NFC kimlik doğrulama, müşterinin T.C. kimlik kartındaki çipi telefonuyla okutarak kimliğini uzaktan doğrulamasını sağlar. 360 Soft bu akışı mobil uygulamanıza veya web sürecinize entegre eder; belge, yüz ve canlılık kontrolleriyle birlikte uçtan uca müşteri edinimi kurar.
Aşağıda NFC ile kimlik doğrulamanın teknik olarak nasıl çalıştığını, hangi kuruluşlar için gerekli olduğunu, uzaktan kimlik tespitine ilişkin düzenleyici çerçeveyi, modülleri, entegrasyon yöntemlerini, kurulum adımlarını, ölçülecek göstergeleri ve riskleri ayrıntılı olarak bulacaksınız.
Akış nasıl çalışır?
- Müşteri kimlik kartının makine tarafından okunabilir bölgesini (MRZ) veya kart erişim numarasını (CAN) kamerayla okutur; bu bilgiler çipe erişim anahtarını üretmek için kullanılır.
- Kart telefonun arkasına yaklaştırılır; uygulama güvenli bir kanal açarak çipteki kişisel bilgileri ve vesikalık fotoğrafı okur.
- Çipteki verinin imzası, belgeyi düzenleyen devletin sertifika zinciriyle doğrulanır; verinin değiştirilmediği ve kartın kopyalanmadığı kontrol edilir.
- Canlılık testi ve yüz eşleştirme ile karşıdaki kişinin çipteki fotoğrafın sahibi olduğu doğrulanır.
- Sonuç risk puanlamasına ve uyum ekibinin ekranına aktarılır; gerekiyorsa görüntülü görüşme adımına geçilir.
- Onaylanan müşteri için hesap veya sözleşme süreci başlar; tüm adımlar iz kaydıyla saklanır.
Teknik altyapı: ICAO 9303 ve çip güvenliği
Çipli T.C. kimlik kartı ve biyometrik pasaportlar, Uluslararası Sivil Havacılık Örgütü’nün makine tarafından okunabilir seyahat belgeleri standardı ICAO 9303 ile uyumlu temassız çipler taşır. Çipe erişim, kart üzerindeki bilgilerden türetilen anahtarla yapılır: eski yöntem olan Temel Erişim Kontrolü (BAC) MRZ’deki belge numarası, doğum tarihi ve son geçerlilik tarihini kullanır; daha güçlü olan PACE protokolü ise MRZ veya kart erişim numarasıyla çalışır. Kart, sahibi fiziksel olarak göstermeden okunamaz.
Çipteki veri grupları arasında kimlik bilgileri (DG1) ve yüksek çözünürlüklü yüz fotoğrafı (DG2) bulunur. Pasif doğrulama, bu veri gruplarının özetlerini içeren ve belgeyi düzenleyen makamın sertifikasıyla imzalanmış Belge Güvenlik Nesnesi’ni (SOD) kontrol eder; ülke imza sertifikası (CSCA) zincirine kadar doğrulama yapıldığında verinin değiştirilmediği kanıtlanır. Aktif doğrulama veya çip doğrulaması ise çipin gizli anahtarına sahip olduğunu kanıtlamasını isteyerek kopyalanmış (klonlanmış) çipleri ayırt eder. Fotoğraf üzerinde oynanmış sahte bir kart, imza doğrulamasını geçemez; bu, belge görüntüsüne dayanan doğrulamaya göre temel farktır.
Nerelerde kullanılır?
- Bankalar: Uzaktan müşteri edinimi ve dijital hesap açılışı; şube ziyareti olmadan müşteri kabulü.
- Ödeme ve elektronik para kuruluşları: Cüzdan ve hesap limitlerinin yükseltilmesi için kimlik doğrulama.
- Kripto varlık hizmet sağlayıcıları: Üyelik ve müşteri tanıma; ayrıntılar için kripto platform uyum sayfamıza bakın.
- Aracı kurumlar, sigorta, finansman ve kiralama şirketleri: Uzaktan sözleşme ve müşteri kabulü.
