Güçlü şifre nasıl oluşturulur?

Bir siteden "şifreniz sızdı" uyarısı gelince ya da bankanız yeni bir şifre isteyince aynı soru geliyor: güçlü şifre nasıl oluşturulur? Cevap çoğu insanın beklediğinden daha basit — ve ezberlenecek karakter salatasından çok, tek bir alışkanlık meselesi.

Aşağıda önce bir şifreyi gerçekten neyin güçlendirdiğini, sonra akılda kalan uzun şifrelerin nasıl kurulduğunu, en sonda da elinizdeki şifreyi sınayacağınız kısa bir listeyi bulacaksınız. Hepsi bir öğleden sonrada halledilecek işler.

Şifreyi güçlü yapan şey, denenmesi gereken ihtimal sayısıdır

Şifrenizi tahmin etmeye çalışan bir program klavyeye elle yazan bir insan gibi çalışmaz; hazır listelerden ve kalıplardan yürüyerek saniyede milyonlarca ihtimali dener. Bir şifrenin gücü de "karışık görünmesi" değil, o sıranın uzunluğudur. Yani soru şu: sizinkine gelene kadar kaç ihtimal denenmeli?

Bu sayıyı iki şey büyütür: her basamakta kaç farklı karakterin bulunabileceği ve kaç basamak olduğu. İkincisi çok daha ucuz bir kazançtır. Sekiz karakterlik bir şifrede karakter kümesini sadece küçük harften harf-rakam-işarete genişletmek toplam ihtimali kabaca otuz bin katına çıkarır; aynı şifreye üç küçük harf eklemek ise on yedi bin kat eder. Dördüncü harfte artık genişletmeyi geçersiniz — hem de hiçbir işaret ezberlemeden.

Güvenlik dünyası bu ihtimal sayısını "bit" diye kısaltır, çünkü sayılar kısa sürede okunamaz hale gelir. Her bit, denenecek ihtimalin ikiye katlanması demektir: 10 bitlik fark bin kat, 20 bitlik fark bir milyon kat daha uzun bir arama anlamına gelir. Şifre Üretici aracı ürettiği her şifrenin kaç bit ettiğini sonuç satırına yazar; kendi ürettiğiniz bir şifrenin nereye düştüğünü görmek için oradaki uzunluk kaydırıcısıyla birkaç saniye oynamak yeter.

Kelime dizisi: akılda kalan uzun şifre böyle kurulur

Uzun şifrenin tek sorunu akılda kalmamasıdır. Çözüm, rastgele karakterler yerine rastgele kelimeler dizmektir: beş kelimeyi arka arkaya koyduğunuzda otuz karaktere yaklaşan, gözle okunabilen ve zihinde bir sahne olarak duran bir şifre elde edersiniz. "kavun-perde-mızrak-fener-ocak" bunun tipik örneğidir; telefonda yazması da rastgele işaretlerden çok daha kolaydır.

Yöntemin bütün gücü kelimelerin gerçekten rastgele seçilmesine bağlıdır. Kendi aklınıza gelen ilk beş kelime rastgele değildir: insanlar birbirine benzer çağrışımlardan seçer, tahmin programları da bu benzerliği bilir. Kelimeyi nereden bulacağınızı soruyorsanız en kolay yol elinizin altındadır: evdeki herhangi bir kitabı rastgele beş kez açın, her açılışta sol sayfanın en üstündeki ilk somut adı alın ve sayfayı hemen kapatın. Beş kelime bittiğinde şifreniz hazırdır.

Bu yöntemi ezberlemeniz gereken az sayıdaki şifre için saklayın: bilgisayar oturumu, telefon açma, e-posta hesabı ve varsa parola yöneticinizin ana şifresi. Geri kalan onlarca hesap için tek tek kelime dizmeye çalışmak yorucudur; oraları rastgele üretilmiş şifrelerle doldurup kaydetmek daha sağlıklıdır.

