Apa itu 2FA?

2FA adalah singkatan dari two-factor authentication, atau autentikasi dua faktor. Idenya sederhana: kata sandi saja sudah tidak cukup.

Kata sandi adalah sesuatu yang Anda tahu. Kalau ada yang berhasil menebaknya, membelinya dari data yang bocor, atau menipu Anda agar mengetiknya di halaman palsu, mereka langsung masuk. 2FA menambahkan lapisan kedua: sesuatu yang Anda miliki — biasanya ponsel atau perangkat yang bisa menghasilkan kode.

Hasilnya, penyerang yang sudah tahu kata sandi Anda tetap tidak bisa masuk karena tidak punya kode enam digit itu. Ini perlindungan akun paling efektif yang bisa Anda aktifkan dalam dua menit.

Kenapa kodenya berubah terus?

Jenis kode 2FA yang paling umum disebut TOTP — kode sekali pakai berbasis waktu. Bentuknya enam digit yang berganti setiap 30 detik.

Mekanismenya tidak misterius. Saat mengaktifkan 2FA, layanan memberi Anda sebuah kunci rahasia — deretan huruf dan angka seperti JBSWY3DPEHPK3PXP. Sejak saat itu, Anda dan layanan tersebut sama-sama memakai dua hal yang identik:

Keduanya memasukkan dua nilai itu ke perhitungan yang sama dan menghasilkan enam digit yang sama. Tidak ada apa pun yang dikirim lewat jaringan saat kode dibuat — itulah sebabnya aplikasi autentikator tetap bekerja dalam mode pesawat.

Karena kode bergantung pada waktu, jam di perangkat Anda harus akurat. Ini penyebab nomor satu kunci yang benar menghasilkan kode yang ditolak. Kalau kode terus salah, periksa pengaturan tanggal dan waktu otomatis lebih dulu.

Kode OTP dan kode 2FA, apakah sama?

Dua istilah ini sering dipakai bergantian, dan kebingungan itulah yang membuat banyak orang tersangkut di tahap penyiapan. Supaya jelas:

Mengapa ini penting? Karena begitu sebuah layanan memberi Anda kunci rahasia Base32 (bentuknya seperti JBSWY3DPEHPK3PXP), yang diminta adalah TOTP. Kunci itu tidak mengirim SMS ke siapa pun — Anda sendiri yang harus menghasilkan kodenya. Itulah tugas alat di halaman ini.

Sebaliknya, kalau sebuah layanan hanya mengirim kode ke nomor ponsel dan tidak pernah memberi kunci rahasia, tidak ada yang bisa ditempelkan di sini. Anda memang hanya bisa menunggu pesannya masuk.

Kenapa 2FA lewat SMS adalah pilihan paling lemah

Kalau ada pilihan, hindari 2FA lewat SMS. Bukan karena tidak berguna — ada tetap lebih baik daripada tidak ada — tetapi karena jelas lebih lemah dari cara lain, dengan tiga alasan konkret:

TOTP tidak punya satu pun masalah di atas. Kodenya dihitung langsung di perangkat dari kunci rahasia, tidak ada yang mengirimkan apa pun kepada Anda, jadi tidak ada jalur yang bisa disadap dan tidak ada operator yang bisa ditipu.

Cara mendapatkan kode 2FA sekarang

Kalau kunci rahasia Base32 sudah ada di tangan dan Anda butuh kode sekarang, Anda tidak wajib memasang aplikasi.

  1. Buka generator kode 2FA.
  2. Tempelkan kunci rahasia ke kolom yang tersedia.
  3. Kode enam digit langsung muncul, lengkap dengan lingkaran hitung mundur yang menunjukkan sisa detiknya.
  4. Klik kodenya untuk menyalin, lalu tempelkan di tempat Anda perlu masuk.

Seluruh perhitungan terjadi di dalam browser Anda. Kunci tidak dikirim ke server mana pun — Anda bisa membuktikannya lewat tab Network di Developer Tools, atau cukup putuskan koneksi internet setelah halaman termuat dan lihat alatnya tetap bekerja.

Di mana menemukan kunci rahasianya?

Saat pertama kali mengaktifkan 2FA, layanan biasanya menampilkan kode QR. Hampir selalu ada tautan kecil di dekatnya bertuliskan "tidak bisa memindai?" atau "masukkan kunci secara manual". Klik itu dan kunci versi teks akan muncul — itulah deretan Base32 yang Anda butuhkan.

Kunci ini hanya ditampilkan satu kali, yaitu saat penyiapan. Kalau Anda melewatinya dan hanya memindai QR, tidak ada cara memunculkannya kembali — Anda harus menonaktifkan 2FA lalu mengaktifkannya lagi untuk mendapat kunci baru.

Apa itu Google Authenticator, dan apakah wajib?

Google Authenticator adalah aplikasi ponsel yang menghasilkan kode TOTP. Ia populer karena datang lebih dulu, bukan karena istimewa.

