Telefonunuzu Kaybetmeden Önce 2FA Gizli Anahtarlarınızı Yedekleyin

Kayıp Telefon Neden Sizi Kilitleyebilir

İki faktörlü kimlik doğrulama (2FA), hesaplarınızı korumanın en iyi yollarından biridir — ta ki kodlarınızı tutan cihaz kaybolana kadar. Bir kimlik doğrulayıcı uygulama kullanıyorsanız, sorun şu: TOTP gizli anahtarlarınız yalnızca o telefonda yaşar. Bulut kopyası yok, yedek yok, servisin tarafında hiçbir şey yok. Varsayılan olarak, uygulama altı haneli kodlarınızı yalnızca cihazda depolanan verilerden üretir.

Telefonu kaybedin, göle düşürün ya da satmadan önce silin; anahtarlar gider. Onlar olmadan uygulama geçerli kod üretemez — ve bu şekilde korunan her hesap, açamadığınız bir kapının ardında kararır.

Etkilenen hesap sayısı kolayca abartıldığından büyüktür: e-posta, bankacılık, sosyal medya, bulut depolama — 2FA'yı açtığınız her servis aynı anda kilitlenir. Özellikle tehlikeli olan e-posta hesabıdır; kurtarma e-postalarının çoğu oraya gider ve ona erişemezseniz diğer servislerin kurtarma akışları da çöker.

Yedeksiz kurtarma mümkündür, ancak genellikle yavaştır, kimlik kanıtı ister ve bazı servisler düpedüz reddeder. Bazı insanlar bir daha asla giremez.

Çözüm beş dakika sürer: anahtarlarınızı ihtiyacınız olmadan önce yedekleyin. İşte nasıl yapılacağı.

2FA'yı İlk Kez Etkinleştirdiğinizde Yedekleme Yapın

Kurulum ekranı, en iyi yedekleme fırsatınızdır. Çoğu hizmet bir QR kodu gösterir, ancak bu kod yalnızca gizli bir anahtarın görsel sarmalayıcısıdır — genellikle bir metin dizisini gösteren "kod taranamıyor mu?" bağlantısı olarak görüntülenir. Yalnızca taramayı değil, o anahtarı da kaydedin. Kağıda yazın veya parola yöneticinizin güvenli notlarında saklayın. Anahtara sahip olan herkes kodlarınızı yeni bir cihazda yeniden oluşturabilir; telefonunuzu kaybettiğinizde tam olarak buna ihtiyacınız olacak.

Kurulum sırasında çoğu hizmet ayrıca kurtarma kodları da sunar: doğrulayıcınız çalışmadığında işe yarayan tek kullanımlık parolalar. Bunları o anda atlamak kolaydır, sonra pişman olmak acı vericidir.

Her ikisini de şimdi yapın:

• Gizli anahtarı (metin hâliyle) çevrimdışı veya bir parola yöneticisinde kaydedin
• Kurtarma kodlarını indirin ve parola yöneticinizde saklayın
• Kurulum sayfasından ayrılmadan önce kodların çalıştığını doğrulayın

Doğrulama basittir: kurulumu tamamlayın, doğrulayıcı uygulamanızda hesabı açın, güncel altı haneli kodu girin ve hizmetin onayladığını görün. Bu adımı atlarsanız, yanlış kaydedilmiş bir anahtarı ancak telefonunuzu kaybettiğiniz gün fark edersiniz.

Yaygın hatalar:

• Anahtarı ekran görüntüsü olarak telefonun galerisine kaydetmek — telefonla birlikte kaybolur
• Kurtarma kodlarını yalnızca hizmetin kendi hesabınızda bırakmak — hesap kilitlenirse erişilemez
• Anahtarı düz metin dosya olarak masaüstünde saklamak

Son bir not: bazı hizmetler anahtarı sonradan yeniden göstermez. Kurulum sayfası kapandığında bu fırsat genellikle bir daha gelmez. Kurulum, bir hizmetin size her şeyi tek seferde verdiği tek andır.

Seçenek 1: Kimlik Doğrulayıcınızda Şifreli Bulut Senkronizasyonu

Birçok kimlik doğrulama uygulaması, kodlarınızı bir hesapla senkronize ederek otomatik olarak yedekleyebilir. Buna iOS ve Android'deki yerleşik seçeneklerin yanı sıra popüler üçüncü taraf uygulamalar da dahildir. Senkronizasyon açıldıktan sonra, yeni bir telefonda oturum açtığınızda kodlarınız yeniden görünür — elle kopyalamaya gerek kalmaz.

