OTP Doğrulama: Tek Kullanımlık Şifreler Nasıl Çalışır?

Tek kullanımlık şifre (OTP), tek bir işlemi bir kez kanıtlayan kısa bir koddur. Dakikalar içinde süresi dolar, tek kullanımda ölür ve authenticator uygulaması hiç kurmayacak kullanıcılar için bile çalışır. Bu rehber OTP doğrulamanın nasıl işlediğini, SMS kodlarıyla uygulama üreten kodların hangi durumda mantıklı olduğunu ve akışın nasıl doğru kurulup test edileceğini anlatır.

OTP doğrulama nedir?

OTP doğrulama, kullanıcıyı statik parola yerine (veya ona ek olarak) kısa ömürlü, tek kullanımlık bir kodla doğrular. Sunucu kodu üretir, kullanıcının kontrol ettiği bir kanaldan iletir ve yalnızca dar bir zaman penceresinde kabul eder. Kod tek kullanımdan sonra değersiz olduğundan, dünkü SMS'i ele geçirmek ya da sızmış bir kodu yeniden kullanmak hiçbir şey kazandırmaz.

OTP ile üç işte karşılaşırsınız: kayıt olan kişinin telefon numarasının veya e-postasının gerçekten ona ait olduğunu kanıtlamak, girişte parolanın üstüne ikinci bir faktör (2FA) eklemek ve ödeme çekimi ya da parola değişikliği gibi hassas işlemleri onaylamak. Mekanik üçünde de aynıdır; değişen, kodun ne zaman istendiğidir.

OTP doğrulama akışı, adım adım

Teslim kanalı ne olursa olsun her OTP uygulaması aynı döngüye iner:

Bu döngüde egzotik hiçbir şey yok. Gerçek dünyadaki OTP olaylarının neredeyse hepsi sıkıcı kısımlardan birinin atlanmasına çıkar: deneme limiti yok, kodlar fazla uzun yaşıyor, kodlar düz metin loglanıyor veya sınırsız yeniden gönderim var.

SMS OTP ve TOTP: dürüst karşılaştırma

İki yaygın OTP kanalı, SMS ile iletilen kodlar ve authenticator uygulamasının ürettiği zaman tabanlı kodlardır (TOTP). İkisi de her yerde kazanmaz; olgun ürünler genellikle ikisini birden sunar:

Dürüst özet: ikinci faktör işi için TOTP daha güçlüdür; operatör ağından hiçbir şey geçmediğinden SIM swap ve şebeke düzeyinde dinleme geçerli bile değildir. SMS ise erişimde ve TOTP'un hiç yapamadığı tek işte rakipsizdir: kayıt olan kişinin gerçek, çalışan bir telefon numarasına sahip olduğunu kanıtlamak.

Çoğu platformun günlük girişte TOTP veya passkey'e geçmişken yeni hesapları hâlâ SMS ile doğrulamasının nedeni budur. İkisini tamamlayıcı olarak görün; yüksek riskli hesapların SMS'in ötesine geçmesine izin verin.

OTP güvenliği için iyi pratikler

Kodu hangi kanal iletirse iletsin, güvenlik işinin çoğunu sunucu tarafındaki kurallar yapar:

Kendi uygulamanıza OTP doğrulama ekleyin

Kod üretip kontrol etmek her framework'te birkaç düzine satırdır; kodları kullanıcılarınıza iletmek de mesaj sağlayıcınızın işidir. Ekiplerin sürekli eksik kurduğu taraf öbür yöndür: kod almak. Yani başka platformlarda telefon doğrulamasından geçebilmek ve kendi akışınızı mock yerine gerçek numaralarla test edebilmek.

O alma tarafı tam olarak SMSBulk SMS doğrulama API'si işidir: kodunuz size özel bir numara satın alır, SMS düşene kadar sorgular ve kodu JSON olarak okur. Aşağıdaki parça üretimde doğrulanmış döngüdür; Node.js ve Python rehberleri bunu retry, timeout ve iade yönetimiyle genişletir.

const BASE = 'https://smsbulk.net/api/v1';
const KEY = process.env.SMSBULK_API_KEY; // smsbulk_...

async function api(path, options = {}) {
  const res = await fetch(BASE + path, {
    ...options,
    headers: { 'X-API-Key': KEY, 'Content-Type': 'application/json' },
  });
  if (!res.ok) throw new Error(res.status + ' ' + (await res.text()));
  return res.json();
}

async function main() {
  // 1) Buy a number for Telegram in the United States
  const activation = await api('/activations', {
    method: 'POST',
    body: JSON.stringify({ serviceCode: 'tg', countryIso: 'US' }),
  });
  console.log('Number:', activation.phoneNumber);

  // 2) Poll until the verification code arrives
  let code = null;
  while (!code) {
    await new Promise((r) => setTimeout(r, 5000));
    const a = await api('/activations/' + activation.id);
    if (a.status === 'RECEIVED') code = a.smsCode;
    else if (['CANCELLED', 'EXPIRED', 'REFUNDED'].includes(a.status)) {
      throw new Error('Ended without SMS: ' + a.status);
    }
  }
  console.log('Verification code:', code);

  // 3) Confirm the code was used
  await api('/activations/' + activation.id + '/complete', { method: 'POST' });
}

main();

Hedefiniz özellikle CI ise (test hesapları açmak, OTP e-posta ve SMS'lerinizin gerçekten ulaştığını kontrol etmek, bozuk akışları kullanıcıdan önce yakalamak), SMS doğrulama testi rehberi bunu uçtan uca anlatır; yukarıda kullanılan her endpoint API dokümantasyonu içinde tanımlıdır.

OTP doğrulama SSS