AlexHost’ta İki Faktörlü Kimlik Doğrulama (2FA) Nasıl Etkinleştirilir

İki faktörlü kimlik doğrulama (2FA), kullanıcıların bir hesaba erişim sağlamadan önce kimliklerini iki bağımsız faktör aracılığıyla doğrulamasını gerektiren bir güvenlik mekanizmasıdır: bildikleri bir şey (parola) ve sahip oldukları bir şey (bir kimlik doğrulayıcı uygulamasından zaman tabanlı tek kullanımlık kod). AlexHost hesabınızda 2FA’yı etkinleştirmek, parolanızın kimlik avı, kimlik bilgisi doldurma veya veri ihlali yoluyla ele geçirilmesi durumunda bile, bir saldırganın kayıtlı cihazınıza fiziksel olarak sahip olmadan hesabınıza erişemeyeceği anlamına gelir.

Bu kılavuz, Google Authenticator kullanarak AlexHost’ta 2FA’yı etkinleştirmenin tam adımlarını açıklar, temel TOTP protokolünü açıklar ve çoğu öğreticinin atladığı uç durumları ve kurtarma senaryolarını ele alır.

2FA’nın Hosting Hesapları İçin Neden Vazgeçilmez Olduğu

Hosting kontrol panelleri yüksek değerli hedeflerdir. Ele geçirilen bir hosting hesabı, saldırgana canlı web sitelerine, veritabanlarına, DNS kayıtlarına, e-posta yapılandırmalarına ve faturalama verilerine erişim sağlar. Yalnızca parola ile kimlik doğrulama, aşağıdakiler dahil modern tehditlere karşı yetersizdir:

• Kimlik bilgisi doldurma saldırıları — diğer ihlallerden sızdırılan kullanıcı adı/parola çiftlerini test eden otomatik araçlar
• Kimlik avı kampanyaları — kimlik bilgilerini gerçek zamanlı olarak toplayan sahte giriş sayfaları
• Ortadaki adam müdahalesi — özellikle güvenli olmayan ağlarda
• Kaba kuvvet saldırıları — zayıf veya yeniden kullanılan kimlik bilgilerine karşı sistematik parola tahminleri

2FA, tüm bu vektörleri kimlik doğrulama katmanında etkisiz hale getirir. Mükemmel şekilde ele geçirilmiş bir parola bile, cihazınızda oluşturulan dönen 6 haneli TOTP kodu olmadan işe yaramaz hale gelir.

Bu, özellikle bir VPS Hosting ortamı veya Dedicated Server yönetiyorsanız kritik öneme sahiptir; burada tek bir ele geçirilmiş hesap, tüm sunucu altyapısını, müşteri verilerini ve barındırılan hizmetleri açığa çıkarabilir.

TOTP Tabanlı 2FA Nasıl Çalışır

AlexHost, RFC 6238’de tanımlanan Zaman Tabanlı Tek Kullanımlık Parola (TOTP) standardını kullanır. Mekanizmayı anlamak, sorunları gidermenize ve güvenlik duruşunuz hakkında bilinçli kararlar almanıza yardımcı olur.

TOTP akışı:

1. Kurulum sırasında sunucu, paylaşılan bir gizli anahtar oluşturur (genellikle 160 bit, Base32 dizesi veya QR kodu olarak kodlanmış).
2. Kimlik doğrulayıcı uygulamanız bu gizli anahtarı cihazınızda yerel olarak saklar.
3. Her 30 saniyede bir, hem sunucu hem de uygulamanız bağımsız olarak HMAC-SHA1(secret, floor(current_unix_time / 30)) hesaplar ve sonuçtan 6 haneli bir kod çıkarır.
4. Her iki taraf da aynı gizli anahtarı ve aynı zaman damgasını kullandığından, kodlar eşleşir — giriş sırasında uygulama ile sunucu arasında herhangi bir ağ iletişimi olmaksızın.

Bu, kimlik doğrulayıcı uygulamasının tamamen çevrimdışı çalıştığı anlamına gelir. Kurulum tamamlandıktan sonra SMS, internet bağlantısı veya operatör bağımlılığı gerekmez.

