WhatsApp iki adımlı doğrulamada PIN yerine parola ne değiştiriyor?

WhatsApp, 25 Ağustos 2026'da hesap güvenliğiyle ilgili üç maddelik bir duyuru yayımladı. Duyuru dün yapıldı ve özellikler dağıtıma girmiş durumda. İlk madde geçiş anahtarlarını, ikinci madde iki adımlı doğrulama katmanının parolaya yükseltilmesini, üçüncü madde ise Android tarafındaki arayan bilgisini kapsıyor. Üçü de aynı soruya bakıyor. Hesabına giriş yapan kişinin gerçekten siz olduğunuzu uygulama nasıl anlıyor?

Türkçe kaynakların büyük bölümü hâlâ altı haneli anahtardan söz ediyor. En taze olanları bile aylar öncesine ait. Oysa artık harf, rakam ve özel karakter barındırabilen tam bir parola devrede. Fark ilk bakışta küçük görünüyor. Değil.

Aşağıda önce değişikliğin ne olduğunu ve iki adımlı doğrulamanın hangi anda devreye girdiğini ele alıyoruz. Ardından geçiş anahtarının paroladan neden farklı çalıştığını açıyoruz. Son bölümlerde yeni arayan bilgisi özelliğini eski bir gizlilik ayarından ayırıyoruz. Menü adları sürümden sürüme değişebiliyor, o yüzden ekran adlarını gördüğünüz gibi eşleştirmeniz gerekebilir.

Yazının tamamında Türkçe arayüz terimlerini esas alıyoruz. WhatsApp'ın Türkçe menülerinde iki adımlı doğrulama, geçiş anahtarı ve anahtar sözcükleri geçer. İngilizce kaynaklarda karşınıza çıkan passkey ifadesi, geçiş anahtarının aynısıdır. İki terimi eş anlamlı düşünebilirsiniz.

WhatsApp iki adımlı doğrulama ne işe yarıyor?

İki adımlı doğrulama, hesabınızın başkası tarafından devralınmasını zorlaştıran ek bir koruma katmanı. Resmî tanım net. Tek kullanımlık kodu ele geçiren biri bile hesabı açamıyor, çünkü kodun ardından ikinci bir bilgi soruluyor. Resmî metin de katmanı doğrudan bu senaryo üzerinden tarif ediyor.

Somut bir örnek üzerinden bakalım. Numaranız başka bir telefonda WhatsApp'a kaydedilmeye çalışıldığında sizin telefonunuza doğrulama SMS'i gelir. Kod girildikten sonra uygulama, hesaba tanımlı anahtar veya parolayı ister. Karşı taraf o bilgiyi bilmiyorsa işlem orada durur. Kod tek başına yetmez.

Türkçe arayüzde bu katmanın adına dikkat etmek gerekiyor. Ayarlar menüsünde iki adımlı doğrulama yazar, kayıt sırasında istenen bilgiye ise "anahtar" denir. İkisini birbirinden ayrı iki özellik sanmak kolay. Oysa aynı şeyden bahsediyoruz.

Katman her uygulama açılışında karşınıza çıkmaz. Zaten kurulu bir telefonda sohbetlerinize girerken parola istenmez. Parolanın sorulduğu asıl an, numaranın bir kuruluma dahil edildiği andır. WhatsApp ayrıca parolayı hatırlamanız için zaman zaman doğrulama isteyebiliyor. Sıklığı cihaza ve sürüme göre değişebildiği için sabit bir aralık vermek doğru olmaz.

Katmanı açtığınızda uygulama ayrıca bir e-posta adresi eklemenizi önerir. Adres eklemek isteğe bağlıdır ve ekranda Atla seçeneği bulunur. Atlamak kolay geliyor. Ne var ki e-posta olmadan sıfırlama süreci tamamen farklı işliyor, çünkü doğrulanmamış bir adrese talimat gönderilemiyor.

