Kullanıcı onay ekranına giriş

Kullanıcı onay ekranı nedir?#

Google hesabınızı kullanarak yeni bir sosyal uygulamaya kayıt olduğunuzu hayal edin. "Google ile Giriş Yap" düğmesine tıklarsınız ve giriş sürecini tamamlamak için Google’a yönlendirilirsiniz. Google ile başarılı bir şekilde kimlik doğruladıktan sonra, bu uygulamanın Google hesabınızın profil bilgilerine erişim izni vermenizi isteyen bir sayfaya yönlendirilirsiniz. Şöyle bir şey:

Bu sayfa, onay sayfası veya onay ekranı olarak adlandırdığımız şeydir. Uygulamalar veya web siteleri tarafından kullanıcı kaydı sırasında gösterilen bir kullanıcı arayüzü öğesidir. Temel amacı, kullanıcıları kişisel verilerinin toplanması, işlenmesi ve kullanımı hakkında bilgilendirmek ve bu faaliyetler için açık bir şekilde onaylarını veya izinlerini istemektir.

Bir onay sayfasında, kullanıcılara genellikle hangi tür verilerin toplanacağı, verilerin nasıl kullanılacağı ve üçüncü taraflarla paylaşılıp paylaşılmayacağı hakkında bilgi verilir. Bu bilgiler, kullanıcıların gizlilikleri ve veri güvenlikleri hakkında bilinçli kararlar alabilmelerini sağlayarak şeffaflık için önemlidir.

Onay sayfaları, özellikle Avrupa Birliği'ndeki Genel Veri Koruma Yönetmeliği (GDPR) veya ABD'deki Kaliforniya Tüketici Gizliliği Yasası (CCPA) gibi gizlilik düzenlemeleri bağlamında önemlidir, çünkü bu düzenlemeler, kuruluşların kullanıcıların kişisel bilgilerini işlemeye başlamadan önce kullanıcılardan açık ve belirgin bir onay almalarını gerektirir.

Ne zaman bir onay ekranına ihtiyaç duyarız?#

Bu soruya cevap vermeden önce, kullanıcı kimlik doğrulama ile ilgili bazı temel kavramları anlamamız gerekiyor.

Kimlik Sağlayıcı (IdP) ve Hizmet Sağlayıcı (SP)#

Yukarıda belirtildiği gibi, onay ekranının ana amacı, kullanıcılara kişisel verilerinin toplanması, işlenmesi ve kullanımı hakkında bilgi vermek ve bu faaliyetler için açık bir şekilde onaylarını veya izinlerini istemektir. Dolayısıyla, başka bir tarafa ait olan, Google gibi, kişisel verileri topladığımızda, işlediğimizde veya kullandığımızda bir onay ekranına ihtiyaç duyarız.

Kullanıcı kimlik doğrulaması bağlamında, kullanıcı verilerine sahip olan tarafı Kimlik Sağlayıcı (IdP) olarak adlandırırız. Kullanıcı verilerine erişim talebinde bulunan uygulamaya ise Hizmet Sağlayıcı (SP) denir. Yukarıdaki örnekte, Google IdP ve sosyal uygulama SP'dir.

IdP, kullanıcıyı kimlik doğrulaması yapmaktan ve kullanıcının profil bilgilerini SP'ye sağlamaktan sorumludur. SP, hizmetlerini sağlamak için kullanıcının profil bilgilerine ihtiyaç duyan taraftır.

Tek oturum açma (SSO)#

Yukarıdaki örnekte, sosyal uygulama Google'ı IdP olarak kullanıyor. Bu, sektörde yaygın bir senaryodur. Pek çok uygulama Google, Facebook veya diğer üçüncü taraf hizmetleri IdP olarak kullanır. Buna Tek Oturum Açma (SSO) denir. SSO, birbirleriyle ilişkili, ancak bağımsız olan birçok yazılım sisteminin erişim kontrolü özelliğidir. Bu özellik ile kullanıcı, bir veya birden fazla ilişkili uygulamaya tek bir kimlik ve şifre ile giriş yapar. Daha fazla detay için CIAM 101: Kimlik Doğrulama, Kimlik, SSO adresine başvurabilirsiniz.

Birinci taraf ve Üçüncü taraf IdP#

Birinci taraf IdP, SP ile aynı organizasyona ait olan bir IdP'dir. SP, IdP ile aynı alan adına bile sahip olabilir. Yani SP, aynı organizasyona ait olan kullanıcı verilerine erişim talep eder. Örneğin, Google Workspace kullanıyorsanız, Google sizin birinci taraf IdP'nizdir.

