Tek oturum açma (SSO, single sign-on), çalışanın tek kimlik ve tek parolayla bir kez oturum açıp şirketin birden fazla uygulamasına ayrı ayrı giriş yapmadan geçmesini sağlayan kimlik doğrulama yöntemidir. Kimlik tek merkezde doğrulandığı için yönetici tüm erişimi tek yerden verir, değiştirir ve işten ayrılan çalışan için tek işlemle kapatır.
Doğru kurulmuş bir SSO parola yorgunluğunu ve parola sıfırlama taleplerini azaltır, ayrılan çalışanın "unutulan" hesaplardan içeri girmeye devam etmesi riskini ortadan kaldırır. Aşağıda SSO'nun nasıl çalıştığını, faydalarını, risklerini ve geçiş adımlarını anlatıyoruz.
Parola sayısı arttıkça kontrol azalıyor
Tipik bir KOBİ çalışanının iş gününe bakalım: kurumsal e-posta, dosya paylaşım alanı, muhasebe ya da ERP ekranı, İK portalı, belki bir CRM ve birkaç bulut uygulaması. Her birinin ayrı bir kullanıcı adı, ayrı bir parolası ve ayrı bir parola yenileme kuralı vardır. Bulut uygulamalarının sayısı arttıkça bu dağınıklık da büyür; geçişin maliyet tarafını bulut geçişi maliyeti yazımızda ele aldık.
Sonuç tahmin edilebilir. Çalışanlar parolaları tekrar kullanır, bir deftere ya da tarayıcıya kaydeder, unuttuğunda BT'yi arar. BT tarafında ise tablo daha da karmaşıktır: yeni gelen birine hesap açmak için beş ayrı panele girmek, departman değiştiren birinin yetkilerini beş ayrı yerde güncellemek, ayrılan birinin tüm hesaplarını tek tek bulup kapatmak gerekir.
Bu listelerden birinin unutulması, eski bir çalışanın haftalarca şirket verisine erişebilmesi demektir.
Türkiye'de bu durum özellikle yüksek personel devri olan sektörlerde, mevsimlik ekiplerle çalışan firmalarda ve birden çok şirketi aynı BT ekibiyle yöneten gruplarda sık görülür. Sorun çoğu zaman kötü niyet değil, dağınıklıktır: kimse hangi çalışanın hangi sistemde hesabı olduğunu tek bir listeden göremez. Bu senaryonun ayrıntılarını işten ayrılan çalışanın e-posta erişimi yazımızda anlattık.
Kimlik saldırılarının maliyeti
Parola, saldırganların en çok hedef aldığı giriş kapısıdır. Uluslararası raporlar bu konuda aynı yönü gösteriyor:
Microsoft Dijital Savunma Raporu 2025'e göre kimlik saldırılarının %97'sinden fazlası parola saldırısı; oltalamaya dayanıklı çok faktörlü kimlik doğrulama (MFA) bu saldırıların %99'undan fazlasını durdurabiliyor. (Microsoft Digital Defense Report 2025)
Verizon 2026 Veri İhlali Araştırmaları Raporu (DBIR) verisine göre çalıntı kimlik bilgilerinin kullanımı, ihlallerin %36'sında görülen bir eylem olarak yerini koruyor. Sophos'un 2026 kimlik güvenliği araştırması ise 17 ülkede 5.000 BT ve güvenlik yöneticisiyle yapılan ankette kurumların %71'inin son bir yılda en az bir kimlikle ilgili ihlal yaşadığını, olayların yaklaşık %43'ünde çalışanların kandırılarak kimlik bilgisi verdiğini gösteriyor. Bu kandırmanın en yaygın yolu sahte giriş sayfasına yönlendiren maildir; işaretlerini oltalama maili nasıl anlaşılır rehberinde topladık.
Maliyet yalnızca ihlalle sınırlı değildir; parola sıfırlama talepleri BT ekibinin zamanını da yer. ABD ve İngiltere'de 500'den fazla çalışanı olan şirketlerden 400 karar vericiyle yapılan FIDO Alliance passkey araştırmasında, parolasız girişe (passkey) geçen kurumların temsilcilerinin %77'si yardım masası çağrılarının azaldığını bildirdi. Bu, parola sayısını ve parola işini azaltmanın doğrudan operasyonel bir karşılığı olduğunu gösteriyor.
Koruma önlemleri ise hâlâ yaygın değil. İngiltere hükümetinin Siber Güvenlik İhlalleri Anketi 2025/2026 sonuçlarına göre işletmelerin yalnızca %47'si iki faktörlü kimlik doğrulama kullanıyor. Her uygulamanın ayrı parolası olduğunda bu korumayı her uygulamada ayrı ayrı kurmak gerekir; çoğu şirketin bunu hiç yapmamasının nedeni de budur. Tek kimlik, korumanın tek noktada ve eksiksiz uygulanmasını mümkün kılar.
