兩步驟驗證
你的 Zenavo 帳號可以存取你接入的每一台伺服器，所以請用第二重驗證保護它。在 帳號設定 → 安全 中設定驗證器 App、新增通行金鑰，或者兩者都用，即可開啟。
驗證器 App
- 點選 設定，用驗證器 App掃描QR Code（1Password、Google Authenticator、Microsoft Authenticator、Authy 或任何支援 TOTP 的應用）。無法掃描時，可以手動輸入設定金鑰。
- 輸入應用顯示的 6 位驗證碼。
- 把 10 個復原碼儲存在安全的地方，例如密碼管理器。它們只顯示一次。
你的第一個第二重驗證方式（應用或通行金鑰）會開啟兩步驟驗證：它會生成復原碼，並登出你的其他工作階段，因為這些工作階段登入時沒有經過兩步驟驗證。之後再新增另一種方式，復原碼保持不變。
通行金鑰
通行金鑰 可以單獨使用，也可以和驗證器 App一起使用：用它來完成登入。通行金鑰可以儲存在 Touch ID 或 Face ID（iCloud 鑰匙串）、Windows Hello、Google 密碼管理器、1Password 之類的密碼管理器，或者 YubiKey 這樣的硬體安全金鑰中。
- 在 安全 → 通行金鑰 中點選 新增通行金鑰。
- 給它起一個你能認出來的名字，例如“MacBook Touch ID”，然後點選 繼續。
- 按照瀏覽器的提示操作。
- 如果這是你的第一個第二重驗證方式，請儲存接下來顯示的復原碼。
最多可以新增 20 個，例如每台裝置一個。每個通行金鑰都會顯示新增時間和最近使用時間，以及是否在你的裝置之間同步。移除 會刪除它。
通行金鑰與控制台的位址繫結，只有在這個位址開啟控制台時才能使用。
驗證器 App上的 關閉 只移除應用；你的通行金鑰和復原碼仍然有效。當應用和通行金鑰都不再存在時，兩步驟驗證會關閉，復原碼也會被刪除。
登入
輸入密碼之後，或者透過 GitHub、Google 登入之後，Zenavo 會要求輸入應用中當前的驗證碼；如果你新增了通行金鑰，也可以選擇 使用通行金鑰。每個驗證碼只能使用一次。如果手機丟了，選擇 使用復原碼：每個復原碼也只能使用一次。如果只有通行金鑰，後備方式是復原碼。安全 中顯示還剩多少個復原碼；生成新的復原碼 會替換全部復原碼。
透過郵件重置密碼只會修改密碼，不會改變第二重驗證：之後登入仍然需要驗證碼。
連續輸錯五次驗證碼後，該帳號的驗證碼輸入會被鎖定 15 分鐘。
敏感操作
登入之後，不會再次要求輸入驗證碼：新增伺服器、建立 API 金鑰、批准 CLI 登入和修改兩步驟驗證設定只需要相應的角色。兩步驟驗證保護的是登入。修改帳號本身時，表單中如果有當前密碼一欄，仍然需要輸入（電子郵件、密碼、刪除帳號；見你的帳號），刪除團隊時需要輸入團隊名稱。
新登入提醒郵件
當有人獲得對你帳號的持續存取時，Zenavo 會發郵件給你：
- 從你的帳號沒有用過的瀏覽器登入（密碼、GitHub、Google 或密碼重置連結）；開啟了兩步驟驗證時，在第二重驗證透過後傳送
- 你批准了一次 CLI 登入
- 新的 API 金鑰
郵件中顯示時間、大致的瀏覽器和系統（來自瀏覽器的 user agent）、IP 位址和登入方式，並附有 帳號設定 → 工作階段 的連結，可以讓那台裝置登出。郵件中從不包含權杖、驗證碼或機密。如果不是你本人，請登出那個工作階段（或刪除那個金鑰）、修改密碼，並開啟兩步驟驗證。
Zenavo 透過登入時留下的一個長期隨機 Cookie 識別瀏覽器；你的帳號只儲存它的雜湊值。沒有這個 Cookie 的瀏覽器（已清除或無痕視窗），如果同一瀏覽器和系統從同一網路（IP 的 /24，IPv6 為 /48）登入，並且你最近用過那台裝置或工作階段，仍然視為已知瀏覽器。180 天未使用的裝置會被遺忘。註冊後的第一次登入不會傳送郵件。在剛加入這個功能的控制面上，你從每個瀏覽器的第一次登入都可能收到一封郵件，因為此時還沒有已知的瀏覽器。
每台裝置每小時最多收到一封這類郵件。每封都會記錄在稽核日誌中。它們對所有人預設開啟；你可以在 帳號設定 → 通知 中關閉，但我們不建議這樣做。
最近的活動
安全 還會列出你最近的登入、失敗的嘗試、API 金鑰和其他帳號變更，資料來自稽核日誌。如果懷疑有其他人使用了你的帳號，請檢查這裡。
儲存方式
驗證器的金鑰用控制面的主金鑰加密。復原碼只儲存雜湊值。
對於通行金鑰，Zenavo 只儲存它的公鑰、憑據 ID、驗證器型號（AAGUID）、你給它起的名字和一個簽名計數器；私鑰永遠不會離開你的裝置。每次通行金鑰驗證都對應一個全新的挑戰，只能使用一次，五分鐘後過期，並繫結到你的工作階段（登入過程中則繫結到這次登入）。如果某個通行金鑰的簽名計數器倒退了（這是金鑰被複制的跡象），Zenavo 會拒絕它並記錄在稽核日誌中；請移除那個通行金鑰。