Müşteri portalına parolasız giriş: passkeys, bildirim bağlantısı ya da SSO, kime hangisi uyar

Twilio iki günde parolasız giriş üzerine üç yazı yayımladı, HubSpot CRM için SSO'yu inceledi, Auth0 yeni bir OAuth grant türünü anlattı. Müşteri portalı yaptıran işletme sahibinin burada tek bir sorusu var: müşteri oraya nasıl giriyor. Unutacağı bir parolayla, SMS koduyla, e-postadaki bir bağlantıyla ya da telefonundaki passkey ile. ABD'deki PDR şirketi ve Güney Afrika'daki araç kiralama şirketi için portallar yaptım, giriş yöntemini orada işin bir parçası olarak konuştuk.

Neler yayımlandı

Twilio 23 Ekim'de passkeys'i diğer giriş yöntemleriyle karşılaştırdı. Yazıdaki rakamlar: parolaların %51'e kadarı tekrar kullanılıyor, sızıntıların %80'inden fazlasının arkasında zayıf parolalar var, HYPR'ın 2024 araştırmasına göre şirketlerin %69'u kimlik doğrulama süreci üzerinden saldırıya uğradı, destek ekibi giderlerinin yaklaşık %30'u parolalarla ilgili. Yazı sonra sırayla şunları ele alıyor: token'lar ve SSO, sertifikalar, 2FA ve MFA, SMS kodları (Amerikalıların %97'sinin cep telefonu var, ama SIM-swapping ve mesajların ele geçirilmesi riski duruyor), e-postayla gelen kodlar ve bağlantılar. Yazarlar passkeys'i parolanın yerine koyuyor: kişinin hatırladığı bir şey yerine sahip olduğu bir şey.

Twilio 22 Ekim'de ayrıca bir işletme için kimlik doğrulama yönteminin nasıl seçileceğini anlattı: ABD'de 2024'teki siber suç kayıpları 16 milyar doları aştı, küçük şirketlerin %46'sı 2025'te en az bir saldırıyla karşılaştı, “123456” parolası 2023'te 4,5 milyondan fazla kez kullanıldı, 2024'te ortalama bir sızıntının maliyeti 4,88 milyon dolar oldu. İşe yarayan kısım şu: yazarlar e-postaya gelen bağlantıyla girişi, deneme yanılma saldırılarını ortadan kaldıran ayrı bir parolasız seçenek olarak öne çıkarıyor. MFA için de kullanıcıya adım eklediğini yazıyorlar.

Üçüncü yazıyı, “2026'da CIAM nedir”, Twilio yine 22 Ekim'de yayımladı. Ana fikir: giriş anındaki kontrol, beş dakika sonra işlemi kimin yaptığı hakkında az şey söylüyor, hele kişinin yerine bir yapay zeka ajanı çalışıyorsa. Yazarlar kimlik yönetiminin üstüne ikinci bir katman öneriyor. Bu katman oturum boyunca sinyallere bakıyor ve hassas noktalarda onay istiyor, gerekirse bir insanın onayına kadar. Açıklanabilirlik de konuşuluyor: kayıt, bir işlemin neden geçirildiğini ya da engellendiğini göstermeli.

HubSpot 20 Ekim'de CRM için SSO'yu, yani çalışanların girişini inceledi. SAML ve OIDC, Entra ID, Okta ya da Google gibi bir sağlayıcı üzerinden kimlik doğrulamadan sorumlu, SCIM ise hesapları ayrıca açıp kapatıyor. Riski HubSpot kendisi söylüyor: sağlayıcıya bağımlılık, bunu önceden planlamak gerekiyor. Auth0 20 Ekim'de ID-JAG'i, yani Identity Assertion JWT Authorization Grant'ı anlattı: bir uygulamanın kurumsal sağlayıcı üzerinden başka bir uygulamaya erişim alması için bir OAuth grant'ı. Elimde yalnızca sayfanın açıklaması var, başlığın ötesine geçmiyorum.

