Misafir İçin Geçici QR Kod ile Kapı ve Bariyer Açma: Dinamik QR ve Tek Kullanımlık Yetki

QR kodlu geçiş sistemi nasıl çalışır?

QR kodlu geçiş sisteminde kapıyı açan şey kodun görüntüsü değil, o görüntünün sistemde karşılık geldiği yetki kaydıdır. Kod çoğunlukla anlamsız görünen uzun bir metindir; okuyucu bu metni okur, geçiş kontrol yazılımına ya da yerel denetleyiciye sorar ve cevap olumluysa kapı rölesini kısa süre çalıştırır.

Akış çoğu kurulumda aynıdır: site sakini ya da yetkili kişi bir misafir tanımlar, sunucu bu misafir için rastgele bir kimlik (token) üretir, kimlik bir QR görüntüsüne çevrilip mesajla gönderilir, misafir kapıda ekranını okuyucuya tutar ve sistem kodu denetler. QR görüntüsünün biçimi ISO/IEC 18004 standardıyla tanımlıdır; bu standart yalnızca verinin nasıl kodlanıp okunacağını belirler, kapının ne zaman açılacağına ise sizin kurallarınız karar verir.

Denetim sırasında sistem genellikle şu soruları sorar:

• Kod tanınıyor mu? Üretilmiş ve iptal edilmemiş bir kayıt var mı?
• Zaman penceresi uygun mu? Başlangıç ve bitiş saati içinde mi?
• Kullanım hakkı kaldı mı? Tek kullanımlık kodda bir geçiş yapıldıysa kayıt tükenmiş sayılır.
• Kapı kapsamı doğru mu? Kod yalnızca site girişini mi, belirli bir bloğu ya da otopark bariyerini mi açabiliyor?
• Kayıt düştü mü? Başarılı ve reddedilen her okuma saat, okuyucu ve kod sahibiyle birlikte günlüğe yazılır.

Statik QR ile dinamik QR arasındaki fark nedir?

Statik QR her okunuşta aynı veriyi taşıyan sabit bir görüntüdür; dinamik QR ise belirli aralıklarla yeni veri üretir. Statik kod basılıp çıktı alınabilir, ama bu kolaylığın bedeli ekran görüntüsünün ya da fotoğrafın başkasıyla paylaşılabilmesidir. Kodun geçerlilik süresi ve kullanım sayısı sınırlı değilse, görüntüyü ele geçiren herkes aynı yetkiyi kullanır.

Dinamik kodda görüntü kısa aralıklarla değişir ve çoğunlukla zamana bağlı bir değerden türetilir. Bu yaklaşımın bilinen örneği, RFC 6238'de tanımlanan zamana dayalı tek kullanımlık parola (TOTP) yöntemidir: varsayılan adım süresi 30 saniyedir ve doğrulayan taraf saat kaymasını karşılamak için yakın geçmiş adımları da kabul edebilir. Aynı mantık QR geçişinde de kullanılır; telefon ekranındaki kod birkaç on saniyede bir yenilenir, bir sonraki görüntü öncekinden farklıdır.

Ekran görüntüsü paylaşımı riskini azaltmanın pratik yolları şunlardır:

• Misafir kodunu dinamik üretmek ya da en azından kısa bir geçerlilik süresi tanımlamak.
• Kodu tek kullanımlık yapmak; ilk başarılı geçişten sonra kaydı tüketmek.
• Kodu belirli bir kapı ve saat aralığına bağlamak.
• Aynı kodun kısa sürede iki farklı okuyucuda okunmasını (anti-passback benzeri) reddetmek.
• Kod bildirimlerinde kimin için üretildiğini yazmak; paylaşıldığında sahibi bellidir.

Geçici, tek kullanımlık ve süreli kod politikası nasıl kurulur?

Kod politikası, kodun kim tarafından, ne kadar süreyle ve kaç kez kullanılabileceğini tanımlayan kurallar bütünüdür; güvenlik büyük ölçüde burada belirlenir. Kısa süre ve düşük kullanım sayısı güvenliği artırır, ancak çok sıkı kurallar misafiri kapıda bekletir. Bu nedenle kurallar kullanım tipine göre ayrı ayrı tanımlanmalıdır.

Rastgelelik de önemlidir. Altı haneli sayısal bir kodda olası kombinasyon 10^6, yani bir milyondur; saldırgan sınırsız deneme yapabilseydi bir milyon denemede kodu bulurdu. Bu yüzden okuyucu ve sunucu tarafında başarısız deneme sınırı (kilitleme) uygulanmalı, kod mümkünse uzun ve rastgele bir kimlikten türetilmelidir. Ardışık, tahmin edilebilir kodlar (1001, 1002 gibi) kullanılmamalıdır.

