OTP Doğrulama Kodları İçin Geçici E-posta Güvenle Kullanılabilir mi? Ne İşe Yarar, Ne Başarısız Olur

Temel Çıkarımlar

Evet. Geçici bir gelen kutusu, hizmet kodu e-posta ile gönderdiğinde, tek kullanımlık adresleri kabul ettiğinde ve mesaj veya gelen kutusu kullanılamaz hale gelmeden önce teslim ettiğinde OTP veya doğrulama kodu alabilir. Geçici e-posta SMS kodları veya kimlik doğrulama uygulaması kodlarını alamaz. Bir site tek kullanımlık e-postayı reddederse, kısıtlamayı aşmaya çalışmak yerine kontrolünüzde olan uzun vadeli bir adres kullanın.

• Sadece e-posta. Geçici e-posta, e-posta ile gönderilen kodları alır. Telefon numarası olmadığı için metin mesajlarını, sesli aramaları veya bir kimlik doğrulama uygulamasında oluşturulan kodları alamaz.
• Üç koşul. Hizmet, kodu e-posta ile göndermeli, adresi kabul etmeli ve gelen kutusunu hâlâ açabiliyorken teslim etmelidir.
• Reddetme kesindir. Bir site tek kullanımlık e-postayı reddettiğinde veya bir hesabın daha sonra kurtarılması gerektiğinde, bunun yerine kontrol ettiğiniz uzun vadeli bir e-posta ile kaydolun.
• Önemli hesaplar için daha güçlü oturum açma. E-posta ve mesajla gönderilen kodlar, oturum açma korumasının zayıf bir biçimidir; kimlik doğrulama uygulaması daha güçlüdür ve passkey oltalamaya karşı dirençlidir.

Geçici E-posta OTP Kodları Alabilir mi?

Evet. Geçici bir e-posta, hizmet kodu e-posta ile gönderdiğinde doğrulama kodları alabilir. Tek kullanımlık gelen kutusu, kalıcı posta kutusuyla aynı standart SMTP yolu üzerinden posta kabul eder: hizmet mesajı oluşturur, posta sunucusu teslim eder ve geçici e-posta sunucusu kabul eder. Tek kullanımlık gelen kutularına yeniyseniz, geçici posta nasıl çalıştığına dair rehberimiz temel bilgileri kapsar.

Kodun size ulaşıp ulaşmaması geçici e-postanın kendisinden çok gönderene bağlıdır. Hizmet, tek kullanımlık bir adresi kabul edip etmeyeceğine, ne kadar hızlı göndereceğine ve kodun ne kadar süre geçerli kalacağına karar verir. Bu sayfanın geri kalanı, teslimatın ne zaman çalıştığını, kodların neden başarısız olduğunu, e-posta kodlarının diğer doğrulama yöntemleriyle nasıl karşılaştırıldığını ve biri gelmediğinde ne yapılması gerektiğini ele alır.

E-posta OTP ve SMS OTP, Kimlik Doğrulama Uygulamaları ve Passkey'ler

E-posta OTP, gelen kutusuna gönderilen tek seferlik bir koddur. SMS OTP bir telefon numarasına gider. Kimlik doğrulama uygulaması (TOTP) kodu kendi cihazınızda oluşturur ve passkey, yazılan kodu kriptografik bir oturum açma ile değiştirir. Geçici e-posta yalnızca ilkinde yardımcı olabilir. Önemsediğiniz hesaplar için passkey veya kimlik doğrulama uygulaması, size teslim edilmesi gereken herhangi bir koddan daha iyi korur.