- Telekom, mobilite ve paylaşım ekonomisi: Abonelik, araç kiralama ve yaş doğrulaması.
- İnsan kaynakları ve kamu hizmetleri: Uzaktan işe alım, kimlik teyidi gerektiren dijital başvurular.
Bu kuruluşların ortak sorunu, kimlik fotoğrafı ve özçekim (selfie) ile yapılan doğrulamanın sahte belge, ekran görüntüsü, yapay zekâyla üretilmiş yüz ve maske gibi saldırılara açık olmasıdır. Sonuçta manuel onay kuyruğu büyür, müşteri bekler ve dolandırıcılık riski artar. NFC çip okuma, belgenin gerçekliğini kriptografik olarak doğrulayarak bu sorunun büyük bölümünü kaynağında çözer.
Düzenleyici çerçeve: uzaktan kimlik tespiti
Türkiye’de uzaktan kimlik tespiti sektöre göre farklı kurumların düzenlemelerine tabidir. Bankalar için Bankacılık Düzenleme ve Denetleme Kurumu’nun (BDDK) uzaktan kimlik tespiti ve elektronik ortamda sözleşme ilişkisinin kurulmasına ilişkin yönetmeliği belirleyicidir; bu düzenleme genel olarak görüntülü görüşme, kimlik belgesinin güvenlik unsurlarının kontrolü ve çipteki bilgilerin NFC ile doğrulanması gibi adımları öngörür. Ödeme ve elektronik para kuruluşları için Türkiye Cumhuriyet Merkez Bankası’nın, sermaye piyasası kurumları ve kripto varlık hizmet sağlayıcıları için Sermaye Piyasası Kurulu’nun düzenlemeleri, müşteri tanıma yükümlülükleri bakımından ise MASAK mevzuatı dikkate alınır.
Hangi adımların zorunlu, hangilerinin isteğe bağlı olduğu, görüntülü görüşmeyi kimin yapacağı, kayıtların ne kadar saklanacağı ve hangi işlem limitlerinin uygulanacağı kuruma ve ürüne göre değişir. Düzenlemeler sık güncellendiği için akışı kendi lisans türünüze uygun güncel mevzuata ve uyum biriminizin görüşüne göre kurarız. Biyometrik veriler 6698 sayılı KVKK kapsamında özel nitelikli kişisel veridir; işleme şartları, aydınlatma, açık rıza gerekip gerekmediği ve veri güvenliği önlemleri tasarım aşamasında belirlenir. Yurt dışında yerleşik müşteriler söz konusuysa GDPR ve ilgili ülke kuralları da gündeme gelir.
Modüller ve kapsam
| Modül | İşlev | Not |
|---|---|---|
| MRZ ve belge okuma | Kamera ile MRZ veya CAN okuma, belge tipi tespiti | Çipe erişim anahtarı için gereklidir |
| NFC çip okuma | BAC veya PACE ile güvenli kanal, veri gruplarının okunması | iOS ve Android NFC API’leri |
| Çip doğrulama | Pasif doğrulama (SOD ve CSCA zinciri), aktif veya çip doğrulaması | Sertifika listesinin güncel tutulması gerekir |
| Canlılık testi | Pasif veya aktif canlılık, ekran ve maske saldırısı tespiti | Sunum saldırısı tespiti |
| Yüz eşleştirme | Canlı yüz ile çipteki fotoğrafın karşılaştırılması | Eşik değeri risk iştahına göre ayarlanır |
| Görüntülü görüşme | Müşteri temsilcisiyle kayıtlı görüşme, ekran akışı ve kontrol listesi | Düzenlemenin gerektirdiği durumlarda |
| Risk puanlama | Cihaz, konum, oturum ve belge sinyalleriyle risk skoru | KYC / AML akışına bağlanır |
| Uyum paneli | Başvuru listesi, manuel inceleme, karar gerekçesi, iz kaydı | Denetim için kanıt |
| API ve SDK | Mobil SDK, sunucu tarafı doğrulama API’si, web akışı | Flutter ve React Native desteği |
Teknik özellikler
- iOS ve Android desteği; yerel uygulamalar ile Flutter ve React Native entegrasyonu.
