Şifresiz Giriş: OTP ile Passkey Arasında Nasıl Seçim Yapılır

Şifresiz giriş tek bir yöntem değil. OTP ve passkey aynı başlık altında anılıyor ama farklı güvenlik modelleri, farklı akış maliyetleri ve farklı bozulma biçimleri taşıyorlar. Hangisini nerede kullanacağın da buna bağlı.

OTP parolayı kaldırmaz, taşır

E-postaya ya da SMS’e kod gönderdiğin anda hesabın güvenliği o kanalın güvenliği kadardır. Kullanıcının e-postası ele geçmişse senin tarafındaki hesap da ele geçmiştir. Numara SIM takasına uğramışsa sonuç aynı. Bu bir kusur değil, bilinçli bir devretme; devrettiğinin farkında olmak gerekiyor.

SMS’i e-postadan daha zayıf buluyorum. SIM takası operatör tarafında, yani ne senin ne kullanıcının göremediği bir yerde gerçekleşiyor ve kullanıcıya hiçbir bildirim gitmiyor. E-posta ele geçirmesi en azından oturum kayıtlarında iz bırakır, kullanıcı fark edip müdahale edebilir. SMS’i tek kanal yapma, kullanıcının seçebileceği ikinci bir yol bırak.

Akışta kaybettiğin yer kod ekranı değil

OTP’de dönüşümü düşüren şey kodu yazmak değil, kodu beklemek. Kullanıcı uygulamadan çıkıp mesajlara gidiyor, kod gelmemişse geri dönüyor, tekrar gönder’e basıyor ve bu sefer iki kod arasında hangisinin geçerli olduğunu bilmiyor. Kaybın çoğu bu ara bölgede oluyor.

Üç şey doğrudan işe yarıyor:

• Kod alanına autocomplete="one-time-code" koy. iOS ve Android klavyeden öneriyor, kullanıcı uygulamalar arasında gidip gelmiyor.
• Kodu tek bir input olarak al. Altı ayrı kutu ekranda hoş duruyor ama yapıştırmayı ve ekran okuyucu ile ilerlemeyi bozuyor.
• Sihirli bağlantı gönderiyorsan kodu da gönder. Bağlantı varsayılan tarayıcıda açılır, oysa kullanıcı oturumu başka bir tarayıcıda başlatmıştır; o oturum eşleşmez ve kullanıcı en baştan başlar.

Tekrar gönder butonunu ilk saniyeden aktif tutma, ama gizleme de. Geri sayımı göster; kullanıcı beklediğini bildiği sürece bekliyor.

Passkey’de maliyet kullanıcıda değil, sende

Kullanıcı tarafı gerçekten ucuz. Parmak izi, bitti. Fatura arka tarafa çıkıyor: kayıt akışı, birden fazla kimlik doğrulayıcının saklanması, cihazlar arası geçişte QR adımı, tarayıcı ve platform farklarının test edilmesi. Bunlar tasarım kararı gibi görünmüyor ama uygulama süresini belirleyen kısım tam olarak burası.

Kurtarma yolunu tasarlamadan passkey açma. Kullanıcı telefonunu kaybettiğinde ne olacağının cevabı yoksa sistemin gerçek güvenlik seviyesi passkey’in seviyesi değil, o kurtarma yolunun seviyesidir. Kurtarma e-posta koduyla yapılıyorsa passkey’i e-posta güvenliğine indirgemişsin demektir. Bu, yöntemi kullanmamak için bir sebep değil, kurtarmayı ciddiye almak için bir sebep.

Hangisi nerede

Seyrek giriş, tek seferlik erişim, düşük risk: OTP yeterli. Hesap zaten kullanıcının e-postasına bağlıysa ayrıca bir sır üretip saklatmanın kimseye faydası yok.

Sık giriş, uzun ömürlü hesap, ödeme bilgisi ya da kişisel veri: passkey, yanında yedek bir yöntemle. Passkey’i tek yol yapmak, cihaz kaybını hesap kaybına çeviriyor.

Parola isteyene açık kalsın, kimseye zorunlu olmasın. Kullanıcıların bir kısmı hâlâ parola yöneticisiyle çalışıyor ve onları biyometriye zorlamak deneyimi iyileştirmiyor, sadece tercihi elinden alıyor. Giriş ekranında birincil yöntemi öne çıkar, diğerlerini bir tık geriye koy; hepsini aynı anda göstermek en hızlı yoldan karar felci üretir.