SMS Doğrulama Kodu (OTP) Nedir?

Bir hesaba giriş yaparken ya da yeni bir kayıt açarken karşına çıkan altı haneli sayının adı OTP, SMS ile geldiğinde ise günlük dilde sms doğrulama kodu deniyor. Terim kısa ama arkasındaki mekanizma çoğu kullanıcı için belirsiz kalıyor: kod nereden geliyor, kim üretiyor, neden bazen birkaç saniye gecikiyor? Bu yazıda OTP'nin tam olarak ne olduğunu, SMS üzerinden nasıl çalıştığını, authenticator uygulamalarındaki koddan farkını ve kod gelmediğinde ne yapman gerektiğini adım adım anlatıyoruz.

OTP açılımı ve tanımı nedir?

OTP, İngilizce "one-time password" kelimelerinin kısaltması; Türkçe karşılığı tek kullanımlık şifre. Klasik bir şifreden farkı, OTP'nin yalnızca bir işlem ya da bir oturum için geçerli olması ve kullanıldıktan ya da süresi dolduktan sonra otomatik olarak geçersiz hale gelmesi. Kavram ilk olarak 1980'lerde bankacılık sistemlerinde donanım token'larıyla kullanılmaya başlandı; şimdi ise SMS, e-posta ve authenticator uygulamaları üzerinden hemen her platformda karşımıza çıkıyor.

OTP genelde 4 ila 8 haneli sayısal bir dizi olarak üretiliyor ve iki yöntemden biriyle geçerliliğini koruyor: zaman bazlı (belirli bir dakika penceresinde geçerli) ya da olay bazlı (bir sonraki giriş denemesinde otomatik değişen). SMS doğrulama kodu bu iki yöntemden birini kullanır, hangisi olduğu platformun altyapısına göre değişir.

SMS doğrulama kodu nasıl üretiliyor ve numarana nasıl ulaşıyor?

SMS doğrulama kodunu üreten taraf her zaman kayıt olduğun platformdur (WhatsApp, Instagram, bir banka uygulaması vb.) — Vernum gibi sanal numara panelleri kodu üretmez, yalnızca o kodun gönderildiği numarayı sana kiralar. Platform tarafında sunucu, hesabına özel bir gizli anahtar ve sayaç ya da zaman damgası kullanarak kodu üretir, veritabanında bir özetini (hash) saklar ve kodu bir SMS ağ geçidi (SMS gateway) üzerinden telefon numarana yönlendirir. Sen kodu uygulamaya girdiğinde sunucu, girdiğin değeri kendi hesapladığı özetle karşılaştırır; eşleşirse doğrulama tamamlanır.

Bu sürecin uçtan uca nasıl işlediğini, telekom operatörlerinin ve toptan sağlayıcıların rolünü SMS doğrulama kodları nasıl çalışır yazımızda daha teknik ayrıntıyla ele aldık; burada asıl odak OTP'nin ne olduğu ve neden bu şekilde tasarlandığı.

OTP ile authenticator kodu (TOTP) arasındaki fark nedir?

İkisi de aynı temel fikre dayanıyor — tek kullanımlık, kısa ömürlü bir sayısal kod — ama teslimat şekli ve güvenlik seviyesi farklı. SMS ile gelen OTP, kodu ağ üzerinden telefonuna gönderir; bu da onu SIM kart kopyalama (SIM swap), mesaj yakalama ve ağ gecikmesi gibi risklere açık hale getirir. Authenticator uygulamasındaki TOTP (time-based one-time password) ise kodu cihazının kendi saatine ve daha önce paylaşılan bir gizli anahtara göre yerel olarak üretir; herhangi bir ağ bağlantısına ya da SMS'e ihtiyaç duymaz, bu yüzden mesaj yakalama saldırılarına karşı daha dayanıklı kabul edilir.

