Şifre Ne Sıklıkla Değiştirilmeli? NIST'in Güncel Yanıtı

Şifre ne sıklıkla değiştirilmeli sorusunun güncel cevabı şu: takvime göre değil, bir şüphe ya da kanıt olduğunda. ABD'nin standart kurumu NIST, Temmuz 2025'te yayımladığı SP 800-63B-4 rehberinde düzenli aralıklarla zorunlu şifre değişimini açıkça yasakladı. Aynı rehber, şifrenin çalındığına dair iz varsa değişimi zorunlu tutuyor. Bu yazıda kuralın ayrıntısını, nedenini ve günlük hayatta ne yapacağını göreceksin.

Şifre ne sıklıkla değiştirilmeli, NIST ne diyor?

NIST'in dijital kimlik rehberi, devlet kurumları için yazılmış olsa da dünyada parola politikalarının en sık başvurulan kaynağıdır. SP 800-63B-4'ün parola doğrulayıcılarla ilgili bölümü şu kuralları koyar:

Bu yön değişikliği yeni değil. NIST'in 2017'de yayımladığı önceki sürüm de keyfi ya da düzenli şifre değişimini istememeyi tavsiye ediyordu. 2025 sürümü bu tavsiyeyi "yapılmayacak" diye yazılan kesin bir kurala çevirdi. Değişim sıklığı yerine şifrenin uzunluğuna, sızıntı kontrolüne ve çok faktörlü doğrulamaya ağırlık verdi.

Rehber ayrıca başarısız deneme sayısını sınırlamayı da şart koşar. Arka arkaya en çok 100 başarısız denemeden sonra hesap ya da doğrulayıcı kilitlenmelidir. Bu sınırın kaba kuvvet denemelerine karşı nasıl çalıştığını Hydra ve brute-force savunması yazısında görebilirsin.

Zorunlu şifre değişimi neden işe yaramıyor?

Zorunlu değişim, insanın nasıl davrandığını hesaba katmaz. ABD Federal Ticaret Komisyonu'nun baş teknoloji uzmanı Lorrie Cranor 2016'da bunu açıkça yazdı: sık değiştirmek zorunda kalan kullanıcılar baştan daha zayıf şifre seçiyor ve sonra onu saldırganın kolayca tahmin edebileceği biçimde değiştiriyor.

Tipik dönüşümler şunlardır:

• Sona ay, yıl ya da artan bir rakam eklemek: "Ankara2025" yerine "Ankara2026".
• Bir harfi benzer bir sembolle değiştirmek: "a" yerine "@".
• İki şifre arasında gidip gelmek.
• Yeni şifreyi unutmamak için not kâğıdına ya da telefona açık yazmak.

Saldırganlar bu kalıpları bildiği için tahmin listelerine ekler. Eski şifreni ele geçiren biri, yenisini birkaç denemede bulabilir. Üstelik çalınan bir şifre genellikle hemen kullanılır. Aylar sonra gelen bir değişim, çoktan yaşanmış zararı geri almaz.

Uzunluğun neden belirleyici olduğunu ve saldırganın sızan şifreleri nasıl denediğini parolalar neden hızlı kırılır yazısında anlattık.

Hangi durumda şifreni hemen değiştirmelisin?

Değişimi takvime değil olaya bağla. Aşağıdaki durumlardan biri yaşandığında beklemeden harekete geç.

Bir şifrenin sızıntıda geçip geçmediğini öğrenmenin yollarını şifre sızıntısı kontrol rehberinde bulabilirsin.

Türkiye'de kurumlar ne öneriyor?

Türkiye'de her kurum NIST'in yeni yaklaşımını benimsemiş değil. e-Devlet Kapısı'nın güvenlik sayfası bugün hâlâ üç ayda bir şifre değişikliği öneriyor ve büyük harf, küçük harf, rakam ile özel karakter karışımı istiyor. Bu bir öneridir ve e-Devlet'in şifre ekranındaki kurallara uyman gerekir.

Çelişki göründüğü kadar büyük değil. İki kaynak da şunda birleşir: şifre tahmin edilemez olmalı, kimseyle paylaşılmamalı ve başka bir hesapta kullanılmamalı. Bir kurumun kuralı varsa ona uy. Kural yoksa takvim yerine olaya dayalı değişimi esas al.

