Parola Yöneticisi mi Passkey mi? Küçük Ekipler İçin 2026 Kimlik Doğrulama Rehberi

Dijital güvenlik tartışmasının en yıpratıcı alışkanlıklarından biri, yanlış soruları yıllarca doğruymuş gibi tekrarlamasıdır. Uzun süre boyunca kurumlara ve kullanıcılara sorulan soru şuydu: “Güçlü parola nasıl oluşturulur?” Oysa 2026’ya geldiğimiz yerde daha dürüst soru artık bambaşkadır: “Parolaya ne kadar bağımlı kalmak zorundayız?” NIST’in güncel dijital kimlik kılavuzu, bunu neredeyse tartışmaya yer bırakmayacak kadar açık kuruyor: parolalar phishing-resistant değildir. Aynı kılavuz, zayıf ya da ele geçirilmiş değerleri blok listeyle reddetmeyi önerirken, eski tip keyfî karmaşıklık kurallarının dayatılmaması gerektiğini de söylüyor. Yani sektörün yıllarca sattığı “büyük harf, küçük harf, rakam, sembol ekle; mesele çözülsün” masalı, resmî standart düzeyinde ciddi biçimde aşınmış durumda.

Tam bu noktada passkey kavramı devreye giriyor. FIDO Alliance passkey’leri, parolaların yerini alan ve kimlik doğrulamayı kriptografik anahtar çiftleri üzerinden yürüten FIDO tabanlı kimlik bilgileri olarak tanımlıyor. Microsoft’un güncel Entra belgeleri ise meseleyi daha teknik bir dille netleştiriyor: passkey’ler, origin-bound public-key cryptography kullanır, yerel kullanıcı etkileşimi gerektirir ve bu özelliklerin birleşimi onları phishing’e karşı neredeyse imkânsız hâle getirir. Google da kendi hesap dokümantasyonunda passkey’leri parolalara basit ve güvenli bir alternatif olarak sunuyor; bunların paylaşılamadığını, kopyalanamadığını, yazılıp birine verilemediğini ve bu yüzden phishing’e karşı daha güvenli olduğunu belirtiyor. Başka deyişle passkey, güvenlik dünyasının yeni pazarlama etiketi değil; saldırının merkezindeki “insanı kandırıp sır al” mantığını yapısal olarak bozan bir doğrulama biçimidir.

Burada temel zihinsel kırılmayı doğru kurmak gerekir. Parola, özünde paylaşılabilir bir sırdır; onu bilen kişi, uygun bağlamda onu yeniden kullanabilir. Passkey ise aynı mantıkta çalışan bir sır değildir. FIDO’nun anlattığı çerçevede kullanıcı tarafında bir anahtar çifti bulunur; kimlik doğrulama, parolanın kopyalanması veya girilmesi üzerine değil, cihaz temelli kriptografik doğrulama üzerine kurulur. Microsoft’un vurguladığı “origin-bound” ifadesi tam da bu yüzden kritik: kimlik bilgisi, sahte bir arayüzde veya yanlış bağlamda kolayca yeniden oynatılamaz. Güvenlikte asıl sıçrama, kullanıcıya “daha dikkatli ol” demek değil, kullanıcının hata yapma yüzeyini daraltmaktır. Passkey’in tarihsel önemi de tam burada yatar.

Fakat şimdi daha rahatsız edici gerçeğe gelelim: Passkey’in yükselişi, parola yöneticilerini otomatik olarak gereksiz kılmaz. Bu, güvenlik tartışmasının şu anki en popüler ama en sığ yanlışlarından biridir. Çünkü gerçek dünyada kurumlar bir gecede yeniden kurulmaz. Küçük ekiplerin elinde bugün hâlâ legacy hesaplar, henüz passkey desteklemeyen servisler, paylaşılan operasyon araçları, kurtarma kodları, API anahtarları, geçici erişim düzenleri ve farklı platformlara dağılmış oturum altyapıları bulunur. FIDO Alliance’ın kurumsal geçiş belgeleri zaten tartışmayı bu zeminde kuruyor: hedef, parola-only ya da parola+OTP yapılarını passkey’lere doğru taşımaktır; yani mesele bir anda yüzde yüz saflaşma değil, güvenlik mimarisinin kademeli yer değiştirmesidir. Bu yüzden “passkey geldi, parola yöneticisi öldü” cümlesi teknik olarak şık görünebilir ama operasyonel olarak çocuksudur.

