İki Adımlı Doğrulama (2FA)

Purvisor hesabın tek bir kapıdan açılır: şifren. O kapıdan çağrı kayıtlarına, kontak listene, API anahtarına ve fatura bilgilerine ulaşılır — hepsi aynı anahtarın arkasında. Şifre bir phishing e-postasıyla, sızmış bir şifre listesiyle ya da omzunun üstünden bakan biriyle ele geçerse, tek faktörle içeri girilir. Purvisor’daki API anahtarı da aynı durumdadır: elinde olan, hesabın adına arama başlatabilir. İki Adımlı Doğrulama (2FA), girişe telefonundaki bir authenticator uygulamasının ürettiği, 30 saniyede bir değişen 6 haneli bir kod daha ekler — şifreni bilen biri, telefonun olmadan hesabına giremez.

Neden önemli?

Şifre + 2FA’yı ev kapısında hem anahtar hem parmak izi okuyucu olması gibi düşünebilirsin: biri anahtarını çalsa da parmak izin olmadan içeri giremez. Purvisor’da işlediğin veriler (kontak telefon numaraları, çağrı kayıtları, görüşme transkriptleri) KVKK kapsamında kişisel veridir — hesabına yetkisiz erişim, bu verilere de yetkisiz erişim demektir. 2FA, bu riski en düşük maliyetle azaltan önlemdir. Detay: KVKK ve Veri Yönetimi.

“Zaten güçlü bir şifrem var” itirazı geçerli değil — güçlü şifreler de phishing sayfalarına yazılabilir veya başka bir sitede sızan aynı şifre burada da denenebilir. 2FA, şifre ele geçse bile ikinci bir engel koyar.

Nasıl çalışır?

Ayarlar → "İki Adımlı Doğrulama (2FA)" kartı → "2FA Kur"
        ↓ (POST /api/user/2fa/setup)
Purvisor yeni bir TOTP anahtarı üretir + QR kod döner
        (2FA HENÜZ ETKİN DEĞİL — bu adımda kilitlenme riski yok)
        ↓
QR kod authenticator uygulamasına okutulur
(Google Authenticator, Authy, 1Password vb. — RFC 6238 uyumlu her uygulama)
        ↓ (POST /api/user/2fa/verify — ilk kod girilir)
Kod doğrulanır → 2FA ETKİNLEŞİR + 10 kurtarma kodu üretilir (bir kerelik gösterim)
        ↓
Sonraki girişlerde: şifre doğru girilir → 6 haneli kod istenir → giriş tamamlanır

Kurulum

Kurtarma kodları

Telefonunu kaybedersen ya da authenticator uygulamana erişemezsen, kurtarma kodlarından biriyle 2FA adımını geçip giriş yapabilirsin.

Kurtarma kodlarına ekleme yapılmaz. Birkaçını kullandıktan sonra yeni bir set almanın tek yolu 2FA’yı devre dışı bırakıp yeniden kurmaktır — bu, yeni bir QR kod ve yeni 10 kurtarma kodu üretir.

Giriş yaparken ne olur?

2FA etkinken şifreni girmen girişi tek başına tamamlamaz:

1. E-posta + şifre doğru girilir.
2. Şifre yanlışsa 2FA adımı hiç görünmez — bu, şifreni bilmeyen birinin “bu hesapta 2FA var mı” bilgisini bile öğrenememesini sağlar.
3. Şifre doğruysa, 6 haneli authenticator kodu veya bir kurtarma kodu istenir.
4. Kod doğrulanır (ya da kurtarma kodu tüketilir) → giriş tamamlanır.

2FA’yı devre dışı bırakma

Ayarlar → İki Adımlı Doğrulama (2FA) kartında 2FA’yı Devre Dışı Bırak’a tıkla. Kapatmak için de geçerli bir authenticator kodu veya kullanılmamış bir kurtarma kodu girmen gerekir — oturumun ele geçirilmiş olsa bile 2FA sessizce kapatılamaz.

Devre dışı bırakınca TOTP anahtarı silinir ve kalan tüm kurtarma kodları geçersizleşir. Tekrar açarsan tamamen yeni bir QR kod ve yeni 10 kurtarma kodu üretilir; eski kodlar geçerli olmaz.

Kilitlenmeyi önleyen mantık

Kurulum (QR kod üretimi) ile etkinleştirme (ilk kod doğrulama) bilerek iki ayrı adıma bölünmüştür. Bunun nedeni basit: QR kod okutulur okutulmaz 2FA etkinleşseydi ve authenticator uygulaman saatinle senkron değilse — ya da QR’ı yanlış okutmuşsan — bir sonraki girişte hesabından dışarıda kalabilirdin. Purvisor bunun yerine önce kodun gerçekten çalıştığını doğrular, ancak o zaman kilidi devreye sokar. Aynı korumanın bir parçası olarak sistem, hesabında zaten etkin bir 2FA varken ikinci bir kurulum başlatmana da izin vermez — önce mevcutu kapatman istenir.

İyi uygulamalar

• Kurtarma kodlarını Purvisor dışında sakla — yazıcı çıktısı veya bir parola yöneticisi; telefonda ekran görüntüsü olarak bırakma.
• Bulut yedekli bir authenticator kullan (Authy, 1Password gibi) — telefon değişiminde QR’ı yeniden okutmak zorunda kalmazsın.
• Kurtarma kodların azaldıysa yeni set almak için 2FA’yı kapatıp yeniden kur; bekleme riskli bir tercih değildir, kapatma adımı da kod ister.

Sorun giderme

İlgili