- Çip doğrulamasının istemcide değil sunucu tarafında tekrarlanması; manipüle edilmiş bir istemcinin sonucu taklit etmesi engellenir.
- Doğrulama sonuçları için REST API, olay bildirimi (webhook) ve yönetim paneli.
- İz kaydı ve KVKK’ya uygun saklama süreleri; kimlik görüntüleri ve biyometrik şablonlar için ayrı saklama politikası.
- Kötüye kullanıma karşı cihaz bütünlüğü, emülatör ve root/jailbreak tespiti, oturum ve hız sınırları.
NFC akışı uygulamanıza modül olarak eklenebilir; uygulamanız yoksa mobil uygulama geliştirme kapsamında uçtan uca geliştirilebilir.
Kullanıcı deneyimi: tamamlama oranını belirleyen ayrıntılar
NFC doğrulamada teknik doğruluk kadar kullanıcının akışı yarıda bırakmaması da önemlidir. En sık terk noktası çip okuma adımıdır: kullanıcı kartı nereye tutacağını bilmez, kartı erken çeker ya da kılıf okumayı engeller. Cihaz modeline göre anten konumunu gösteren animasyon, okuma sırasında ilerleme göstergesi ve kartın hareket ettirilmemesi gerektiğini hatırlatan kısa mesajlar bu sorunu belirgin biçimde azaltır. MRZ okumada yansıma ve bulanıklık uyarısı, başarısız denemelerde anlaşılır hata metni ve kullanıcının kaldığı adımdan devam edebilmesi de tamamlama oranını etkiler. Erişilebilirlik açısından ekran okuyucu desteği ve yeterli kontrast ihmal edilmemelidir.
Teslim modelleri
| Model | Kapsam | Uygun durum |
|---|---|---|
| SDK ve API entegrasyonu | NFC, canlılık ve yüz eşleştirme bileşenlerinin uygulamanıza eklenmesi | Mobil uygulaması ve iç ekibi olan kuruluşlar |
| Uçtan uca müşteri kabul projesi | Mobil akış, sunucu doğrulama, uyum paneli, entegrasyonlar sabit kapsamla | Dijital kanal kuran veya yenileyen kuruluşlar |
| Bulut hizmeti (SaaS) | Doğrulama sunucu tarafı bulutta, işlem başına veya abonelikle | Hızlı başlamak isteyen, hacmi değişken kuruluşlar |
| Şirket içi kurulum | Doğrulama sunucusu ve veriler sizin veri merkezinizde | Veri yerleşimi zorunluluğu olan banka ve finans kuruluşları |
| Yönetilen hizmet | Sertifika listesi güncelleme, model ve kural ayarı, izleme ve destek | Operasyon yükünü dışarıya vermek isteyenler |
| Ek ekip | Kendi ekibinize mobil, backend veya güvenlik uzmanı eklenmesi | Kapasitesini artırmak isteyen ekipler |
Gereksinim analizi ve uyum biriminizle yapılan çalıştaylar yerinde veya hibrit, geliştirme ve destek uzaktan yürütülür. Ek ekip ve yönetilen hizmet modelleri 4857 sayılı İş Kanunu md. 2 çerçevesinde hizmet alımı veya alt işverenlik olarak kurgulanır; çalışanlar 360 Soft’un bordrosunda ve yönetiminde kalır. Geçici iş ilişkisi (md. 7) İŞKUR izinli özel istihdam bürolarınca kurulabilir; 360 Soft özel istihdam bürosu değildir.