Desteklenen Kimlik Doğrulayıcı Uygulamalar

Google Authenticator, AlexHost 2FA için önerilen seçenektir, ancak RFC 6238 uyumlu herhangi bir TOTP uygulaması aynı QR kodu ile çalışır. Gereksinimlerinize göre aşağıdaki seçenekleri değerlendirin:

Önemli husus: Google Authenticator, 2023 yılında Google Hesabı tabanlı yedekleme özelliğini ekledi. Yedekleme etkinleştirilmemiş eski bir sürüm kullanıyorsanız, cihazınızı kaybetmek tüm kayıtlı hesaplara erişiminizi kaybetmeniz anlamına gelir. İhtiyaç duymadan önce bulut yedeklemeyi etkinleştirin veya TOTP sırlarınızı dışa aktarın.

Adım Adım: AlexHost Hesabınızda 2FA’yı Etkinleştirme

Adım 1: AlexHost Müşteri Alanınıza Giriş Yapın

alexhost.com adresine gidin ve kayıtlı e-posta adresiniz ve parolanızla oturum açın. Henüz bir hesabınız yoksa, kayıt doğrudan AlexHost web sitesinde mevcuttur.

Güvenilir bir ağdan giriş yaptığınızdan emin olun. Kurulum sırasında görüntülenen QR kodu ham TOTP sırrınızı içerdiğinden, 2FA’yı ilk kez genel veya paylaşımlı bir Wi-Fi bağlantısında etkinleştirmekten kaçının.

Adım 2: Güvenlik Ayarlarına Gidin

Giriş yaptıktan sonra, hesap menünüzü bulun — genellikle panonun sağ üst köşesindeki kullanıcı adınız veya avatarınız aracılığıyla erişilebilir. Açılır menüden Güvenlik Ayarları veya Hesap Ayarları‘nı seçin.

Bu bölüm, parola yönetimi ve çok faktörlü kimlik doğrulama seçenekleri dahil olmak üzere hesabınızın tüm kimlik doğrulama kontrollerini merkezileştirir.

Adım 3: Çok Faktörlü Kimlik Doğrulama Panelini Açın

Güvenlik Ayarları sayfasında, Çok Faktörlü Kimlik Doğrulama (MFA) bölümünü bulun. Mevcut seçenekleri genişletmek için üzerine tıklayın.

Mevcut kimlik doğrulama durumunu (varsayılan olarak devre dışı) ve TOTP tabanlı 2FA’yı etkinleştirme seçeneğini göreceksiniz. Kayıt işlemini başlatmak için Etkinleştir veya Aç‘a tıklayın.

Adım 4: Cihazınıza Google Authenticator’ı Yükleyin

QR kodunu taramadan önce, mobil cihazınıza bir kimlik doğrulayıcı uygulama yükleyin:

Android için:

Google Authenticator’ı Google Play Store’dan yükleyin:

https://play.google.com/store/apps/details?id=com.google.android.apps.authenticator2

iOS için:

Google Authenticator’ı Apple App Store’dan yükleyin:

https://apps.apple.com/us/app/google-authenticator/id388497605

Kurulumdan sonra uygulamayı açın. Temel TOTP işlevselliğini kullanmak için bir Google hesabına giriş yapmanız gerekmez, ancak giriş yapmak tokenlarınızın bulut yedeklemesini etkinleştirir.

Adım 5: QR Kodunu Tarayın ve Doğrulayın

AlexHost MFA panelinde, ekranda bir QR kodu görüntülenecektir. Google Authenticator’da:

1. + düğmesine (Hesap ekle) dokunun
2. QR kodu tara‘yı seçin
3. Kameranızı tarayıcınızda görüntülenen QR koduna yöneltin

Uygulama, her 30 saniyede bir yenilenen 6 haneli kodlar oluşturmaya hemen başlayacaktır. AlexHost panelindeki doğrulama alanına mevcut kodu girin ve Onayla veya Doğrula‘ya tıklayın.

Kritik: Kurulum ekranını kapatmadan önce, AlexHost bunları sağlıyorsa yedek kodlarınızı kaydedin. Bu tek kullanımlık kodlar, kimlik doğrulayıcı uygulamanıza erişimi kaybetmeniz durumunda hesap kurtarma imkânı sağlar. Bunları bir parola yöneticisinde veya fiziksel olarak güvenli bir konumda saklayın — kimlik doğrulayıcınızla aynı cihazda asla düz metin olarak saklamayın.

