2-faktoros hitelesítés (2FA) bekapcsolása
Hogyan védje meg a fiókját egy authenticator-app TOTP-kódjával — 30 másodperces beállítás.
A 2-faktoros hitelesítés (2FA) a leghatékonyabb védelem elveszett vagy ellopott jelszó esetére. Ha bekapcsolja, a belépéshez a jelszó MELLETT egy 6 jegyű kódot is meg kell adnia, amit egy mobilon futó app generál 30 másodpercenként.
A PromNET a TOTP-szabványt használja (RFC 6238) — ugyanazt mint a Google, GitHub, Stripe. Bármilyen authenticator-app működik:
- Google Authenticator (iOS / Android — ingyenes)
- Authy (multi-eszközös, felhő-szinkron)
- 1Password / Bitwarden (ha jelszó-kezelőt is használ)
- Microsoft Authenticator
Bekapcsolás (~30 másodperc)
- Lépjen be a /app/profil oldalra
- Görgessen le a 🔐 Két-lépcsős hitelesítés (2FA) szekcióhoz (a Biztonsági áttekintés blokkból is van quick-link)
- Kattintson “2FA bekapcsolása”
- A megjelenő QR-kódot olvassa be az authenticator-app-pal (vagy másolja ki a kód-stringet és illessze be manuálisan)
- Az app azonnal generál egy 6 jegyű kódot — írja be a megerősítő-mezőbe
- Mentse el biztonságos helyre a 10 backup-kódot (papíron, jelszó-kezelőben)
- Kész — a következő belépésnél a kód is kérve lesz
Backup-kódok használata
Ha elveszett a telefonja vagy nincs hozzáférése az authenticator-hoz:
- A belépés-formon kattintson a “backup-kód használata” linkre
- Adjon meg EGYET a 10 mentett kódból (egyszer használhatók)
- Belépés után a profil-on azonnal cseréljen 2FA-secret-et (új QR-kód + új 10 backup-kód)
Fontos: Backup-kódot CSAK EGYSZER használhat — utána már nem érvényes. 10 kódból 7 elhasználása után erősen ajánlott újragenerálni az egész készletet.
Kikapcsolás
Ha valamiért ki akarja kapcsolni a 2FA-t (pl. új eszközre vándorlás):
- Profil-oldal → 2FA szekció → “2FA kikapcsolása”
- Adja meg a jelenlegi jelszavát (megerősítés)
- A 2FA-secret és minden backup-kód törlődik
Hibaelhárítás
“Érvénytelen 2FA kód” belépéskor:
- Ellenőrizze az óra-szinkront a telefonon (Beállítások → Dátum & idő → Auto) — a TOTP idő-alapú, 30 másodperces ablakkal dolgozik. ±60 másodperc ablakot tűrünk; ennél nagyobb eltérésnél a kód érvénytelen lesz
- Régi kódot ad meg? — a megjelenítés és a beírás között lejár a 30s
- Több account van az app-ban? — biztos a “PromNET ([email protected])” sorhoz tartozó kódot adja be
Backup-kódot már elhasználtad és nincs telefonja:
- Ne kérje a fiók-törlést — érdj el minket az [email protected] címen, megerősítjük a személyazonosságát (számlázási adatok + utolsó fizetés azonosítója) és resetelünk
Mit véd a 2FA?
- ✅ Login (email + jelszó + TOTP kell)
- ✅ Jelszó-csere (ha 2FA on, a jelszó-csere is kéri)
- ✅ Email-csere (mindig kéri a jelenlegi jelszót)
- ❌ Stripe-fizetés — nem a mi fiókja, hanem a Stripe Customer Portal, ott külön 2FA-t lehet kérni a Stripe-on
- ❌ Cloud-projekt API-token (BYOK) — ez egy másfajta titok, külön kell kezelni
Adminisztratív
- A 2FA állapotot látja a /app dashboardon a stat-bar-ban (“2FA: on / off”) és a profil-on
- A backup-kódok AES-GCM-titkosítva tárolódnak a D1-ben (BYOK_KEY_SECRET-tel)
- Egyszer-használat: ha egy kódot beváltott, a tárolt készletből kerül
- A 2FA-secret decrypt-elése csak login-ban történik, a kódot soha nem látja senki, csak a hash-ellenőrzés fut le
Ajánlott workflow
- Most azonnal kapcsolja be — 30 másodperc
- Ne csak a telefonon legyenek a backup-kódok — print + jelszó-kezelő
- Ha vándorol új telefonra, előbb állítsa be ott, és csak utána kapcsolja le a régiről
A jelszó Ön nélkül is kompromittálható, a 2FA-kód már a telefonjában van.