Uygulama adımları ve tipik süreler
| Adım | İçerik | Tipik süre |
|---|---|---|
| 1. Gereksinim ve mevzuat analizi | Lisans türü, zorunlu adımlar, işlem limitleri, saklama süreleri | 1–3 hafta |
| 2. Akış tasarımı | Ekran akışı, hata durumları, manuel inceleme ve görüntülü görüşme geçişleri | 1–2 hafta |
| 3. Mobil entegrasyon | MRZ okuma, NFC, canlılık ve yüz eşleştirme bileşenleri | 3–6 hafta |
| 4. Sunucu doğrulama ve panel | Çip doğrulama, risk puanlama, uyum paneli, iz kaydı | 3–6 hafta |
| 5. Entegrasyonlar | Çekirdek bankacılık, CRM, AML ve kimlik servisleri | 2–6 hafta |
| 6. Test | Cihaz matrisi testi, sahte belge ve sunum saldırısı testleri, sızma testi | 2–4 hafta |
| 7. Kademeli yayın | Sınırlı kullanıcıyla açılış, ölçüm, iyileştirme | 2–4 hafta |
SLA ve KPI örnekleri
| Gösterge | Tanım |
|---|---|
| Akış tamamlama oranı | Başlayan başvurulardan doğrulamayı tamamlayanların oranı |
| NFC okuma başarısı | İlk denemede çip okumanın başarıyla tamamlanma oranı |
| Ortalama tamamlama süresi | Başvurunun başından onaya kadar geçen süre |
| Manuel incelemeye düşme oranı | Otomatik karar verilemeyen başvuruların payı |
| Yanlış kabul ve yanlış ret | Yüz eşleştirme ve canlılık testinin hata oranları (test setiyle ölçülür) |
| API erişilebilirliği | Doğrulama servisinin aylık çalışma süresi |
| Sertifika güncelliği | CSCA ve belge imza sertifika listesinin güncelleme sıklığı |
Hedef değerler kullanıcı kitlenize ve risk iştahınıza göre birlikte belirlenir; burada gerçekleşmiş sunulmaz.
Fiyatlandırmayı belirleyen faktörler
| Faktör | Etkisi |
|---|---|
| Doğrulama hacmi | Bulut modelinde işlem başına veya kademeli bedel |
| Barındırma | SaaS, özel bulut veya şirket içi kurulum |
| Akış kapsamı | NFC mi, canlılık, yüz eşleştirme ve görüntülü görüşme dahil mi |
| Platformlar | iOS, Android, web ve hibrit çerçeveler |
| Entegrasyon sayısı | Çekirdek sistem, CRM, AML ve üçüncü taraf servisler |
| Destek düzeyi | Mesai içi veya kesintisiz destek, yanıt süreleri |
- Sabit fiyat: Kapsamı netleşmiş entegrasyon ve müşteri kabul projelerinde.
- Adam/ay: Uzun soluklu geliştirme ve ek ekiplerde uzman başına aylık bedel.
- Saatlik: Danışmanlık ve küçük değişikliklerde.
- İşlem başına: Bulut doğrulama hizmetinde doğrulama sayısına göre.
- Sonuç bazlı: Belirli bir akışın kabul kriterleriyle canlıya alınmasına bağlı ödeme.
