İPUCUOAuth, “Google ile Giriş Yap” butonunun arkasındaki parolasız yetkilendirme standardıdır.
UYARIOAuth’u “şifremi üçüncü parti siteye veriyorum” sanma; parola asla uygulamaya gitmez.
MIND MAP
ÖNEMLİ
- OAuth’un amacını netleştir: kimlik doğrulama değil, yetkilendirme.
- Bağlı uygulamaları düzenli kontrol et: kullanmadıklarını kaldır / yetkisini iptal et.
PROBLEM
Merhaba dostum. Her gün “Google ile Giriş Yap” / “Facebook ile Devam Et” butonlarını kullanıyorsun, kullanıyoruz: hızlı, pratik, parola hatırlama derdi yok. Ama kritik soru şu:
Parolam gerçekten paylaşılmadan mı giriş yapıyorum?
Kısa cevap: Evet. Bunu mümkün kılan standart: OAuth.
NE BU OAUTH?
1. OAuth Ne Sağlar? (Yetkilendirme Mantığı)
OAuth (Open Authorization), bir uygulamanın senin adına başka bir servisten sadece izin verdiğin verilere erişmesini sağlar.
Bunu şöyle düşün:
- Arkadaşın postanı alsın istiyorsun.
- Tüm anahtarlığı vermezsin.
- Sadece posta kutusu anahtarını verirsin.
OAuth da aynı şeyi yapar:
- Parolanı paylaşmazsın
- Gerekli kadar erişim verirsin
- Yetki sınırlıdır ve geri alınabilir
1.1 Kim Kimdir?
- Kaynak Sahibi (Resource Owner): Sen (verinin sahibi)
- İstemci (Client): Giriş yapmak istediğin uygulama/site
- Yetkilendirme Sunucusu (Authorization Server): Google / Facebook vb.
1.2 Akış Nasıl İşler? (Token Mantığı)
- Uygulama seni Google’a yönlendirir
- Google, hangi izinlerin isteneceğini gösterir
- Onay verirsin
- Google bir access token üretir
- Uygulama token ile sadece izin verdiğin kaynaklara erişir
Kritik nokta: Parolan asla üçüncü parti uygulamaya gitmez.
2. OAuth Olmazsa Ne Olur? (Karşı-Örnek / Risk)
OAuth öncesi “kötü pratik” şuydu: Uygulama senden doğrudan kullanıcı adı + şifre isterdi.
Bunun sonuçları:
- Şifre uygulamanın sunucusunda saklanırdı
- Uygulama hacklenirse hesapların tehlikeye girerdi
- Yetkiyi “kapsam/limit” ile ayırmak zordu
OAuth bu problemi kökten azaltır: şifre yerine token + sınırlı izin.
SONUÇ VE ÇIKARIMLAR
- OAuth, kullanım kolaylığı + güvenli yetkilendirme sağlar.
- Riskin merkezi “OAuth” değil, ana hesabındır: Google hesabın ele geçirilirse bağlı girişlerin de risk altına girer.
- Bu yüzden OAuth kullanırken en önemli savunma: ana hesap güvenliği.
REFLEKS
UYARI“Bunu görürsem → şunu düşüneceğim → şunu yapacağım”
- Tetikleyici: “Google ile giriş yap” / “Facebook ile devam et”
- Düşünce: “Parolam paylaşılmıyor; uygulamaya sınırlı yetki veriyorum.”
- Aksiyon: Ana hesapta 2FA açık mı kontrol et + bağlı uygulamalar listesinden gereksizleri kaldır.
MINIMUM BİLGİ SETİ
UYARIANA MESAJ
- OAuth, parolanı paylaşmadan uygulamalara sınırlı erişim vermeni sağlar.
UNUTMA
- OAuth kimlik doğrulama değil, yetkilendirmedir; erişim token ile ve izinli kapsam kadar olur.
- Ana hesabın ele geçirilirse bağlı OAuth girişleri de etkilenebilir.
Mind Map
- Yetkilendirme (OAuth ne yapar?)
- Token (parola yerine erişim anahtarı)
- Sınır (izin kapsamı + geri alma)
ÖNERİ Google hesabına gir → Bağlı uygulamalar / üçüncü taraf erişimleri listesini aç → kullanmadıklarının yetkisini kaldır + 2FA’yı kontrol et.
Bazı bilgiler güncel olmayabilir.
