Geçersiz 2FA Kodu mu? Saat Kayması ve Diğer Nedenlerin Çözümü

Geçersiz 2FA Kodu Hatası Aslında Ne Anlama Gelir

Kimlik doğrulama uygulamanızdaki altı haneli kodu yazarsınız, gönder tuşuna basarsınız ve reddedilirsiniz. Sinir bozucu — ancak hata size belirli bir şey söyler: gönderdiğiniz anda uygulamanızın ürettiği kod, sunucunuzun beklediği kodla eşleşmemiştir.

Kimlik doğrulama uygulamaları TOTP kullanır; bu standart, paylaşılan bir gizli anahtar ve geçerli zamandan her 30 saniyede bir yeni bir kod üretir. Her iki taraf da — uygulamanız ve sunucu — aynı hesaplamayı çalıştırır. Kodlar eşleştiğinde içeri girersiniz.

Reddedilme, o 30 saniyelik pencerede iki şeyden birinin gerçekleştiği anlamına gelir:

• Uygulamanız ve sunucu farklı kodlar hesaplamıştır; genellikle saatleri uyuşmadığı için.
• Yanlış kodu ya da süresi yeni dolmuş bir kodu girdiniz.

Yaygın bir hata: kodu ekranın altında bir geri sayım göründüğünde yazmaya başlamak. "27" görüyorsanız, yazıp gönderene kadar kalan süre çoğu zaman zaten tükenmiştir. Sayım 20'nin üzerindeyken başlayın ya da yeni kodun çıkmasını bekleyin.

Kenar durum: bazı siteler, pencere değişir değişmez eski kodu anında reddeder; bazıları bir önceki pencereyi birkaç saniye kabul etmeye devam eder. Bu yüzden "az önce çalıştı, şimdi çalışmıyor" durumu normaldir — hemen yeni kodla tekrar deneyin.

İyi haber şu: kodun kendisi neredeyse hiçbir zaman bozuk değildir. Uygulamanızdaki paylaşılan gizli anahtar eskimez ya da bozulmaz. Eşleşmezliklerin çoğu zamanlamadan ya da küçük giriş hatalarından kaynaklanır; nereye bakacağınızı bildiğinizde ikisi de dakikalar içinde düzeltilebilir.

Saat Kayması: Bir Numaralı Neden

TOTP kodları rastgele değildir. Kimlik doğrulayıcı uygulamanız bunları gizli anahtarınızı geçerli saatle birleştirerek üretir; sunucu da kendi tarafında aynı hesaplamayı yapar. Oturum açma sırasında iki taraf asla iletişim kurmaz — yalnızca saatlerinin uyumlu olduğuna güvenirler.

Uyumlu olmadığında klasik hayal kırıklığıyla karşılaşırsınız: kod tamamen geçerli görünür, ancak sunucu onu reddeder. 30–60 saniyelik bir kayma bile kodunuzu kabul penceresinin dışına itebilir; özellikle yalnızca bir zaman adımı tolerans tanıyan hizmetlerde. Bazı hizmetler bir adım önceki ve sonraki kodları da kabul eder, bazıları yalnızca geçerli adımı kabul eder — bu yüzden aynı kayma bir sitede sorun yaratmazken diğerinde oturum açmanızı tamamen engelleyebilir.

Saatler sıkıcı nedenlerle kayar. Telefon saatleri otomatik zaman senkronizasyonu adlı bir ayara bağlıdır; bu ayar kapatılmış olabilir, sessizce başarısız olabilir veya saat dilimleri arasında seyahat sonrasında geride kalabilir. Bazı cihazlar ayrıca haftalar içinde küçük hatalar biriktirir; bunun tek nedeni dahili kuvars osilatörlerinin hafifçe hızlı veya yavaş çalışmasıdır. Gün ışığından yararlanma saati uygulamaları da yılın iki belirli döneminde, senkronizasyon ayarı kapalı olan cihazlarda tam bir saatlik kaymaya yol açar.

Nasıl Anlarsınız

• Kod bir cihazda çalışırken diğerinde başarısız olur.
• Kodlar yalnızca belirli bir hizmette başarısız olur.
• Telefonunuzun saati belirgin şekilde yanlış veya saat dilimi hatalıdır.
• Kod her zaman başarısız olmaz; bazen ilk denemede geçersiz, bir sonraki 30 saniyelik pencerede geçerli olur.

Bunlardan herhangi biri tanıdık geliyorsa, suçlu neredeyse kesinlikle saat kaymasıdır.

