Kısaca
Üçüncü taraf kimlik sorgusuna dayanan giriş yöntemleri kırılgandır. SMS kodu, kupon, e-posta ve kayıtlı kullanıcı neden işletmenin kontrolünde kalan dayanıklı yöntemler?
Misafir Wi-Fi'ında doğrulama yöntemi seçerken iki soru vardır: bugün çalışıyor mu, üç yıl sonra da çalışacak mı? İlk soruya çoğu yöntem "evet" der. İkinci soru ayrıştırır. Bu yazıda, dış bir kimlik sorgu servisine bağımlı yöntemlerin neden kırılgan olduğunu ve telefonla doğrulamanın neden kalıcı bir yol olduğunu anlatıyoruz.
İki tür doğrulama
Misafir doğrulama yöntemlerini kabaca ikiye ayırabilirsiniz:
Dışa bağımlı doğrulama. Misafir bir bilgi girer; sistem bu bilgiyi doğrulamak için işletme dışındaki bir kimlik veri tabanına ya da sorgu servisine gider. Cevap "evet" ise oturum açılır. İşletme, o servisin erişilebilir, izinli ve aynı kurallarla çalışır olmasına bağımlıdır.
Operatör ya da işletme destekli doğrulama. Misafirin elinde zaten bir kanal vardır: telefon numarası, e-posta adresi, işletmenin verdiği kupon ya da daha önce açılmış bir hesap. Doğrulama, o kanala bir kod göndermek ve kodun geri gelmesidir. Ortada bir "kimlik sorgusu" yoktur; yalnızca kanalın sahibi olduğunuzun ispatı vardır.
Dışa bağımlı yöntemler nerede kırılır?
Bir dış sorgu servisine dayanan giriş yöntemi dört yerden kırılabilir:
- Erişim kuralları değişir. Servis, erişimi belirli kurum türlerine kısıtlayabilir, sözleşme isteyebilir, ücret koyabilir ya da tamamen kapatabilir. O gün portalınız kod almayı bırakır.
- Servis çevrimdışı olur. Dış servis yanıt vermediğinde misafir bağlanamaz. Sorun sizde değildir ama şikâyet size gelir.
- Veri minimizasyonu zorlaşır. Dış sorgu için misafirden daha fazla veri istemeniz gerekir. KVKK'da veri sorumlusu olarak işletme bu verinin hesabını verir; ihtiyaçtan fazla veri toplamak savunulması zor bir tercihtir.
- Yabancı misafir dışarıda kalır. Yerel bir kimlik veri tabanı yabancı misafiri tanımaz; ikinci bir yöntem zaten gerekir.
Bu yöntemlerin bir anda kötü hale geldiğini söylemiyoruz. Söylediğimiz şu: işletmenin kontrolünde olmayan bir bağımlılık taşıyorlar ve 5651 sayılı Kanun kapsamındaki kayıt düzeninizi bu bağımlılığın üstüne kurmak risklidir.
Telefon numarası neden farklı?
Telefon numarası bir operatörün bir aboneye tahsis ettiği kanaldır. SMS kodu o numaraya gider; kodu girebilen kişi o kanala erişebilen kişidir. Üç özelliği bunu kalıcı kılar:
- Operatör kaydı zaten vardır. Numaranın kime ait olduğu operatörde kayıtlıdır. Sizin bunu sorgulamanız gerekmez; gerektiğinde yetkili makamlar bu eşlemeyi operatörden alır. Kutu numarayı şifreli saklar, panelde maskeli gösterir.
- Altyapı evrenseldir. SMS her telefonda çalışır; uygulama kurmak, hesap açmak gerekmez. Yabancı numaralara da gider (ayrı bir sağlayıcı üzerinden yönlendirilebilir).
- Sağlayıcı değiştirilebilir. Kutu birden fazla SMS sağlayıcısını destekler ve yedek sağlayıcı zinciri kurabilir. Bir sağlayıcı sorun çıkarırsa diğerine geçilir; misafir farkı görmez.
Buna karşılık dışa bağımlı bir yöntemde sağlayıcı tektir ve yerine koyacak bir şey yoktur.
Diğer dayanıklı yöntemler
Telefon tek yol değildir. Kutudaki diğer yöntemler de aynı ilkeyle çalışır: kanal misafirde ya da işletmede, bağımlılık dışarıda değil.
| Yöntem | Kanal kimin? | Ne zaman uygun? |
|---|---|---|
| SMS kodu | Misafirin numarası, operatör kaydı | Her yerde; varsayılan yöntem |
| Kupon | İşletme üretir, kime verdiğini bilir | Otel, etkinlik, telefon istemek istemediğiniz yerler |
| E-posta | Misafirin adresi | Kurumsal ziyaretçi, uzun kalış, SMS'in ulaşmadığı durumlar |
| Kayıtlı kullanıcı | İşletmenin açtığı hesap | Yurt, apart, üye tabanlı tesis, personel yakını |
Dördü de aynı kayıt düzenine bağlanır: doğrulama bilgisi, cihaz MAC'i, atanan iç IP, oturum başı ve sonu. Günlük kayıtlar SHA-256 özet zinciriyle bağlanır, RFC 3161 zaman damgası alır ve 2 yıl kutuda saklanır. Ziyaret edilen siteler kaydedilmez.
Sosyal medya girişi neden yok?
Bu da bir dış bağımlılık örneğidir, üstelik kimlik tespiti sayılmaz: sosyal hesabın gerçek bir kişiye ait olduğunu kimse doğrulamaz. Ayrıca sosyal ağ profil verisi getirir; o veri işletmenin elinde fazlalık yük olur. Bu yüzden kutuda sosyal medya girişi sunmuyoruz.
Kalıcılığı nasıl test edersiniz?
Bir doğrulama yöntemini değerlendirirken şu soruları sorun:
- Yöntemin çalışması için işletme dışında kimin "evet" demesi gerekiyor?
- O taraf yarın kuralları değiştirirse misafirleriniz bağlanabilir mi?
- Misafirden topladığınız veri, oturumu kişiye bağlamak için gerekli olanın ötesine geçiyor mu?
- Yabancı misafir aynı akışla bağlanabiliyor mu?
- Kayıtlar işletmenizde mi kalıyor, yoksa dış servise mi gidiyor?
Telefonla doğrulama bu beş soruya da rahat cevap verir. Kupon, e-posta ve kayıtlı kullanıcı da verir. Dış kimlik sorgusuna dayanan yöntemler ilk iki soruda zorlanır.
Pratik öneri
Varsayılan yöntem olarak SMS kodunu açın. Yanına kupon ekleyin; resepsiyon ya da etkinlik masasında işe yarar. E-postayı ve kayıtlı kullanıcıyı ihtiyaç duyan tesislerde açın. Düzenli misafir için cihaz hatırlamayı kullanın; SMS maliyetiniz düşer. Hepsi kutuda birlikte durabilir; misafir portalda uygun olanı seçer.
Giriş yöntemlerinin ayrıntısı SSS sayfasında, ürün seçenekleri ürünler sayfasında. SMS kredi paketleri ya da kendi sağlayıcı hesabınızı kullanma konusunda bize yazın.
Bu yazı bilgilendirme amaçlıdır, hukuki danışmanlık değildir.