Katmanın adı kafa karıştırsa da işleyişi sade. Uygulama sizden hem sahip olduğunuz şeyi hem bildiğiniz şeyi ister. Sahip olduğunuz şey telefon hattınız, bildiğiniz şey parolanız. İkisinin aynı anda başka birinin elinde bulunması zordur. İki faktörlü doğrulama denen yapının dayandığı mantık da budur.

Altı haneli PIN neden parolaya dönüştü?

Altı hane, on rakamdan oluşan dar bir alfabede sınırlı sayıda kombinasyon üretir. İnsanlar da rastgele davranmaz. Doğum yılı, ev numarası, tekrar eden rakam dizileri sürekli karşımıza çıkar. WhatsApp'ın resmî ifadesi "yükseltildi" yönünde ve gerekçe olarak tahmin edilmeyi zorlaştırmak gösteriliyor.

Yeni yapı daha uzun, alfanümerik ve özel karakter içerebilen bir parola tanımlamanıza izin veriyor. Duyuru burada bir karakter sayısı vermedi. Basına yansıyan bazı rakamlar dolaşıyor, ama resmî metinde sayı geçmediği için kesin sınır yazmıyoruz. Uygulamanın ekranda gösterdiği kuralı esas alın.

Eski anahtarların ne olacağı sorusu akla geliyor. Duyuru mevcut kullanıcıların otomatik geçip geçmeyeceğine dair tek kelime etmedi. Dolayısıyla "eski anahtarınız artık çalışmıyor" veya "hepsi parolaya çevrildi" gibi cümlelerin hiçbir dayanağı yok. Uygulamanız size ne gösteriyorsa geçerli olan odur.

Yeni parolanın hangi menüden tanımlandığı da resmî metinde yer almadı. Geçiş anahtarları için adres verildi, parola için verilmedi. Duyuruya dayanan bir yol yazamıyoruz. Ama katmanın kendi ekranı yerinde duruyor, ayarlar içindeki hesap bölümünde iki adımlı doğrulama başlığını açtığınızda parolayla ilgili seçenekleri orada görürsünüz.

Parolayı belirlerken alışkanlıklardan uzaklaşmak işe yarıyor. Sık kullandığınız bir diziyi tekrar etmek, harf ve özel karakter eklemenin kazandırdığı alanı geri veriyor. Başka bir hizmette kullandığınız parolanın burada yeniden yazılması da aynı sonucu doğurur. Yeni yapı size geniş bir alan tanıyor. Alanı kullanmak size kalıyor.

İki adımlı doğrulama ile SMS doğrulama kodu aynı şey mi?

Değil. İkisi farklı anlarda, farklı amaçlarla çalışan iki ayrı mekanizma. SMS doğrulama kodu numaranın size ait olduğunu kanıtlar. İki adımlı doğrulama parolası ise numaraya erişen kişinin hesabın sahibi olduğunu kanıtlar. Aradaki fark, dolandırıcılık senaryolarının döndüğü nokta.

Kodu WhatsApp üretir ve size gönderir. Parolayı siz belirlersiniz, kimseye gitmez. Kod telefon hattına bağlıdır, parola hesaba bağlıdır. Hat başkasının eline geçse bile parola bilinmiyorsa devralma tamamlanmaz.

Örnek üzerinden bakınca sıra netleşiyor. Hattınızı yeni bir telefona taktınız ve WhatsApp'ı kurdunuz. Önce SMS kodu gelir, girersiniz. Ardından uygulama parolayı sorar. İki adım da tamamlanmadan sohbetlerinize erişemezsiniz. Katmanın adındaki "iki adım" ifadesi sırayı birebir anlatıyor.

Terim karışıklığı da işi zorlaştırıyor. Kimi kaynaklarda iki faktörlü kimlik doğrulama ifadesi geçerken WhatsApp Türkçe arayüzde iki adımlı doğrulama diyor. Anlattıkları mekanizma aynı. Menüde arama yaparken uygulamanın kendi terimini kullanmanız süreci kısaltır.

