OTP kodu, yalnızca bir kez ve kısa bir süre için geçerli olan doğrulama kodudur. İngilizce "One-Time Password" ifadesinin kısaltmasıdır ve Türkçede tek kullanımlık şifre ya da tek kullanımlık parola olarak geçer. Bir uygulamaya giriş yaparken, bir ödemeyi onaylarken veya yeni bir hesap açarken telefonunuza gelen 4 ila 8 haneli kodlar çoğunlukla OTP'dir.
OTP'nin açılımı ve tanımı
OTP, "One-Time Password" yani tek kullanımlık şifre anlamına gelir. Sabit bir şifreden farkı, her işlem için yeniden üretilmesi ve kullanıldıktan ya da süresi dolduktan sonra geçersiz hale gelmesidir.
Kavram bankacılık düzenlemelerinde de aynı şekilde kullanılır. BDDK'nın Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmeliği, tek kullanımlık parolayı kimlik doğrulamada yalnızca bir kez kullanılmak üzere rastgele oluşturulan harf, rakam veya özel işaret dizisi olarak tanımlar. Aynı yönetmelik, bu parolaların belirli bir süre için geçerli olmasını da şart koşar.
OTP'nin güvenlik değeri bu kısa ömürden gelir. Kod birkaç dakika içinde geçersiz olduğu için, biri kodu sonradan ele geçirse bile çoğu durumda artık kullanamaz.
OTP kodu hangi yollarla gelir?
| Yöntem | Nasıl çalışır? | Nerede karşılaşırsınız? |
|---|---|---|
| SMS OTP | Platform kodu üretir ve kısa mesajla telefon numaranıza gönderir. | Bankacılık işlemleri, uygulama kayıtları, e-Devlet girişi |
| Doğrulama uygulaması | Kod, telefonunuzdaki Google Authenticator gibi bir uygulamada her 30 saniyede bir yeniden üretilir. SMS veya internet bağlantısı gerekmez. | E-posta, bulut ve sosyal medya hesapları |
| E-posta OTP | Kod, hesabınıza kayıtlı e-posta adresine gönderilir. | Şifre sıfırlama, yeni cihazdan giriş |
| Bildirim onayı | Kod yazmak yerine uygulamaya gelen bildirimdeki onay düğmesine basarsınız. | Mobil bankacılık, e-Devlet mobil onay |
SMS en yaygın yöntemdir, çünkü ek bir uygulama gerektirmez ve her telefonda çalışır. Buna karşılık kodun operatör üzerinden iletilmesi gerektiği için gecikme ve ulaşmama sorunları en sık bu yöntemde yaşanır.
OTP SMS neden gelir?
Telefonunuza bir OTP SMS'i geldiyse, bir platform sizin numaranızla bir işlem başlatıldığını görmüş demektir. İşlemi siz başlattıysanız kodu ilgili ekrana girip devam edersiniz.
Siz hiçbir işlem yapmadığınız halde kod geliyorsa, biri numaranızı yanlışlıkla yazmış ya da hesabınıza girmeye çalışıyor olabilir. Bu durumda kodu hiçbir yere girmeyin ve kimseyle paylaşmayın. Kodu gönderen platformda hesabınız varsa şifrenizi değiştirin ve iki adımlı doğrulamayı açın. WhatsApp da talep etmediğiniz halde gelen doğrulama kodları için kodun paylaşılmamasını öneriyor.
OTP ile iki adımlı doğrulama (2FA) aynı şey mi?
Hayır. OTP bir kod türüdür, iki adımlı doğrulama ise bir giriş yöntemidir. İki adımlı doğrulamada hesabınıza girmek için iki farklı türde kanıt istenir: bildiğiniz bir şey (şifreniz) ve sahip olduğunuz bir şey (telefonunuz veya doğrulama uygulamanız). OTP, bu ikinci adımda en sık kullanılan araçtır.
- OTP: Tek kullanımlık, kısa süre geçerli koddur. Tek başına da kullanılabilir.
- İki adımlı doğrulama (2FA): Şifreye ek olarak ikinci bir kanıt isteyen giriş yöntemidir. İkinci kanıt çoğu zaman bir OTP'dir.
- SMS doğrulama: OTP'nin SMS ile gönderilerek telefon numarasının doğrulanmasıdır. Telefon doğrulamasının nasıl işlediğini doğrulama akışını anlattığımız yazıda bulabilirsiniz.
Bir uygulamaya kayıt olurken gelen kod bir OTP'dir, ancak tek başına iki adımlı doğrulama sayılmaz; ortada şifre gibi ikinci bir unsur yoktur. e-Devlet'te iki aşamalı giriş açıkken ise hem şifrenizi girer hem de telefonunuza gelen kodu yazarsınız. Bu, iki adımlı doğrulamadır.
Bir OTP kodunun geçerli olup olmadığı nasıl anlaşılır?
- Kodu siz istediniz ve ekran hâlâ kod bekliyor.
- Mesajda işlem yaptığınız platformun adı geçiyor.
- Kodun süresi dolmadı. Platformlar genellikle birkaç dakikalık süre tanır.
- Arada yeni bir kod istemediniz. Yeni kod istendiğinde önceki kod çoğu zaman geçersiz hale gelir.
Yanlış girilen her kod bir deneme olarak sayılır. Birkaç hatalı denemeden sonra platform yeni kod istemenizi ya da bir süre beklemenizi isteyebilir.
OTP kodu gelmiyorsa
SMS ile gelen OTP'nin ulaşmaması çoğunlukla numaranın hatalı yazılmasından, operatör gecikmesinden veya platformun kısa sürede çok fazla kod gönderdiği için beklemeye geçmesinden kaynaklanır. Kendi numaranızda önce telefonunuzun mesaj filtrelerini ve şebeke bağlantısını kontrol edin. Sanal numara kullanıyorsanız ülke seçimi belirleyicidir. İki durum için de adım adım kontrolleri doğrulama kodu gelmiyor rehberimizde bulabilirsiniz.
Kayıt kodunu kişisel numaranız dışında almak
Bir platforma kayıt olurken kodu kendi hattınız yerine başka bir numarada almak istiyorsanız SMS onay hizmetlerinden yararlanabilirsiniz. Onay360'ta servis ve ülke seçerek tek kullanımlık bir numara alırsınız; platformun gönderdiği kod panelinizde görünür.
Bu yöntem kayıt aşaması içindir. Bankacılık, e-Devlet ve ödeme uygulamaları gibi hesaplarda OTP'lerin kendi numaranıza gelmesi gerekir. Sanal numarayla açtığınız hesaplarda iki adımlı doğrulamayı nasıl kuracağınızı hesabınızı kalıcı tutma rehberimizde anlattık.