Adım 6: 2FA’nın Etkin Olduğunu Onaylayın

Başarılı doğrulamanın ardından, MFA paneli 2FA’yı Etkin olarak gösterecektir. Bir sonraki girişinizde AlexHost önce parolanızı isteyecek, ardından ikinci faktör olarak kimlik doğrulayıcı uygulamanızdan 6 haneli TOTP kodunu talep edecektir.

Yaygın Sorunlar ve Çözüm Yolları

TOTP Kodu Doğru Olmasına Rağmen Reddediliyor

En sık karşılaşılan neden saat kaymasıdır. TOTP kodları, tipik olarak ±30 saniyelik (bir kod dönemi) tolerans penceresiyle zamana duyarlıdır. Cihaz saatiniz senkronize değilse:

• Android: Ayarlar > Genel Yönetim > Tarih ve Saat > “Otomatik tarih ve saat”i etkinleştirin
• iOS: Ayarlar > Genel > Tarih ve Saat > “Otomatik Ayarla”yı etkinleştirin
• Google Authenticator: Uygulamayı açın > Ayarlar > Kodlar için zaman düzeltmesi > Şimdi senkronize et

Kimlik Doğrulayıcı Uygulamanıza Erişimi Kaybettiniz

Cihazınızı kaybederseniz veya yedeklemeden uygulamayı kaldırırsanız:

1. Kurulum sırasında sakladıysanız kayıtlı yedek/kurtarma kodlarınızı kullanın
2. Manuel 2FA kaldırma talebinde bulunmak için kimlik doğrulamasıyla doğrudan AlexHost desteğiyle iletişime geçin
3. Google Hesabı senkronizasyonu etkinleştirilmiş Google Authenticator kullandıysanız, aynı Google hesabına giriş yaparak tokenlarınızı yeni bir cihazda geri yükleyin

Bu senaryo, yedek kodların neden sonradan düşünülecek şeyler değil, kritik güvenlik varlıkları olarak ele alınması gerektiğini vurgular.

QR Kodu Taranamıyor

Kamera QR kodunu okuyamazsa, çoğu kimlik doğrulayıcı uygulama manuel giriş seçeneği sunar. AlexHost’un MFA paneli, QR kodunun yanında temel gizli anahtarı metin dizesi olarak görüntülemelidir. Tarama yerine “Kurulum anahtarı gir”i seçerek bu anahtarı kimlik doğrulayıcı uygulamaya manuel olarak girin.

Tüm Hosting Yığınınızda 2FA

AlexHost müşteri alanınızda 2FA’yı etkinleştirmek ilk katmandır, ancak kapsamlı bir güvenlik duruşu her erişim noktasının korunmasını gerektirir:

• Kontrol paneli erişimi: cPanel ile VPS kullanıyorsanız, cPanel içinde 2FA’yı ayrıca etkinleştirin — AlexHost müşteri alanı girişinden bağımsız olarak çalışır.
• SSH erişimi: Parola tabanlı SSH kimlik doğrulamasını anahtar çifti kimlik doğrulamasıyla değiştirin ve sshd_config içinde PasswordAuthentication‘yi devre dışı bırakın. SSH anahtarları, sunucu erişimi için donanım 2FA’sına işlevsel olarak eşdeğerdir.
• E-posta hesapları: E-posta Hosting kullanıyorsanız, e-posta sağlayıcınızda da 2FA’yı etkinleştirin — e-posta, çoğu hesap için birincil kurtarma vektörüdür ve bu da onu kritik bir saldırı yüzeyi haline getirir.
• Alan adı kayıt şirketi erişimi: Alan Adı Kaydı hesabınızı 2FA ile koruyun. Ele geçirilmiş bir kayıt şirketi hesabı aracılığıyla DNS ele geçirme, alan adınızdan gelen tüm trafiği yeniden yönlendirerek sunucu düzeyindeki güvenliği tamamen atlayabilir.
• SSL sertifika yönetimi: SSL Sertifikaları panelinize yetkisiz erişim, sertifika iptali veya sahte düzenleme taleplerine izin verebilir.