Buna güvenmeden önce, senkronizasyonun uçtan uca şifreli olduğunu doğrulayın. Bu, gizli anahtarlarınızın cihazınızdan ayrılmadan önce cihazınızda şifrelendiği ve bunların şifresini yalnızca sizin hesabınızın çözebileceği anlamına gelir. Bu ayrıntı için uygulama geliştiricisinin belgelerine bakın; net bir şekilde belirtilmemişse, yedeklemeyi güvenilmez sayın.

Senkronizasyonu etkinleştirdikten sonra, gerçekten çalıştığını doğrulayın:

• Uygulamayı ikinci bir cihaza yükleyin veya bir tablet ya da öykünücüde oturum açın.
• Kodların göründüğünü ve telefonunuzdakilerle eşleştiğini doğrulayın.
• Ancak ondan sonra yedeklemeye güvenin.

Hiç test edilmemiş bir senkronizasyon yedekleme değildir.

Sık yapılan hatalara dikkat edin:

• Senkronizasyon hesabının kendisini zayıf bir şifreyle korumak. Bu hesap artık tüm 2FA kodlarınızın kapısıdır; uzun ve benzersiz bir şifre kullanın ve mümkünse kendi 2FA'sını etkinleştirin.
• Yedeklemenin hesap şifresine bağlı olduğunu unutmak. Şifrenizi kaybederseniz kodlara erişimi de kaybedersiniz.
• Yalnızca bir hesapla senkronize etmek. Hesap kilitlenirse veya silinirse tek yedek kaybolur.

Kenar durumlar için: Bazı uygulamalar eski cihazdan çıkış yaptığınızda kodları buluttan da kaldırır. Telefonda oturumu kapatmadan önce yeni cihazın kodları aldığını doğrulayın.

Seçenek 2: Gizli Anahtarı Çevrimdışı Kaydedin

2FA'yı kurarken bazı hizmetler, ham gizli anahtarı görüntülemenize izin verir — kimlik doğrulayıcı uygulamanızın kod üretmek için kullandığı, harf ve rakamlardan oluşan bir dizi (bazen QR kodu olarak gösterilir). Bunu telefon kaybolduktan sonra değil, kurulum sırasında kaydedin.

Bunu yapmak genelde basittir: hesabın güvenlik ayarlarında "kimlik doğrulayıcıyı değiştir" ya da "yeniden kur" seçeneğini bulun; hizmet size QR kodu ve altında JBSWY3DPEHPK3PXP biçiminde bir metin gösterebilir. QR kodun altındaki bu metin, anahtarın kendisidir — fotoğrafını çekmek yerine metni kopyalayın, çünkü QR kodun ekran görüntüsü de aynı riski taşır. Kurulum ekranını kapatmadan önce kaydettiğinizden emin olun; bazı hizmetler ekranı kapattığında anahtarı bir daha göstermez.

Bir parola yöneticisine kopyalayın

Çoğu parola yöneticisi güvenli not özelliği içerir. Gizli anahtarı oraya yapıştırın. Şifreli kalır, diğer cihazlarınıza eşitlenir ve ihtiyacınız olduğunda kolayca bulursunuz.

Notun başlığına hizmet adını ve kullanıcı adınızı yazın — örneğin "GitHub – [email protected]". Yıllar sonra hangi anahtarın hangi hesaba ait olduğu, anahtarın kendisi kadar önemlidir; karışan bir yedek, yedek olmaktan çıkar.

Kâğıt da işe yarar

Anahtarı elle yazın ya da yazdırın, sonra fiziksel olarak güvenli bir yerde saklayın: ev kasası, kilitli bir çekmece ya da kiralık bir kasa. Cüzdan, çanta ya da taşınıp kaybolabileceği hiçbir yerde bulundurmayın.

Yazarken okunaklı olun ve tek bir karakteri bile yanlış yazmamaya dikkat edin; tek hatalı karakter, anahtarı geçersiz kılar. En pratik yöntem, anahtarı yazdıktan sonra aynı kâğıda doğrulama kodlarını da not etmek yerine, anahtarı geçici olarak ikinci bir kimlik doğrulayıcıya ekleyip üretilen kodun orijinal uygulamadakiyle eşleştiğini kontrol etmektir. Eşleşiyorsa kâğıt doğru demektir.

Ona bir parola gibi davranın

Gizli anahtarı elinde bulunduran herkes, herhangi bir cihazda geçerli kodlar üretebilir. Onu asla e-postayla göndermeyin, kısa mesajla göndermeyin ya da düz metin dosyasına kaydetmeyin.

Ekran görüntüsünü bulut fotoğraf arşivine düşürmek de aynı hatadır: şifrelenmemiş senkronizasyon, düz metin dosyası kadar açıktır.