İki farklı iş "kod" kelimesini paylaşır. E-posta ile gönderilen bir kod genellikle kayıt sırasında bir e-posta adresini kontrol ettiğinizi doğrular. Buna karşılık oturum açma kodu, oturum açmanın bir parçasıdır. NIST'in dijital kimlik yönergeleri (SP 800-63B-4), e-postanın bant dışı kimlik doğrulama için kullanılmaması gerektiğini belirtir; yalnızca bir e-posta adresini doğrulayan kodlar veya kurtarma kodları bu kuralın dışında kalır. Birçok hizmet benzer bir ayrım izler: yeni bir adresi doğrulamak için e-posta ile kod gönderir, ardından oturum açma için telefon, uygulama veya passkey sunar.

E-posta, SMS ve TOTP kodlarının tümü oltalanabilir, ancak riskleri aynı değildir. SMS, SIM değişimi, SS7 ve geri dönüştürülmüş numara riskini ekler; bir e-posta kodu yalnızca posta kutusu kadar güvenlidir; TOTP ise paylaşılan sırrın korunmasına bağlıdır. Kamuya açık rehberler bu ayrımları destekler. CISA'nın "Phishing-Resistant MFA Uygulama" başlıklı bilgi notu, uygulama tabanlı kodları SMS veya sesli kodların üzerinde konumlandırır ve bunları son çare seçeneği olarak nitelendirir; ancak her ikisinin de oltalamaya açık olduğunu belirtir. CISA, uygulama tabanlı kodların SIM değişimlerine veya SS7 saldırılarına maruz kalmadığını söyler ve FIDO/WebAuthn'u, PKI tabanlı MFA ile birlikte yaygın olarak bulunabilen tek oltalama dirençli kimlik doğrulama yöntemi olarak tanımlar. MDN'nin tek kullanımlık şifreler rehberi de benzer bir sonuca varır: tüm OTP türleri oltalamaya karşı savunmasızdır, SMS, e-postaya kıyasla ele geçirilmeye karşı çok daha zayıftır ve genel oturum açma için geçiş anahtarları daha iyi bir seçimdir.

Geçiş anahtarı, FIDO standartlarına dayalı bir oturum açma kimlik bilgisidir ve FIDO Alliance, geçiş anahtarlarını oltalamaya dirençli olarak tanımlar. Koruma, geçiş anahtarıyla oturum açmanın kendisini kapsar. Bir hesap hâlâ SMS sıfırlama gibi daha zayıf bir yedek yönteme izin veriyorsa, bu yedek yöntem zayıf nokta olarak kalabilir.

Siteler Neden E-posta Yerine Telefon Numarası İster?

Bazı siteler telefon doğrulamasını ek bir kötüye kullanım önleme sinyali veya kurtarma kanalı olarak kullanır. Bu, dolandırıcılığı ortadan kaldırmaz ve telefon tabanlı kurtarma kendi risklerini getirir: SIM değişimleri, numara taşıma ve geri dönüştürülmüş numaralar. NIST, telefon ağı üzerinden gönderilen kodları "kısıtlı" bir yöntem olarak değerlendirir ve hizmetlere, bunlara güvenmeden önce SIM değişikliği veya numara taşıma gibi işaretleri izlemelerini söyler. Amacınız hiç telefon gerektirmeyen bir posta kutusuysa, numarası olmadan e-posta oluşturma rehberimiz hangi sağlayıcıların telefon numarası istediğini, hangilerinin istemediğini ele alır.

Tmailor Size Geçici Bir Telefon Numarası Verir mi?

Hayır. Tmailor yalnızca e-posta alan bir hizmettir. Telefon numarası sağlamaz ve SMS veya sesli kod alamaz. Meşru bir hizmet SMS gerektiriyorsa, kontrol ettiğiniz ve kullanmanıza izin verilen bir numara kullanın ya da devam etmemeyi seçin. Tmailor bu adımı sizin yerinize tamamlayamaz.