Üstelik modern parola yöneticileri artık yalnızca parola saklamıyor. Google’ın kendi dokümantasyonu, Google Password Manager içinde hem parolaların hem de passkey’lerin saklanabildiğini; bunların cihazlar arasında kullanılabildiğini açıkça belirtiyor. Aynı doküman seti, bir passkey kaldırıldığında kullanıcı hâlâ o passkey ile giriş istemi görüyorsa üçüncü taraf credential manager’ların da kontrol edilmesi gerektiğini söylüyor. Bu ayrıntı küçük görünür; oysa çok şey anlatır. Birincisi, passkey’ler pratikte artık parola yöneticisi benzeri saklama ve senkronizasyon katmanlarıyla iç içe yaşıyor. İkincisi, “yönetim” problemi ortadan kalkmıyor; biçim değiştiriyor. Yani parola yöneticisi ölmedi, dönüşmeye başladı. Eski rolü tek başına parola kasası olmaktı; yeni rolü, farklı kimlik bilgisi türlerini düzenleyen bir koordinasyon katmanı olmaya doğru kayıyor.

Bu yüzden küçük ekipler için doğru çerçeve “parola yöneticisi mi passkey mi?” değil, “hangi katmanda hangisi iş görür?” sorusudur. Son kullanıcı oturumlarında, destekleyen servislerde ve özellikle yüksek phishing riski taşıyan hesaplarda passkey’e geçmek mantıklıdır. Çünkü burada asıl problem, insanın sahte giriş ekranına kandırılması veya SMS/e-posta kodu gibi phishable yöntemlerin sömürülmesidir. Microsoft, passkey’lerin parolalar, SMS ve e-posta kodları gibi phishable yöntemlerin yerine geçtiğini açıkça söylüyor. Google da passkey’in cihaz kilidiyle ilişkilendiğini ve bu yüzden kullanıcı deneyimini sadeleştirdiğini vurguluyor. Ancak kurumsal ekosistemin kalan kısmında, özellikle henüz passkey desteklemeyen servisler söz konusuysa, parola yöneticisi hâlâ düzen sağlayan ana mekanizmadır. Yani passkey kapının yeni kilidi olabilir; parola yöneticisi ise binanın anahtar panosu olmayı sürdürür.

Burada bir başka kritik ayrım daha var: synced passkey ile device-bound passkey aynı güvenlik profiline sahip değildir. FIDO belgeleri passkey’lerin ya kullanıcı cihazları arasında güvenli biçimde senkronize edilebildiğini ya da belirli bir cihaza bağlı tutulabildiğini belirtiyor. Yine FIDO’nun daha yeni rehberleri, synced passkey’lerin kurtarma ve kullanım kolaylığı açısından cazip olduğunu, device-bound passkey’lerin ise depolama ve erişim modeli bakımından daha güçlü güvenlik özellikleri sunabildiğini anlatıyor. Bu ayrım önemlidir; çünkü küçük ekiplerin çoğu güvenlik tartışmasını siyah-beyaz görmeye çalışıyor. Oysa asıl gerçek, her güvenlik tercihinin aynı zamanda bir kurtarma ve yönetim tercihidir. Kolay geri kazanılabilen şeyler genellikle daha geniş ekosistem bağımlılığı taşır; daha sert korunan şeyler ise daha zor kurtarılır. Premium güvenlik yazısı, bu gerilimi saklamaz.

Bu gerilim özellikle hesap kurtarma meselesinde görünür olur. Google’ın passkey dokümantasyonu çok net bir uyarı içeriyor: passkey yalnızca kişisel olarak sahip olunan ve kullanılan cihazlarda oluşturulmalıdır; çünkü cihazı açabilen herkes hesaba erişebilir. Aynı belge, kayıp veya çalıntı cihaz senaryolarında ilgili passkey’in kaldırılmasına dair yönlendirme de sunuyor. Bu, teorik bir dipnot değildir. Kimlik doğrulama ne kadar “passwordless” görünürse görünsün, cihaz güvenliği ve kurtarma zinciri kötü yönetiliyorsa sistemin genel güvenliği yine zayıflar. Passkey, insanı her hatadan kurtaran sihirli bir tılsım değildir; yalnızca en pahalı hata sınıfını, yani paylaşılan sırların kandırılarak ele geçirilmesini ciddi biçimde azaltır. Geri kalan operasyonel disiplin ihtiyacı olduğu yerde durur.