İş yerinde zorunlu değişim politikası varsa her seferinde tamamen yeni bir şifre seç. Eskisinin küçük bir değişikliği, değişim yapmamakla neredeyse aynı korumayı verir. Bilgi güvenliği birimine NIST rehberini iletip politikanın gözden geçirilmesini önerebilirsin.

Şifre değiştirirken hangi hatalardan kaçınmalısın?

Değişim gerektiğinde bile yanlış yapılan bir değişim işe yaramaz. En sık görülen hatalar şunlar:

• Eski şifreyi biraz değiştirmek: Saldırganın elinde eski şifren varsa ilk denediği şey sonuna rakam eklemek ya da bir harfi değiştirmektir. Yeni şifre eskisiyle hiçbir ortak parça taşımamalı.
• Kirli cihazdan değiştirmek: Cihazında bilgi hırsızı zararlı yazılım varsa yeni şifren de aynı yoldan gider. Önce cihazı temizle.
• Yalnız bir hesabı değiştirmek: Aynı şifreyi başka yerde kullandıysan hepsi risk altındadır. Değişimi o şifrenin geçtiği her hesaba yay.
• Oturumları açık bırakmak: Bazı hizmetlerde şifre değişince diğer oturumlar kendiliğinden kapanmaz. Cihaz listesinden tanımadıklarını ayrıca kapat.
• Kurtarma bilgilerini unutmak: Saldırgan kendi telefonunu ya da e-postasını kurtarma yöntemi olarak eklediyse şifreyi yeniden sıfırlayabilir. Kurtarma bilgilerinin sana ait olduğunu doğrula.

Kurumlar için doğru parola politikası nasıl olmalı?

Bir şirkette ya da okulda sistem yöneticisiysen NIST'in yeni yaklaşımını şu adımlarla uygulayabilirsin:

1. Takvime bağlı zorunlu değişimi kaldır, ele geçirilme kanıtı olduğunda değişimi zorunlu tut.
2. En az uzunluğu tek başına kullanılan şifrelerde 15, çok faktörlü girişin parçası olanlarda 8 karakter yap.
3. Karakter türü karıştırma kuralı yerine yeni şifreleri sızmış ve yaygın şifreler listesiyle karşılaştır.
4. Başarısız denemeleri sınırla ve şüpheli girişleri günlükte izle.
5. Parola yöneticilerine ve yapıştırmaya izin ver, güvenlik sorularını kaldır.
6. Önemli sistemlerde çok faktörlü doğrulamayı zorunlu tut.

Başarısız giriş denemelerinin Windows günlüğünde nasıl göründüğünü saha görevlerinde bir parola püskürtme saldırısının izini sürerek görebilirsin.

Takvim yerine neye zaman ayırmalısın?

Şifre değiştirmeye harcayacağın enerjiyi daha çok koruma sağlayan işlere ayır. Öncelik sırası şöyle olsun:

1. Her hesaba ayrı şifre: Bir sızıntının diğer hesaplarına sıçramasını engeller. Bunu ezberle yapamazsın, parola yöneticisi kullan.
2. Uzunluk: Birbiriyle ilgisiz birkaç kelimeden oluşan bir ifade seç.
3. İki adımlı doğrulama: Şifren çalınsa bile ikinci adımı geçemeyen kişi giremez.
4. Passkey: Destekleyen hesaplarda şifreyi tamamen devreden çıkar. Kurulumu passkey rehberinde anlattık.
5. Sızıntı takibi: Parola yöneticinin ya da tarayıcının sızıntı uyarılarını aç, haveibeenpwned.com gibi hizmetlerle e-posta adresini kontrol et.

Bu beş adım, ayda bir şifre değiştirmekten çok daha fazla korur. Yılda bir kez de parola yöneticindeki zayıf ve tekrar eden şifreleri listeleyip düzelt, kullanmadığın eski hesapları kapat. Kavramları eğlenceli biçimde pekiştirmek istersen Parola oyununda takımınla güvenlik terimlerini bulmayı dene.

Kaynaklar

• NIST SP 800-63B-4: Parola doğrulayıcıları bölümü
• NIST CSRC: SP 800-63B-4 yayın kaydı (Temmuz 2025)
• NIST SP 800-63B (2017 sürümü): Ezberlenen sır doğrulayıcıları
• FTC Tech Blog: Time to rethink mandatory password changes (2016)
• e-Devlet Kapısı: Güvenliğiniz için, şifre önerileri