Seçenek 3: Kurtarma Kodları ve Alternatif Yöntemler

Çoğu hizmet, 2FA'yı etkinleştirdiğinizde tek kullanımlık kurtarma kodları sunar. Bunlar, doğrulayıcı uygulamanızı tamamen bypass eden tek kullanımlık şifrelerdir. Bunları hesabın güvenlik veya iki aşamalı doğrulama ayarlarında bulun ve 2FA'yı açar açmaz indirin. Genellikle 8-10 kod verilir; her biri yalnızca bir kez çalışır, bu yüzden hangisini kullandığınızı takip edin — kullandığınız kodu listenizden çizin veya silin. Kodları ekrandan bir kez görüp geçmeyin; indirilmiş bir .txt dosyası veya yazdırılmış bir sayfa şart. Yeni kodlar üretirseniz (sistem bunu destekliyorsa) eski listesi geçersiz olur — yedeği her yenilediğinizde tüm kopyaları değiştirin.

İkinci Bir Giriş Yolu Ekleyin

Kurtarma kodları tek seçeneğiniz değil. Hizmete bağlı olarak şunları kaydedebilirsiniz:

• Bir donanım güvenlik anahtarı — telefonun kaybolma biçiminde kaybedilmesi neredeyse imkânsız olan küçük bir USB veya NFC cihazı. Anahtar cihaza bağlı olduğu için telefon kaybından etkilenmez; yedek bir anahtarı ayrı bir yerde tutmak yaygın ve önerilen uygulamadır.
• İkincil bir cihaz — evde kalan ve aynı doğrulayıcıyı çalıştıran eski bir telefon veya tablet. SIM'siz, Wi-Fi üzerinden çalışır; kurulum sırasında aynı gizli anahtarı girin. Bazı hizmetler tek bir anahtarın yalnızca bir cihaza kurulmasına izin verir, bu yüzden önce hizmetin belgelerini kontrol edin.
• Bir telefon numarası — diğerlerinden daha az güvenli, ama tamamen kilitli kalmaktan iyidir. SIM takas saldırılarına karşı korunmak için operatörünüzde ekstra doğrulama adımlarını etkinleştirin.

Kodları Anahtarlardan Ayrı Saklayın

Kurtarma kodlarını gizli anahtar yedeklerinizden farklı bir yerde saklayın — örneğin anahtarlarınız bir parola yöneticisinde duruyorsa, çekmecede basılı bir sayfa. Yedeklerden biri kaybolur, zarar görür veya ele geçirilirse, diğeri hâlâ çalışır. Tek bir depolama konumu asla ikisi için de tek hata noktası olmamalıdır. Sık yapılan hata: kodları telefonun ekran görüntüsü olarak saklamak — telefon kaybolunca kodlar da onunla gider.

Kurtarma Yolunuzu Test Edin

Hiç test etmediğiniz bir yedek yalnızca bir tahmindir. Telefonunuz hâlâ elinizdeyken çalıştığını doğrulayın.

İkinci bir cihazdan veya tarayıcıdan oturum açın. Dizüstü bilgisayar veya tablet kullanarak hesaplarınızdan birine giriş yapın ve doğrulayıcı uygulamanızdan bir kod girin. Bu, kodların doğru olduğunu ve yedek yönteminizin gerçekten çalışan kodlar ürettiğini doğrular. Önemli bir ayrıntı: Testi tamamlamak için kodu girmenize gerek yok. Çoğu doğrulayıcı uygulama, hesap adının altında kalan süreyi gösterir; kodun göründüğünü ve yenilendiğini görmek bile yeterlidir. Zamanlayıcı sıfırlanmıyorsa veya kod hiç görünmüyorsa, yedek bozulmuş demektir.

Bir kurtarma kodunu deneyin. Tek kullanımlık bir kurtarma kodunu bir kez kullanın, ardından hâlâ oturum açabildiğinizi doğrulayın. Bu, kodun geçerli olduğunu ve gerçekten ulaşabileceğiniz bir yerde saklandığını kanıtlar. Kullanılmış olarak işaretleyin ve servisin yeni bir set verip vermediğini veya kalan kodları gösterip göstermediğini kontrol edin. Sık yapılan hata: Kodu test edip listeyi güncellememek. Kullanılmış kodu listenizden çıkarın veya yeni seti kaydedin.

Her değişiklikten sonra yeniden test edin. Telefon mu değiştirdiniz, yeni bir doğrulayıcı uygulamaya mı geçtiniz, yoksa şifrenizi mi sıfırladınız? Testi yeniden çalıştırın. Yedekler değişiklikler sırasında sessizce bozulur; beş dakikalık bir kontrol şimdi, sonradan kilitli kalmaktan iyidir.

