# Şifre ne sıklıkta değiştirilmeli: yalnızca bir sebep varsa > Neredeyse kimsenin vermediği cevap şu: takvime bakarak asla değiştirilmez. Bir şey olduğunda değiştirilir. «Bir şey»in ne sayıldığı ve geri kalan zamanda —yani neredeyse her zaman— ne yapılacağı burada. 2026-09-02 · David Carrero · password.es Original: https://password.es/tr/blog/sifre-ne-siklikta-degistirilmeli/ --- Sondan başlayalım, çünkü cevap kısa ve neredeyse kimse bütününü vermiyor: **bir sebep olduğunda. Doksan günde bir değil.** Şifreyi takvime göre değiştirme alışkanlığı öyle içimize işlemiş ki neredeyse hijyen gibi geliyor, diş fırçalamak gibi. Oysa son kullanma tarihi olan bir tavsiyeydi ve tarihi geçti: ABD'nin NIST'i 2003'te yazdı, 2017'de geri çekti ve o belgenin yazarı aynı yıl alenen özür diledi. Bu hikâyeyi bütünüyle [parola nedir](/tr/blog/parola-nedir/) yazısında anlatıyoruz; burada asıl mesele öteki taraf, neredeyse hiç anlatılmayan taraf: **sen bugün şifrelerinle ne yapacaksın.** ## Takvim senden bir şey çalınıp çalınmadığını bilmez Tarihe göre değiştirmenin sorunu, tarihin hiçbir bilgi taşımamasıdır. Biri şifreni şubatta bir salı ele geçirdiyse, sırası geldi diye 1 Nisan'da değiştirmek ona bir buçuk aydan fazla erişim hediye eder. Kimse dokunmadıysa da değiştirmek seni hiçbir şeyden korumamıştır: iyi bir şifreyi muhtemelen daha kötüsüyle değiştirmiş olursun, çünkü zorunluluktan yazılan şifreler isteksizce yazılır. Başarısızlığın bütün mekanizması burada. **Zorunlu döngü yeni şifre üretmez, varyasyon üretir.** `Yaz2026!` `Sonbahar2026!` olur, sonra `Kis2026!`, ve sana saldıran bunu bilir, çünkü bu dizi geldiği duvar takvimi kadar tahmin edilebilirdir. Sistem memnun olur —şifre «değişti»— ve gerçek güvenlik yükselmez, düşer. Bu yüzden NIST, **SP 800-63B**'de iki şeyi birlikte söyler: zamana bakarak keyfî değişiklik yok, ve **ele geçirilme belirtisi olur olmaz değişikliği zorunlu kıl**. Değiştirmek önemsiz demiyor. Tetikleyicinin bir tarih değil, bir olgu olması gerektiğini söylüyor. ## Gerçekten sayılan sebepler Liste şu. Bunlardan biri başına gelirse şifre gelecek ay değil, bugün değişir: - **Bir sızıntıda ortaya çıktı.** Söz konusu servisin ya da aynısını kullandığın başka herhangi birinin sızıntısında. - **Aynısını başka yerde kullandın.** `X` sızdıysa ve dört sitede daha duruyorsa, değiştirilecek bir şifre değil beş şifre var. - **Aslında o site olmayan bir siteye yazdın.** Aceleyle açılmış bir e-posta, bir bağlantı, benzeyen bir form. İki saniye sonra fark etmiş olman bir şeyi değiştirmez: göndermiştin bile. - **Paylaştın.** Eşinle, bir iş arkadaşınla, bir iş sohbetinde, bir kâğıtta. Kimin okuduğunu denetlemediğin bir kanaldan geçmiş bir şifre artık senin değildir. - **Tuhaf hareket görüyorsun.** Hiç bulunmadığın bir yerden oturum açılması, istemediğin sıfırlama e-postaları, yazmadığın bir gönderilmiş mesaj. - **Cihaz ele geçirilmişti.** Zararlı yazılım bulaşmış bir bilgisayar, kaybolan bir telefon, tanımadığın bir teknik servisten geçmiş bir dizüstü. - **Servis seni uyarıyor.** Bir şirket o e-postayı gönderdiğinde aynı gün harekete geç. Bu tam olarak SP 800-63B'nin öngördüğü durumdur. - **Bir birliktelik bitti.** Eski bir eş, paylaşılan bir ev, bir ortak. İki kişiyken artık tek kişilik olan hesaplar. Ortak yanlarına dikkat et: **hepsi birer olgu**. Hiçbiri «doksan gün geçti» değil. İlki için bir araç var. Belirli bir şifrenin hâlihazırda dolaşan listelerde olup olmadığını ve bu arada ne kadar dayanacağını öğrenmek istersen [şifre kontrolünden](/tr/sifre-kontrol/) geçir: tarayıcında incelenir ve oradan çıkmaz. ## Sebep varsa sıra önemlidir Şifreyi değiştirmek bariz adımdır ve çoğu zaman ilk adım değildir. İşi iki kez yapmaktan kurtaran sıra şu: **Önce cihaz.** Yazdıklarını okuyan bir şeyin kurulu olduğundan şüpheleniyorsan, şifreni aynı makineden değiştirmek ona yenisini teslim etmek demektir. Temizle ya da önce başka bir cihaz kullan. **Sonra e-posta.** E-posta hesabın sıradan bir hesap değil: diğerlerinin hepsinin «şifremi unuttum» bağlantılarını alan hesap. E-postayı denetleyen gerisini ön kapıdan denetler. Başlanacak tek bir şifre varsa o odur. **Ardından açık oturumları kapat.