Passkey Nedir? KOBİ’ler İçin Şifresiz Girişe Geçiş Rehberi

Şirket hesabına giriş sorunu yalnız unutulan şifrelerden oluşmaz. Sahte giriş sayfaları, paylaşılan hesaplar, kaybolan telefonlar ve yardım masasından aceleyle yapılan kurtarmalar aynı erişim zincirinin parçalarıdır. Passkey, bu zincirin giriş adımını güçlendirmek için değerlendirilebilecek bir yöntemdir.

KOBİ’ler için doğru başlangıç, bütün şifreleri bir günde kaldırmak değil; kritik hesapları, kullanılan cihazları ve kurtarma yolunu birlikte planlamaktır. Bu yazıdaki geçiş sırası bir uygulama önerisidir; herhangi bir ürünün bütün şirketlerde aynı özellikleri sunduğu varsayılmaz.

Passkey nedir?

Passkey (geçiş anahtarı), parolanın yerine kullanılabilen kriptografik bir kimlik bilgisidir. Kullanıcı, cihazındaki PIN veya uygun bir yerel doğrulama yöntemiyle girişe onay verir. Hizmet, paylaşılan bir parola yerine anahtar çiftine dayalı doğrulamayı kullanır. FIDO Alliance’ın passkey açıklaması temel yaklaşımı anlatıyor.

Bu, şirketin çalışanların parmak izi veya yüz görüntülerini kendi sunucusunda toplaması gerektiği anlamına gelmez. Passkey akışında kullanılan biyometrik doğrulama cihazda gerçekleşir; sunucuya biyometrik örnek gönderilmez. PIN ile kullanım seçeneği de cihaz ve yapılandırmaya bağlı olarak bulunabilir. Bu ayrıntı, mesai takibi için biyometrik veri toplamaktan farklı bir kullanım senaryosudur.

Oltalama saldırılarına karşı neden önemlidir?

Passkey/WebAuthn yaklaşımında kimlik bilgisi ilgili hizmetin alan adıyla ilişkilidir. Benzer görünen sahte bir alan adı, gerçek hizmete ait anahtarı normal giriş akışıyla kullanamaz. MDN’nin passkey rehberi bu alan adı bağını açıklıyor.

SMS veya uygulamadan alınan tek kullanımlık kodlar bazı saldırı risklerini azaltabilir; ancak kullanıcıdan kodun elle girilmesini isteyen yöntemler aynı oltalama direncini sağlamaz. NIST SP 800-63B-4 bu ayrımı teknik olarak ele alır.

Yine de passkey bütün hesap risklerini ortadan kaldırmaz. Açık oturumun ele geçirilmesi, zararlı yazılım ve zayıf hesap kurtarma süreçleri ayrıca yönetilmelidir. Oltalama korunma rehberimizdeki ekip doğrulama alışkanlıkları önemini korur.

Eşitlenen ve cihaza bağlı passkey arasındaki fark

Passkey’in nerede tutulduğunu ve nasıl kurtarıldığını bilmek gerekir. Eşitlenen anahtarlar, sağlayıcının yönettiği hesap üzerinden birden fazla cihazda kullanılabilir. Cihaza bağlı anahtarlar belirli cihazda veya güvenlik anahtarında kalır. Microsoft Entra’nın güncel SSS’si, eşitleme kolaylığı ile sıkı cihaz kontrolünün ayrı değerlendirilmesi gerektiğini açıklıyor.

Seçim	Değerlendirilecek konu
Eşitlenen passkey	Sağlayıcı hesabının sahipliği, kurtarma ve kurumsal yönetim
Cihaza bağlı passkey	Cihaz kaybı, yedek anahtar ve dağıtım süreci
Donanım güvenlik anahtarı	Tedarik, kayıt, fiziksel saklama ve iptal
Ortak kullanılan bilgisayar	Kişisel giriş, oturum ayrımı ve cihaz politikası

Bir çalışan hesabının kişisel cihaz ekosistemine kontrolsüz bağlanması ile kurumca yönetilen bir kayıt süreci aynı şey değildir. Hangi seçeneklerin desteklendiğini seçtiğiniz kimlik hizmetinin güncel belgelerinden ve yönetim ekranından doğrulayın.

Geçişe hangi hesaplardan başlamalı?

Önce erişim envanteri çıkarın: e-posta, yönetici konsolları, kod depoları, müşteri yönetimi ve e-ticaret panelleri. Her hesap için sahibini, giriş yöntemlerini, kurtarma kişisini ve işlem yetkisini kaydedin. Ortak kullanılan hesapları da görünür kılın.

Önerdiğimiz pilot, küçük bir yönetici veya teknik ekip grubuyla başlar. Ana cihaz, yedek erişim yolu ve destek sorumlusu belirlenir. En azından yeni cihaz kaydı, cihaz kaybı ve çalışan ayrılışı senaryoları denenmeden kapsam genişletilmez.

Üretim hesabında şifreyi kaldırmadan önce sağlayıcının desteklediği yöntemleri ve zorunlu erişim ihtiyaçlarını inceleyin. Bir yöntemi açmak, eski ve daha zayıf bütün giriş yollarının kendiliğinden kapandığı anlamına gelmez.

Kurtarma yolu, giriş kadar güçlü olmalı

Telefonunu kaybeden bir çalışan nasıl erişim kazanacak? Yönetici kimliğini hangi kanıtla doğrulayacak? Son anahtar yanlışlıkla kaldırılırsa ne olacak? Bu soruların cevabı “destek ekibine yazar” seviyesinde kalmamalı.

Kurumun desteklediği yedek anahtarı veya alternatif güçlü yöntemi önceden kaydedin. Kurtarma yetkisini sınırlayın ve yapılan değişiklikleri kaydedin. Çalışan ayrıldığında kayıtlı anahtarların yanında aktif oturumların ve uygulama erişimlerinin de ele alınmasını sağlayın. İş sürekliliği planınız yönetici hesabına erişilememesi senaryosunu kapsasın.

Küçük pilot için kabul ölçütleri

Başarıyı yalnız kaç kişinin passkey kaydettiğiyle ölçmeyin. Gerçek girişlerde kullanım oranı, başarısız girişler, destek talepleri, kurtarma denemeleri ve açık kalan eski yöntemler birlikte izlenmeli.

Pilot sonunda şu sorulara cevap verilebilmeli: Kullanıcı onaylı cihazıyla girebiliyor mu? Yedek yöntem denenmiş mi? Kayıp anahtar iptal edilebiliyor mu? Yeni anahtar ekleme işlemi yeterince korunuyor mu? Paylaşılan bilgisayarda başka bir kullanıcının oturumu açık kalıyor mu?

Mevcut yazılımınızda passkey desteği bulunmuyorsa kimlik sağlayıcısı entegrasyonu veya uygulama geliştirmesi gerekebilir. Lumethis, özel yazılım ve entegrasyon çalışmalarında giriş, yetkilendirme ve hesap yaşam döngüsünü birlikte ele alabilir. Mevcut erişim yapınızı değerlendirmek için bizimle iletişime geçin.

Teknik kaynaklar 1 Kasım 2026’da kontrol edildi. Desteklenen cihazlar ve yönetim özellikleri kullanılan hizmete göre değişir; geçişten önce kendi ortamınızda doğrulayın.