Geçiş anahtarı nedir ve paroladan farkı ne?

Geçiş anahtarı (passkey), WhatsApp'a yeniden giriş yapmanızı sağlayan bir kimlik bilgisi. Parmak izi, yüz tanıma veya cihazınızın ekran kilidi kodu ile çalışıyor. Üç yöntemin üçü de geçerli, yani biyometri şart değil. Kod veya anahtar girmeniz gerekmiyor.

Meta'nın açıklamasına göre geçiş anahtarı kuran kişi sayısı 1 milyarı aştı. Özellik önce Android'de yaygınlaştı, ardından iOS'a taşındı. Oluşturduğunuz geçiş anahtarı cihazınızın varsayılan şifre yöneticisine kaydediliyor. Apple cihazlarda iCloud Anahtar Zinciri, Android cihazlarda Google Şifre Yöneticisi devreye giriyor.

Teknik olarak karşımızda tanınmış bir standart var. Geçiş anahtarları WebAuthn üzerine kuruludur ve WebAuthn, W3C tarafından FIDO Alliance ile ortaklaşa geliştirilmiştir. FIDO2 ise WebAuthn ile CTAP2 protokolünün birleşimini tanımlar. Geçiş anahtarı, o kimlik bilgisinin son kullanıcıya dönük adıdır.

Önemli bir ayrımı baştan koyalım. Geçiş anahtarı giriş içindir, iki adımlı doğrulamanın yerini almaz. Resmî duyuru ikisini ayrı iki madde olarak sundu ve aralarında herhangi bir ilişki kurmadı. İnternette dolaşan "artık parolaya gerek yok" yorumları duyuruya dayanmıyor.

Geçiş anahtarının en çabuk hissedilen getirisi hız. SMS'in gelmesini beklemek ve rakamları elle girmek gibi adımlar ortadan kalkıyor. Yeniden giriş yaparken parmağınızı sensöre koymanız yetiyor. Resmî metin geçiş anahtarını en hızlı ve en güvenli doğrulama biçimi olarak tanımlıyor.

Geçiş anahtarı kimlik avına neden dirençli?

Cevap kriptografide. Geçiş anahtarı asimetrik kriptografi kullanır, yani birbiriyle eşleşen iki anahtar üretilir. Açık anahtar hizmete gider, özel anahtar cihazınızda kalır. Özel anahtar cihazdan hiç çıkmaz. Sunucuda saklanmadığı için sunucudan sızması da mümkün değildir.

İkinci mekanizma alan adı bağıdır. Oluşturulan kimlik bilgisi belirli bir alan adına kilitlenir ve yalnızca o adreste çalışır. Sahte bir giriş sayfası, gerçeğine ne kadar benzerse benzesin farklı bir alan adında durur. Tarayıcı veya işletim sistemi eşleşme bulamayınca imzalama işlemini başlatmaz. Kullanıcı fark etmese bile sistem fark eder.

Üçüncüsü en sade olanı. Geçiş anahtarında paylaşılabilecek bir sır yoktur. Karşı taraf sizi ne kadar ikna ederse etsin, iletebileceğiniz bir metin bulunmaz. Parolada durum farklıdır, çünkü parola yazılabilir, söylenebilir ve yanlış bir kutucuğa girilebilir.

Klasik bir kimlik avı denemesini gözünüzde canlandırın. Karşınıza WhatsApp giriş ekranına benzeyen bir sayfa çıkıyor ve sizden bilgi istiyor. Parola tabanlı düzende o sayfaya yazdığınız her karakter karşı tarafa gider. Geçiş anahtarında yazılacak bir şey olmadığı için ilgili kutucuk hiç açılmaz.

💡 Bayigram İpucu: Geçiş anahtarını kurarken cihazınızın ekran kilidini de gözden geçirin. Geçiş anahtarı ekran kilidi koduyla da çalışabildiği için, zayıf bir kilit kodu geçiş anahtarının sağladığı korumayı aşağı çeker.