** Şifreyi değiştirmek içeride olanı her zaman dışarı atmaz. Hesap ayarlarında tüm cihazlarda oturumu kapatma seçeneğini bul ve kullan: yoksa davetsiz misafir, senin şifrene artık hiç ihtiyacı olmayan bir oturumla bağlı kalır. **Ve son olarak, arkasında ne bıraktığına bak.** Bu, en çok atlanan adım. Bir hesaba giren yalnızca bakmakla yetinmez: kurtarma adresini değiştirir, bir telefon ekler, kendi ikinci faktörünü açar, bir uygulama bağlar, posta kutusuna bir yönlendirme kuralı koyar. **Şifreyi değiştirip bunu gözden geçirmezsen, yarın hâlâ ardına kadar açık duran bir kapıdan geri girer.** Kurtarma yöntemlerini, yetkili cihazları, bağlı uygulamaları ve yönlendirme kurallarını gözden geçir. Bir şey daha, apaçık olduğu için en çok ihmal edilen şey: değiştirirken yenisi gerçekten **yeni** olmalı. Her zamankinin başka bir rakamlısı değil. [Üreticide](/tr/) üret ve hafızana bağlı olmayan bir yerde sakla. ## Yılın diğer üç yüz altmış gününde ne yaparsın Tetikleyici bir olguysa ve olgular seyrekse, soru değişir: yani yapacak bir şey yok mu? Tam tersine. Döngünün kötü çözmeye çalıştığı şey dört şeyle iyi çözülür ve dördü de bir kerelik. **Uzun olsunlar.** SP 800-63B uzunluğu kıvraklığın önüne koyar: uzun bir şifre, sembollerle doldurulmuş kısa bir şifreden değerlidir. İşin büyük kısmı orada. **Her sitede farklı olsunlar.** Başkasının sızıntısını yangın yerine küçük bir olaya dönüştüren şey budur. Her hesabın kendisininki varsa, birinin sızması diğerlerine dokunmaz; şifre paylaşırsan, kullandığını bile hatırlamadığın bir servis bankanın güvenliğine karar verir. **Sızıntı listeleriyle karşılaştırılsınlar.** NIST'in yaptığı takas tam olarak budur: senden sembol istemek yerine, şifrenin çoktan dolaşımda olup olmadığını denetlemek. Bu denetimin süresi gerçekten dolar —bugün listelerde olmayan bir şifre gelecek yıl olabilir— ve bu yüzden iyi şifre yöneticileri bunu kendiliğinden tekrarlar ve seni uyarır. **Mümkün olan her yerde ikinci faktör olsun.** İkinci faktör devredeyken çalınmış bir şifre anahtar olmaktan çıkar, yarım anahtara döner. Dördü birlikte, döngünün asla yapmadığı bir şeyi yapar: **şifreyi tam da sebep varken değiştirir, çünkü sebebin var olduğunu öğrenirsin.** Listeleri gözleyen bir yönetici bir uyarı sistemidir; takvim hiçbir şey için uyarmaz, sadece geçer. ## Ya şirketin doksan günde bir zorunlu tutuyorsa Oluyor, hem de sık, çünkü on beş yıl önce yazılmış ve o günden beri kimsenin açmadığı politikalar var. İki şey. Birincisi, pratik: değiştirmek zorundaysan **gerçekten değiştir**. Baştan yeni bir tane üret ve yöneticiye koy. Mevsimlik varyasyon, değiştirmemekten daha kötü olan tek şeydir, çünkü bir şey yapmış olma hissi verir. İkincisi, politikayı kımıldatabilecek olanlara: argümanı uydurmaya gerek yok. **SP 800-63B**'de duruyor, NIST'in resmî kılavuzudur ve açıkça şunu der: şifrenin düzenli aralıklarla değiştirilmesi istenmemeli, ele geçirilme belirtisi varsa değişiklik zorunlu kılınmalı. Bugün doksan gün kuralını sürdüren, onu yayımlayan kurumun yıllar önce yerine yenisini koyduğu bir belgeyi izliyor. ## Kısa cevap, bir kez daha Şifre ne sıklıkta değiştirilmeli? **Bir şey olduğunda.** Ve «bir şey olduğunda» ancak olduğunu öğrenirsen işe yaradığından, uzun cevap şu: her şifreyi uzun, farklı ve gözetim altında tut; böylece birini değiştirmen gereken gün bunu bilirsin, tek bir şifre olur ve iki dakikanı alır. Gerisi, güvende hissetmek için takvimde bir kutucuk işaretlemektir. --- *Kaynaklar: NIST SP 800-63, «Electronic Authentication Guideline» (2003), bileşim kurallarının ve düzenli değişikliğin geçtiği belge · NIST SP 800-63B, «Digital Identity Guidelines: Authentication and Lifecycle Management» (2017): uzunluk karmaşıklığın önünde, keyfî düzenli değişiklik yok, ele geçirilme belirtisinde zorunlu değişiklik ve ele geçirilmiş şifre listeleriyle karşılaştırma · 2003 kılavuzunun yazarı Bill Burr'ın Ağustos 2017'de Wall Street Journal'a açıklamaları.*