Uwierzytelnianie dwuskładnikowe (2FA)

Twoje konto w AUTOPILOCIE trzyma wrażliwe dane: faktury, kontrahentów, kwoty, tokeny KSeF. Uwierzytelnianie dwuskładnikowe (2FA) sprawia, że samo hasło nie wystarczy, żeby się zalogować — potrzebny jest jeszcze jednorazowy kod, który masz tylko Ty. Nawet jeśli ktoś pozna Twoje hasło, bez drugiego składnika nie wejdzie na konto.

2FA jest opcjonalne. Przy zakładaniu konta zobaczysz osobny, pomijalny krok „Zabezpiecz konto" — możesz włączyć 2FA od razu albo później w Ustawienia → Bezpieczeństwo. Dodatkowo widnieje jako zadanie na liście „Zacznij tutaj" na pulpicie, dzięki czemu łatwo do niego wrócić (listę możesz zamknąć).

Co to jest drugi składnik

Po włączeniu 2FA logowanie ma dwa kroki: najpierw e-mail i hasło, a potem 6-cyfrowy kod. AUTOPILOT obsługuje trzy źródła kodu:

• Aplikacja uwierzytelniająca (TOTP) — główny, najbezpieczniejszy sposób. Kod generuje się co 30 sekund w aplikacji na Twoim telefonie (Google Authenticator, Microsoft Authenticator, Aegis, 1Password i inne). Działa offline, nie zależy od zasięgu ani poczty.
• Kod na e-mail — zapas awaryjny, gdy nie masz pod ręką telefonu z aplikacją. Wysyłamy jednorazowy kod na Twój adres e-mail; jest ważny 10 minut.
• Kody zapasowe — 10 jednorazowych kodów, które dostajesz przy włączaniu 2FA. Ratują Cię, gdy zgubisz telefon i nie masz dostępu do poczty.

Jak włączyć 2FA

1. Wejdź w Ustawienia → Bezpieczeństwo i kliknij Włącz 2FA.
2. W aplikacji uwierzytelniającej na telefonie dodaj nowe konto i zeskanuj kod QR. Nie możesz zeskanować? Przepisz ręcznie pokazany klucz.
3. Aplikacja zacznie generować 6-cyfrowe kody. Przepisz aktualny kod w polu „Wpisz kod z aplikacji" i kliknij Potwierdź i włącz.
4. Zobaczysz 10 kodów zapasowych. Skopiuj je albo pobierz jako plik .txt i schowaj w bezpiecznym miejscu (menedżer haseł, wydruk w szufladzie). Kody pokazujemy tylko raz.

Od tej pory przy każdym logowaniu hasłem AUTOPILOT poprosi o kod.

Jak logujesz się z włączonym 2FA

1. Podaj e-mail i hasło jak zwykle.
2. Wpisz 6-cyfrowy kod z aplikacji uwierzytelniającej.
3. Nie masz telefonu pod ręką? W kroku z kodem wybierz Kod na email (wyślemy jednorazowy kod na Twoją skrzynkę) albo Kod zapasowy (użyj jednego ze schowanych kodów — każdy działa tylko raz).

Logowanie przez Google działa bez zmian — tam drugi składnik zapewnia samo konto Google.

Zarządzanie kodami zapasowymi

W Ustawienia → Bezpieczeństwo widzisz, ile kodów zapasowych Ci zostało. Gdy zużyjesz większość albo podejrzewasz, że ktoś je zobaczył, kliknij Wygeneruj nowe kody zapasowe — potwierdzasz to kodem z aplikacji, a stary zestaw natychmiast przestaje działać.

Jak wyłączyć 2FA

Wejdź w Ustawienia → Bezpieczeństwo → Wyłącz 2FA i potwierdź kodem z aplikacji lub kodem zapasowym. Prosimy o kod celowo — dzięki temu ktoś, kto przejmie już otwartą sesję, nie zdejmie ochrony bez drugiego składnika.

Bezpieczeństwo pod spodem

• Sekret Twojej aplikacji authenticator jest szyfrowany w bazie (AES-256-GCM) — sam wyciek bazy nie daje działającego drugiego składnika.
• Kody zapasowe i e-mailowe trzymamy wyłącznie jako skróty (hash), nigdy jako czysty tekst, i każdy z nich jest jednorazowy.
• Weryfikacja drugiego składnika odbywa się po stronie serwera przy samym logowaniu — nie da się jej ominąć z poziomu przeglądarki.
• Próby logowania i wysyłki kodów e-mail są limitowane, co utrudnia zgadywanie kodów i nadużycia.

Dobre praktyki

• Włącz TOTP jako główny składnik, a e-mail traktuj jako awaryjny — poczta bywa słabszym ogniwem (często to kanał resetu hasła).
• Zapisz kody zapasowe od razu przy włączaniu — bez nich utrata telefonu może odciąć Cię od konta.
• Trzymaj sekret 2FA w menedżerze haseł z własnym 2FA, jeśli chcesz mieć kopię niezależną od jednego telefonu.
• Po zmianie telefonu wygeneruj nowe kody zapasowe i skonfiguruj aplikację od nowa (wyłącz i włącz 2FA), żeby stary sekret przestał obowiązywać.