ABD'nin dijital kimlik standartlarını belirleyen NIST, güncel rehberinde SMS üzerinden gelen OTP'yi artık "kısıtlı" (restricted) bir doğrulama yöntemi olarak sınıflandırıyor ve kurumlara SIM takası ile mesaj yakalama risklerini azaltacak önlemler almalarını, uzun vadede authenticator tabanlı yöntemlere geçiş planı hazırlamalarını öneriyor. Bu, SMS OTP'nin kullanılamaz olduğu anlamına gelmiyor — tek seferlik bir kayıt ya da kısa ömürlü bir hesap için hâlâ pratik bir çözüm — ama yıllarca tutacağın bir hesapta ikinci adım olarak authenticator uygulaması tercih etmek daha güvenli. Bu geçişi iki faktörlü doğrulama için sanal numara yazımızda ayrıntılı anlattık.

SMS OTP'nin bir diğer zayıf noktası da sosyal mühendislik: dolandırıcılar seni arayıp "doğrulama kodunu okur musun" diyerek OTP'ni çalmaya çalışabiliyor, bunun otomatikleştirilmiş hali de OTP botu olarak biliniyor. Kodunu kimseyle paylaşmamanın ne kadar kritik olduğunu doğrulama kodumu paylaşırsam ne olur yazımızda anlattık.

Sorun giderme: OTP kodu gelmiyor, numara reddedildi ya da süre dolarsa ne olur?

OTP tasarımı gereği kısa ömürlü olduğu için gecikme ya da hata durumlarında ne yapman gerektiğini bilmek önemli. En sık karşılaşılan üç durum ve çözümü:

1. Kod gelmiyor: Bazı operatörlerde SMS ağ geçidinden telefona ulaşım birkaç saniye sürebilir; sipariş süresi dolmadan panelden kontrol etmeye devam et. Ayrıntılı adımları SMS doğrulama kodu gelmiyor, çözümler yazımızda topladık.
2. Numara reddedildi: Bazı platformlar belirli ülke kodlarını daha sık reddediyor; farklı bir ülke ya da operatör seçerek yeni bir sipariş açmak genelde en hızlı çözüm.
3. Sipariş süresi doldu: Kod zamanında gelmezse ve süre dolarsa harcadığın coin otomatik olarak hesabına iade edilir; farklı bir numarayla tekrar deneyebilirsin.
4. Kod "geçersiz" hatası veriyor: OTP'nin geçerlilik penceresi dar olduğu için kodu kopyalarken geçen birkaç saniyelik gecikme bile bazen yeterli oluyor; kodu aldığın anda hızlıca yapıştır, olmazsa yeni bir kod iste.

WhatsApp için en ucuz ülkeler (Vernum, 22 Eylül 2026)

OTP'yi en sık hangi servis için beklediğini merak ediyorsan, cevap büyük ihtimalle WhatsApp. Aşağıdaki tablo, Vernum kataloğunda WhatsApp servisi için 22 Eylül 2026 itibarıyla en düşük fiyatlı sekiz ülkeyi gösteriyor. 1 coin = 0,01 $; TL karşılığı bu oturumda web araması ile teyit edilen yaklaşık 48,76 TL/USD kuruyla hesaplandı.

Vernum'un WhatsApp kataloğunda 194 ülkenin tamamı şu anda müsait durumda; en ucuz sekiz ülke arasında fiyat farkı sadece birkaç coin. Türkiye numarası da listede yer alıyor, 432 coin (yaklaşık 210,64 TL) karşılığında — Türkiye numarasının diğer ülkelere göre daha pahalı olmasının nedeni, o numaraya gelecek OTP'nin gerçek bir Türk hattına ait olması ve talebin yüksek olması. Fiyatlar saatlik güncellenir, güncel liste panelde; WhatsApp için sanal numara sayfamızda adım adım süreci de bulabilirsin.

Özetle OTP, hesabını korumak için tasarlanmış tek kullanımlık bir sayısal koddur; SMS bunun en yaygın teslimat kanalı, authenticator uygulaması ise daha güvenli bir alternatifi. Hangi yöntemi kullanırsan kullan, kodu kimseyle paylaşmamak ve süresi dolmadan girmek işin en kritik iki kuralı.

Sık sorulan sorular