Mükellef Şifresini Paylaşmak Yerine Onaylı Erişim: Güvenli Yetkilendirme

Mali müşavir ile mükellef arasındaki en sessiz risk, fatura portalı şifresinin bir mesajla ya da telefonda iletilmesidir. Pratik görünür; ama şifre hiçbir kayıt bırakmadan el değiştirir, kimde olduğu belli olmaz ve iş ilişkisi bittiğinde geri alınması çoğu zaman unutulur.

Gayriresmî paylaşımın sorunları

• İzlenemezlik: Şifrenin kimde olduğu, kimin hangi işlemi yaptığı belli olmaz.
• Dağınıklık: Şifre e-postalarda, mesajlarda ve defterlerde kopyalanır.
• Rıza belirsizliği: Mükellef, şifresiyle neyin yapılabileceğini her zaman net bilmez.
• Geri alınamazlık: İlişki sona erse bile şifre değişmediği sürece erişim sürer.

İdeal yöntem: yetki devri

Dürüst olalım: en doğru yöntem, entegratörün kendi yetki devri mekanizmasıdır; yani mükellefin, mali müşavire entegratör sisteminde, şifresini paylaşmadan, kısıtlı ve süreli yetki tanımlaması. Böyle bir API ya da panel varsa tercih edilmelidir. Ancak bugün bu mekanizma entegratörlerden her birinde aynı biçimde ve eşit kapsamda bulunmuyor. OTAQ Mali Müşavir Portalı, bu boşlukta onaylı ve izlenebilir bir köprü sunar; yetki devrinin yerini değil, kontrolsüz şifre paylaşımının yerini almayı amaçlar.

Onaylı erişimin dört ilkesi

1. İki taraflı onay

Bağlantı tek taraflı kurulamaz. Mükellef OTAQ'a üye olurken mali müşavirini seçer ya da mali müşavir mükellefi VKN ile davet eder. Karşı taraf onaylamadan erişim açılmaz. Mükellef onay sırasında kendi şifresini girer; şifre entegratörde doğrulanır ve mükellef açık rıza verir.

2. Geri alınabilirlik

Mükellef erişimi istediği an kaldırabilir. Kaldırdığında OTAQ'da kayıtlı şifre silinir; mali müşavir o mükellefin portalına artık geçemez.

3. Şifreli saklama (ve neden hash değil)

OTAQ normalde hiçbir entegratör şifresini saklamaz. Yalnızca mali müşavire erişim izni verilen mükellefin şifresi saklanır ve bu şifre AES-256-GCM ile şifrelenir. Şifrelerin genelde hash ile saklandığını biliyoruz; ancak hash geri döndürülemez. Geçiş yapılırken şifrenin entegratöre olduğu gibi iletilmesi gerektiğinden hash kullanmak mümkün değildir. Bu, bilerek ve yalnızca bu amaçla yapılmış bir tercihtir; saklanan şifre başka hiçbir amaçla kullanılmaz.

4. Kayıt

Her erişim işlem kaydına yazılır. İlişkinin kimin, ne zaman, hangi mükellef için kurulduğu ve kullanıldığı geriye dönük izlenebilir.

Mükellef şifresini değiştirirse

Şifre değişince kayıtlı bilgi geçersiz olur ve mali müşavir panelinde mükellef “Erişilemiyor” olarak görünür. İki yol vardır: mükellef kendi OTAQ girişini yaptığında güncel şifre otomatik güncellenir, ya da mali müşavir mükellefle görüşüp yeni durumu çözer. Bu davranış istenen bir sonuçtur: eski şifreyle erişim kendiliğinden kesilir.

Hangi riskler kalır?

Hiçbir yöntem riski sıfırlamaz; sıfırladığını söylemek de doğru olmaz. Şifre şifreli de olsa bir sistemde saklandığı sürece, o sistemin güvenliğine bağımlısınızdır. Bu yüzden saklamayı yalnızca erişim izni verilen mükelleflerle sınırlıyoruz, izin kalkınca siliyoruz ve her erişimi kaydediyoruz. Mükellef tarafında da basit bir önlem işe yarar: mümkünse OTAQ ve entegratör için kullandığınız şifreyi başka hiçbir hizmette kullanmayın.

Ayrıca mali müşavirlik ilişkisinin hukuki boyutu, yani hangi işlemler için yetki verildiği, sözleşmeniz ve ilgili mevzuatla belirlenir. OTAQ teknik erişimi düzenler; yetkinin kapsamı ise taraflar arasındaki ilişkiye bağlıdır.

Mükellefe ne anlatmalı?

Mükelleflerin çoğu bu konuyu ilk kez duyar; bu yüzden birkaç cümleyi hazır tutmak işinizi kolaylaştırır. Mükellefin duyması gerekenler: erişim kendi onayıyla açılır; şifre yalnızca geçişin yapılabilmesi için şifreli saklanır; her erişim kaydedilir; erişim istediği an kaldırılabilir ve kaldırınca kayıtlı şifre silinir. Mükellefe ayrıca kendi OTAQ üyeliğinin normal ücret ve deneme kurallarına tabi olduğunu, mali müşavir hesabının ise ücretsiz olduğunu açıkça söyleyin. Beklenti baştan netse sonradan sürpriz yaşanmaz.

Mükellef için kontrol listesi

1. 1Mali müşavirinizin bu erişimi neden istediğini bilin; yalnızca ihtiyaç duyduğu süre boyunca verin.
2. 2Onay ekranında rızanızın kapsamını okuyun.
3. 3Mali müşavirlik ilişkisi sona erdiğinde erişimi kaldırın.
4. 4Entegratör şifrenizi başka bir yerde de kullanıyorsanız değiştirin; her yerde farklı şifre kullanın.

Mali müşavir için kontrol listesi

1. 1Mükellefin şifresini mesajla ya da telefonla almayın; onaylı bağlantıyı kullanın.
2. 2“Erişilemiyor” durumunu mükellefe haber vermek için fırsat olarak görün.
3. 3Mali müşavir hesabınızın şifresini güçlü tutun; mükelleflerinizin portallarına bu hesap üzerinden geçilir.

Saklama yükümlülükleri açısından da düzen önemlidir; e-Faturalar ne kadar süre saklanmalı? yazımız bu konuda bir başlangıç noktasıdır.