Kendi ekibiniz, serbest çalışan veya dış kaynak
| Kriter | Şirket içi ekip | Serbest çalışan | Dış kaynak (360 Soft) |
|---|---|---|---|
| ICAO 9303 ve kriptografi bilgisi | Öğrenme süreci uzun | Nadir ve kişiye bağlı | Çip okuma ve doğrulama birlikte |
| Mevzuata uygun akış | Uyum birimiyle uzun iterasyon | Genellikle kapsam dışı | Uyum biriminizle ortak tasarım |
| Cihaz uyumluluğu | Geniş cihaz matrisi testi zor | Sınırlı | Planlı cihaz testi |
| Süreklilik | Personel değişimine açık | Yüksek risk | Ekip, dokümantasyon ve SLA |
| Maliyet yapısı | Sabit personel maliyeti | Düşük başlar, kontrol zor | Model seçimine göre öngörülebilir |
Riskler ve önlemler
| Risk | Önlem |
|---|---|
| NFC okumanın kullanıcı hatasıyla başarısız olması | Animasyonlu yönlendirme, cihaza özel anten konumu ipucu, yeniden deneme akışı |
| NFC’si olmayan veya kapalı cihazlar | Alternatif akış: görüntülü görüşme veya fiziksel şube |
| Klonlanmış veya değiştirilmiş çip | Pasif doğrulama, aktif veya çip doğrulaması, sunucu tarafında yeniden doğrulama |
| Sunum saldırıları (ekran, maske, deepfake) | Sertifikalı canlılık bileşenleri, enjeksiyon saldırısı tespiti, cihaz bütünlüğü kontrolü |
| İstemci manipülasyonu | Ham çip verisinin sunucuda doğrulanması, imzalı oturumlar |
| Biyometrik veri sızıntısı | Şifreleme, saklama süresinin kısa tutulması, erişim kaydı, veri minimizasyonu |
| Sertifika listesinin eskimesi | Otomatik güncelleme ve izleme |
Güvenlik, KVKK, NDA ve fikri mülkiyet
Kimlik bilgileri ve biyometrik veriler, sistemin en hassas varlığıdır. İletimde TLS, saklamada şifreleme, anahtar yönetimi, rol bazlı erişim ve tüm görüntülemelerin kayıt altına alınması temel kurallardır. KVKK kapsamında aydınlatma metni, gerekiyorsa açık rıza, saklama ve imha politikası, veri işleyen sözleşmesi ve yurt dışı aktarım değerlendirmesi hazırlanır; GDPR kapsamındaki kullanıcılar için değerlendirme yapılır. Uygulamanın dışarıya açık bölümleri için düzenli sızma testi önerilir. Proje öncesinde karşılıklı NDA imzalanır; size özel geliştirilen kodun fikri mülkiyet ve kullanım hakları, üçüncü taraf bileşenlerin lisans koşullarıyla birlikte sözleşmede açıkça yazılır.
Seçim kontrol listesi
- Çip doğrulaması sunucu tarafında tekrarlanıyor mu?
- Pasif doğrulamada sertifika zinciri (CSCA) kontrol ediliyor ve liste güncel tutuluyor mu?
- PACE desteği var mı, yoksa BAC mı kullanılıyor?
- Canlılık testi enjeksiyon ve deepfake saldırılarına karşı test edildi mi?
- Akış, lisans türünüze uygun güncel düzenlemeye göre tasarlandı mı?
- NFC’si olmayan kullanıcılar için alternatif yol var mı?
- Biyometrik verilerin saklama süresi ve imha yöntemi belirlendi mi?
- Uyum paneli karar gerekçesi ve iz kaydı tutuyor mu?
- Şirket içi kurulum seçeneği ve veri yerleşimi koşulları uygun mu?
Örnek uygulama senaryosu: Mobil uygulamada uzaktan üyelik
Temsili senaryodur; belirli bir müşteri projesini anlatmaz. Kendi işletmenize uyarlanmış planı keşif görüşmesinde birlikte çıkarırız.
Durum
Bir fintech uygulaması, kimlik fotoğrafı ve selfie ile üyelik alıyor; sahte belge girişimleri ve manuel onay kuyruğu büyüyor.
Kurgulanan çözüm
- Kimlik ön yüz okuma + NFC çip doğrulama
- Canlılık testi ve yüz eşleştirme
- Riskli başvuruları uyum ekibine yönlendiren kurallar
- Sonuçların CRM ve çekirdek sisteme aktarılması
Projede ölçülecek sonuçlar
- Başvuru tamamlama oranı
- Manuel onay kuyruğu
- Tespit edilen sahte belge girişimleri
Sık sorulan sorular
Bankalar için uzaktan kimlik tespiti nasıl düzenleniyor?
Bankalar için BDDK’nın uzaktan kimlik tespiti yönetmeliği belirleyicidir; diğer sektörlerde ilgili kurumun düzenlemeleri uygulanır. Akışı sizin mevzuat gereksinimlerinize göre kurarız.
Hangi telefonlar destekleniyor?