• Kelimeler rastgele seçilecek: "aklıma geldi" rastgele değildir
• Anlamlı bir cümle kurmayın; tanıdık söz dizimi tahmin listelerinin ilk sırasıdır
• Aralarına tire ya da nokta koyun: hem okunur olur hem uzunluk ekler
• Beş kelime hedefleyin, dördün altına inmeyin
• İsim, doğum yılı, takım adı ve şehir gibi sizi anlatan kelimeleri karıştırmayın

Aynı şifreyi iki yerde kullanmak, en pahalı alışkanlıktır

Kişisel hesapların ele geçirilmesinin en yaygın yolu, şifrenizin kırılması değil, başka bir siteden sızmış olmasıdır. Küçük bir alışveriş sitesi ya da unuttuğunuz bir forum veri sızıntısı yaşar; e-posta adresiniz ve şifreniz bir listeye düşer; sonra o ikili sırayla bankalarda, sosyal ağlarda ve e-posta sağlayıcılarında denenir. Yani şifrenizin ne kadar güçlü olduğu bu senaryoda hiç önemli değildir, çünkü kimse tahmin etmiyor — elindekini deniyor.

Bunun tek panzehiri her hesaba ayrı şifre vermektir. Hepsini bugün değiştirmeniz gerekmez; sıralamayı önem sırasına göre yapın. En üstte e-posta hesabınız vardır, çünkü diğer bütün hesapların "şifremi unuttum" bağlantısı oraya düşer: e-postası ele geçen birinin kalan hesapları da sırayla açılabilir.

İkinci önlem, mümkün olan her yerde iki adımlı doğrulamayı açmaktır. Şifreniz sızsa bile telefonunuza gelen ya da uygulamanın ürettiği kod olmadan giriş yapılamaz. Ayarı çoğu sitede hesap menüsünün altında "Güvenlik" ya da "Giriş ve güvenlik" başlığında bulursunuz.

• 1. sıra: e-posta hesabınız — bütün kurtarma yolları buradan geçer
• 2. sıra: banka, ödeme ve devlet hizmetleri
• 3. sıra: sosyal ağlar ve alışveriş siteleri
• Son sıra: bir kez kullanıp unuttuğunuz üyelikler

Şifrem güçlü mü? Altı soruluk kontrol listesi

Elinizdeki şifreyi hiçbir siteye yazmadan, kendi kendinize sınayabilirsiniz. Aşağıdaki altı sorudan birine bile "evet" diyorsanız o şifre değiştirilmeyi hak ediyor demektir. Şifrenizi "güçlü mü" diye soran sitelere yazmayın; sınamak için o şifreyi başka birine göndermenize gerek yok.

• 12 karakterden kısa mı? Kısa şifre, karakterleri ne kadar karışık olursa olsun bugünün donanımı karşısında zayıftır
• İçinde adınız, doğum yılınız, çocuğunuzun ya da evcil hayvanınızın adı geçiyor mu?
• Sözlükte bulunan tek bir kelimenin başına rakam, sonuna ünlem eklenerek mi yapıldı? Tahmin programları bu kalıbı ilk denediklerinin arasında sayar
• Klavyede yan yana duran tuşlardan mı oluşuyor?
• Aynı şifre başka bir sitede de kullanılıyor mu?
• Bir yerlerde açık metin olarak duruyor mu: e-postada, telefon notlarında, masaüstündeki bir dosyada?

Bu şifreleri nerede saklamalısınız?

Onlarca güçlü şifreyi akılda tutmak mümkün değildir; zaten amaç da bu değildir. Pratikte üç makul yol vardır. Birincisi bir parola yöneticisidir: şifreleri şifreli bir kasada tutar, siz yalnızca ana şifreyi ezberlersiniz — kelime dizisi yöntemi tam olarak bu ana şifre içindir. İkincisi tarayıcınızın yerleşik şifre kasasıdır; daha az esnektir ama hiçbir şey yapmamaktan kat kat iyidir. Üçüncüsü evde tutulan bir kâğıt defterdir: eski moda görünse de uzaktan erişilemeyen tek yöntem odur.