Peki küçük ekipler 2026’da ne yapmalı? İlk olarak, “her şeyi bir anda değiştirelim” dürtüsünü bastırmalı. FIDO ve Microsoft belgeleri, passkey benimsemesini kurumsal uygulama entegrasyonu ve politika yönetimiyle birlikte ele alıyor; yani konu sadece kullanıcıya yeni bir düğme göstermek değil, bütün erişim mimarisini buna göre düzenlemek. İkinci olarak, en kritik hesapları sınıflandırmak gerekir: e-posta, yönetici panelleri, finans araçları, alan adı ve bulut altyapısı gibi yüksek etkili hesaplar passkey’e geçişte öncelikli olmalıdır. Üçüncü olarak, parola yöneticisi tamamen atılmamalı; tersine, geçiş döneminde legacy hesaplar, kurtarma bilgileri ve desteklenmeyen servisler için disiplin merkezi olarak korunmalıdır. Güvenlikte olgunluk, modaya ilk atlayan olmak değil; heterojen ortamı yönetebilmektir.

Sonuç nettir: Passkey, kimlik doğrulamanın yönünü değiştiren esas yeniliktir; parola yöneticisi ise bu geçiş çağında düzeni sağlayan zorunlu ara katmandır. Birini diğerinin yerine geçirip tartışmayı bitirmeye çalışan herkes, meselenin teknik çekiciliğine kapılmış ama operasyonel gerçekliğini ıskalamıştır. Parola yöneticileri eski biçimiyle tek başına güvenliğin merkezi olmaktan çıkıyor; fakat kimlik bilgisinin saklanması, senkronizasyonu, kurtarma akışları ve legacy hesap yönetimi sürdükçe tamamen sahneden çekilmeleri de beklenmemelidir. Kısacası doğru cevap ikili değildir. 2026’nın akıllı mimarisi şudur: mümkün olan yerde passkey-first, kaçınılmaz olan yerde disiplinli credential management. Güvenlikte ilerleme çoğu zaman devrim gibi görünmez; bazen sadece artık kandırılabilir sırlar biriktirmemeyi öğrenmekten ibarettir.

Kaynakça

1. NIST Special Publication 800-63B / SP 800-63-4 — Parolaların phishing-resistant olmadığını, blok liste yaklaşımını ve keyfî composition kurallarından kaçınılmasını tanımlayan temel resmî çerçeve.
2. FIDO Alliance – Passkeys — Passkey’lerin FIDO tabanlı, kriptografik anahtar çiftleriyle çalışan passwordless kimlik bilgileri olduğunu ve synced/device-bound ayrımını açıklayan resmî kaynak.
3. Microsoft Entra – Passkeys (FIDO2) authentication method — Origin-bound public-key cryptography ve phishing direncini kurumsal bağlamda açıklayan güncel resmî belge.
4. Google Account Help – Sign in with a passkey instead of a password — Passkey’in Google hesabı için nasıl çalıştığını, cihaz sahipliği ve kayıp cihaz senaryolarını açıklayan resmî kaynak.
5. Google Account Help – Use passwords & passkeys across your devices / Google Password Manager — Parola ve passkey’lerin aynı yönetim katmanında saklanabildiğini gösteren resmî kaynak.
6. FIDO Alliance – Enterprise passkey deployment white papers — Parola-only ve parola+OTP yapılardan passkey’e geçişin kurumsal mantığını açıklayan resmî kaynaklar.
7. Microsoft Windows / Entra passkey management documents — Windows’ta yerel ve üçüncü taraf passkey yönetimi ekosistemine ilişkin güncel resmî belgeler.

                                                                                                            YAZAR: Mehmet YILMAZ

© 2026 Kenar Notları Blog. Tüm hakları saklıdır. İzinsiz alıntılanamaz, kopyalanamaz ve yeniden yayımlanamaz.