Önemli olan hiçbir kod veya hesap için herkese açık SMS alma sitelerinden kaçının. Bu siteler, gelen mesajları tasarım gereği açık bir sayfada yayınlar; böylece size gönderilen bir kodu herkes okuyabilir. Bir yıl boyunca 29 herkese açık SMS ağ geçidini izleyen araştırmacılar (Moreno ve arkadaşları, "Your Code is 0000," 2023) 17.141 numaraya gönderilen 70 milyondan fazla mesaj topladı. Geri dönüştürülmüş numaralar ikinci bir risk taşır. Princeton'da iki ABD operatöründe numara geri dönüşümü üzerine yapılan bir çalışma (Kevin Lee ve Arvind Narayanan, eCrime 2021), örneklenen 259 kullanılabilir numaradan 215'inin geri dönüştürüldüğünü ve en az bir saldırıya açık olduğunu ortaya koydu. Çalışma ayrıca, 259 numaradan 171'inin altı popüler web sitesinde şifre kurtarma yoluyla hesap ele geçirmeye maruz kaldığını ve geri dönüştürülmüş 200 numaradan 19'unun bir hafta içinde parola gibi güvenlik açısından hassas mesajlar almaya devam ettiğini buldu.

Geçici E-postanın Uygun Olduğu Yerler

Geçici e-posta, düşük riskli kayıtlarda e-posta ile gönderilen kodlar için iyi bir seçenektir: bir forum, bir bülten, tek seferlik bir indirme veya saklamayabileceğiniz bir ürün denemesi. Tutmayı planladığınız bir hesap için uzun vadeli bir e-posta kullanın ve hesap kurulduktan sonra bir kimlik doğrulama uygulaması veya geçiş anahtarı etkinleştirin. Kod hangi kanaldan gelirse gelsin, sizinle iletişime geçip kodu isteyen birine vermeyin. Kodu yalnızca doğrulamayı başlattığınız hizmete veya uygulamaya girin.

OTP Teslimatı Genellikle Ne Zaman Çalışır?

Geçici e-postaya teslimat, üç koşul bir araya geldiğinde çalışır: hizmet kodu e-posta ile gönderir, tek kullanımlık adresleri kabul eder ve alıcı sunucu çalışır durumda olup mesajı hemen kabul eder. Politikalar siteye göre büyük ölçüde değişir; bu nedenle tek güvenilir sinyal, sitenin adresinizle ne yaptığıdır.

Geniş Bir Alan Adı Havuzunun Yaptıkları ve Yapmadıkları

Tmailor, 500'den fazla alan adında adresler sunar; bu da size geçici adres seçeneği sağlar. Bu, teslimatı garanti etmez veya bir sitenin tek kullanımlık e-posta politikasını değiştirmez. Bir site adresi reddederse, bu karara saygı gösterin ve daha fazla tek kullanımlık adres denemek yerine kontrol ettiğiniz uzun vadeli bir e-posta kullanın.

Hız Faktörü

OTP kodları zamana duyarlıdır; bu nedenle alıcı taraf da önemlidir. Tmailor, gelen postayı Google MX sunucuları üzerinden alır; böylece göndericiler yaygın olarak kullanılan bir posta yoluna teslim eder ve normal yeniden denemeler tasarlandığı gibi çalışır. Bu, mekanizmayı açıklar; bir hız garantisi değildir. Arka plan bilgisi ise Tmailor'un gelen e-postalar için Google'ın sunucularını neden kullandığına dair bir arka plan var. Hiçbir gelen kutusu, gönderenin henüz göndermediği bir mesajı alamaz.

OTP Kodları Neden Başarısız Olur

Bir OTP tek kullanımlık gelen kutusuna ulaşmıyorsa, neden genellikle üç gruptan birine girer. Her birinin farklı bir yanıtı vardır, bu yüzden tekrar denemeden önce hangisiyle karşılaştığınızı bilmek faydalı olur. Geçici e-postanız hiç e-posta almıyorsa, önce tüm mesajların mı eksik olduğunu yoksa yalnızca bir sitenin kodunun mu eksik olduğunu kontrol edin. Tek bir eksik kod genellikle göndericiye, adres politikasına veya teslimat kanalına işaret eder; birbiriyle ilgisiz birkaç göndericiden hiçbir şey gelmemesi ise gelen kutusuna veya alıcı hizmetine işaret eder.

