Passkey Nedir? Şifresiz Giriş Nasıl Kurulur ve Yedeklenir

Passkey nedir diye soran çoğu kişi aslında şunu merak ediyor: parolam olmadan hesabım nasıl güvende kalır? Cevap, siteye hiç gönderilmeyen bir özel anahtarda. Bu yazıda passkey'in arka planını, eşitlenen ve cihaza bağlı türlerin farkını, Google hesabında kurulumu, başka cihazdan girişi ve telefonun kaybolduğunda ne olacağını adım adım göreceksin.

Passkey nedir ve nasıl çalışır?

Passkey, FIDO standartlarına dayanan bir giriş kimlik bilgisidir. Google arayüzünde "geçiş anahtarı" adıyla geçer. Parolanın yerini bir anahtar çifti alır: özel anahtar ve açık anahtar.

Kayıt ve giriş şöyle işler:

1. Passkey oluşturduğunda cihazın bu site için yeni bir anahtar çifti üretir.
2. Açık anahtar siteye gider. Özel anahtar sende kalır.
3. Giriş yaparken site rastgele bir sınama gönderir.
4. Cihazın kilidini parmak izi, yüz ya da PIN ile açarsın.
5. Cihaz sınamayı özel anahtarla imzalar, site imzayı açık anahtarla doğrular.

İki ayrıntı passkey'i parolanın önüne geçirir. Birincisi, sitenin veritabanı sızsa bile içinde yalnız açık anahtarlar vardır ve bunlarla kimse giriş yapamaz. İkincisi, passkey yalnız kayıt olduğu alan adında imza üretir. Sahte bir giriş sayfası bu yüzden hiçbir işe yarar imza alamaz. Anahtar çiftinin matematik tarafını simetrik ve asimetrik şifreleme yazısında anlattık.

Passkey'in diğer yöntemler arasındaki yerini ve oltalamaya karşı neden en sağlam seçenek sayıldığını iki adımlı doğrulama rehberinde karşılaştırdık. Bu yazı kurulum ve günlük kullanıma odaklanıyor.

Passkey paroladan neden daha güvenlidir?

Parolanın sorunu, bir sırrın her girişte ağ üzerinden siteye gitmesidir. O sır sahte bir sayfaya da yazılabilir, sızan bir veritabanından kırılabilir ya da başka sitede denenebilir. Passkey bu üç yolu birden kapatır.

Son satır önemli. Passkey girişi korur, girişten sonraki oturumu değil. Cihazını temiz tutmak bu yüzden hâlâ senin işin.

Parolaların sızıntıdan sonra nasıl kırıldığını parolalar neden hızlı kırılır yazısında anlattık. FIDO Alliance'ın 2024'te yaptırdığı ankette katılımcıların yüzde 53'ü en az bir hesabında passkey açtığını söyledi.

Eşitlenen passkey ile cihaza bağlı passkey arasındaki fark nedir?

Passkey'ler iki türe ayrılır. Seçimin, kayıp ve kurtarma senaryonu doğrudan etkiler.

FIDO Alliance'a göre passkey eşitlemesi uçtan uca şifrelidir. NIST'in Temmuz 2025'te yayımlanan SP 800-63B-4 rehberi de eşitlenen anahtarların yalnız şifreli olarak saklanmasını ve eşitleme hesabına erişimin çok faktörlü doğrulamayla korunmasını şart koşar. Aynı rehber, eşitlemenin dışarı aktarılamazlık kuralını bozduğu için bu anahtarları en yüksek seviye olan AAL3'e kabul etmez.

Günlük kullanım için eşitlenen passkey çoğu kişiye uygundur. Çok değerli bir hesabı korumak istiyorsan ek olarak bir donanım güvenlik anahtarı tanımla.

Google hesabında passkey nasıl oluşturulur?

Google'ın yardım sayfasındaki akış kısa:

1. myaccount.google.com/signinoptions/passkeys adresini aç.
2. Geçiş anahtarı oluşturun seçeneğine dokun.
3. Cihazının kilidini parmak izi, yüz ya da PIN ile aç.
4. Passkey'i kullanmak istediğin her cihazda işlemi tekrarla.

iPhone, iPad ve Mac'te bunun için iCloud Anahtar Zinciri'nin açık olması gerekir. Android cihazlar Google hesabın için passkey'i kendiliğinden oluşturabilir. Bir parola yöneticisi kullanıyorsan passkey orada da saklanabilir.

