Çoğu panel sahibi iki faktörlü doğrulamayı bir ayar olarak görür: açtın, bitti. Gerçekte 2FA bir ayar değil, bir süreç tasarımıdır. Bayilerine "isteğe bağlı" olarak sunduğun gün istatistik hep aynı çıkar: en fazla beş kişiden biri açar, açanlar da zaten dikkatli olanlardır. Riskin yoğunlaştığı yer, yüksek hacimli ama en özensiz bayidir ve o kişi kutuyu asla işaretlemez. Sonra bir sabah bakiyesi boşalır, tartışma sana gelir ve telafiyi sen yaparsın.
Bu yazıda 2FA'yı "zorunlu" yapmanın teknik tarafından çok, kimseyi dışarıda bırakmadan zorunlu kılmanın tarafını konuşuyoruz. Hangi ikinci faktörün e-pin işine uyduğunu, SMS'in neden yanlış tercih olduğunu, kurtarma kodlarının nasıl verileceğini, destek ekibinin "telefonumu değiştirdim" çağrılarını nasıl karşılayacağını ve bir dijital ürün satış yazılımı içinde bu akışın hangi noktalarda kırıldığını anlatıyoruz.
SMS ile doğrulama neden yanlış başlangıç?
SMS, kullanıcının en alışık olduğu yöntem olduğu için cazip görünür. Ama e-pin ve dijital ürün satışı, operatör tarafındaki sosyal mühendisliğe fazlasıyla açık bir sektör. SIM takası saldırısında saldırgan numarayı kendi kartına taşır ve ikinci faktör bir anda ona ait olur. Üstüne mesaj başına maliyet, teslimat gecikmeleri ve yurt dışı bayilerde ulaşamama sorunu biner.
TOTP yani uygulama tabanlı zaman senkronize kod, bu işin varsayılanı olmalı. Cihazda çalışır, internete ihtiyaç duymaz, maliyeti sıfırdır ve operatör zincirini denklemden çıkarır. Yüksek riskli yönetici rolleri için üstüne donanım anahtarı (WebAuthn) opsiyonu sunarsın. SMS'i ise yalnızca "hiçbir şeyi kuramayan bayi" için son çare olarak, düşük işlem limitiyle birlikte bırakabilirsin. Bu ayrımı yapmayan bir epin yazılım kurulumunda 2FA, güvenlik değil rahatlık tiyatrosuna dönüşür.
| Yöntem | SIM takasına dayanıklılık | Oltalamaya dayanıklılık | Maliyet | Önerilen rol |
|---|---|---|---|---|
| SMS kodu | Zayıf | Zayıf | Mesaj başına | Son çare, limitli |
| E-posta kodu | Orta | Zayıf | Düşük | Yedek kanal |
| TOTP uygulaması | Güçlü | Orta | Sıfır | Tüm bayiler |
| Push onayı | Güçlü | Orta | Altyapı | Büyük bayiler |
| WebAuthn / donanım anahtarı | Çok güçlü | Çok güçlü | Cihaz bedeli | Yönetici, finans |
| Kurtarma kodları | Güçlü | Orta | Sıfır | Yalnızca yedek |
Zorunlu kılmayı nasıl kademelendirirsin?
Bir sabah bütün bayilere "bugünden itibaren zorunlu" demek, destek kanalını kilitlemenin ve o gün satış kaybetmenin en garantili yoludur. Bunun yerine risk tabanlı bir merdiven kur. Birinci basamak: yeni kayıtlarda 2FA kurulumu onboarding'in parçası, opsiyon değil. İkinci basamak: bakiyesi veya aylık hacmi belirli eşiği aşan mevcut bayilere yedi günlük sayaç. Üçüncü basamak: kalan herkese 30 gün.
Sayaç döneminde engelleme değil hatırlatma kullan. Panelin üstünde kalan gün sayısını gösteren tek satırlık bir şerit, girişte kapatılabilir bir modal ve son üç günde e-posta. Süre bitince giriş yapabilsin ama para hareketi ve toplu kod çekme kapansın. Böylece bayiyi tamamen dışarıda bırakmazsın, yalnızca riskli eylemi kilitlersin. Deneyimimiz şu: bu kurguda 30 gün sonunda kapsama oranı yüzde doksanın üzerine çıkar, destek yükü ise tek seferlik dalganın üçte birine iner.
Kademeli zorunluluk sonunda bayi kapsama dağılımı
- Hatırlatma döneminde kendi kuran 55%
- Kilit devreye girince kuran 25%
- Destek yardımıyla kuran 13%
- Pasif, hiç dönmeyen hesap 7%
Kurtarma akışını kurmazsan 2FA bir bumerangdır
2FA projelerini batıran şey saldırganlar değil, telefonunu değiştiren bayidir. Kurtarma yolunu tasarlamadan zorunluluk getirirsen destek ekibi baskı altında kalır ve en sonunda yaptığı şey şu olur: "Sesini tanıdım abi, kapatıyorum." İşte gerçek güvenlik açığı tam burada doğar; saldırganın hedefi artık senin panelin değil, senin destek personelin olur.
Doğru kurgu üç parçalıdır. Birincisi, kurulum anında tek seferlik on kurtarma kodu üretip indirmeye zorlamak; kullanıcı "indirdim" onayı vermeden akış tamamlanmaz. İkincisi, kod da kaybolduğunda çalışan kimlik doğrulama prosedürü: kayıtlı e-postaya bağlantı, son üç işlemin doğrulanması ve 24-48 saatlik bekleme. Üçüncüsü, sıfırlama sonrasında para çekiminin belirli süre otomatik bekletilmesi. Bekleme süresi sıkıcıdır ama sosyal mühendisliğin tek gerçek panzehiridir; iyi bir e-pin satış scripti bu süreyi yöneticinin ayarlayabileceği bir parametre olarak sunar.