Site, Tek Kullanımlık Adresleri Reddediyor

Bazı hizmetler, kayıtları dahili veya üçüncü taraf tek kullanımlık alan adı listeleriyle karşılaştırır. Kayıt sırasında adresi bir hatayla reddedebilir veya formu kabul edip kodu asla göndermeyebilirler. Her iki durumda da bunu sitenin kararı olarak kabul edin ve o hesap için kontrol ettiğiniz uzun vadeli bir e-posta kullanın. Web sitelerinin tek kullanımlık alan adlarını neden reddettiğine dair rehberimiz, bu filtrelemenin nasıl çalıştığını açıklıyor.

Kod Gecikiyor ya da Hiç Gönderilmiyor

Göndericiler mesajları sıraya alır ve kısıtlar, bazıları göndermeden önce kötüye kullanım kontrolleri yapar. Alıcı sunucu ayrıca ilk denemeyi erteleyebilir; bu, greylisting adı verilen bir spam kontrol tekniğidir, böylece kod ancak göndericinin posta sunucusu yeniden denedikten sonra ulaşır. "Yeniden gönder"e tekrar tekrar basmak bir bekleme süresini tetikleyebilir ve yeni bir kod genellikle öncekini iptal eder. Kısa bir gecikme, açık kalan bir gelen kutusunda zararsızdır, ancak 10 dakikalık bir geri sayımı aşabilir.

Kod Başka Bir Yere Gitti

Kod, izlediğiniz adresten farklı bir adrese, mevcut bir hesap için zaten kayıtlı olan e-postaya ya da tamamen başka bir kanala, örneğin SMS veya uygulama istemine gitmiş olabilir. Bir kod, zamanlı gelen kutusu yeni bir adrese geçtikten sonra da gelebilir. Neden bazında platform notlarıyla birlikte bir inceleme için 12 Reasons of 12 Reasons of OTP e-postasının gelmemesi rehberine bakın.

Gelen Kutusu Türüne Göre OTP Güvenilirliği

Açıklama: Tmailor bu blogu yayınlıyor ve Tmailor aşağıdaki karşılaştırmada yeniden kullanılabilir gelen kutusu örneğidir. Sınırları da geçerlidir: yalnızca alıcıdır, mesajlar geldikten sonra yaklaşık 24 saat görünür kalır, kayıp bir Access Token kurtarılamaz ve bazı siteler tek kullanımlık alan adlarını tamamen reddeder.

Tüm geçici e-postalar doğrulama için aynı şekilde davranmaz. Belirleyici faktörler, gelen kutusunu ne kadar süre okuyabileceğiniz ve aynı adrese daha sonra geri dönüp dönemeyeceğinizdir. Hızlı bir zamanlı gelen kutusu istiyorsanız, Tmailor'un 10 dakikalık posta geri sayımı, kalan 60 dakikaya kadar uzatabileceğiniz 10 dakikalık bir geri sayımla başlar. İhtiyaca göre sıralanmış bir seçim için OTP dağılımına göre en iyi geçici posta dökümüne bakın.

OTP Kodları Ne Kadar Süre Geçerli Kalır

Gönderme hizmeti son kullanma süresini belirler, e-posta sağlayıcınız değil. Giriş ve kayıt kodları genellikle sadece birkaç dakika sürerken, e-posta doğrulama bağlantıları ve kurtarma kodları daha uzun süre dayanabilir; ekran ya da e-posta genellikle ne kadar süreceğini gösterir. NIST, uyumlu bant dışı kimlik doğrulamanın 10 dakika içinde tamamlanmasını zorunlu kılar, ancak bu kural her e-posta kodu değil, standardına uygun giriş adımlarını kapsar. Ekrandaki geri sayımı gerçek sınır olarak kabul edin.

