenekler daralır; izlenebilecek yolları Windows parola sıfırlama yazısında topladık.
Hesabınıza yeniden girdiğinizde ilk iş, soruları rastgele cevaplarla yenilemek ve mümkünse iki adımlı doğrulamayı açmak olsun. Böylece bir dahaki sefere yıllar önce yazdığınız bir cevabı hatırlamaya çalışmak zorunda kalmazsınız.
Sık sorulan sorular
Güvenlik sorusu cevabı ne demek?
Hesabı açarken seçtiğiniz bir soruya (ör. ilk evcil hayvanınızın adı) verdiğiniz ve hizmetin kaydettiği yanıttır. Şifrenizi unuttuğunuzda veya hesabınızda önemli bir değişiklik yapmak istediğinizde bu soru yeniden sorulur; kayıtlı cevabı doğru yazarsanız kimliğiniz doğrulanmış sayılır. Yani cevap, pratikte ikinci bir şifre gibi çalışır.
Güvenlik sorusu örnekleri nelerdir?
En sık görülenler ilk evcil hayvanınızın adı, annenizin veya babanızın doğduğu şehir, gittiğiniz ilk okulun adı, çocukluk lakabınız, ilk arabanızın markası ve modeli, en sevdiğiniz yemek ve çocukken oturduğunuz sokağın adıdır. Bu soruların ortak sorunu, cevaplarının çoğunun sizi tanıyan veya sosyal medya hesaplarınıza bakan biri tarafından bulunabilmesidir.
Güvenlik sorusuna gerçek dışı bir cevap yazmak sorun olur mu?
Hayır, güvenlik açısından daha iyidir; yeter ki cevabı kaydedin. Hizmet, cevabın gerçek olup olmadığını bilmez, yalnızca kayıtlı cevapla eşleşip eşleşmediğine bakar. Rastgele bir cevap üretip şifre yöneticinize o hesabın notu olarak kaydederseniz hem tahmin edilemez hem de unutulmaz.
Güvenlik sorusunun cevabını unuttum, ne yapmalıyım?
Hizmetin kurtarma adımlarını izleyin. Örneğin Apple, güvenlik sorularını iforgot.apple.com üzerinden sıfırlamanıza izin verir; çok sayıda yanlış cevap verirseniz soruları bir süre kullanamazsınız ve bekleme süresinden sonra tekrar denemeniz gerekir. Hesabınıza yeniden girdiğinizde mümkünse iki adımlı doğrulamayı açın; Apple bu durumda güvenlik sorularını hatırlamanıza gerek kalmadığını belirtiyor.
Güvenlik soruları neden artık kullanılmıyor?
Cevaplar tahmin edilebildiği, araştırılabildiği ve sosyal mühendislikle öğrenilebildiği için. NIST, şifre belirlerken güvenlik sorusu istenmesini yasaklıyor; Microsoft da kurumsal hesaplarda şifre sıfırlama için güvenlik sorularını Mart 2027'de kullanımdan kaldıracağını, gerekçe olarak da güvenlik riskini ve düşük güvenilirliği gösterdiğini duyurdu.