Bir hesaba birden fazla geçiş anahtarı eklemek ne kazandırıyor?

Duyurunun en az konuşulan maddesi burada. Artık tek bir hesaba birden fazla geçiş anahtarı ekleyebiliyorsunuz. Duyuru bu maddeyi doğrudan hem Android hem iOS cihaz kullananlara bağlıyor. Daha önce tek anahtar mantığı hâkimdi.

Farkın nedeni şifre yöneticilerinde gizli. Geçiş anahtarı cihazın şifre yöneticisine kaydediliyor ve iki ekosistemin şifre yöneticileri birbirinden bağımsız çalışıyor. Android telefonunuzda oluşturduğunuz anahtar Google Şifre Yöneticisi'ne, iPad'inizde oluşturduğunuz anahtar iCloud Anahtar Zinciri'ne gider. İkisini ayrı ayrı tanımlayabilmek, cihaz değiştirdiğinizde giriş yönteminizin elinizde kalmasını sağlar.

Şöyle bir durum düşünün. İş telefonu Android, evdeki tablet Apple ekosisteminde olsun. Tek anahtarla çalışan bir düzende, ekosistem değiştirdiğiniz anda parmak iziyle giriş seçeneğiniz devre dışı kalırdı. Çoklu anahtar desteği o boşluğu kapatıyor.

Anahtarların yönetimi de aynı ekranda toplanıyor. Ayarlar içindeki geçiş anahtarları bölümünde tanımlı anahtarları görebilir, artık kullanmadığınız bir cihaza ait olanı kaldırabilirsiniz. Eski bir telefonu devrettiyseniz o listeyi kontrol etmek mantıklı olur.

Anahtarları cihaz bazında düşünmek işi kolaylaştırıyor. Her anahtar kendi cihazının şifre yöneticisine yazıldığı için, listedeki her satır aslında bir cihaza karşılık geliyor. Hangi cihazda hangi anahtarın tanımlı olduğunu bilirseniz listeyi temiz tutmak kolaylaşır. Karışıklık genelde eski cihazların listede kalmasından doğar.

Geçiş anahtarı nasıl oluşturulur?

Resmî duyuruda verilen adres, ayarlar içindeki hesap bölümünde yer alan geçiş anahtarları başlığı. Türkçe arayüzde yol şöyle ilerliyor. Ayarlar, Hesap, Geçiş Anahtarları, ardından Geçiş anahtarı oluştur ve Devam. Uygulama sizden parmak izi, yüz tanıma veya ekran kilidi kodu ister.

iOS tarafında hesap adımı olmadan doğrudan ayarlar içinden geçiş anahtarları başlığına ulaşabiliyorsunuz. Menü adları sürüme göre değişebiliyor. Karşınızdaki metin birebir tutmuyorsa aynı anlama gelen başlığı arayın, çünkü WhatsApp arayüz metinlerini zaman zaman güncelliyor.

İşlem tamamlandığında cihazınızın şifre yöneticisi anahtarı kaydeder. Sonraki girişlerde uygulama kod istemek yerine doğrudan parmak izi, yüz tanıma veya ekran kilidi kodu sorar. Girilecek bir rakam kalmıyor. Resmî duyurunun kod veya PIN gerekmiyor derken anlattığı şey budur.

Kurulum sırasında Devam dışında onay isteyen bir sistem penceresi çıkabilir. Pencere WhatsApp'a değil işletim sistemine aittir ve anahtarın nereye kaydedileceğini sorar. Varsayılan şifre yöneticisini seçmek çoğu kullanıcı için yeterli olur.

Kurulumdan sonra giriş ekranı da değişir. Kod alanı yerine biyometrik onay penceresi çıkar. Aynı hesapta iki adımlı doğrulama tanımlıysa o katman kendi yerinde durmaya devam eder. Geçiş anahtarı girişin biçimini değiştirir, hesabın koruma katmanlarını silmez. Yeni bir cihaz eklemek istediğinizde de anahtarı o cihaz için ayrıca oluşturmanız gerekir.