Yang jarang diketahui: TOTP adalah standar terbuka, didefinisikan dalam RFC 6238. Alat apa pun yang mengikuti standar itu — Google Authenticator, Microsoft Authenticator, Authy, atau alat di halaman ini — menghasilkan kode yang persis sama dari kunci yang sama. Tidak ada yang namanya "kode Google" yang terpisah.

Artinya Anda tidak terkunci pada satu aplikasi. Selama kunci rahasianya masih Anda simpan, Anda bebas berpindah.

Aplikasi autentikator mana yang sebaiknya dipakai?

Karena semua aplikasi yang mengikuti RFC 6238 menghasilkan kode yang sama, Anda tidak memilih berdasarkan "mana yang kodenya lebih benar". Anda memilih berdasarkan cara aplikasi itu menangani pencadangan — dan di situlah perbedaan yang sebenarnya:

Satu prinsip yang layak dipegang: jangan simpan kunci 2FA di tempat yang sama dengan kata sandi akun itu sendiri, kalau akun tersebut memang penting bagi Anda.

Mengaktifkan 2FA di akun-akun populer

Jalur menunya berubah dari waktu ke waktu, tetapi tempat mencarinya hampir selalu sama: bagian Keamanan di pengaturan akun.

Di layanan mana pun, ketika layar menampilkan kode QR, cari tulisan kecil semacam "masukkan kunci secara manual" — di situlah kunci Base32 muncul.

Kapan sebaiknya memakai alat berbasis web, dan kapan tidak

Ini bagian yang biasanya tidak disampaikan situs sejenis.

Menempelkan kunci rahasia ke sebuah halaman web — halaman mana pun, termasuk yang ini — berarti mempercayai bahwa halaman yang termuat memang berjalan seperti yang dimaksudkan pengelolanya. Umumnya memang begitu, tetapi itu bukan kepastian mutlak.

Rinciannya ada di halaman keamanan (bahasa Inggris).

Masalah yang sering terjadi

Kode selalu ditolak. Hampir pasti jam perangkat meleset. Aktifkan sinkronisasi waktu otomatis lalu coba lagi.

Kunci dinyatakan tidak valid. Base32 hanya memakai huruf A–Z dan angka 2–7. Tidak ada 0, 1, 8, atau 9. Kalau Anda melihat angka-angka itu, besar kemungkinan yang tersalin bukan kuncinya.

Ponsel hilang dan akun tidak bisa diakses. Inilah alasan kode cadangan harus disimpan di tempat aman begitu Anda mengaktifkan 2FA. Tanpa itu, Anda harus melewati proses pemulihan akun yang biasanya lama.

Kode cadangan: yang harus langsung dilakukan setelah mengaktifkan 2FA

Ini langkah yang paling sering dilewati, dan sekaligus penyebab paling umum orang kehilangan akun secara permanen.

Saat 2FA diaktifkan, hampir semua layanan memberi Anda daftar kode cadangan (backup codes) — biasanya delapan sampai sepuluh kode, masing-masing sekali pakai. Keberadaannya untuk satu situasi: perangkat penghasil kode Anda sudah tidak ada lagi.

Simpan saat itu juga, karena nanti tidak bisa dilihat ulang. Tempat yang masuk akal:

Kalau perangkat sudah hilang dan kode cadangan tidak ada, satu-satunya jalan tersisa adalah proses pemulihan akun milik layanan tersebut: mengirim dokumen, menunggu peninjauan, dan dalam banyak kasus tidak berhasil. Lima belas detik untuk menyimpan kode cadangan saat penyiapan menghindarkan Anda dari semua itu.

Beberapa hal yang sering disalahpahami

"Begitu 2FA aktif, akun jadi sepenuhnya aman." Tidak. 2FA menghentikan hampir semua serangan yang mengandalkan kata sandi bocor, tetapi tidak menghentikan Anda dari mengetik kode di halaman palsu yang saat itu meneruskannya ke halaman asli. Selalu periksa nama domain sebelum mengisi kode apa pun.

"Kode kedaluwarsa dalam 30 detik, jadi harus diisi secepat mungkin." Sebagian besar layanan juga menerima kode dari periode sebelumnya, jadi praktisnya Anda punya sekitar satu menit. Kalau kodenya berganti saat Anda sedang mengetik, pakai saja yang baru.

"Setiap akun butuh aplikasinya sendiri." Satu aplikasi autentikator bisa menyimpan kunci tanpa batas, satu baris untuk satu akun. Tidak perlu memasang apa pun lagi.

"Ponsel hilang berarti kunci hilang." Hanya kalau belum dicadangkan. Kunci rahasia itu berupa teks — bisa diekspor, bisa dienkripsi, dan bisa dipakai lagi di perangkat baru.

Mulai sekarang

Sudah punya kuncinya? Buat kode 2FA di sini — gratis, tanpa pendaftaran, dan kunci Anda tidak pernah meninggalkan browser.