Cihazlarınızda Saat Senkronizasyonunu Düzeltme

Kimlik doğrulayıcı uygulamalar kodları cihazınızın saatinden üretir. Saat bir dakika bile hızlı ya da yavaş çalışırsa her kod geçersiz olur. Bu yüzden önce saati düzeltin, diğer nedenlere ancak sonra bakın.

Telefonlar

Android: Ayarlar > Sistem > Tarih ve saat. "Otomatik tarih ve saat" ile "Otomatik saat dilimi" seçeneklerini açın. Bunlar kapalıysa telefonu yeniden başlatın. Yeniden başlatma önemlidir: bazı cihazlar saat bilgisini yalnızca açılışta yeniden çeker. Yurt dışına seyahat ettiyseniz otomatik saat diliminin gerçekten değiştiğini kontrol edin; yanlış saat dilimi, doğru saatten bağımsız olarak kod bozabilir.

iPhone/iPad: Ayarlar > Genel > Tarih ve Saat. "Otomatik Ayarla" seçeneğini açın. Saat dilimi algılama için Konum Servisleri açık olmalı olabilir. "Otomatik Ayarla" gri görünüyorsa operatörünüzün ayarını engelliyor olabilir; kısa süre uçak moduna alıp kapatmak genellikle çözer.

Kimlik Doğrulayıcı Uygulamalar

Google Authenticator (Android): Üç noktalı menüye dokunun > Ayarlar > "Kodlar için saat düzeltme" > "Şimdi senkronize et." Bu işlemden sonra üretilen kodlar sunucuyla eşleşmelidir. Sık seyahat edenler için bu düğme en hızlı çözümdür; telefonun saatini hiç kurcalamadan uygulamayı tek başına düzeltir.

iOS: Google Authenticator'da ayrı bir senkronizasyon seçeneği yoktur — sistem saatine güvenir, bu yüzden yukarıdaki iPhone düzeltmesi yeterlidir.

Microsoft Authenticator: Manuel senkronizasyon yoktur. Telefonun saatini düzeltmek yeterlidir. Uygulamayı tamamen kapatıp yeniden açmak da işe yarar; kodlar her açılışta saat üzerinden yeniden hesaplanır.

Bilgisayarlar

Masaüstünde oturum açma onaylıyorsanız veya kod giriyorsanız gereklidir. Sık yapılan hata: telefonun saati düzgünken bilgisayarın saati birkaç dakika kaymış olur ve sorun telefonda aranır.

Windows: Ayarlar > Saat ve Dil > Tarih ve saat. "Saati otomatik ayarla" seçeneğini açın, ardından "Şimdi senkronize et" seçeneğini seçin. Kurumsal bilgisayarlarda bu ayar yönetici tarafından kilitlenmiş olabilir; birkaç dakikalık fark kalırsa BT biriminize danışın.

macOS: Sistem Ayarları > Genel > Tarih ve Saat. "Tarih ve saati otomatik ayarla" seçeneğini açın.

Senkronizasyondan sonra kodlar hâlâ reddediliyor mu? Sorun saat kayması değildi — sıradakine geçin.

Reddedilen Kodların Diğer Yaygın Nedenleri

Saatiniz eşitlenmiş ve kod yine de reddediliyorsa, uygulamayı suçlamadan önce şu dört şeyi kontrol edin.

Kodu Yazarken Süresi Doldu

TOTP kodları her 30 saniyede bir yenilenir. Sadece birkaç saniye kalmışken yazmaya başlarsanız, gönder tuşuna basmadan önce kodun süresi dolar. Önce geri sayım halkasına bakın; neredeyse boşalmışsa, yarışmak yerine bir sonrakini bekleyin. Alışkanlık edinin: yeni kod belirdiği anda yazmaya başlayın, böylece elinizde tam 30 saniye olur. Bazı uygulamalar kodun süresi yaklaştığında rengi kırmızıya çevirir; bu işareti yok saymayın. Kodu yarım yazıp alanın temizlendiğini görmek, süresi dolmuş bir kodun klasik belirtisidir.

Yanlış Kayıt Seçildi

Kimlik doğrulama uygulamaları genellikle birçok hesap için kod barındırır, bazen adlar birbirine benzer. Site "İş E-postası 2" hesabını sorarken "İş E-postası" kodunu girerseniz başarısız olursunuz. Hesap etiketini dikkatlice okuyun, özellikle yeni bir kayıt ekledikten hemen sonra. Uygulamada her kayda, site adresini içeren açık bir ad verin; "Hesap 1", "Hesap 2" gibi etiketler iki hafta sonra hiçbir şey anlatmaz. Kodun yanındaki logoyu da kontrol edin; çoğu uygulama site simgesini otomatik gösterir.

Yedek Kodlar mı, TOTP Kodları mı?