İşletme için ne anlama geliyor

Araç kiralamayı ele alalım. Müşteri yılda bir kez araç kiralıyor. Portala parola koyarsanız bir yıl sonra müşteri onu hatırlamaz, sıfırlama ister, e-posta spam'e düşer ve yönetici bilgileri telefonda tek tek okur. Müşteri portalı, Twilio yazısındaki CIAM kurallarıyla yaşar: katılım gönüllü, girişteki her fazla adım bir müşteri kaybettirir. Çalışanlar ise her gün giriyor, onlar için MFA ve şirketin kullandığı sağlayıcı üzerinden SSO kurulabilir.

Sonuç: müşteri girişi ve çalışan girişi, kuralları farklı iki ayrı proje. Herkes için tek bir “kullanıcı adı ve parola” formu ikisine de uymuyor.

Bende nasıl yapıldı

ABD'deki PDR şirketinde süper uygulamanın yanında bir müşteri portalı çalışıyor: sipariş için çevrimiçi zaman çizelgesi, belgeyi parmakla imzalama ve PDF üretme, fotoğraflar, push ve SMS bildirimleri, İngilizce ve İspanyolca. Müşteri portalı özel bir bağlantıyla açıyor. Aracındaki göçüğü onartmaya gelen biri için bu, bir tutanağı imzalamak uğruna hesap açmaktan daha kolay.

Ekim 2024'ten beri tam rezervasyon döngüsü olan bir site ve AmoCRM entegrasyonları yaptığım Cape Town'daki araç kiralama şirketinde, teslimin etrafında bir belge ve imza zinciri kurduk: uzaktan imzalar ve çalışan imzası, onay ve e-postaya giden mektup. Ödeme, süreç sırasında eklenen ekran görüntüsüyle kontrol ediliyor. Bu bir görüntü üzerinden kontrol, bankayla otomatik mutabakat değil.

Eylül ve Ekim 2026'da yaptığım “Birlikte Kahve” adlı şirket içi serviste yönetici girişi daha sıkı, çünkü orada ödemeler var. Oturum 8 saat yaşıyor. Aynı adresten beş başarısız denemeden sonra giriş 15 dakika kilitleniyor. Parola yalnızca scrypt hash'i olarak saklanıyor. Gateway kullanıcıyı imzalı bir HttpOnly cookie ile tanıyor ve istemcinin gönderdiği kimlik başlıklarını siliyor. Parayı onaylayan kişi, sıradan bir çalışandan daha zor giriyor.

Ben ne yapardım

Seyrek gelen müşteriler için: e-postadan ya da SMS'ten gelen, süresi sınırlı bir bağlantı, imza ve ödeme için de tek kullanımlık. Passkey'i ikinci adım olarak düzenli girenlere önerin, örneğin araç kiralamanın kurumsal müşterilerine.

Çalışanlar için: şirketin zaten kullandığı sağlayıcı üzerinden SSO ve MFA. CRM SCIM destekliyorsa bağlayın, böylece işten ayrılan çalışan erişimini aynı gün kaybeder. Sağlayıcıya ulaşılamazsa ne yapılacağına önceden karar verin: iki yönetici için yedek giriş.

Hassas işlemler için, Twilio'nun CIAM yazısında önerdiği gibi: belge imzalamak ya da banka bilgilerini değiştirmek, oturum açık olsa bile yeniden kod istesin.

Kayıt tutun: kim girdi, hangi bağlantıyla, neyi imzaladı. Müşteri “bunu ben imzalamadım” dediğinde cevap logda durmalı.

Portalın ilk sürümünden önce nelerin belirlenmesi gerektiğini Müşteri portalının ilk sürümü nasıl planlanır yazısında topladım. Hizmet alanları: işle bağlantılı müşteri ürünü ve müşteri senaryonuza göre uygulama. Projeler: PDR şirketinin teknik ortağı ve Güney Afrika'da araç kiralama. Aynı konuda: müşteri portalı: parmakla imza, PDF ve ikinci dil ve güvenlik tarayıcısının görmediği iş mantığı açığı; daha önce girişin verilere erişim demek olmadığını yazmıştım. Bir portal tasarlıyorsanız ve müşterileri içeri nasıl alacağınızı bilmiyorsanız, kimin ve ne sıklıkla gireceğini anlatın: Görevi konuşalım.