Şifre Değiştirme Sıklığı: Ne Zaman Gerçekten Gerekir?
Hazırlandı: · 2 dakika · Tuttur Giriş destek ekibi
Yıllarca "şifrenizi her 90 günde bir değiştirin" önerisi verildi. Güvenlik kuruluşlarının güncel rehberleri bu yaklaşımdan vazgeçti. Nedeni, insan davranışının ölçülmesiyle ortaya çıktı.
Periyodik değişiklik neden bırakıldı
Zorunlu periyodik değişiklik, kullanıcıları öngörülebilir desenlere itiyor: Sifre2024! → Sifre2025! veya sonuna artan bir sayı eklemek. Sonuç, şifrenin tahmin edilebilirliğinin artması ve kullanıcıların şifreleri bir yere yazması oldu. Yani önlem, korumayı azalttı.
Güncel yaklaşım: uzun, benzersiz ve her hesapta farklı bir şifre kullan; yalnızca gerektiğinde değiştir. Gereklilik, takvime değil olaya bağlıdır.
Değiştirmeyi gerektiren durumlar
| Durum | Aciliyet |
|---|---|
| Veri sızıntısı duyurusu geldi | Hemen |
| Şifreyi başka bir yerde de kullandığınızı fark ettiniz | Hemen |
| Ortak veya güvenmediğiniz bir cihazda giriş yaptınız | Hemen |
| Kimlik avı sayfasına bilgi girdiniz | Acil; oturumları da kapatın |
| Tanımadığınız bir giriş bildirimi aldınız | Acil |
| Cihazınızda zararlı yazılım şüphesi var | Temiz bir cihazdan değiştirin |
| Şifreyi birine söylediniz | Hemen |
| Hiçbiri yok, şifre uzun ve benzersiz | Gerek yok |
Sızıntı kontrolü
E-posta adresinizin bilinen sızıntılarda geçip geçmediğini gösteren hizmetler vardır; birçok tarayıcı ve parola yöneticisi bu kontrolü kendiliğinden yapar ve "bu şifre bir sızıntıda görüldü" uyarısı verir. Uyarı geldiğinde o şifreyi kullandığınız her yerde değiştirmek gerekir — saldırganların yöntemi tam olarak budur: bir sitede sızan çifti yüzlerce sitede denemek.
Değiştirirken yapılan hatalar
- Virüslü cihazdan değiştirmek. Yeni şifre de aynı yazılıma görünür; temiz bir cihaz kullanın.
- Oturumları kapatmamak. Çalınmış bir oturum çerezi, şifre değişse bile bazı sistemlerde geçerli kalabilir. Şifre değişikliğinden sonra "tüm oturumları kapat" işlemini yapın.
- Eski şifreye benzer bir şifre seçmek. Desen tahmin edilebilir hale gelir.
- Yalnızca o hesabı değiştirmek. Aynı şifre başka yerlerde de kullanılıyorsa sorun çözülmemiştir.
- E-postayı atlamak. E-posta, diğer her şeyin sıfırlama adresidir; sıranın başında olmalıdır.
- Yedek kodları yenilememek. Ele geçirme şüphesi varsa yedek kodlar da yenilenmeli.
İyi bir şifrenin ölçüsü
Karmaşıklık kurallarından (büyük harf, sayı, simge) daha belirleyici olan şey uzunluktur. Dört-beş birbirinden bağımsız kelimeden oluşan bir parola, kısa ve simgeli bir şifreden hem daha güçlü hem daha akılda kalıcıdır. Tek şart: tahmin edilebilir bir alıntı veya kişisel bilgi olmaması.
Her hesap için farklı şifre tutmanın pratik tek yolu bir parola yöneticisidir; kurulum parola yöneticisi yazısında.
Şifre değiştirmenin yetmediği durum
Hesap, şifre dışında bir yolla ele geçirilmişse (oturum çerezi çalınmış, e-posta ele geçmiş, numara taşınmış) şifre değişikliği tek başına çözüm değildir. Sıra şöyledir: e-posta güvenliği → oturumları kapat → şifreler → iki adımlı doğrulama → yedek kodlar. Zincirin tamamı hesap kurtarma yazısında.