Yetkiyi kişiye değil sürece bağla: talep kaydı açılır, otomatik doğrulama adımları geçilir, süre dolar ve sistem kendisi sıfırlar. İnsan onayı gereken yerde iki farklı yöneticinin onayını şart koş.
İkinci faktörü nerede sormalısın?
Yaygın hata, 2FA'yı yalnızca girişte sormak ve sonra oturuma sonsuz güvenmektir. Oysa saldırı senaryolarının önemli kısmı çalınmış oturum çerezi üzerinden yürür; bu durumda saldırgan giriş ekranını hiç görmez. İhtiyacın olan şey eylem bazlı yeniden doğrulamadır.
Pratik liste şöyle: girişte tanınmayan cihaz veya yeni ülke tespitinde sor, ödeme yöntemi ve IBAN değişikliğinde sor, bakiye transferi ve çekimde sor, API anahtarı üretiminde ve alt kullanıcı yetkisi değiştirmede sor. Tanıdık cihazda rutin sipariş akışında ise sormayı bırak; yoksa bayi kodu kopyalamaktan bıkar ve işini başka yerden yapar. Güvenliği satışın önüne değil, paranın önüne koyarsın. Kaliteli bir dijital ürün satış scripti bu tetikleyicileri ayrı ayrı açıp kapatmana izin vermelidir.
Bayi direncini nasıl kırarsın?
Bayi için 2FA, işini yavaşlatan bir formalitedir; ta ki onu kendi çıkarına bağlayana kadar. Çerçeveyi değiştir: "Hesabın korunuyor" değil, "bakiyen sigortalanıyor" de. 2FA açık olan bayiye somut bir ayrıcalık ver; günlük çekim limitini yükselt, toplu kod indirmeyi aç, API erişimine izin ver, komisyonunda küçük bir avantaj tanımla. İnsanlar kaybetmekten kaçınır ama kazanç için hareket eder.
Kurulum ekranını da hafiflet. QR kodu, üç uygulama önerisi, tek ekranda doğrulama ve kurtarma kodlarının indirilmesi; toplam süre iki dakikayı geçmesin. Altına 40 saniyelik bir video koy. Destekten gelen sorularının yüzde sekseni "hangi uygulamayı indireceğim" sorusudur; onu ekranda çözersen zorunluluğu duyurmak bir kriz değil, sıradan bir duyuru olur. Pinova'yı kurarken bu akışı markanın diliyle özelleştirebiliyor olman, kapsama oranını doğrudan yukarı çeker.
| Uygulama adımı | Sorumlu | Zamanlama |
|---|---|---|
| TOTP altyapısının açılması ve test hesabıyla doğrulanması | Teknik | 0. gün |
| Kurtarma kodu üretimi ve zorunlu indirme onayı | Teknik | 0. gün |
| Yeni kayıtlarda onboarding içine gömme | Teknik | 1. gün |
| Yüksek bakiyeli bayilere 7 günlük sayaç | Operasyon | 3. gün |
| Panel içi şerit, modal ve e-posta hatırlatmaları | Operasyon | 3-30. gün |
| Kurtarma prosedürü ve bekleme süresi yazılı hale getirilmesi | Destek | 5. gün |
| Para hareketlerinde eylem bazlı yeniden doğrulama | Teknik | 10. gün |
| Süre dolan hesaplarda çekim ve toplu indirme kilidi | Operasyon | 30. gün |
| Kapsama raporu ve kalan hesaplara bireysel temas | Operasyon | 35. gün |
2FA'yı akışın içine gömülmüş halde kullan
Pinova; TOTP kurulumu, kurtarma kodları, eylem bazlı yeniden doğrulama ve kademeli zorunluluk kurallarını yönetici panelinden ayarlanabilir biçimde sunar.
2FA'yı zorunlu kılınca bayi kaybeder miyim?
Kademeli uygulanır ve sadece riskli eylemler kilitlenirse kayıp ihmal edilebilir düzeyde kalır. Kaybettiğin hesaplar genellikle uzun süredir işlem yapmayan pasif kayıtlardır.
Bayi telefonunu kaybederse ne yapacağım?
Önce kurulumda verdiğin tek seferlik kurtarma kodları kullanılır. O da yoksa e-posta doğrulaması, son işlemlerin teyidi ve 24-48 saatlik bekleme içeren yazılı bir sıfırlama prosedürü işletilir.
Her siparişte kod sormak zorunda mıyım?
Hayır ve sormamalısın. İkinci faktörü tanınmayan cihaz, ödeme bilgisi değişikliği, bakiye transferi, çekim ve API anahtarı üretimi gibi para veya yetkiye dokunan noktalarda tetikle.
SMS doğrulamayı tamamen kaldırmalı mıyım?
Ana yöntem olmaktan çıkarmalısın. Hiçbir uygulama kuramayan bayiler için düşük işlem limitiyle sınırlı bir son çare olarak bırakılabilir.
İki faktörlü doğrulama, e-pin işinde sigorta primi gibidir: ödediğin gün gereksiz görünür, ödemediğin gün bedeli tek kalemde çıkar. Yukarıdaki merdiveni kendi bayi tabanına uyarlayarak başla, kurtarma prosedürünü yazılı hale getir ve para hareketlerini ikinci faktörün arkasına al. Bu akışın panel içinde nasıl hissettirdiğini görmek için özelliklere bak, ardından canlı demo üzerinde kendi test bayini oluşturup kurulumu baştan sona dene.