Güvenlik Karar Matrisi: Doğru 2FA Yöntemini Seçmek

Tüm ikinci faktörler eşit değildir. Karşılaşabileceğiniz yöntemlerin pratik bir karşılaştırması aşağıda verilmiştir:

Kimlik doğrulayıcı uygulama aracılığıyla TOTP, çoğu hosting müşterisi için pratik bir denge noktasıdır. Donanım güvenlik anahtarları (YubiKey, Google Titan) üstün kimlik avı direnci sunar ancak fiziksel anahtar yönetimi gerektirir.

Teknik Temel Kontrol Listesi

Hesabınızın güvende olduğunu düşünmeden önce aşağıdakilerin her birini doğrulayın:

• AlexHost müşteri alanı girişinizde 2FA etkin — Güvenlik Ayarlarında onaylandı
• Yedek kodlar kaydedildi — kimlik doğrulayıcınızla aynı cihazda değil, bir parola yöneticisinde veya çevrimdışı güvenli depolamada
• TOTP doğrulama hatalarını önlemek için cihaz saati otomatik olarak senkronize edildi
• Kimlik doğrulayıcı yedeklemesi etkinleştirildi — Google Authenticator’da Google Hesabı senkronizasyonu veya Aegis/Bitwarden’da dışa aktarma
• E-posta, hesap kurtarma yedek mekanizması olduğundan e-posta hesabınızda da 2FA etkinleştirildi
• Yönetilen panel ortamı kullanıyorsanız cPanel veya diğer kontrol paneli 2FA’sı ayrıca yapılandırıldı
• Kabuk erişimi olan herhangi bir sunucu için parolalar yerine SSH anahtar kimlik doğrulaması kullanılıyor
• Kurtarma planı belgelendi — kimlik doğrulayıcı cihazınızı kaybetmeniz durumunda tam olarak hangi adımları atacağınızı biliyorsunuz

—

Sıkça Sorulan Sorular

AlexHost’ta 2FA’yı etkinleştirdikten sonra telefonumu kaybedersem ne olur?

Giriş yapmak için 2FA kurulumu sırasında kaydettiğiniz yedek/kurtarma kodlarını kullanın. Bunları kaydetmediyseniz, manuel 2FA kaldırma talebinde bulunmak için hesap doğrulama ayrıntılarıyla AlexHost desteğiyle iletişime geçin. Bu süreç, sosyal mühendislik saldırılarını önlemek için kimlik doğrulaması gerektirir.

AlexHost 2FA, Google Authenticator dışındaki kimlik doğrulayıcı uygulamalarla çalışır mı?

Evet. AlexHost, Authy, Microsoft Authenticator, Aegis ve Bitwarden’ın yerleşik TOTP oluşturucusu dahil olmak üzere uyumlu herhangi bir kimlik doğrulayıcı uygulama tarafından desteklenen standart TOTP protokolünü (RFC 6238) kullanır. Kurulum sırasında görüntülenen QR kodu veya gizli anahtar hepsiyle çalışır.

2FA’yı etkinleştirdikten sonra devre dışı bırakabilir miyim?

Evet, Güvenlik Ayarlarınızdaki aynı Çok Faktörlü Kimlik Doğrulama bölümü aracılığıyla. Değişikliği onaylamak için mevcut TOTP kodunuzla kimlik doğrulaması yapmanız gerekecektir. 2FA’yı devre dışı bırakmak, hemen daha güçlü bir yöntemle değiştirmiyorsanız önerilmez.

TOTP kodum neden sürekli reddediliyor?

En yaygın neden, senkronize edilmemiş bir cihaz saatidir. TOTP kodları 30 saniyelik bir pencere için geçerlidir. Cihazınızda otomatik zaman senkronizasyonunu etkinleştirin ve Google Authenticator içindeki zaman düzeltme özelliğini kullanın (Ayarlar > Kodlar için zaman düzeltmesi > Şimdi senkronize et).

2FA tüm AlexHost hesapları için zorunlu mu?

Yazıldığı tarih itibarıyla, 2FA isteğe bağlıdır ancak tüm hesap türleri için şiddetle tavsiye edilir. Ele geçirilmiş bir hosting hesabının tüm sunucu ortamlarını açığa çıkarabileceği göz önüne alındığında — özellikle VPS Kontrol Panelleri ve dedicated altyapı için geçerli — bunu zorunlu olarak ele almak operasyonel açıdan sağlıklı bir yaklaşımdır.