Öte yandan, üçüncü taraf IdP, SP'den farklı bir organizasyona ait olan bir IdP'dir. SP, kendisine ait olmayan kullanıcı verilerine erişim talep eder. Örneğin, Google'ı IdP olarak kullanıyorsanız ve yukarıdaki örnekteki gibi bir sosyal uygulamaya giriş yapıyorsanız, Google sosyal uygulama için üçüncü taraf IdP'dir.

Kullanıcı onayı#

Bir kullanıcı bir uygulamaya giriş yaptığında, hangi verilerin toplandığı ve nasıl kullanılacağı konusunda kullanıcının bilgilendirilmesi önemlidir.

Birinci taraf IdP için, bu tür bilgiler genellikle organizasyonun gizlilik politikası ve hizmet şartlarında yer alır. Kullanıcı, hizmete kaydolmadan önce genellikle gizlilik politikası ve hizmet şartlarını kabul etmek zorundadır. Bu nedenle, kullanıcı zaten hangi verilerin toplandığının ve nasıl kullanılacağının farkındadır. Bu durumda, kullanıcı onayı düşünülür.

Ancak, IdP'nin sahip olduğu veriler üzerinde sıkı bir kontrol sağlaması önemlidir. IdP, kullanıcıların açık onayı olmadan herhangi bir üçüncü taraf SP'ye kullanıcı verilerine erişim izni vermemelidir. Üçüncü taraf bir SP tarafından herhangi bir veri erişimi, bir veri paylaşım aktivitesi olarak kabul edilir. Kullanıcı, bu veri paylaşım aktivitesi hakkında bilgilendirilmelidir ve açıkça onay vermelidir.

Bu nedenle, üçüncü taraf IdP için kullanıcı onayı her zaman gereklidir. Bu yüzden tüm büyük IdP'ler, Google, Facebook ve Microsoft gibi, SP'nin kullanıcıya, kullanıcı SP'ye giriş yapmadan önce bir onay ekranı göstermesini gerektirir.

Google'ın bir OAuth istemcisi oluşturmayı denediğinizde, ayrıntılı bir onay ekranı yapılandırması sağlamanız istenir.

Bu, kullanıcının veri paylaşım aktivitesi hakkında bilgilendirildiğinden ve açıkça onay verdiğinden emin olmanızı sağlar.

Onay ekranında hangi bilgiler yer almalıdır?#

Onay ekranının kullanıcının bilinçli bir karar verebilmesi için yeterli bilgiyi sağlaması önemlidir. Ancak bunlarla sınırlı olmamak üzere:

• Hangi taraf (SP) kullanıcı verilerine erişim talep ediyor?
• Mevcut kullanıcının kimliği nedir?
• Hangi kullanıcı verileri toplanıyor?
• Kullanıcı verileri nasıl kullanılacak?
• Hangi ek IdP sağlanan hizmetler veya API’lar kullanılacak?
• SP'ye hangi ek izinler verilecek?
• SP'nin gizlilik politikası nedir?

Yukarıdaki tüm bilgiler, onay ekranında açıkça ve net bir şekilde yer almalıdır. Kullanıcı, herhangi bir belirsizliğe yer bırakmadan bilgiyi anlayabilmelidir. Toplanan kullanıcı verileri ve nasıl kullanılacağı özellikle önemlidir.

IdP'nin sorumluluğu, kullanıcı verilerinin yalnızca kullanıcının onay verdiği amaç için kullanılmasını sağlamaktır. IdP, SP'nin, kullanıcının açık onayı olmadan, kullanıcı verilerini başka bir amaç için kullanmasına izin vermemelidir.

Sonuç#

Özetle, bir onay sayfası, kullanıcıların verilerinin işlenmesiyle ilgili açık izinlerini almak, şeffaflığı teşvik etmek ve gizlilik yasalarına uyumu sağlamak için bir mekanizma olarak hizmet eder. Şu anda tüm büyük IdP’ler tarafından üçüncü taraf SP’ler için gerekli olan bir özelliktir ve kullanıcı gizliliğinin ve veri güvenliğinin korunmasında önemli bir rol oynar. Özellikle üçüncü taraf IdP hizmeti sağlıyorsanız.