Kanal yöneticileri için içerik tarafı ayrı bir planlama istiyor

Hesap ayarları bir yana, WhatsApp kanalı yöneten kişilerin gündemi biraz farklı işliyor. Kanal, tek yönlü bir yayın alanı ve başarısı üye sayısıyla değil, gönderilerin ne kadar karşılık bulduğuyla ölçülüyor. Yayın takvimi kuran ekipler için ilk adım genellikle üye tabanını büyütmek oluyor, WhatsApp kanal üyesi satın alma seçeneği de içerik planının bu aşamasında gündeme geliyor. Ardından yayın sıklığı ve içerik türü belirleniyor.

Kanal içeriğinde en çok karşılık bulan format anketler oluyor. Anket, üyeye tek dokunuşla katılma imkânı verdiği için pasif okuyucuyu görünür hale getiriyor. Haftada bir anket yayınlayan bir kanal, hangi konunun ilgi çektiğini birkaç hafta içinde net biçimde görür.

Reaksiyonlar ise geri bildirimin en hızlı biçimi. Üye yorum yazmak zorunda kalmadan gönderiye tepki verebiliyor ve yönetici hangi paylaşımın tuttuğunu anında ölçebiliyor. Metin ağırlıklı kanallarda reaksiyon oranı, içerik stratejisini yönlendiren en pratik gösterge olarak öne çıkıyor.

Kanal yönetimini birden fazla kişiyle yürütüyorsanız yayın takvimini ortak bir yerde tutmanız işi kolaylaştırır. Hangi gün hangi formatın yayınlanacağı önceden belliyse, içerik üretimi son dakika telaşına dönüşmez. Küçük bir tablo bile yeter.

Bilinmeyen arayanlar hakkında hangi bilgiler gösteriliyor?

Duyurunun üçüncü maddesi arama ekranını ilgilendiriyor. Kişilerinizde kayıtlı olmayan biri sizi aradığında WhatsApp artık ek bağlam gösteriyor. Gösterilen iki bilgi var. Numaranın farklı bir ülkeden olup olmadığı ve arayanla ortak grubunuzun bulunup bulunmadığı.

İfadeyi doğru kurmak gerekiyor. Ekranda ülkenin adı yazacağına dair bir açıklama yapılmadı, söylenen şey numaranın farklı bir ülkeye ait olup olmadığı. Aynı şekilde kaç ortak grubunuz olduğu değil, ortak grup bulunup bulunmadığı belirtiliyor. Aradaki nüans küçük görünür. Yanlış aktarıldığında okuru yanıltır.

Özellik Android'e özel duyuruldu. iOS için herhangi bir taahhüt verilmedi, o yüzden "iPhone'a da gelecek" cümlesini kurmuyoruz. Duyuruda ülke bazlı bir kısıt da belirtilmedi, ancak dağıtımın hangi pazarlarda ne zaman tamamlanacağı ayrı bir konu.

Arayan kişinin ekranında bir uyarı çıkıp çıkmadığı ise açıklanmadı. Sizi arayan kişinin, hakkında bilgi gösterildiğini görüp görmediğine dair veri yok. Duyuru yalnızca aramayı alan tarafın ekranını anlatıyor. Kesin olmayan bir noktayı kesinmiş gibi aktarmamak adına orada duruyoruz.

Pratikte nasıl görünüyor? Tanımadığınız bir numara arıyor, ekranda numaranın yurt dışı kaynaklı olduğu ve sizinle ortak grubu bulunmadığı bilgisi beliriyor. Açıp açmama kararını verirken elinizde iki veri oluyor. Karar yine sizin, uygulama aramayı kesmiyor.