Yaygın kullanım tipleri ve akla yatkın ayarlar şöyledir:

• Tek seferlik misafir: geçerlilik birkaç saat, kullanım hakkı bir giriş (gerekirse bir çıkış daha).
• Günlük misafir veya usta: o günün saat aralığı, giriş-çıkış için iki kullanım hakkı.
• Kurye ve kargo: kısa süreli (ör. 30–60 dakika), tek kapıya kısıtlı, teslimat bildirimi ile üretilen kod.
• Tekrarlayan ziyaretçi: haftalık ya da aylık süreli kod; yetkiyi veren kişi istediği an iptal edebilmelidir.
• Bariyer için araç misafiri: yalnızca giriş yönü, kısa süre; plakayla birlikte kullanılıyorsa plaka tanıma ve misafir araç yetkilendirme yazısındaki mantık geçerlidir.

QR kod okuyucu tipleri nelerdir?

Kapıda kullanılan QR okuyucular dört ana grupta toplanır; seçim kapının tipine, okuma mesafesine ve ortam ışığına bağlıdır. Hepsi aynı görevi yapar: görüntüyü çözüp veriyi denetleyiciye iletmek. Farkları okuma hızı, dayanıklılık, bağlantı biçimi ve ek özelliklerdedir.

Okuyucu tiplerinin kısa özeti:

• 2D barkod okuyucu modülü: Küçük boyutlu, duvara ya da turnike gövdesine gömülebilen modüldür. Wiegand, RS-485 veya USB/seri çıkışla denetleyiciye bağlanır; ayrı bir ekran içermez.
• Kameralı okuyucu: Daha geniş görüş açısı ve daha esnek mesafe sağlar; aynı cihaz bazen kart ve QR okur. Kamera merceğinin temiz ve kırıksız tutulması gerekir.
• Ekranlı terminal: Kod okumanın yanında durum mesajı, geri sayım ve yönlendirme gösterir; misafire neden reddedildiğini söylemek bu tip terminalle kolaylaşır.
• Yüz tanıma terminali içindeki QR modu: Birçok yüz tanıma ve geçiş kontrol terminali aynı cihazda QR okuma seçeneği sunar. Tek cihazla hem sakin hem misafir geçişi çözülür; ayrıntılar için ilgili üretici belgesine bakmak gerekir. Hikvision, Dahua ve Uniview gibi markalarda model ve yazılım sürümüne göre bu özelliğin kapsamı farklı olabilir; satın almadan önce model özelliği ve yazılım desteği mutlaka doğrulanmalıdır.
• Turnike ve bariyer entegre okuyucuları: Turnike gövdesine ya da bariyer direğine monte edilir; konu ayrıntıları turnike ve bariyer sistemleri yazısında anlatılır.

Telefon ekranı kaynaklı okuma sorunları nasıl çözülür?

QR geçişte en sık şikâyet, okuyucunun değil telefon ekranının yarattığı sorundur. Düşük parlaklık, çizik ya da kırık ekran, ekran koruyucu yansıması ve doğrudan güneş ışığı kodun okunmasını güçleştirir. Bu sorunların çoğu kurulum aşamasında önlenebilir.

QR kodunun hata düzeltme özelliği de bu noktada devreye girer. QR standardı L, M, Q ve H olmak üzere dört düzeltme düzeyi tanımlar ve bu düzeyler kodun yaklaşık yüzde 7, 15, 25 ve 30'una kadar bozulmasını tolere eder. Yüksek düzeyli kod daha yoğun görünür, dolayısıyla küçük ekranda okuma mesafesi azalabilir; mümkün olan en yüksek düzeyi değil, ortama uygun düzeyi seçmek gerekir.

Sahada işe yarayan önlemler:

• Okuyucuyu doğrudan güneş ışığı ve yansıma almayacak bir açıya ve gölgelikli bir noktaya yerleştirmek.
• Uygulamada kod ekranı açıldığında parlaklığı otomatik artırmak (birçok uygulama bunu destekler).
• Okuyucunun yüksekliğini hem yaya hem araç içinden okuma için uygun seçmek; araç penceresinden okuma için ayrı bir okuyucu planlamak.
• Kırık ekran için yedek yöntem bırakmak: PIN, diafondan açma ya da güvenlik görevlisi onayı.
• Okuyucunun aydınlatma LED'ini ve lens korumasını periyodik temizlemek.

Site sakini, diafon, kurye ve kargo akışı nasıl kurulur?

Misafir kodunu üretme yetkisi, kapıdaki güvenlik görevlisinden o daireyi kullanan sakine kaydırılırsa hem iş yükü azalır hem sorumluluk netleşir. Sakin, mobil uygulamada misafirin adını, tarih ve saat aralığını girer; sistem kodu üretir ve misafire iletir. Yönetim ise hangi sakinin günde kaç kod üretebileceğini sınırlayabilir.

Apartman diafonuyla birlikte kullanım iki yönlüdür. Birinci yöntemde misafir önce diafonla arar, sakin onay verince sistem anlık tek kullanımlık kod üretir. İkinci yöntemde kod önceden üretilir, diafon ise yalnızca yedek olarak kalır. Diafonda kapı şifresi kullanılıyorsa şifre yönetimi için diafon şifre yönetimi (sakin değişince şifrenin yenilenmesi) ayrıca ele alınmalıdır; QR kodu bu paylaşılan şifrelerin yerine geçici ve kişiye özel bir seçenek sunar.