Telefon Zaten Gitmişse Ne Yapmalı

Kurtarma kodlarını kaydettiyseniz veya 2FA'yı ikinci bir cihazda kurduysanız, her zamanki gibi oturum açmak için bunları kullanın. Yedeklerin neden önemli olduğu tam olarak budur.

Oturum açtıktan sonra:

1. Eski oturumları iptal edin. Hesabın güvenlik ayarlarından tüm cihazlarda oturumu kapatın; böylece kayıp telefonun oturumları geçersiz hale gelir. Telefon çalınsa ve ekran kilidi aşılsa bile, aktif oturumlar hâlâ hesabınıza erişebilir.
2. Eski 2FA kaydını kaldırın ve kimlik doğrulayıcıyı yeni telefonunuzda yeniden kurun. Eski kayıt silinmezse, telefonu bulan birisi hâlâ geçerli kod üreten bir uygulamayı görür.
3. Kurtarma kodlarını yeniden oluşturun — eski kodlar kaybolan cihazda saklanmışsa. Notlar uygulamasında, ekran görüntüsünde veya indirilen PDF'te kalmış olabilirler.
4. Şifrenizi değiştirin. Kayıp telefonunuzda oturum açmış bir e-posta veya şifre yöneticisi varsa, şifreler de risk altındadır.

Hiç yedeğiniz yoksa her hizmetin destek ekibiyle iletişime geçin. Çoğu, 2FA'yı devre dışı bırakmadan önce kimliğinizi doğrular — kimlik belgeleri, hesap geçmişi veya güvenlik soruları yoluyla. Kurtarma günler sürebilir ve bazı hizmetler erişimi hiç geri açamayabilir; bu da böyle bir durum yaşanmadan önce yedek almak için güçlü bir argümandır. Destek talebinde "kayıp telefon + 2FA kilit" ifadesini açıkça yazın; genel bir "hesabıma giremiyorum" mesajı genellikle otomatik yanıtlarla sonuca ulaşmaz.

Hızlı Yedekleme Kontrol Listesi

Bu listeyi bir kez uygulayın, ardından altı ayda bir veya büyük bir cihaz değişikliğinden sonra tekrarlayın. Listeyi yazdırıp kasaya koymak yerine, takviminize yılda iki kez "2FA yedeğini kontrol et" hatırlatıcısı ekleyin — unutulan kontrol listesi, hiç yazılmamış listeye eşdeğerdir.

• Gizli anahtarlar şifreli olarak kaydedildi. Kimlik doğrulama uygulamanızda bulut senkronizasyonu etkin; ayrıca isteğe bağlı olarak orijinal QR kodunun veya gizli anahtarın çevrimdışı bir kopyası güvenli bir yerde saklandı. Dikkat: QR kodu ekranda gösterilirken masaüstünde şifresiz ekran görüntüsü almayın; görüntü, klasör senkronizasyonu üzerinden sızabilir. Çevrimdışı kopyayı şifreli bir disk veya kasadaki kâğıt üzerinde tutun.
• Kurtarma kodları saklandı. Şifre yöneticinizde kayıtlı veya yazdırılıp önemli belgelerle birlikte muhafaza ediliyor. Kodları kaydederken her kodun hangi hesaba ait olduğunu etiketleyin; "kurtarma-kodları.txt" adlı etiketsiz bir dosya, hangi kodun hangi servis için olduğunu göstermez.
• Yedek ikinci faktör kaydedildi. Yedek bir kimlik doğrulama uygulaması, donanım güvenlik anahtarı veya alternatif bir yöntem ikinci bir cihazda kuruldu. Yedek cihaz evde aynı çekmecede duruyorsa gerçek bir yedek değildir; telefon ve anahtarınız birlikte kaybolabilir.
• Yedek test edildi. Yedeğin gerçekten çalıştığını doğrulamak için ikincil bir cihazda veya tarayıcı profilinde oturum açın — test edilmemiş yedek sadece bir umuttur. Testten sonra oturumu kapatın; günlük kullanım için birincil cihazı bırakın.

Kontrolü altı ayda bir, telefon değiştirdiğinizde, kimlik doğrulama uygulamanızı değiştirdiğinizde ve yeni bir hesapta 2FA'yı her etkinleştirişinizde tekrarlayın.

Bugünkü iki dakikalık hazırlık, haftalarca sürecek hesap kurtarma sürecini — ya da kalıcı olarak kilitlenmiş bir hesabı önler. Şimdi yedekleyin, test edin; 2FA'nız sizi asla dışarıda kilitlemeden korusun.