Kod ömrü ve mesaj ömrü farklı saatlerdir. Tmailor'da, bir mesaj geldikten sonra yaklaşık 24 saat görünür kalırken, içindeki kod dakikalar içinde süresi dolabilir. Geçici posta süresine dair rehberimiz, mesaj tutma ile adres yeniden kullanımını ayırır.

OTP Gelmediğinde Kontrol Listesi

Geçici postanın sorun olduğunu varsaymadan önce bu kontrolleri sırayla yapın:

1. Zamanlayıcıyı bekleyin, sonra bir kez tekrar gönderin. Sadece gelen en yeni kodu kullanın.
2. Adresi ve kanalı doğrulayın. Onay ekranındaki adresin izlediğiniz gelen kutusuyla eşleşip eşleşmediğini doğrulayın ve hizmetin kodu SMS, uygulama isteğiyle mi yoksa dosyadaki eski bir e-posta ile mi gönderdiğini kontrol edin.
3. Gelen kutusunu açık tutun. Tmailor gelen kutusu, spam klasörü olmayan tek bir listedir, yani başka bir yere bakamazsınız. Zamanlama belirsizse, yeniden kullanılabilir geçici bir posta adresiyle başlayın ve Access Token'ını kaydedin.
4. Reddetmeye saygı gösterin. Site adresi reddederse veya hiç kod göndermezse, o hesap için sizin kontrol ettiğiniz uzun vadeli bir e-posta kullanın. Adres ardına adres denemek sitenin politikasına aykırı olur ve hesabı riske atar.

Yukarıda "Kod Başka Yere Gitti" başlığı altında bağlantılandırılan tanı merkezi, Steam, Epic Games, Discord, Binance, Instagram ve X dahil olmak üzere her nedeni derinlemesine ele alıyor.

Zamanlı ve Yeniden Kullanılabilir Gelen Kutusu: OTP için Hangisi Kullanılmalı

Yalnızca tek bir acil koda ihtiyacınız olduğunda ve hesabı saklamayacağınızda zamanlı gelen kutusunu kullanın. Hizmet daha sonra doğrulama, güvenlik uyarıları veya şifre sıfırlama mesajları gönderebilecekse yeniden kullanılabilir bir adres kullanın. Access Token'ı güvenli bir şekilde kaydedin: Access Token'a sahip olan herkes gelen kutusunu açabilir ve kayıp Access Token destek tarafından geri alınamaz.

Tmailor'da, geri sayımın sonuna ulaşınca sayfa yeni bir adrese geçer; önceki adresin hemen kaybolmasına neden olmaz. Önceki adres aynı cihazda Geçmiş'te kaydedilir ve hâlâ kullanılabilirken yeniden açılabilir; Access Token ile başka bir cihazda yeniden açabilirsiniz. Gelen mesajlar yaklaşık 24 saat görünür kalır.

Zamanlama sorusu hakkında kafa kafaya bakmak için OTP için geçici posta ile 10 dakikalık posta karşılaştırın. İki model arasındaki güvenlik ve gizlilik dengeleri, yeniden kullanılabilir ve kısa ömürlü gelen kutuları rehberinde ele alınmıştır.

Çok Aşamalı Doğrulama

Bazı platformlar bir onay e-postası gönderir, sonra ayrı bir OTP, ardından bir kurulum mesajı gönderir. Kısa bir geri sayımla, ilkini yakalayabilir ve birkaç dakika sonra gelen bir OTP'yi kaçırabilirsiniz. Tekrar kullanılabilir bir adres, açabildiğiniz sürece yeni mesajlar almaya devam eder.

Yeniden Doğrulama ve Güvenlik Uyarıları

Sosyal ve SaaS platformları genellikle yeni bir cihazdan giriş yaptığınızda tekrar doğrulama yapar. Orijinal kayıt adresiniz artık mevcut değilse, kontrolü tamamlayamazsınız ve erişiminizi kaybedebilirsiniz. Geri alınabilir bir adres, o güzergahı erişilebilir kılar.