Yedek kodlar, kurulum sırasında oluşturulan uzun, tek kullanımlık kurtarma kodlarıdır. Her 30 saniyede bir yenilenmezler. 6 haneli alana yapıştırıldıklarında her zaman başarısız olurlar. Yedek kodları günlük girişler için değil, "uygulamaya erişemiyorum" durumu için saklayın. Bir yedek kodu kullandığınızda onu listeden işaretleyin; her kod yalnızca bir kez çalışır.

Kopyala-Yapıştır Hataları

Mesajlardan, notlardan veya ekran görüntülerinden kopyalanan kodlar gizli boşluklar, satır sonları veya fazladan bir hane taşıyabilir. Bazı giriş alanları bunları sessizce kırpar; diğerleri kodun tamamını reddeder. Elle yazmak bunu önler. Ekran görüntüsünden okurken benzer karakterlere dikkat edin: 0 ve O, 1 ve l, 8 ve B sık karıştırılır. Yapıştırdıktan sonra alanın tam 6 hane gösterdiğinden emin olun.

Kimlik Doğrulayıcı Girdisini Yeniden Eşitleme veya Yeniden Ekleme

Zaman eşitleme çözümleri işe yaramadı veya kodlar başarısız olmaya devam ediyorsa, saklanan girdinin kendisi bayat veya bozulmuş olabilir. Bu, cihaz değişiklikleri, uygulama güncellemeleri veya yedekten geri yükleme sonrasında sık görülür: uygulama, hizmette kayıtlı olan gizli anahtarla artık eşleşmeyen bir anahtarı kullanıyordur. Girdiyi kaldırıp yeniden eklemek, uygulamanıza yeni bir paylaşılan gizli anahtar kazandırır ve bu uyumsuzluğu çözer.

Herhangi Bir Şeyi Silmeden Önce

Yedek olmadan asla bir kimlik doğrulayıcı girdisini kaldırmayın. Yeni kurulum yarıda başarısız olursa, eski girdiyi de silmiş olduğunuzdan erişimi geri kazanmanın bir yolunuz kalmaz. Öncelikle şunlardan en az birine sahip olduğunuzu doğrulayın:

• Güvenli bir yere kaydedilmiş yedek kodlar
• Aynı hesap için çalışan kodlara sahip ikinci bir cihaz
• SMS, e-posta veya donanım anahtarı gibi etkinleştirilmiş başka bir doğrulama yöntemi

Yedek kodları hâlâ kaydetmediyseniz, oturumunuz açıkken güvenlik ayarlarından yeni bir set üretin. Bunları parola yöneticinize veya yazılı bir kopyaya kaydedin — telefonunuz kaybolursa bu kodlar tek kurtarma yolunuz olur.

Girdiyi Yeniden Ekleme

1. Hizmette oturum açın ve güvenlik veya iki adımlı doğrulama ayarlarını açın.
2. Eski, uygulama tabanlı 2FA yöntemini kaldırın veya devre dışı bırakın.
3. Bir kimlik doğrulayıcı uygulamasını yeniden kurma seçeneğini seçin. Hizmet yeni bir QR kodu üretir.
4. Uygulamanızda eski girdiyi silin, ardından yeni kodu okutun.
5. Kurulum ekranını kapatmadan önce yeni üretilmiş bir kodu doğrulayın.

Sık yapılan hata: QR kodunu okutup ekranı hemen kapatmak. Doğrulama adımını atlarsanız ve kurulum kaydedilmemişse, uygulamanız yine geçersiz bir girdiye bağlanmış olur. Bu yüzden kapatmadan önce mutlaka kodu test edin.

Bazı uygulamalar girdi başına zaman düzeltme seçeneği de sunar — tamamen kaldırmaya başvurmadan önce uygulamanın ayarlarını kontrol edin. Aynı hesap için iki farklı girdi (örneğin eski ve yeni kurulumdan kalan) birikmişse, hangisinin çalıştığını doğrulayın ve diğerini silin; karışıklık ileride daha büyük sorunlara yol açar.

Sorun Sizin Tarafınızda Değilken

Bazen kodlarınız doğrudur ve arıza başka bir yerdedir.

Sunucu Tarafı Sorunları

Hizmet, kodunuzu kendi saati ve kayıtlarıyla karşılaştırır. Sağlayıcıda zaman senkronizasyonu sorunu veya bir kesinti varsa, geçerli kodlar bile reddedilir. Yerel olarak yaptığınız hiçbir değişiklik bunu düzeltmez. Sağlayıcının durum sayfasını kontrol edin, birkaç dakika bekleyin, sonra tek bir yeni kod deneyin. Aynı anda birden fazla sekmeden veya cihazdan oturum açmaya çalışmak durumu netleştirmez; tek bir tarayıcı seçin ve testi orada yapın.