Tek oturum açma (SSO) nasıl çalışır?
SSO'da iki taraf vardır: kimliği doğrulayan kimlik sağlayıcı (identity provider) ve bu doğrulamaya güvenen uygulamalar. Çalışan bir kez kimlik sağlayıcıda oturum açar; sonra bir uygulamaya geçtiğinde uygulama parolayı yeniden sormaz, kimlik sağlayıcıdan "bu kişi doğrulandı ve şu yetkilere sahip" bilgisini alır. Kurumsal dünyada bu iletişim genellikle SAML 2.0 ya da OpenID Connect gibi standart protokollerle kurulur. İki protokolün farkını SAML mı OIDC mi yazısında karşılaştırdık.
Bu mimarinin kritik sonucu şudur: yetki merkezi olur. Çalışanın departmanı, rolü ve hangi uygulamaları kullanabileceği tek bir yerde tanımlanır; tek yerden değiştirilir. E-posta tarafında bu merkezi yetkinin kutu düzeyinde nasıl uygulandığını posta kutusu yetkilendirme rehberinde görebilirsiniz.
Tek oturum açmanın faydaları: SSO'lu ve SSO'suz karşılaştırma
SSO'nun faydaları en net biçimde gündelik BT işlerinde, yani işe giriş, departman değişikliği ve işten ayrılma anlarında görülür:
| Konu | SSO olmadan | SSO ile |
|---|---|---|
| Çalışan başına parola | Uygulama sayısı kadar | Tek kimlik |
| Yeni çalışan | Her sistemde ayrı hesap | Tek kayıt, rol bazlı erişim |
| Departman değişikliği | Her sistemde elle güncelleme | Tek yerde değişir, her yere yansır |
| İşten ayrılma | Hesaplar tek tek bulunup kapatılır | Tek işlemle tüm erişim kapanır |
| Oturum görünürlüğü | Her uygulama kendi kaydını tutar | Oturumlar merkezden izlenir |
| Parola sıfırlama | Her sistem için ayrı talep | Tek parola, tek süreç |
SSO'nun riski nedir?
SSO tek bir anahtar oluşturur; o anahtarın ele geçirilmesi daha fazla kapıyı açar. Bu yüzden SSO tek başına bir güvenlik önlemi değil, güvenliği merkezileştirme aracıdır. Merkezi kimliğin güçlü parola kuralı, mümkünse çok faktörlü doğrulama, deneme saldırılarına karşı koruma ve oturumların izlenip uzaktan kapatılabilmesiyle korunması gerekir. Doğru korunduğunda tek ve iyi korunan bir kapı, on tane zayıf kapıdan daha güvenlidir.
SSO'ya geçiş için 6 adım
- Uygulama envanteri çıkarın. Çalışanların oturum açtığı tüm sistemleri, kimin hangisini kullandığını ve hangilerinin standart protokolleri desteklediğini listeleyin.
- Tek kimlik kaynağını seçin. Kimliğin nerede "doğduğunu" belirleyin: bir kimlik sağlayıcı, e-posta ve dosya ürünlerini birleştiren bir platform ya da İK kaydı.
- Rolleri departman üzerinden tanımlayın. Kişiye tek tek yetki yerine departman ve rol bazlı yetki verin; kişi departman değiştirdiğinde yetkisi kendiliğinden değişsin. Dosyalarda bu mantığı dosya paylaşım yetkilendirme rehberimizde anlattık.
- Merkezi kimliği sertleştirin. Parola politikası, çok faktörlü doğrulama, giriş ekranında otomatik deneme koruması ve oturum listesini devreye alın. Parola politikasının ayrıntıları için kurumsal parola güvenliği yazımıza bakabilirsiniz. Hangi ikinci doğrulama yönteminin seçileceğini iki adımlı doğrulama nedir yazısında karşılaştırdık.
- İşe giriş ve çıkış prosedürünü yeniden yazın. "Çalışan ayrıldığında hangi işlem yapılır?" sorusunun cevabı tek satır olmalı.
- Kademeli geçin. Önce e-posta ve dosya gibi herkesin kullandığı uygulamaları bağlayın, sonra iş uygulamalarını ekleyin. E-posta hizmetini seçerken tek kimlik desteğini kurumsal e-posta seçim kriterleri arasında sorgulayın.
Tek kimliğin en çok fark yarattığı yer, birden çok şirketi olan gruplardır; bir çalışan iki şirkette görev alsa bile tek parolası olur. Grup yapısına özgü adımları birden fazla şirket e-posta yönetimi yazısında anlattık.
Digital Bridge'de bu işi nasıl yapıyoruz?
