两步验证
你的 Zenavo 账号可以访问你接入的每一台服务器，所以请用第二重验证保护它。在 账号设置 → 安全 中设置身份验证器应用、添加通行密钥，或者两者都用，即可开启。
身份验证器应用
- 点击 设置，用身份验证器应用扫描二维码（1Password、Google Authenticator、Microsoft Authenticator、Authy 或任何支持 TOTP 的应用）。无法扫描时，可以手动输入设置密钥。
- 输入应用显示的 6 位验证码。
- 把 10 个恢复码保存在安全的地方，例如密码管理器。它们只显示一次。
你的第一个第二重验证方式（应用或通行密钥）会开启两步验证：它会生成恢复码，并退出你的其他会话，因为这些会话登录时没有经过两步验证。之后再添加另一种方式，恢复码保持不变。
通行密钥
通行密钥 可以单独使用，也可以和身份验证器应用一起使用：用它来完成登录。通行密钥可以保存在 Touch ID 或 Face ID（iCloud 钥匙串）、Windows Hello、Google 密码管理器、1Password 之类的密码管理器，或者 YubiKey 这样的硬件安全密钥中。
- 在 安全 → 通行密钥 中点击 添加通行密钥。
- 给它起一个你能认出来的名字，例如“MacBook Touch ID”，然后点击 继续。
- 按照浏览器的提示操作。
- 如果这是你的第一个第二重验证方式，请保存接下来显示的恢复码。
最多可以添加 20 个，例如每台设备一个。每个通行密钥都会显示添加时间和最近使用时间，以及是否在你的设备之间同步。移除 会删除它。
通行密钥与控制台的地址绑定，只有在这个地址打开控制台时才能使用。
身份验证器应用上的 关闭 只移除应用；你的通行密钥和恢复码仍然有效。当应用和通行密钥都不再存在时，两步验证会关闭，恢复码也会被删除。
登录
输入密码之后，或者通过 GitHub、Google 登录之后，Zenavo 会要求输入应用中当前的验证码；如果你添加了通行密钥，也可以选择 使用通行密钥。每个验证码只能使用一次。如果手机丢了，选择 使用恢复码：每个恢复码也只能使用一次。如果只有通行密钥，后备方式是恢复码。安全 中显示还剩多少个恢复码；生成新的恢复码 会替换全部恢复码。
通过邮件重置密码只会修改密码，不会改变第二重验证：之后登录仍然需要验证码。
连续输错五次验证码后，该账号的验证码输入会被锁定 15 分钟。
敏感操作
登录之后，不会再次要求输入验证码：添加服务器、创建 API 密钥、批准 CLI 登录和修改两步验证设置只需要相应的角色。两步验证保护的是登录。修改账号本身时，表单中如果有当前密码一栏，仍然需要输入（邮箱、密码、删除账号；见你的账号），删除团队时需要输入团队名称。
新登录提醒邮件
当有人获得对你账号的持续访问时，Zenavo 会发邮件给你：
- 从你的账号没有用过的浏览器登录（密码、GitHub、Google 或密码重置链接）；开启了两步验证时，在第二重验证通过后发送
- 你批准了一次 CLI 登录
- 新的 API 密钥
邮件中显示时间、大致的浏览器和系统（来自浏览器的 user agent）、IP 地址和登录方式，并附有 账号设置 → 会话 的链接，可以让那台设备退出登录。邮件中从不包含令牌、验证码或机密。如果不是你本人，请退出那个会话（或删除那个密钥）、修改密码，并开启两步验证。
Zenavo 通过登录时留下的一个长期随机 Cookie 识别浏览器；你的账号只保存它的哈希值。没有这个 Cookie 的浏览器（已清除或无痕窗口），如果同一浏览器和系统从同一网络（IP 的 /24，IPv6 为 /48）登录，并且你最近用过那台设备或会话，仍然视为已知浏览器。180 天未使用的设备会被遗忘。注册后的第一次登录不会发送邮件。在刚加入这个功能的控制面上，你从每个浏览器的第一次登录都可能收到一封邮件，因为此时还没有已知的浏览器。
每台设备每小时最多收到一封这类邮件。每封都会记录在审计日志中。它们对所有人默认开启；你可以在 账号设置 → 通知 中关闭，但我们不建议这样做。
最近的活动
安全 还会列出你最近的登录、失败的尝试、API 密钥和其他账号变更，数据来自审计日志。如果怀疑有其他人使用了你的账号，请检查这里。
存储方式
身份验证器的密钥用控制面的主密钥加密。恢复码只保存哈希值。
对于通行密钥，Zenavo 只保存它的公钥、凭据 ID、验证器型号（AAGUID）、你给它起的名字和一个签名计数器；私钥永远不会离开你的设备。每次通行密钥验证都对应一个全新的挑战，只能使用一次，五分钟后过期，并绑定到你的会话（登录过程中则绑定到这次登录）。如果某个通行密钥的签名计数器倒退了（这是密钥被复制的迹象），Zenavo 会拒绝它并记录在审计日志中；请移除那个通行密钥。