NFC özelliği olan iOS ve Android cihazlar. iPhone’larda NFC çip okuma belirli model ve işletim sistemi sürümlerinden itibaren desteklenir; Android’de cihazın NFC donanımı ve ayarı belirleyicidir.
Kendi uygulamamıza entegre edilebilir mi?
Evet, mobil uygulamanıza modül olarak eklenir. Uygulamanız yoksa mobil uygulama geliştirme kapsamında uçtan uca geliştirilebilir.
Pasaport da okunabilir mi?
Evet. Biyometrik pasaportlar da ICAO 9303 uyumlu çip taşır; aynı akışla okunur ve doğrulanır. Yabancı uyruklu müşteriler için de kullanılabilir.
ICAO 9303 nedir?
Uluslararası Sivil Havacılık Örgütü’nün makine tarafından okunabilir seyahat belgelerine ilişkin standardıdır. Çipli pasaport ve kimlik kartlarındaki veri yapısını, erişim protokollerini ve doğrulama yöntemlerini tanımlar.
Pasif doğrulama ile aktif doğrulama arasındaki fark nedir?
Pasif doğrulama, çipteki verinin belgeyi düzenleyen makam tarafından imzalandığını ve değiştirilmediğini kanıtlar. Aktif veya çip doğrulaması ise çipin kopyalanmadığını, gerçek çip olduğunu kanıtlar.
NFC okuma neden bazen başarısız olur?
Kartın telefonun NFC anteninin yerine denk gelmemesi, kartın erken çekilmesi, kalın kılıf veya MRZ’nin yanlış okunması en yaygın nedenlerdir. Yönlendirme ekranları ve yeniden deneme akışı bu sorunları azaltır.
Görüntülü görüşme hâlâ gerekli mi?
Kurum ve ürün türüne göre değişir. Bazı düzenlemeler NFC doğrulamanın yanında görüntülü görüşmeyi de öngörür; akışı lisans türünüze uygun güncel mevzuata göre kurarız.
Biyometrik veriler nerede saklanır?
Barındırma modeline göre sizin veri merkezinizde veya anlaşmalı bulut ortamında, şifreli olarak saklanır. Saklama süresi ve imha yöntemi KVKK ve sektör düzenlemelerine göre belirlenir.
Deepfake saldırılarına karşı nasıl korunuyor?
Canlılık testi, sunum ve enjeksiyon saldırısı tespiti ile cihaz bütünlüğü kontrolleri birlikte kullanılır. En güçlü koruma, yüzün kriptografik olarak doğrulanmış çip fotoğrafıyla karşılaştırılmasıdır.
Kurulum ne kadar sürer?
Uygulamaya entegrasyon tipik olarak birkaç hafta, uçtan uca müşteri kabul projesi birkaç ay sürer. Ayrıntılı plan gereksinim analizinden sonra yazılı paylaşılır.
Fiyatlandırma nasıl yapılır?
Doğrulama hacmi, barındırma modeli, akış kapsamı ve entegrasyon sayısına göre işlem başına, abonelik, sabit fiyat veya adam/ay modeli önerilir.
İlgili sayfalar
- KYC / AML uyum yazılımı
- Kripto platform uyum yazılımı
- Mobil uygulama geliştirme
- Fintech yazılım geliştirme
- Sızma testi hizmeti
- Geliştirici kiralama
Müşteri kabul akışınızı birlikte tasarlayalım
Lisans türünüzü, uygulamanızı ve hedeflediğiniz müşteri kabul akışını paylaşın; entegrasyon planı, tipik takvim ve yazılı teklif hazırlayalım. Telefon: +90 850 335 10 87 · E-posta: info@360-soft.com · İletişim sayfası.
Projenizi konuşalım İhtiyacınızı kısaca yazın; kapsam, takvim ve yazılı teklifi paylaşalım. Teklif alın · WhatsApp · +90 850 335 10 87
Bu sayfa 360 Soft Yetkili Temsilcisi Yasir Bünyamin İncedere tarafından hazırlanmıştır. Son güncelleme: Kasım 2026.