Kaçınmanız gerekenler kısa bir listedir: şifreleri kendinize e-postayla göndermek, mesajlaşma uygulamasında kendinize yollamak ve şifre listesini masaüstünde düz bir metin dosyası olarak tutmak. Şifrelerinizi bir dosyada tutmak zorundaysanız o dosyayı Dosya Şifreleme aracıyla bir parolayla kilitleyin; böylece cihazınız başkasının eline geçse bile liste okunmaz. Bu durumda ezberlemeniz gereken tek şey o dosyanın parolası olur.

Şifreyi ne zaman değiştirmeli?

"Her üç ayda bir şifreni değiştir" kuralı yıllarca kurumsal politikaların vazgeçilmeziydi; bugün güvenlik kılavuzlarının çoğu bu zorlamadan uzaklaşmış durumda. Sebebi gözlemlenen davranıştır: sürekli değiştirmek zorunda kalan insanlar güçlü bir şifre kurmak yerine sonundaki rakamı bir artırıyor, sonuç eskisinden daha kolay tahmin edilebilir bir dizi oluyor. Uzun ve benzersiz bir şifreyi, sebep yokken değiştirmek onu güçlendirmez.

Değiştirmeyi gerektiren durumlar bellidir ve hepsinde vakit kaybetmeden davranmak gerekir: bir siteden sızıntı bildirimi geldiyse, aynı şifreyi birden çok yerde kullandığınızı fark ettiyseniz, şifreyi birine söylediyseniz, ortak bir bilgisayardan giriş yaptıysanız ya da hesabınızda tanımadığınız bir hareket gördüyseniz. Bu son durumda şifreyi değiştirmek tek başına yetmez; aynı ekranda "oturum açık cihazlar" listesini bulup diğer bütün oturumları da kapatın, yoksa giren kişi açık kalan oturumundan devam eder.

Sık sorulanlar

Şifre kaç karakter olmalı?

Ezberleyeceğiniz şifrelerde 16 karakter iyi bir hedeftir ve 12 karakterin altına inmemek gerekir. Kaydedeceğiniz, yani her seferinde yazmayacağınız şifrelerde uzunluğu artırmanın size hiçbir maliyeti yoktur: 20 karakter ve üzeri rahatlıkla kullanılabilir.

Güçlü şifre örnekleri verir misiniz?

Yayımlanmış hiçbir örneği olduğu gibi kullanmayın; bir yerde yazılı olan şifre artık gizli değildir. Örnekler ancak biçimi göstermek içindir: beş rastgele kelimenin tireyle birleştirilmesi ya da rastgele üretilmiş 16-20 karakterlik bir dizi. Kendi şifrenizi kurmanın en hızlı yolu Şifre Üretici aracıyla bir takım üretip beğendiğinizi kaydetmektir.

Şifremi üç ayda bir değiştirmeli miyim?

Zorunlu değil. Uzun ve yalnız o hesapta kullandığınız bir şifreyi sebepsiz değiştirmek güvenliği artırmaz, hatta insanları sonuna rakam ekleyen kolay kalıplara iter. Sızıntı bildirimi, şifreyi paylaşmış olmak veya hesapta tanımadığınız bir hareket görmek gerçek değiştirme sebepleridir.

Parola yöneticisi kullanmak riskli değil mi?

Bütün şifreleri tek yere koymak ilk bakışta ürkütücü gelir, ama alternatifi genellikle aynı şifreyi her yerde kullanmaktır ve o kesin bir risktir. Yöneticiyi kullanacaksanız ana şifresini kelime dizisi yöntemiyle uzun kurun ve mümkünse iki adımlı doğrulamayı açın; kasanızın yedeğini de unutmayın.

Şifremin sızıp sızmadığını nasıl anlarım?

Çoğu güncel tarayıcı ve parola yöneticisi, kayıtlı şifrelerinizi bilinen sızıntı listeleriyle karşılaştırır ve eşleşme olursa uyarı gösterir; bu denetimi tarayıcınızın şifre ayarları bölümünde bulabilirsiniz. Uyarı geldiyse önce o hesabın şifresini, ardından aynı şifreyi kullandığınız diğer hesapları değiştirin.

Son güncelleme: 27 Ağustos 2026