To-trinsgodkendelse med TOTP Det er blevet det essentielle skjold til at beskytte dine konti: en ekstra kode, der ændres med jævne mellemrum, og som du skal indtaste ud over din adgangskode. I denne artikel giver jeg dig en omfattende guide med app-sammenligninger, konfigurationstips og praktiske eksempler, alt sammen forklaret i detaljer og på en brugervenlig måde, så du ikke farer vild undervejs.
Ud over en simpel liste finder du her praktisk information For at vælge den bedste TOTP-app, lær hvordan du konfigurerer den på populære tjenester (GitHub, Bitwarden, Nextcloud osv.), forstå hvordan du implementerer den i din backend med Node.js, og undgå almindelige fejl, der kan efterlade dig låst ude af dine konti. Lad os komme til sagen.
Hvad er TOTP, og hvorfor bør du aktivere det i dag
TOTP (tidsbaseret engangsadgangskode) Det er en algoritme, der genererer tidsbaserede engangsadgangskoder. Din app og serveren deler en hemmelighed; ved hjælp af systemuret beregner de begge den samme kode, som typisk fornyes hvert 30. sekund. Da det fungerer offline, Den er hurtig, pålidelig og meget komfortabel, og tilføjer et andet lag, der stopper angreb, selv hvis din adgangskode lækkes.
Inden for 2FA er der flere metoder (SMS, e-mail, biometri, fysiske nøgler, push-notifikationer...), men TOTP-apps er normalt den mest afbalancerede løsning For privatliv, tilgængelighed og kontrol. Bemærk: SMS er nyttig som en redningstjeneste, men den er ikke lige så robust eller pålidelig, især uden for USA.
Vigtige tips før du starter
First, Slet ikke en 2FA-konto fra din app. uden først at deaktivere den fra tjenestens hjemmeside. Det er nemt at blive blokeret for livet. For det andet, generer og gem gendannelseskoder når de er tilgængelige. For det tredje, planlæg dine sikkerhedskopier: vælg apps med krypteret cloud-backup, eksporter til en krypteret fil, eller brug kontosynkronisering for at undgå at miste tokens, når du skifter telefon.
En bemærkning om virkeligheden: Hvert 39. sekund er der et cyberangreb hvor som helst i verden. Aktivering af 2FA med TOTP tager mindre end to minutter og øger din sikkerhed. Hvis du også tilføjer en fysisk sikkerhedsnøgle som en alternativ metode, er du langt på forsinket.
Sådan vælger du din TOTP-app: hvad du skal kigge efter, og hvad du skal undgå
De bedste apps kombineres sikkerhed, brugervenlighed, eksport/backup og kompatibilitet på tværs af platforme. Det er vigtigt, at de kan beskyttes med biometri eller pinkode, skjule koder på skærmen og tilbyde krypterede sikkerhedskopier eller sikker eksport. Hvis du bruger flere operativsystemer, skal du kigge efter synkronisering mellem Android, iOS og desktop.
Hvad skal man flygte fra? Apps uden backup eller eksport, inkompatible kopier mellem platforme (hvis du skifter mellem iOS og Android), eller som kræver et telefonnummer, hvis du ikke har brug for et. De fine detaljer gør hele forskellen i en krisetid.
Komplet sammenligning af TOTP-godkendelsesapps
Nedenfor har du et overblik med de mest relevante funktioner og nuancer fra de værktøjer, der oftest optræder i de bedste guider, dokumentation og specialiserede analyser.
Google Authenticator (Android, iOS)
Det er den klassiske reference: gratis, enkelt og ingen konto krævesEksporter alle tokens på én gang ved hjælp af en enkelt QR-kode for at migrere til en anden telefon, og på iOS kan du sikre adgang med Face ID/Touch ID og søge efter tokens. Den mangler native cloud-backups og skjuler ikke altid koder, hvilket kan være akavet offentligt. Ideelt hvis du ikke ønsker cloud-løsninger og du prioriterer enkelhed.
