Hur aktiverar man tvåstegsverifiering?

01Vad är tvåstegsverifiering?

Tvåstegsverifiering (2FA) innebär att man vid inloggning på ett konto ber om ett andra bevis vid sidan av lösenordet. Lösenordet är något du vet; det andra steget är något du har: en app i telefonen, en säkerhetsnyckel i fickan eller en kod som skickas till dig.

Den här uppbyggnaden hindrar en angripare från att ta sig in på kontot med bara lösenordet, även om ditt lösenord skulle hamna i en dataläcka. Angriparen känner till lösenordet men har inte din telefon. Därför anses 2FA vara ett av de mest effektiva enskilda stegen för att skydda ett konto i dag.

Det korta svaret på frågan vad 2FA är: ett andra lås utöver lösenordet. Men alla lås är inte lika starka; vilken metod du väljer avgör hur bra skyddet egentligen blir.

02Vilken verifieringsmetod är säkrast?

De flesta tjänster erbjuder flera alternativ för det andra steget. Skillnaden mellan dem är hur lätt en angripare kan härma steget. Tabellen nedan jämför vanliga metoder utifrån generell säkerhetsnivå.

03Så installerar du en autentiseringsapp

En autentiseringsapp är en mobilapp som skapar tidsbegränsade engångskoder (TOTP). Google Authenticator, Microsoft Authenticator och liknande appar använder samma öppna standard, så det spelar ingen roll vilken du väljer för en tjänst.

Installationen följer samma logik hos alla tjänster och tar några minuter:

1. Ladda ner en autentiseringsapp till telefonen från den officiella appbutiken.
2. Slå på 2FA i säkerhetsinställningarna för kontot du vill skydda och välj appen som metod.
3. Skanna QR-koden som visas på skärmen med appen; en kodrad med kontonamnet dyker upp i appen.
4. Verifiera kopplingen genom att skriva in den sexsiffriga koden som appen visar i tjänsten.
5. Ladda ner eller skriv ut de reservkoder som tjänsten ger dig och förvara dem på ett annat ställe än telefonen.

042FA för e-postkonton

E-postkontot är huvudnyckeln till alla andra konton. Länkar för återställning av lösenord skickas dit; den som tar över e-posten kan i en kedja nå sociala medier, bankaviseringar och adminpaneler. Därför är e-posten det första stället att slå på 2FA.

Gmail och Google-kontot

Öppna avsnittet Säkerhet i ditt Google-konto och slå på Tvåstegsverifiering. Google erbjuder telefonnotis, autentiseringsapp, säkerhetsnyckel och passkey. Detaljerade och aktuella steg finns på hjälpsidan för Google-konto.

Outlook och företagse-post

För Microsoft-konton slår du på tvåstegsverifiering i säkerhetspanelen, och Microsoft Authenticator rekommenderas. För företagse-post på din egen domän är det sundast att göra 2FA obligatoriskt för alla användare från administratörspanelen i stället för konto för konto. Då lämnar inte en enda anställds slarv hela företaget öppet.

05Tvåstegsverifiering på Instagram

Instagram- och Facebook-konton hanteras numera via Kontocenter. Menynamnen kan skilja sig lite beroende på appversion, men vägen ser oftast ut så här:

1. Öppna menyn uppe till höger på din profil och gå till Inställningar och sekretess.
2. Öppna Lösenord och säkerhet under Kontocenter.
3. Välj det konto du vill skydda på raden Tvåfaktorsautentisering.
4. Välj autentiseringsappen som metod, skanna QR-koden och skriv in koden.
5. Spara de reservkoder som visas.

06Skydda konton i sociala medier

För företagskonton är risken större än för privata konton; en följarskara och ett annonskonto som byggts upp i åratal kan gå förlorade i en enda session. Även när tvåstegsverifiering på Instagram är påslagen är fällor med falska meddelanden om upphovsrättsintrång eller falska verifieringsmärken som ber om inloggningsuppgifter vanliga. Hur man känner igen sådana meddelanden har vi visat med exempel i inlägget Vad är nätfiske.

Om du arbetar med en byrå eller med kollegor ska du använda plattformarnas system för roller och behörigheter i stället för att dela lösenord. Verktyg som Meta Business Suite låter dig ge en person bara den behörighet hon behöver, inte hela kontot. Ett team som arbetar med professionell hantering av sociala medier bör också arbeta på det sättet.

072FA för adminpaneler

Webbplatsens adminpanel, beställningarna i din e-handelsbutik, domän- och webbhotellskontot, ditt hotell- eller restaurangsystem: var och en är en dörr in till företagets hjärta. På en sajt där panellösenordet har kapats kan innehåll ändras, kunddata läsas eller domänen flyttas till någon annan.

Domänregistratorn och webbhotellskontot är de två ställen som oftast försummas; om 2FA inte är påslaget där blir alla andra åtgärder svagare. Samma regel gäller för de affärssystem och lösningar du använder: varje användare ska ha sitt eget konto och sitt eget andra steg.

Om du utvecklar egen mjukvara är det mycket enklare att ta med 2FA i designen från början än att lägga till det efteråt. En säker e-handelsplattform eller företagspanel ska begränsa inloggningsförsök, stänga sessioner efter en viss tid och meddela om misstänkta inloggningar.

08Reservkoder och vanliga misstag

Den största risken med 2FA är mindre angriparen än att själv bli utelåst från det egna kontot. När telefonen försvinner, går sönder eller numret byts kan reservkoderna vara den enda vägen tillbaka. Vanliga misstag är:

• Att förvara reservkoderna i själva telefonen, alltså på en enhet som kan försvinna.
• Att förlita sig enbart på sms på alla konton och inte hålla numret uppdaterat.
• Att trycka på varje godkännandenotis utan att tänka efter; avvisa förfrågan om det inte var du som startade den.
• Att lita på 2FA trots ett svagt eller återanvänt lösenord och aldrig byta lösenordet.
• Att glömma ta bort 2FA-registreringen som är kopplad till en anställds enhet när hon slutar.

09Nästa steg efter 2FA: passkey

Koderna från en autentiseringsapp är starka men inte helt immuna mot nätfiske; en falsk sida kan också be om koden. Passkey och säkerhetsnycklar fungerar bara på den riktiga domänen och tar därför i stort sett bort den risken. Hur de fungerar har vi förklarat i inlägget Vad är en passkey.

Ändå räcker inte 2FA ensamt; grunden är fortfarande unika och långa lösenord. Hur du skapar ett eget lösenord för varje konto med en lösenordshanterare har vi gått igenom i guiden om att skapa starka lösenord. Våra övriga säkerhetsinlägg hittar du under taggen cybersäkerhet.

Webbplatsens säkerhet begränsas inte till inloggningen; uppdaterad mjukvara, SSL, säkerhetskopiering och serverinställningar kräver också löpande uppföljning. De lagren hanteras tillsammans med server och infrastruktur i vårt arbete med hastighet och prestanda.