Autentificarea în doi pași este o măsură prin care, după ce scrii parola, mai dovedești o dată cine ești, de obicei cu un cod din telefon sau cu o cheie fizică. Dacă cineva îți află parola, tot nu intră în cont, pentru că îi lipsește al doilea element. De aceea este una dintre cele mai eficiente măsuri de securitate pe care le poți activa în câteva minute.
Principiul se bazează pe trei tipuri de dovezi: ceva ce știi (parola), ceva ce ai (telefonul sau o cheie) și ceva ce ești (amprenta, fața). Un cont este cu adevărat mai greu de spart când combină cel puțin două dintre ele.
Ce metode există pentru al doilea pas?
Nu toate metodele au același nivel de siguranță. Le poți ordona astfel, de la cea mai slabă la cea mai solidă:
- codul primit prin SMS: comod, dar poate fi interceptat prin duplicarea cartelei SIM sau redirecționarea numărului;
- codul dintr-o aplicație de autentificare: se generează în telefon, se schimbă la 30 de secunde și funcționează chiar fără semnal;
- notificarea de confirmare în aplicație: simplă, dar cere atenție ca să nu aprobi din reflex o cerere pe care n-ai făcut-o tu;
- cheia de securitate fizică: un mic dispozitiv USB sau NFC care confirmă că ești în fața calculatorului, foarte rezistent la phishing;
- cheile de acces (passkeys): înlocuiesc parola cu o autentificare prin amprentă sau PIN, legată de dispozitiv.
Pentru majoritatea oamenilor, aplicația de autentificare este alegerea echilibrată: gratuită, rapidă și mult mai sigură decât SMS-ul.
Pe ce conturi o activezi mai întâi?
Începe cu e-mailul. Poșta electronică este cheia de resetare pentru aproape orice alt cont, deci cine o controlează poate prelua tot restul. Urmează internet bankingul, contul de hosting și de domeniu, platforma de facturare, rețelele sociale ale firmei și orice panou de administrare al site-ului sau al magazinului online.
Un cont de administrator fără al doilea pas este una dintre cele mai frecvente porți deschise în firmele mici. Dacă ai un site, activează protecția și pentru conturile angajaților care publică, nu doar pentru al tău.
Cum o activezi pas cu pas?
- Deschide setările de securitate ale contului și caută opțiunea numită „verificare în doi pași”, „autentificare multifactor” sau 2FA.
- Alege aplicația de autentificare și scanează codul QR afișat pe ecran.
- Introdu primul cod generat, pentru a confirma că legătura funcționează.
- Salvează codurile de recuperare, afișate o singură dată, și tipărește-le sau notează-le într-un loc fizic sigur.
- Dacă serviciul permite, adaugă o a doua metodă de rezervă, de exemplu o cheie fizică sau un al doilea telefon.
Pe tot parcursul, nu fotografia codurile de recuperare cu telefonul care conține și aplicația de autentificare; dacă pierzi telefonul, pierzi ambele.
Ce se întâmplă dacă pierzi telefonul sau îl schimbi?
Aici cad cei mai mulți utilizatori. Înainte de a șterge telefonul vechi, mută conturile pe cel nou: unele aplicații permit exportul sigur al conturilor, altele cer să reconfigurezi fiecare serviciu. Fără codurile de recuperare, redobândirea unui cont poate dura zile sau este imposibilă.
Pentru firmă, notează într-un document securizat cine administrează fiecare cont și unde se află codurile de rezervă. Când un angajat pleacă, trebuie să poți muta verificarea pe alt dispozitiv fără să pierzi accesul. Procedura aceasta se leagă direct de planul de rezervă pentru situații neprevăzute, pe care orice firmă ar trebui să-l aibă scris.
Cum recunoști încercările de păcălire?
Atacatorii știu că al doilea pas există, așa că încearcă să-l obțină de la tine. Un mesaj care sună urgent și te îndeamnă să „confirmi autentificarea” sau să trimiți codul primit prin SMS este aproape sigur o încercare de fraudă. Regula simplă: codul nu se dă nimănui, nici „colegilor de la bancă”, nici „suportului tehnic” care te sună.
Fii atent și la cererile repetate de aprobare în aplicație, pe care nu tu le-ai declanșat. Dacă primești mai multe într-un minut, nu aproba niciuna, schimbă imediat parola și verifică dispozitivele conectate. Un alt aliat este testul de penetrare, explicat pe înțelesul unei firme, care arată unde ar putea intra cineva neinvitat.
Merită efortul zilnic?
Costul real este de cinci-zece secunde la fiecare autentificare nouă. Multe servicii îți permit să marchezi un dispozitiv ca fiind de încredere, deci codul este cerut rar pe calculatorul tău personal. În schimb, protecția rămâne activă oricând cineva încearcă să se conecteze din altă parte.
Întrebări frecvente
Este SMS-ul suficient?
Este mai bine decât nimic, dar o aplicație de autentificare sau o cheie fizică rezistă mai bine la preluarea numărului de telefon. Folosește SMS doar dacă nu ai altă variantă.
Pot folosi aceeași aplicație pentru mai multe conturi?
Da, o singură aplicație poate genera coduri pentru zeci de servicii. Asigură-te doar că are protecție prin PIN sau amprentă.
Ce fac dacă un angajat refuză?
Explică-i că protejează contul firmei, nu doar pe al lui, și oferă-i sprijin la configurare. Pentru conturile critice, poți face activarea condiție de acces.