Kurye ve kargo için ayrı bir kural kümesi önerilir:

• Kodu sipariş ya da kargo bildirimi geldiğinde otomatik üretmek, kısa süreli ve tek kapıya sınırlı yapmak.
• Kuryenin yalnızca zemin kat ya da kargo odası gibi belirlenmiş alanlara girmesine izin vermek; asansör kat yetkisi ayrıca verilmemelidir.
• Süre dolduğunda kodun kendiliğinden geçersiz olması (silme işlemi beklenmemelidir).
• Sürekli gelen kargo şirketleri için sakin kodu yerine, yönetimin tanımladığı ve haftalık yenilenen ortak bir kurye kodu kullanmak ya da kargo dolabı çözümüne geçmek.

Kodların kayıt ve izlenebilirliği: neyi, ne kadar saklamalı?

İyi bir QR sistemi her kod için üretimden kullanıma kadar kimin, ne zaman, hangi kapıda işlem yaptığını kayıt altında tutar. Bu kayıtlar bir olay sonrasında kodun kimin adına üretildiğini ve hangi kapıda kullanıldığını göstererek olay incelemeyi mümkün kılar. Kamera görüntüsüyle eşleştirildiğinde (aynı zaman damgası) delil değeri daha da artar.

Kaydedilecek asgari alanlar şunlardır:

Kayıt tutarken ölçülü olmak gerekir. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun işleme ilkeleri (belirli amaçla sınırlı, ölçülü ve gerekli süre kadar saklama) bu kayıtlar için de geçerlidir; saklama süresini önceden belirleyin, günlüklere erişimi yetkili kişilerle sınırlayın. Ziyaretçi bilgisinin ne kadar toplanacağı konusu ziyaretçi yönetimi ve kimlik alma yazısında ayrıca işlenir.

• Kodu üreten kişi ve misafir adı ya da kimlik numarası olmayan bir referans.
• Üretim zamanı, geçerlilik başlangıcı ve bitişi, kullanım hakkı.
• Her okuma denemesi: zaman, okuyucu, sonuç (kabul, süresi dolmuş, tükenmiş, iptal, bilinmeyen).
• Kod iptali ve değişikliklerinin kim tarafından yapıldığı.

İnternet kesilirse okuyucu nasıl davranır ve yedek yöntem ne olmalı?

Çevrimdışı davranış, QR sisteminin en çok göz ardı edilen noktasıdır ve kurulum öncesinde cevaplanmalıdır. Kod doğrulaması bulutta yapılıyorsa internet kesildiğinde okuyucu hiçbir geçici kodu doğrulayamaz; yerel denetleyicide yapılıyorsa son senkronize edilen kodlar çalışmaya devam eder, yeni üretilen kodlar ise doğrulanmayabilir.

Bunu önlemek için sistem tasarlanırken şu seçenekler değerlendirilir:

• Yerel doğrulama: Kod listesi ya da imzalı kodlar yerel denetleyiciye periyodik aktarılır; internet kesilse bile geçerli kodlar okunur.
• İmzalı kod: Kod, sunucunun imzasıyla üretilir ve okuyucu imzayı çevrimdışı doğrulayabilir; ancak tek kullanımlık sınırı çevrimdışıyken zorlamak mümkün olmayabilir.
• Yedek yöntem: Kart, PIN, diafondan açma veya görevli onayı. Yedek yöntem tek başına kapıyı herkese açan bir ayar olmamalıdır.
• Enerji kesintisi: Elektrik kesilince kilit türüne göre (fail-safe veya fail-secure) kapının nasıl davranacağını, acil çıkış ve yangın mevzuatı dikkate alınarak belirlemek.
• Periyodik test: İnternet bağlantısını bilerek kesip okuyucunun davranışını denemek.

Bayifi'de bu konuda ne bulunur?

Bayifi, QR kodlu geçiş sistemi kurmak isteyenler için kurulumcu ve ürün tarafını birleştiren bir dizindir. Bölgenizde geçiş kontrol işi yapan firmaları bayiler sayfasından, İstanbul gibi il rehberlerinden inceleyebilirsiniz. QR okuyucu, turnike ve bariyer gibi ürünleri toptancıların anlık stoklarıyla pazar sayfasında bulabilir, tek talep ile birden fazla toptancıdan teklif isteyebilirsiniz.

Kurulumcu ya da toptancıysanız firmanızı kaydol sayfasından ekleyebilirsiniz. Bu yazı genel bilgilendirme amaçlıdır; bina, kapı tipi ve kullanıcı sayısına göre doğru çözüm yerinde yapılan keşifle belirlenir. Bluetooth ya da NFC ile telefonla açma için telefonla kapı açma, ziyaretçi kimlik alma ve KVKK tarafı için ise ziyaretçi yönetimi yazısına bakabilirsiniz.