Şifre Sıfırlama Güvenlik Ağı

Bir şifre sıfırlama e-postası kayıt yaptığınız adrese gider. Zamanlamalı bir adres çoktan gitmiş olabilir. Access Token ile yeniden açtığınız tekrar kullanılabilir bir adres yine de yeni bir sıfırlama e-postası alabilir ve bu e-posta yaklaşık 24 saat görünür kalır.

Basit Kural

Eğer her iki soruya da "belki" veya "evet" derseniz, tekrar kullanılabilir bir adres kullanın: (1) Birkaç dakika sonra bu adrese tekrar ihtiyacım olacak mı? (2) Bu hesabı tutmak isteyecek miyim? Tek seferlik indirmeler, bülten önizlemeleri ve hızlı ürün testleri için zamanlamalı gelen kutusu yeterli.

Belirli Platformlarda OTP

E-posta teslimatı teknik olarak her yerde aynı şekilde çalışır, ancak siteler tek kullanımlık adresleri kabul edip etmedikleri ve kodlar için hangi kanalı kullandıkları konusunda farklılık gösterir. Sosyal ağ kayıt rehberimiz bu akışları kapsar ve bir platform adresi reddederse, onun için uzun vadeli bir e-posta kullanın. Yapay zeka araçları kendi giriş kodlarını ekler; ChatGPT kayıt ve giriş kodu rehberi bu durumu kapsar. Tek kullanımlık bir adresin reddedilebileceği yerleri önceden kontrol etmek için, hangi sitelerin geçici posta kabul ettiğini bölümüne bakın.

Geçici Posta OTP'sini Neler İçin Kullanmamalı?

Geçici posta, gizlilik bilinciyle kayıtlar ve düşük riskli hesaplar için tasarlanmıştır, geri kazanmanız gereken şeyler için değil. Bankacılık, ödemeler, devlet hizmetleri, sağlık hizmetleri veya kimliğinizle bağlantılı herhangi bir birincil hesap için kullanmayın. Bir kod gelse bile, posta kutusuna erişimi kaybetmek uyarıları, kurtarmayı ve daha sonra doğrulamayı engelleyebilir ve bu hizmetler kendi politikaları kapsamında tek kullanımlık adresleri reddedebilir. Tek kullanımlık gelen kutularının nerede yer aldığına daha geniş bir bakış için, geçici e-postaların güvenli olup bölümüne bakın. Bu, saygı duyulması gereken bir sınırdır, aşılması gereken bir engel değildir.

QA ve Geliştirme Ekipleri için OTP Testi

Kendi kayıt akışlarını tek kullanımlık gelen kutularla test eden ekipler, büyük ölçekli OTP sorunlarıyla karşılaşır: yeniden gönderme fırtınaları, hataların belirsiz sahipliği ve test aşaması geçtikten sonra gelen kodlar. Düzeltmeler prosedüreldir: birden fazla adresle test edin, yeniden gönderme girişimlerini sınırlayın ve ilk OTP'ye kadar geçen süreyi bir metrik olarak takip edin, böylece regresyonlar ortaya çıkar. Takımlar için hazır bir OTP risk kontrol listesi tam protokolü ortaya koyuyor.

Sonuç

OTP için geçici postayı sadece uygun yerlerde kullanın: düşük riskli kayıtlar, kodları e-posta ile gönderen ve tek kullanımlık adresleri kabul edenler için. Gelen kutusunu açık tutun, bir kez tekrar gönderin ve adrese tekrar ihtiyacınız olursa Access Token'ı kaydedin. Bir site adresi reddederse veya SMS isterse, kontrol ettiğiniz bir e-posta veya telefon numarasını kullanın ve önemli hesapları bir doğrulama uygulaması veya şifre anahtarı ile koruyun. Günlük kayıtlar için ücretsiz geçici posta oluşturabilir ve beklerken sekmeyi açık tutabilirsiniz.