Microsoft Authenticator (Android, iOS)
Kombinerer adgangskodeadministrator og TOTP med Biometrisk/PIN-beskyttelse, kodeskjuling og cloud-backups. Svagt punkt: iOS- og Android-backups er uforenelige med hinanden, eksporterer ikke tokens og optager meget plads (150-200 MB). Hvis du er i Microsofts økosystem, gør det logins meget nemmere.
Twilio Authy (Android, iOS, Windows, macOS, Linux)
Multiplatformstjernen: synkroniserer upåklageligt mellem mobil og desktop, med cloud-backup og PIN-/biometrisk beskyttelse. Kontooprettelse med et telefonnummer er påkrævet, og mobilgrænsefladen viser én token ad gangen, som er mindre agil med mange konti. Den eksporterer/importerer ikke tokens, men som et alternativ til Google/Microsoft er den en af de bedste.
Duo Mobil (Android, iOS)
Meget populær i virksomheder, ren og enkel brugerflade, skjuler koder og tillader backup til Google Cloud (Android) eller iCloud (iOS) uden at oprette en ny konto. Der er ingen adgangsbeskyttelse i appen og iOS/Android-kopier understøttes ikke hinanden. Hvis du ikke har tænkt dig at skifte platform, kan det tjene dig perfekt.
Gratis OTP (Android, iOS)
Open source-projekt, minimalistisk og meget let (2-3 MB). Ingen cloud-lagring eller token-eksport; på iOS tillader det ikke at oprette tokens med en manuel nøgle (kun QR-koder). På iOS kan du beskytte tokens med Face ID/Touch ID, og koderne er skjult som standard og efter 30 sekunders inaktivitet. For dem, der prioriterer minimalisme og privatliv.
og OTP (Android)
Meget komplet og open source: PIN/adgangskode/fingeraftrykslås, etiketter, søgning, automatisk skjulning og låsning på grund af inaktivitet, en "panikknap" til at slette alt og eksport til en krypteret fil (f.eks. Google Drev). Det er udgået, men det er stadig meget solidt. risiko: : Nemheden ved at genfinde nøgler kræver meget god adgangsbeskyttelse.
Aegis Authenticator (Android)
Moderne open source-alternativ, gratis, med kryptering, biometri og gode backupmuligheder. Den understøtter import fra Authy/ogOTP og næsten alle 2FA-formater. Nogle kraftfulde funktioner kræver root, hvilket ikke er for alle. God balance mellem sikkerhed og brugervenlighed.
OTP-godkendelse (iOS, macOS)
Kraftfuld for Apple: mapper at organisere, eksport til fil, læsning af nøgle/QR-token, iCloud-synkronisering og beskyttelse af Face ID/Touch ID eller adgangskode. Den skjuler ikke koder, og nogle funktioner er betalte på macOS. Til iPhone/Mac, Det er den mest komplette.
Trin to (iOS, macOS)
Minimalistisk, med iCloud-synkronisering og Apple Watch-understøttelse. Ingen adgangsbeskyttelse, ingen kodeskjulning, ingen token-eksport/import, og den gratis version begrænser dig til ti tokens. På macOS kræver det skærmbilledetilladelse at læse QR-koder. Perfekt hvis du ønsker noget meget simpelt i Apples økosystem.
WinAuth (Windows)
Spilorienteret: understøtter tokens ikke-standard Steam, Battle.net eller Trion/Gamigo, udover standard TOTP. Det giver dig mulighed for at kryptere data, eksportere dem som almindelig tekst eller krypteret fil, beskyt med en adgangskode eller YubiKey og skjuler koder automatisk. Det findes kun til Windows og som regel 2FA anbefales ikke på pc, men til spil er det en perle.
Authenticator-app (Apple-økosystem)
Checker med apps til iPhone, iPad, Mac og Apple Watch, og udvidelser til næsten alle browsere (Safari, Chrome, Brave, Tor, Vivaldi…). Den har en meget begrænset gratisversion; den betalte version tilføjer backup og synkronisering. Den inkluderer kryptering, del med familien og lås med Face ID. Hvis du bor i Apple, er det en mulighed at overveje.