Hesap Kilitlenmeleri

Ardı ardına girilen yanlış kodlar genellikle geçici bir kilitlemeye yol açar. Birçok hizmet, birkaç başarısız denemeden sonra belirli bir süre boyunca yeni denemeleri engeller — ve her ek tahmin sayacı sıfırlayabilir. Denemeyi bırakın, kilitleme süresinin geçmesini bekleyin, sonra yeni oluşturulmuş tek bir kod girin. Kilitlenme ayrıca destek ekibinin "şüpheli etkinlik" uyarısı göndermesine neden olabilir; beklenmedik bir kilitlenme e-postası görürseniz bağlantıya tıklamadan önce göndereni doğrulayın, çünkü bu tür bildirimler taklit edilerek kimlik avı yapılır.

Değişen Telefon Numarası veya Geri Yüklenen Cihaz

Telefon numaranızı değiştirdiyseniz veya bir cihazı yedekten geri yüklediyseniz, saklanan kayıt artık sunucunun beklediğiyle eşleşmeyebilir. SMS kodları eski numaraya gider ve geri yüklenen doğrulayıcı kayıtları güncelliğini yitirmiş bir gizli anahtardan kod üretebilir. Kurtarma kodlarıyla veya sağlayıcının hesap kurtarma akışıyla oturum açın, ardından 2FA'yı mevcut cihazda veya numarada yeniden kaydedin. Yeni numarayı aktarmadan önce eski hattı kapatmayın; aksi halde SMS doğrulamasına dönüş yolunuz tamamen kesilebilir.

Sorun Giderme Kontrol Listesi ve Önleme

Bir kod reddedildiğinde, şu kontrolleri sırayla uygulayın:

1. Zaman eşitlemesini kontrol edin. Cihazınızın saatini güvenilir bir zaman kaynağıyla karşılaştırın. Bir dakikalık sapma bile TOTP kodlarını geçersiz kılabilir. Çoğu kimlik doğrulayıcı uygulamasının ayarlarında "zaman düzeltme" seçeneği bulunur; önce orayı deneyin.
2. Doğru kaydı doğrulayın. Kayıtlı hesaplar kimlik doğrulayıcı uygulamalarda birbirine benzer. Kodun, giriş yaptığınız siteyle eşleştiğinden emin olun. İki Gmail ya da iki GitHub kaydı yan yana duruyorsa, hesap adresinin ilk harflerine bakın. Yanlış kayıt, en sık gözden kaçan hatadır çünkü kod ekranda gayet normal görünür.
3. Güncel bir kod kullanın. Kodlar her 30 saniyede bir geçerliliğini yitirir. Eski kodu yeniden denemek yerine yenisini bekleyin. Kodu yazıp uzun süre bekletmeyin; geri sayım halkası son saniyelerine gelmişse, göndermeden önce yeni kodun dönmesini bekleyin.
4. Yedek kod deneyin. Kodlar sürekli başarısız olursa, kayıtlı bir yedek kod sizi içeri alır; böylece kimlik doğrulayıcı kaydını sakin bir şekilde düzeltebilirsiniz. Yedek kodları tek kullanımlık düşünün: Birini harcadıysanız, hesap ayarlarından yeni set oluşturun.

Gelecekteki sorunları önleme

• Kimlik doğrulayıcının çalıştığı her cihazda otomatik zaman eşitlemeyi etkinleştirin; böylece saat kayması bir daha ortaya çıkmaz. Uçak moduna girip çıkan ya da uzun süre kapalı kalan telefonlar özellikle risklidir.
• Yedek kodları, ihtiyacınız olmadan önce (sonra değil) çevrimdışı saklayın—yazılı olarak ya da güvenli bir yerde. Ekranda kaydetmeyi erteleyen, kilitlenme anında kodlara erişemez.
• SMS yerine uygulama tabanlı 2FA'yı veya donanım anahtarlarını tercih edin. Bunlar şebeke kapsamasına bağlı değildir ve ele geçirilmesi çok daha zordur. Yurt dışı seyahatlerde şebeke yokluğu SMS kodlarını tamamen kullanılamaz hale getirebilir.
• Telefon değiştirirken kimlik doğrulayıcıyı sıfırdan kurmayın; çoğu uygulama aktarım ya da yedekleme özelliği sunar. Aktarımı yaptıktan sonra eski cihazdaki kayıtları silin.

2FA başarısızlıklarının çoğu, zaman ayarı ya da yanlış kayıttan kaynaklanır. Bu ikisini düzeltin, yedekleri elinizin altında tutun; kod reddi nadiren yaşanır.