SCRAM
Salted Challenge Response Authentication Mechanism. SASL standardı (RFC 5802, 2010). İstemci parolayı göndermeden bildiğini kanıtlar. Yeniden oynatmaya karşı koruma sağlar; sunucu ele geçirilse bile parolalar çevrimdışı saldırıya doğrudan açık olmaz.
SCRAM-SHA-256 güncel varyanttır. İki turlu el sıkışma: sunucu tuz + yineleme sayısı gönderir → istemci PBKDF2 + HMAC çalıştırıp kanıtı döndürür. PostgreSQL 10+, MongoDB ve XMPP'de standarttır. Kriptografik olarak daha güçlü PAKE'lerden (SRP, OPAQUE) farklıdır: doğrulayıcı sızarsa SCRAM'de çevrimdışı kaba kuvvet hâlâ mümkündür (ama 4096+ yineleme sayısıyla pahalıdır). PLAIN kimlik doğrulama ile tam PAKE arasında pragmatik bir orta yol.