Autentikasi Dua Faktor

Akun Zenavo Anda bisa menjangkau setiap server yang Anda hubungkan, jadi lindungi dengan faktor kedua. Aktifkan di Account settings → Security dengan menyiapkan aplikasi autentikator, menambahkan passkey, atau keduanya.

Aplikasi autentikator

1. Klik Set up dan pindai kode QR dengan aplikasi autentikator (1Password, Google Authenticator, Microsoft Authenticator, Authy, atau aplikasi apa pun yang mendukung TOTP). Jika tidak bisa memindai, ketik kunci penyiapannya.
2. Masukkan kode 6 digit yang ditampilkan aplikasi.
3. Simpan 10 kode pemulihan di tempat aman, seperti pengelola kata sandi. Kode ini hanya ditampilkan sekali.

Faktor kedua pertama Anda, aplikasi atau passkey, mengaktifkan autentikasi dua faktor: membuat kode pemulihan dan mengeluarkan sesi Anda yang lain, karena sesi-sesi itu masuk tanpanya. Menambahkan faktor lainnya nanti tidak mengubah kode pemulihan Anda.

Passkey

Passkey bisa dipakai sendiri atau bersama aplikasi autentikator: Anda memakainya untuk menyelesaikan proses masuk. Passkey disimpan di Touch ID atau Face ID (iCloud Keychain), Windows Hello, Google Password Manager, pengelola kata sandi seperti 1Password, atau kunci keamanan fisik seperti YubiKey.

1. Di Security → Passkeys, klik Add passkey.
2. Beri nama yang mudah Anda kenali, seperti "MacBook Touch ID", lalu klik Continue.
3. Ikuti petunjuk browser Anda.
4. Jika ini faktor kedua pertama Anda, simpan kode pemulihan yang ditampilkan berikutnya.

Anda bisa menambahkan hingga 20, misalnya satu per perangkat. Masing-masing menampilkan kapan ditambahkan dan terakhir dipakai, dan apakah disinkronkan antar-perangkat Anda. Remove menghapusnya.

Passkey terikat pada alamat konsol; passkey hanya bekerja saat Anda membuka konsol di alamat itu.

Turn off pada aplikasi autentikator hanya menghapus aplikasinya; passkey dan kode pemulihan Anda tetap bekerja. Autentikasi dua faktor mati, dan kode pemulihan dihapus, setelah tidak ada lagi aplikasi maupun passkey.

Masuk

Setelah kata sandi Anda, atau setelah GitHub atau Google, Zenavo meminta kode saat ini dari aplikasi Anda, atau Use a passkey jika Anda menambahkannya. Setiap kode hanya berlaku sekali. Jika ponsel Anda hilang, pilih Use a recovery code: setiap kode pemulihan juga hanya berlaku sekali. Jika Anda hanya punya passkey, cadangannya adalah kode pemulihan. Security menampilkan berapa yang tersisa; Generate new codes mengganti semuanya.

Reset kata sandi lewat email mengubah kata sandi tetapi tidak faktor kedua: Anda tetap perlu kode untuk masuk setelahnya.

Lima kode yang salah mengunci input kode untuk akun itu selama 15 menit.

Tindakan sensitif

Setelah masuk, Anda tidak diminta kode lagi: menambahkan server, membuat API key, menyetujui login CLI, dan mengubah pengaturan dua faktor hanya memerlukan peran Anda. Autentikasi dua faktor melindungi proses masuk. Perubahan pada akun Anda sendiri tetap meminta kata sandi saat ini bila formulirnya menampilkannya (email, kata sandi, menghapus akun; lihat Akun Anda), dan menghapus tim meminta Anda mengetik namanya.

Email login baru

Zenavo mengirim email kepada Anda saat seseorang mendapat akses berkelanjutan ke akun Anda:

• login (kata sandi, GitHub, Google, atau tautan reset kata sandi) dari browser yang belum pernah dipakai akun Anda, dikirim setelah faktor kedua diterima bila autentikasi dua faktor aktif
• login CLI yang Anda setujui
• API key baru

Email itu menampilkan waktu, perkiraan browser dan sistem (dari user agent browser), alamat IP, dan metode login, dengan tautan ke Account settings → Sessions untuk mengeluarkan perangkat itu. Email tidak pernah berisi token, kode, atau rahasia. Jika itu bukan Anda, keluarkan sesi tersebut (atau hapus kuncinya), ganti kata sandi Anda, dan aktifkan autentikasi dua faktor.

Zenavo mengenali browser lewat cookie acak berumur panjang yang ditinggalkannya saat login; akun Anda hanya menyimpan hash-nya. Browser tanpa cookie itu (dihapus, jendela privat) tetap dianggap dikenal bila browser dan sistem yang sama masuk dari jaringan yang sama (/24 dari IP, atau /48 untuk IPv6) dengan perangkat atau sesi yang baru-baru ini Anda pakai. Perangkat yang tidak dipakai selama 180 hari dilupakan. Login pertama tepat setelah mendaftar tidak mengirim apa pun. Di control plane yang baru menambahkan fitur ini, login pertama Anda dari setiap browser mungkin mengirim satu email, karena belum ada browser yang dikenal.

Anda menerima paling banyak satu email semacam ini per jam per perangkat. Masing-masing dicatat di log audit. Email ini aktif untuk semua orang; Anda bisa mematikannya di Account settings → Notifications, tetapi kami tidak menyarankannya.

Aktivitas terbaru

Security juga mencantumkan login terbaru, percobaan yang gagal, API key, dan perubahan akun lainnya, dari log audit. Periksa bila Anda curiga ada orang lain yang memakai akun Anda.

Cara penyimpanannya

Secret aplikasi autentikator dienkripsi dengan master key control plane. Kode pemulihan hanya disimpan sebagai hash.

Untuk passkey, Zenavo hanya menyimpan kunci publiknya, ID kredensial, model autentikator (AAGUID), nama yang Anda berikan, dan penghitung tanda tangan; kunci privat tidak pernah meninggalkan perangkat Anda. Setiap permintaan passkey menjawab tantangan baru yang hanya berlaku sekali, kedaluwarsa setelah lima menit, dan terikat pada sesi Anda (atau, saat masuk, pada proses masuk itu). Jika penghitung tanda tangan passkey mundur, tanda kunci yang disalin, Zenavo menolaknya dan mencatatnya di log audit; hapus passkey itu.