Özellik bir karar mekanizması değil, bilgi katmanı. Duyuruda gösterimin ekranda nasıl biçimlendiği, ikonla mı yazıyla mı çıktığı anlatılmadı. O yüzden bir ekran tarifi vermiyoruz. Karşınıza çıkan düzen sürüme göre farklılık gösterebilir, kayıtlı olmayan arayanlar için ek bilgi görmeye başladığınızda özelliğin cihazınıza ulaştığını anlarsınız.

Bilinmeyen arayanları susturmak aramayı engelliyor mu?

Hayır. Bilinmeyen Arayanları Sustur, adından anlaşılacağı üzere susturur, engellemez. Ayarı açtığınızda kişilerinizde kayıtlı olmayan numaralardan gelen aramalarda telefonunuz çalmaz. Arama yine gerçekleşir, yine kaydedilir.

Susturulan aramalar Aramalar sekmesinde görünmeye devam eder. Bildirim listesinde de yer alır. Yani sizi kimin aradığını sonradan görebilirsiniz, sadece o anda rahatsız olmazsınız. Ayarı engelleme sanmak yaygın bir karışıklık, oysa engelleme bambaşka bir işlev.

İki özelliği ayırmak işinizi kolaylaştırır, çünkü ikisi aynı ekranda değil ve aynı işi yapmıyor. Susturma ayarını Ayarlar içindeki gizlilik bölümünde, aramalar başlığı altında bulursunuz. Yeni arayan bilgisi ise açıp kapatılan bir ayar değil, arama ekranının kendi parçası.

Susturma ayarının bir yan etkisi var. Kargo, banka veya servis aramaları da çoğu zaman kayıtlı olmayan numaralardan gelir. Ayar açıkken o aramalar telefonunuzu çaldırmaz. Bekleyen bir teslimat veya randevunuz varsa arama kaydına göz atmanız gerekir.

💡 Bayigram İpucu: Susturma ayarını açtıysanız Aramalar sekmesini haftada bir gözden geçirin. Beklediğiniz bir kurumsal arama, kayıtlı olmayan bir numaradan gelmiş olabilir.

Doğrulama kodu istemediğiniz halde geldiyse ne anlama gelir?

Telefonunuza WhatsApp'tan bir doğrulama kodu geldi, oysa siz herhangi bir kurulum başlatmadınız. Anlamı tek. Birisi sizin numaranızı bir kayıt ekranına girdi ve uygulama, numaranın sahibine kodu gönderdi. Kod her zaman numaranın bağlı olduğu telefona gider.

Teknik gerçek burada devreye giriyor. WhatsApp doğrulama kodu yalnızca kurulumu başlatan numaranın sahibine ulaşır, başka birinin telefonuna düşmez. Dolayısıyla "sana yanlışlıkla kod gönderdim, iletir misin" biçiminde gelen bir mesajın anlattığı durum teknik olarak mümkün değildir. Cümle kulağa masum gelir. Karşılığı yoktur.

İki adımlı doğrulamanın hikâyedeki yeri işte burasıdır. Kod bir şekilde karşı tarafa ulaşsa bile parola bilinmediği sürece hesap açılmaz. Katmanın "tek kullanımlık kod ele geçse bile devralmayı engeller" biçimindeki resmî tarifi, tarif ettiğimiz durumu birebir karşılıyor.

Kodu kimseyle paylaşmamak, hatırlanması gereken tek kural. Tanıdık görünen bir hesaptan gelmiş olması durumu değiştirmez, çünkü mesajı gönderen hesabın kontrolü el değiştirmiş olabilir. Aceleci bir dil kullanılması da ayrı bir işarettir. Acele ettiren her talep, yavaşlamanız gereken yerdir.

Kodun size ulaşması, hesabınıza girildiği anlamına gelmez. Yalnızca birinin numaranızı bir kayıt ekranına yazdığını gösterir. İki adımlı doğrulama açıksa süreç zaten ikinci adımda durur. Mesajın tonu ne kadar acil görünürse görünsün, kod paylaşılmadığı sürece adım tamamlanmaz.