2FAS (2FA-godkendelse)
Enkel, gratis og med E2E-kryptering, fungerer offline og giver dig mulighed for at linke tokens med nøgle eller QR-kode og synkronisere dem med Google Drev. Sikkerhedskopier, så du ikke mister tokens, en browserudvidelse, pinkode/biometri og ingen annoncer. Få avancerede muligheder. men meget pålidelig For den daglige dag.
1Password (med indbygget TOTP)
Betalt adgangskodeadministrator, der inkluderer 2FA TOTP Integreret. Det store plus er automatisk kodeudfyldning på understøttede websteder og samlet administration af legitimationsoplysninger. Det er ikke en ren 2FA-app, men hvis du allerede bruger 1Password, det forenkler dit liv på mobil, desktop og browser.
Bitwarden (med integreret TOTP)
Open source og gratis for enkeltbrugere; den betalte version tilføjer TOTP, som er autofuldførelse på websteder og i appsDen genererer som standard sekscifrede koder (SHA-1, 30s) og giver dig mulighed for at tilpasse parametre ved at redigere TOTP URI'en. Browserudvidelser kopierer TOTP'en til udklipsholderen efter autofuldførelse, hvis du aktiverer denne indstilling. Meget rund at centralisere adgangskoder og 2FA.
TOTP-godkendelse (BinaryBoot)
Ren brugerflade og omfattende understøttelse af 2FA-tjenester. Det tilbyder Cloud Sync Premium med Google Drive (du kontrollerer dataene), browserudvidelse (premium), mørkt tema, tags og søgning, understøttelse af tværplatforme (Android/iOS), brug på flere enheder (krypterede sikkerhedskopier), flere widgets, tilpasning af ikoner og biometrisk sikkerhed med mulighed for at blokere skærmbilleder. Gratisversionen er noget begrænset.
Protectimus Smart OTP
Tilgængelig på Android og iOS, kompatibel med Android-ure, understøtter flere protokoller og giver dig mulighed for at beskytte appen med en pinkode. Mindre kendt, men meget komplet, hvis du leder efter en række forskellige standarder og brug i wearables.
Vejledninger: Sådan aktiverer du TOTP på populære tjenester
Lad os gå videre med specifikke instruktioner, destilleret fra officiel dokumentation så du kan konfigurere TOTP uden at fare vild.
Konfigurer TOTP på GitHub (TOTP-app eller SMS, med yderligere metoder)
GitHub anbefaler at bruge Cloudbaserede TOTP-apps og sikkerhedsnøgler som en backup i stedet for SMS. Efter aktivering af 2FA går din konto ind i en 28-dages bekræftelsesperiode: Hvis du ikke gennemfører godkendelsesprocessen, bliver du bedt om 2FA på den 28. dag og kan omkonfigurere den, hvis noget går galt.
- Trin for trin TOTPBrugerindstillinger → Adgangskode og godkendelse → Aktivér 2FA → Scan QR-koden med din TOTP-app, eller brug den manuelle opsætningsnøgle (Skriv TOTP, GitHub-etiket: , GitHub-udsteder, SHA1, 6 cifre, 30'ere). Bekræft med en aktuel kode, og download gendannelseskoder.
- SMS som alternativTilføj dit nummer efter at have bestået en CAPTCHA, indtast koden, du har modtaget via SMS, og gem gendannelseskoderne. Brug kun dette, hvis du ikke kan bruge TOTP.
- AdgangsnøglerHvis du allerede har 2FA via TOTP-appen eller SMS, skal du tilføje en adgangskode for at logge ind uden adgangskode, mens du stadig opfylder 2FA-kravet.
- Sikkerhedsnøgler (WebAuthn)Når du har aktiveret 2FA, skal du registrere en kompatibel nøgle. Den tæller som en ekstra faktor og kræver din adgangskode. Hvis du mister den, kan du bruge SMS eller din TOTP-app.
- GitHub MobilEfter at have TOTP eller SMS, kan du bruge mobilappen med push meddelelserer ikke afhængig af TOTP og bruger offentlig nøglekryptering.