Kurulumdan sonra çıkış yapıp passkey ile yeniden gir ve çalıştığını gör. Google'ın güvenlik ayarlarındaki Mümkün olduğunda şifreyi atla seçeneği açıksa giriş ekranı şifre yerine önce passkey ister. Paylaşılan bir cihazda passkey oluşturma. Google'ın uyarısına göre o cihazın kilidini açabilen herkes hesabına girebilir.

Başka bir cihazda passkey ile nasıl giriş yapılır?

Passkey'in telefondaysa ve iş yerindeki bilgisayardan girmen gerekiyorsa karekodlu giriş kullanırsın:

1. Bilgisayarda giriş sayfasında kullanıcı adını yaz.
2. Başka bir yöntem ya da başka bir cihaz seçeneğini seç.
3. Ekranda çıkan karekodu telefonunla okut.
4. Telefonda kilidi açıp girişi onayla.

Bu sırada iki cihazda Bluetooth açık olmalıdır. FIDO'nun tanımına göre Bluetooth Low Energy, telefonun gerçekten bilgisayarın yanında olduğunu doğrular. Böylece karekodun ekran görüntüsünü uzaktan ele geçiren biri girişi tamamlayamaz.

Telefonunu kaybedersen passkey'lerine ne olur?

Kayıp senaryosunu passkey'i açtığın gün planla. Eşitlenen passkey'ler kaybolmaz, yeni cihazda eşitleme hesabına girince geri gelir. Yine de kaybolan cihazı hesaplarından ayırman gerekir:

1. Erişebildiğin başka bir cihazdan Google hesabına gir.
2. Güvenlik ve oturum açma bölümünde Geçiş anahtarları ve güvenlik anahtarları listesini aç.
3. Kaybolan cihaza ait passkey'i seç ve Kaldır de.
4. Cihazlarınız listesinden kaybolan cihazın oturumunu kapat.

Google'a göre ekran kilidi açılmadan passkey kullanılamaz. Google şüpheli bulduğu bir passkey'i devre dışı bırakıp seni bilgilendirir. Bu bildirimi 30 gün içinde onaylamazsan o passkey silinir. Kaybettiğin cihazda bir kimlik bilgisi yöneticisi kullandıysan passkey'i oradan da kaldırman gerekebilir. Bu yüzden telefonunda tahmin edilmesi zor bir PIN kullan. Yalnız tek cihazda passkey'i olan hesaplar için ikinci bir yol hazır tut: başka bir cihazda ikinci passkey, bir güvenlik anahtarı ya da yedek kodlar.

Passkey hakkında yaygın yanlışlar nelerdir?

• "Parmak izim siteye gidiyor." Gitmez. Biyometrik doğrulama cihazında yapılır, siteye yalnız imza gider.
• "Passkey açtım, artık hiçbir şey olmaz." Eşitlendiği bulut hesabı en zayıf halkadır. O hesabı güçlü bir parola ve çok faktörlü doğrulamayla koru.
• "Passkey zararlı yazılımı da durdurur." Durdurmaz. Girişten sonra tarayıcıda bir oturum çerezi oluşur. Cihazına bulaşan bilgi hırsızı bu çerezi çalabilir. Bu riski çerez nedir yazısında anlattık.
• "Passkey yalnız telefonda çalışır." Bilgisayarlar ve tabletler de passkey oluşturup kullanabilir.
• "Passkey açınca eski parola önemsizleşir." Çoğu hizmet parolayı kurtarma için saklamaya devam eder. Silmiyorsan uzun ve benzersiz tut.

Passkey'e geçişte hangi sırayla ilerlemelisin?

Önce diğer hesaplarının kurtarma yolu olan e-posta hesabından başla. Ardından parola yöneticisi ya da Apple ve Google hesabın gibi passkey'lerinin eşitlendiği hesabı güçlendir. Sonra banka, bulut depolama, sosyal medya ve alışveriş hesaplarında passkey seçeneğini ara.

Passkey desteklemeyen hesaplarda uzun ve benzersiz parola ile iki adımlı doğrulamaya devam edeceksin. Bu parolaları yönetmenin yolu parola yöneticisi rehberinde var. Parolaları neden takvimle değiştirmen gerekmediğini de şifre değiştirme sıklığı yazısında anlattık. Kavramları pekiştirmek istersen Parola oyununda ipuçlarından güvenlik terimlerini bulmayı dene.

Kaynaklar

• FIDO Alliance: Passkeys
• Google Hesabı Yardımı: Geçiş anahtarıyla oturum açma
• NIST SP 800-63B-4: Kimlik doğrulama ve eşitlenebilir doğrulayıcılar (Ek B)
• NIST CSRC: SP 800-63B-4 yayın kaydı (Temmuz 2025)