İki faktörlü doğrulama kurulumu: Betroy'un dokuz adımı ve kodun 30 saniyesi
Betroy'un dokuz adımlık Authenticator kılavuzu: kod her 30 saniyede yenileniyor, cihaz güveni 30 gün sürüyor. Her adımın nedeni ve kılavuzun yazmadıkları.
Betroy iki faktörlü doğrulamayı iki sayıyla anlatıyor: uygulamanın ürettiği kod her 30 saniyede yenileniyor ve "Bu cihaza güven" seçeneği kodu 30 gün boyunca sormuyor. Kılavuz dokuz adımdan oluşuyor ve hepsi bir telefon uygulamasının etrafında dönüyor. Bu yazı o dokuz adımı sırayla yürüyor, her adımın yanına nedenini ve yapılabilecek yanlışı koyuyor.
Kılavuzu 4 Kasım 2026'da Betroy'un herkese açık yardım sayfalarından okuduk. İki faktörlü doğrulamanın girişli ekranını görmedik; menü adları yalnızca Betroy'un kılavuz metninde yazdığı kadarıyla anılıyor.
Android ve iOS bağlantıları aynı kılavuzu açıyor
Sayfanın altındaki "Güvenlik" başlığında "Android" ve "Ios" adlı iki bağlantı var. Bunları uygulama indirme sayfası sanmak kolay, ama ikisi de "İki Faktörlü Doğrulama Nasıl Aktif Edilir?" başlıklı aynı kılavuzu açıyor. Fark tek bir bağlantıda: Android sayfası Google Play'deki, iOS sayfası App Store'daki Google Authenticator uygulamasına gidiyor. Betroy'un bir mobil uygulaması olduğunu herkese açık sayfalarda görmedik; kılavuzun anlattığı uygulama Google'ındır.
İki faktörlü doğrulama kurulumu: dokuz adım
- Giriş yap ve profil menüsünü aç
Önce siteye gir, profil ikonuna tıkla. Kurulumu ortak bir bilgisayardan yapma; anahtar ekranda görünecek.
- İki Faktörlü Doğrulama sayfasına git
"Profilim" sekmesinin altındaki "İki Faktörlü Doğrulama" seçeneği işlem sayfasını açıyor.
- Kurulum anahtarını kopyala
"Authenticator kurulumu" bölümündeki anahtar, ikinci faktörün kendisidir. Ekran görüntüsünü alma, kimseye gönderme.
- Google Authenticator'ı aç
Telefonuna indirdiğin uygulamayı aç. Önce telefonun saatini otomatiğe al; kodlar cihaz saatiyle üretiliyor.
- Hesap ekleme menüsünü aç
Sağ alttaki "+" ikonuna tıkla.
- Kurulum anahtarı gir seçeneğini seç
Kopyaladığın anahtarı ilgili alana yapıştır.
- Hesaba isim ver
Hesabı Betroy diye adlandır ve "Zamana dayalı" seçeneğinin seçili olduğundan emin ol.
- Altı haneli kodu gör
Hesap eklenince uygulama altı haneli bir kod üretmeye başlıyor.
- Kodu siteye gir
Betroy sayfasına dön, kodu ilgili alana yaz ve aktivasyonu tamamla. Kod süresi dolmadan göndermelisin.
Kılavuzdaki "Zamana dayalı" ifadesi, bu işin TOTP denen standardı kullandığını gösteriyor. RFC 6238 bu standardı tanımlıyor ve varsayılan zaman adımını 30 saniye olarak yazıyor; Betroy'un 30 saniyesi de bu varsayılanla aynı.
Kod 30 saniyede biter: yazma süresi hesabı
Kodun ekrana geldiği an rastgeledir. Ona ne zaman bakacağın ise belli değil. Kodu yazmak için t saniye harcıyorsan, yazarken kodun değişme ihtimali t bölü 30'dur. Aşağıdaki tablo bu basit modelin sonuçlarını gösteriyor (model; Betroy'un sunucusunun ne kadar tolerans tanıdığını bilmiyoruz).
| Yazma süresi | Yazarken kodun değişme ihtimali | Kodun yetişme ihtimali |
|---|---|---|
| 4 saniye | %13 | %87 |
| 6 saniye | %20 | %80 |
| 8 saniye | %27 | %73 |
| 10 saniye | %33 | %67 |
| 15 saniye | %50 | %50 |
| 20 saniye | %67 | %33 |
Pratik sonuç: kodun kalan süresi beş saniyenin altındaysa yazmaya başlama, bir sonraki kodu bekle. Kodu 6–8 saniyede yazan biri dört yazışta üçünde yetişir; bir cihazdan bakıp başka cihaza yazan ve 15 saniye harcayan biri yarı yarıya kaybeder. RFC 6238, sunucunun gecikmeyi bir adımla sınırlamasını öneriyor; Betroy'un hangi pencereyi tuttuğu belirsiz olduğundan kodu hızlı kullanmak en güvenli alışkanlık.
Kod tutmuyorsa saat de suçlu olabilir. Google'ın Authenticator yardımı, yanlış kod sorununda kodun süresinin dolmadığını, doğru hesabın kodunun girildiğini ve cihaz saatinin yerel saat dilimine göre doğru olduğunu kontrol etmeyi söylüyor.