Hvis en TOTP-app ikke passer dig, Registrer SMS som plan B og derefter tilføje en sikkerhedsnøgle for at hæve sikkerhedsstandarden uden at komplicere tingene.
Bitwarden Authenticator: Generering, Autofill og tricks
Bitwarden genererer 6-cifrede TOTP'er med SHA-1 og 30s rotationDu kan scanne QR-koden fra browserudvidelsen (kameraikonet) eller indtaste koden manuelt på iOS/Android. Når den er konfigureret, vil du se det roterende TOTP-ikon inde i elementet og kan kopiere det ligesom en adgangskode.
AutofuldførBrowserudvidelser udfylder automatisk TOTP'en eller kopierer den til udklipsholderen efter automatisk udfyldning, hvis du aktiverer "Autoudfyld ved sideindlæsning". På mobilen kopieres koden til udklipsholderen efter automatisk udfyldning af login.
Hvis dine koder ikke virker, synkroniserer enhedens ur (Slå automatisk tid til/fra på Android/iOS; på macOS det samme for dato/tid og tidszone.) Hvis en tjeneste kræver forskellige indstillinger, skal du redigere URI otpauth manuelt i elementet for at justere cifre, punktum eller algoritme.
På iOS 16+ kan du indstille Bitwarden som standard appbekræftelse Når du scanner koder fra kameraet: Indstillinger → Adgangskoder → Adgangskodeindstillinger → Opsæt bekræftelseskoder ved hjælp af → Bitwarden. Når du scanner, skal du trykke på "Åbn i Bitwarden" for at gemme det.
For Microsoft Azure/Office 365-konti: Under 2FA-opsætningen skal du vælge "en anden godkendelsesapp" i stedet for Microsoft Authenticator, og scan QR-koden med Bitwarden. Brug en præfikseret URI til Steam. steam:// efterfulgt af din hemmelige nøgle; koderne vil være 5 alfanumeriske tegn.
Nextcloud: TOTP og backupkoder
Hvis din instans aktiverer 2FA, vil du i dine personlige præferencer se den hemmelige kode og en QR-kode at scanne med din TOTP-app. Generer og gem backup koder på et sikkert sted (ikke på selve telefonen), fordi de vil hjælpe dig ud af problemer, hvis du mister den anden faktor.
Når du logger ind, skal du indtaste TOTP-adgangskoden i din browser eller vælge et andet trin, hvis du har konfigureret et. Hvis du bruger WebAuthn, Genbrug ikke den samme token for 2FA og for adgangskodefri login, da det ikke længere ville være en "dobbelt" faktor.
Virksomhedscasestudie: Portal for specialmedicin (AEMPS)
Typisk floweksempel: installer en TOTP-app (Microsoft/Google Authenticator, FreeOTP, Authy…) og fra browseren anmodninger om "Nulstil bekræftelseskode" på loginsiden. Du modtager en e-mail med et link, der viser en QR-kode.
Scan QR-koden med din app, du vil se din første kode og vend tilbage til din browser for at indtaste den på nulstillingssiden. Derfra skal du logge ind ved at vælge metoden "Bekræftelseskode": brugernavn, adgangskode og den aktuelle TOTP-kode, der vises på din telefon.
Hardwarenøgler: YubiKey som luksustilbehør
For maksimal sikkerhed, YubiKey af Yubico Det er guldstandarden: IP68 fysiske nøgler, batterifri, robuste og kompatible med FIDO2, U2F, OTP, Smart Card osv. De fungerer perfekt med Google, Facebook og mange andre tjenester. Hvis en tjeneste ikke understøtter hardware, du kan bruge deres autentificeringsapp sikkerhedskopiering. Der findes endda FIPS-certificerede modeller til miljøer, der kræver det.
Idealet: TOTP-app + YubiKeyDu har altid en ekstra faktor til rådighed, og en anden meget sikker faktor, når du vil maksimere din beskyttelse.