SSO projesi bir yazılım kurulumundan çok, kimlik ve yetki düzeninin yeniden tasarlanmasıdır. Bu yüzden işe mevcut durumu birlikte çıkararak başlıyoruz:
- Kimlik ve erişim değerlendirmesi: Siber güvenlik danışmanlığı kapsamında hangi sistemlerde kimlerin hesabı olduğunu, eski çalışanlara ait aktif hesap kalıp kalmadığını ve parola politikalarını inceliyoruz.
- E-posta ve dosyada tek kimlik: Kurumsal e-posta ve dosya yönetimini tek kimlikle yönetmek isteyen kurumlara Smart360 ailesini öneriyoruz; geçişi ve alan adı ayarlarını birlikte planlıyoruz.
- İş uygulamalarını bağlamak: ERP, İK ya da sahaya özel uygulamaların merkezi kimlikle çalışması gerekiyorsa sistem entegrasyonları ile bağlantıyı kuruyoruz; sizin için geliştirdiğimiz özel web yazılımlarında merkezi kimliği ihtiyaç analizinde baştan planlıyoruz.
- Kayıt ve KVKK: Kimin ne zaman hangi sisteme eriştiğine dair kayıtların saklanmasını KVKK uyum danışmanlığı ile birlikte ele alıyoruz.
Smart360'ta tek kimlik: SmartID ile somut senaryo
Smart360, kendi geliştirdiğimiz kurumsal uygulama ailesidir: kurumsal e-posta SmartMail, dosya yönetimi SmartFiles, web sitesi için yapay zeka müşteri temsilcisi SmartOperator ve kartlı geçiş ile PDKS sistemi SmartPass tek panelde ve tek kimlikle (SmartID) yönetilir; proje yönetimi yazılımı SmartPM'e de aynı Smart360 hesabıyla, ayrı bir parola olmadan girilir. Yönetici; kullanıcıları, departmanları, ürün erişimlerini, alan adlarını ve DNS ayarlarını, paketleri, faturayı, kullanım istatistiklerini ve destek taleplerini aynı panelden yönetir. Böylece "bu kişinin nerede hesabı var?" sorusunun cevabı tek ekrandadır. Tek kimliğin günlük işte ne değiştirdiğini üç anla anlatalım.
İşe giriş. Yönetici, tek panelde yeni çalışanı ekler ve departmanını seçer. Çalışan tek parolayla hem SmartMail'e hem SmartFiles'a girer; ürünler arasında parola sormadan geçer. SmartFiles'ta yetkiler departmana da verilebildiği için, departmana tanımlı depo alanlarına erişim kişi eklendiği anda geçerli olur.
Departman değişikliği. Satıştan satın almaya geçen bir çalışanın departmanı tek yerde değiştirilir; erişimi tüm ürünlerde birlikte değişir. SmartMail tarafında departmandan ayrılan kişinin o departmana ait kutulara erişimi otomatik kalkar; ortak kutuların bu mantıkla nasıl kurgulanacağını ortak posta kutusu yönetimi yazımızda anlattık. Eski ekibin teklif klasörü ve ortak kutusu, "birisi kapatmayı unuttuğu" için açık kalmaz.
İşten ayrılma. Ayrılan çalışanın erişimi tek işlemle tüm ürünlerde kapanır. Posta kutusu parolaları zaten sistem tarafından üretilir, AES-256-GCM ile şifreli saklanır ve çalışanlara dağıtılmaz; yani ayrılan kişinin elinde kullanabileceği ayrı bir kutu parolası kalmaz.
Merkezi kimliği korumak için Smart360 Security giriş ekranlarında insan doğrulaması kullanır; parola deneme saldırıları sunucuya ulaşmadan durur. Açık oturumlar cihaz bilgisiyle listelenir ve uzaktan kapatılabilir; parola değiştiğinde tüm oturumlar kapanır. Birden fazla şirketi (kiracıyı) yöneten gruplar bunları tek hesaptan yönetir ve hiçbir şirket diğerinin verisini görmez; mobil uygulamada da birden çok şirket hesabı aynı uygulamada kullanılabilir. Aynı merkezi yönetim fikrinin fiziksel erişimdeki karşılığını çok tesisli firmalarda geçiş kontrolü yazısında anlattık.
Sonraki adım
SSO'ya geçmeden önce basit bir test yapın: son altı ayda ayrılan çalışanların listesini alın ve her birinin e-posta, dosya ve iş uygulamalarındaki hesaplarının kapatılıp kapatılmadığını kontrol edin. Açık kalan tek bir hesap bile tek kimliğe geçmek için yeterli bir gerekçedir. Hesap envanterinden kademeli geçiş planına kadar mevcut durumunuzu birlikte değerlendirmek için bizimle iletişime geçin. Kimlik, erişim ve e-posta güvenliğinin diğer başlıkları Kurumsal E-posta ve Belge rehberimizde bir arada.