Neden varsayılan?

İnsan hafızası, onlarca sitenin dayattığı karmaşık parola politikasına göre tasarlanmamıştır. Bu uyumsuzluk bilinçli bir ürün stratejisine yakındır: kullanıcıyı ya zayıf tekrara ya da tarayıcının buluta bağlı dolgusuna iter. Denetlenebilir bir parola yöneticisi, sırları tek bir şirket oturumuna zincirlemeyi reddetmenin yoludur.

Tehdit modeli (ne korunur, ne korunmaz?)

Parola yöneticisi şunlara karşı güçlüdür:

  • Yeniden kullanım: Bir sızıntıda aynı parolanın her yerde işe yaraması.
  • Zayıf üretım: Kısa, tahmin edilebilir, klavye desenli parolalar.
  • Phishing’e kısmi direnç: Birçok yönetici, kayıtlı domain ile açık sayfanın domain’i uyuşmazsa doldurmayı reddeder veya uyarır. Bu, her sahte siteyi yakalamaz ama büyük bir sınıfı keser.

Zayıf kaldığı veya ek önlem istediği yerler:

  • Cihaz ele geçmesi: Kötü amaçlı yazılım, oturum açıkken kasayı da okuyabilir. Disk şifreleme, ekran kilidi ve güncel sistem şarttır.
  • Ana parola (master password) zayıflığı: Kasanın anahtarı zayıfsa, çevrimdışı kaba kuvvet riski büyür. Uzun, benzersiz, tahmin edilemeyen bir ana parola + mümkünse yöneticinin kendi 2FA’sı.
  • Bulut senkron hesabının ele geçmesi: Sıfır-bilgi (zero-knowledge) iddiası olan ürünlerde sunucu kasayı düz metin görmemelidir; yine de hesap kurtarma süreçleri, yedek kodlar ve e-posta güvenliği kritiktir.
  • Kötü yedek / kilitleme: Ana parolayı unutup yedeksiz kalmak, kendi kendine hizmet reddidir. Kurtarma anahtarlarını çevrimdışı, şifreli ve fiziksel olarak güvenli saklayın.

Ne seçilirken bakılır?

  • Açık kaynak veya düzenli bağımsız denetim raporları
  • Yerel şifreleme (istemci tarafı); “sıfır-bilgi” iddiasının sınırlarını okumak
  • Dışa aktarma (export) formatı — kilitleme (vendor lock-in) yok mu?
  • Acil durum / miras erişimi seçenekleri (aile, kolektif)
  • Tarayıcı eklentisinin izinleri: her sayfayı okuma yetkisi geniş bir yüzeydir; gerekçesini anlayın
  • Ücret modeli: “ücretsiz katman”ın neyi kestiği; sınıfsal erişim

Tarayıcıya gömülü kasa rahattır ama tarayıcı hesabı ele geçince yüzey birleşir. Ayrı bir yönetici, saldırı yüzeyini ayırır — mimari bir ilkedir.

Kolektif pratik

Aile, haber odası, dernek veya kooperatifte paylaşılan hesaplar için:

  • Ortak kasada rol bazlı erişim; “şifreyi sohbetten atma”yı bırakın
  • Personel değişiminde erişimi geri alma prosedürü
  • Kritik hesaplarda (banka, alan adı, barındırma) ayrı güçlü parolalar + 2FA
  • Eğitim: korkutmadan, utandırmadan; yönetici kurulumuna yardım etmek dayanışmadır

Zayıf ve tekrarlanan parolalar, sızdırılan veriyi hediye paketidir. Parola yöneticisi konfor değil; hesabı başkasının av sahasına çevirmemenin asgari koşuludur.

İkinci faktör seçimi

SMS, TOTP uygulaması, passkey ve donanım anahtarı arasındaki farkları; yedek kodların ve kurtarma ayarlarının nasıl saklanacağını iki adımlı doğrulama kurulum rehberimizde adım adım anlattık. Bu yazıdaki önerileri o rehberle birlikte uygulamak, hesabı hem ele geçirmeye hem de kilitlenmeye karşı korur.

Uç nokta hijyeni

Cihaz şifrelemesi, ekran kilidi ve güncelleme önceliği gibi temel adımları kurulum rehberimizin uç nokta bölümünde topladık; burada konuya özgü risklere odaklanıyoruz.