Implementer TOTP i din backend (Node.js med otplib)
Hvis du udvikler din egen applikation, er TOTP nem at integrere med otplib og et strejf af Express.js. Arbejdsgangen har to faser: tilknytning af en TOTP-hemmelighed til brugeren og validering af koderne ved login.
- partnerskabGenerer en hemmelighed på serveren, opret OTPauth URI'en, og vis den som en QR-kode (ved hjælp af biblioteker som QRcode). Brugeren scanner den med sin app og sender dig en TOTP. valider og gem tilknytningen.
- verifikationved hvert login efter korrekt adgangskode, spørg efter TOTP'en og tjek dens gyldighed i forhold til den gemte hemmelighed. Hvis den er gyldig, fuldfører du loginprocessen.
Som du kan se, er det et meget tydeligt mønster: du synkroniserer en hemmelighedDu validerer den første kode og sammenligner derefter den roterende TOTP-kode med hvert login. Enkel, robust og kompatibel med de fleste autentificeringsapps.
Tricks og gode fremgangsmåder, der sparer dig besvær
Tænk over din "plan B": gendannelseskoder og alternative metoder (sikkerhedsnøgle, SMS, push-mobilapp) og hvis du er afhængig af cloud-synkronisering, skal du kontrollere, om der er uforeneligheder mellem iOS og Android (Microsoft og Duo-cover), så du ikke får nogen overraskelser, når du skifter telefon.
Hvornår skal man bruge en adgangskodeadministrator med indbygget TOTP
Hvis du allerede bruger Bitwarden eller 1Password, aktiver TOTP-modulet Forener adgangskoder og andenfaktorgodkendelse med automatisk udfyldning i samme værktøj. Fordele: hastighed og mindre friktion. Ulempe: du koncentrerer mere følsomme elementer ét sted, så beskyt det med stærk 2FA og tjek sikre eksport-/backupmuligheder.
Oversigt over udvalgte apps og kompatibiliteter
AndroidGoogle Authenticator, Microsoft Authenticator, Authy, Duo, FreeOTP, Aegis og OTP, 2FAS, Protectimus, TOTP Authenticator, WinAuth (ikke-mobil). I iOSGoogle Authenticator, Microsoft Authenticator, Authy, Duo, FreeOTP, OTP-godkendelse, Trin to, Authenticator-app, TOTP-godkendelse. Skrivebord: Godkendelse (Win/macOS/Linux), OTP-godkendelse (macOS), trin to (macOS), WinAuth (Windows).
til særlige videospilpoletterWinAuth stråler med Steam og Battle.net; Bitwarden kan håndtere Steam med steam://Hos Apple, den integreret autentificeringsværktøj På iOS 15+ og Safari 15+ er den nyttig, men dens autofuldførelse rammer ikke altid plet og er ikke så hurtig som en dedikeret app.
Hurtig tjekliste til valg af din TOTP-app
- Har du brug for ægte cross-platform (mobil + desktop)? Authy er et sikkert bud.
- Minimalisme og ingen cloud? Google Autentificering eller FreeOTP er et godt udgangspunkt.
- Open source med fin kontrol? Aegis (Android) eller OTP Auth (iOS) skiller sig ud.
- Alt-i-en-manager + TOTP? Bitwarden eller 1Password gør det meget enklere.
- Spilverdenen? WinAuth understøtter ikke-standard tokens.
Uanset hvad du vælger, genererer sikkerhedskopier og gemmer gendannelseskoder. Det er en livredder, når tingene er værst.
Aktivering af TOTP giver dig et kæmpe spring inden for sikkerhed med minimale tidsomkostninger, og med de apps, du har set, kan du vælge det, der passer bedst til dig: fra enkle, cloud-fri løsninger til synkroniserede økosystemer på tværs af alle dine enheder, inklusive administratorer, der automatisk fuldfører koden for dig, eller fysiske nøgler til at lukke kredsløbet. scenarier med høj sikkerhedMed et par gode beslutninger og en backupplan, Din konto går fra at være "prisfastsat" til at være "skræmmesikker".