"Bu cihaza güven": 30 gün hesabı
Kılavuz, bu seçeneği açarsan aynı cihazdan 30 gün boyunca doğrulama kodu girmeden giriş yapabileceğini yazıyor. 30 günün sonunda ne olacağını yazmıyor; kodun yeniden istenmesini bekle. Aşağıdaki tablo seçeneğin kod girişi sayısını nasıl değiştirdiğini gösteriyor.
| Giriş sıklığı | Güven kapalıyken 30 günde kod girişi | Güven açıkken |
|---|---|---|
| Günde 1 giriş | 30 | 1 |
| Günde 2 giriş | 60 | 1 |
| Haftada 3 giriş | 13 | 1 |
| Ayda 4 giriş | 4 | 1 |
Rakam cazip, ama bu seçeneği yalnızca kendi telefonunda ya da kendi bilgisayarında aç. Ortak bir cihazda açarsan o cihazı kullanan herkes 30 gün kod sormadan hesabına girebilir; şifren ise zaten oradaysa (tarayıcı kaydettiyse) ikinci faktörün anlamı kalmaz. Ayrıntı için ortak bilgisayar yazısına bak.
Kurulum anahtarı neden sır
RFC 6238, iki tarafın aynı gizli anahtarı paylaştığını ve anahtarın saklandığı yerin güvenli olması gerektiğini söylüyor. Kılavuzdaki "kurulum anahtarı" tam olarak bu paylaşılan anahtar. Anahtarı bilen biri, telefonuna ihtiyaç duymadan aynı kodları üretir.
- Anahtarı yalnızca kurulum sırasında göster ve kopyala.
- Parola yöneticisinin güvenli notuna kaydedebilirsin; açık bir not defterine yazma.
- Anahtarı kimseyle paylaşma; kim olduğunu söylerse söylesin isteyeni reddet. Betroy'un destek ekibinin hangi bilgileri isteyeceği herkese açık sayfalarda yazmıyor, bu yüzden ilke şu: anahtar ve kod yazışmaya girmez.
Kuruluma başlamadan önce üç hazırlık
- Saat. Telefonda tarih ve saati otomatik yap. Kodlar saate dayalı olduğu için saat kayması, "kod yanlış" diyen bir ekranın olası nedenlerinden biridir.
- Uygulama. Google Authenticator'ı Google Play ya da App Store'dan indir; kılavuzun verdiği bağlantılar bunlar.
- Yedek. Telefonunu değiştirirsen ne olacağını önceden düşün; Authenticator kodlarını Google hesabınla eşitleyebiliyorsun. Taşıma adımları telefon değiştirme yazısında.
Kurulum sırasında takılırsan
| Gördüğün | Olası neden | Ne yap |
|---|---|---|
| Kod "yanlış" deniyor | Kodun süresi dolmuş, telefon saati kaymış ya da başka hizmetin kodunu girmişsin | Yeni kodu bekle, saati otomatiğe al, listede doğru hesabı seç |
| Anahtar uygulamaya yapışmıyor | Kopyalarken boşluk ya da satır sonu gelmiş | Anahtarı yeniden kopyala, başı sonu boşluksuz yapıştır |
| Hesap listede görünmüyor | Authenticator başka bir Google hesabında açık ya da oturum kapanmış | Uygulamanın hangi hesapla açık olduğuna bak |
| Kod her seferinde reddediliyor | Anahtar eksik kopyalanmış | Kurulumu baştan başlat; olmazsa destekten yazılı yanıt iste |
Tablonun üçüncü satırı, Google'ın yardım sayfasındaki bir uyarıdan geliyor: kodlar görünmüyorsa Google hesabının oturumunu ve kodların başka bir hesaba kaydedilip kaydedilmediğini kontrol etmek gerekiyor.
Kurulumdan hemen sonra sına
Aktivasyon biter bitmez çıkış yap, giriş penceresine dön ve baştan gir. Üç şeye bak: kod ekranı geldi mi, kod ilk denemede tuttu mu, "Bu cihaza güven" kutusunu bilerek mi seçtin ya da bıraktın? Sınamayı kurulum anahtarı hâlâ elinin altındayken yap; bir hata çıkarsa saati ve doğru hesabın kodunu girdiğini kontrol et, olmazsa destek yazışmasına geç. Cuma gecesi ilk kez kod ekranıyla karşılaşmak, sınamayı Salı öğleden sonra yapmaktan daha pahalıya mal olur.
Kılavuzun yazmadıkları
Kılavuz şunları anlatmıyor: telefon kaybolursa ne olacağını, yedek kod verilip verilmediğini, SMS ya da e-posta ile doğrulama seçeneği bulunup bulunmadığını, doğrulamayı kapatmanın yolunu ve "Bu cihaza güven" kaydının nasıl iptal edildiğini. Herkese açık sayfalarda bu konular yok; hesaba girmeden de göremiyoruz. Bu boşluklar için destek yazışmasında şablonu kullan ve yanıtı yazılı iste.
Girişte kod ekranına takılıyorsan sorun giderme sırası da giriş tanı ağacında yazılı; kurulumu ilk günün diğer işleriyle birlikte hesap güvenliği takviminde bulursun.