Autentikasi dua faktor, sering disebut 2FA atau multi-factor authentication, meminta bukti kedua setelah kata sandi. Bukti itu dapat berupa persetujuan pada perangkat, kode dari aplikasi autentikator, kunci keamanan fisik, atau dalam sebagian layanan kode SMS. Nilainya terlihat ketika kata sandi bocor: pelaku masih memerlukan faktor kedua yang tidak seharusnya mereka miliki.
2FA adalah lapisan tambahan, bukan pengganti kebiasaan lain
Tidak semua faktor kedua memberi perlindungan yang sama, dan tidak semua orang memiliki kebutuhan yang sama. Email utama, akun keuangan, serta akun kerja biasanya pantas mendapat metode yang lebih kuat dan cadangan yang lebih tertata. Di sisi lain, metode yang sangat kuat tetapi tidak dapat dipulihkan oleh pemiliknya saat perangkat hilang dapat menciptakan masalah baru. Keputusan yang baik menyeimbangkan ketahanan dan akses. Aplikasi autentikator, passkey, dan kunci keamanan membantu mengurangi ketergantungan pada nomor telepon. SMS masih dapat berguna bila itu satu-satunya pilihan, tetapi jangan menganggapnya identik dengan metode lain. Yang terpenting, jangan menyetujui notifikasi yang tidak Anda mulai dan jangan pernah memberikan kode kepada orang yang menghubungi lebih dulu. Mulai dari "amankan email sebelum akun lain", dan gunakan jalur yang bisa Anda buka sendiri.
Memilih metode berdasarkan risiko dan kemampuan pemulihan
Mulai dari "amankan email sebelum akun lain", lalu lanjut ke "bandingkan metode yang tersedia" setelah fondasi pertama kokoh.
1. Amankan email sebelum akun lain
Aktifkan 2FA pada email utama terlebih dahulu, lalu lanjutkan ke pembayaran, media sosial, dan akun kerja. Email sering menjadi jalur pemulihan bagi layanan lain. Melindunginya memperkuat seluruh rantai akun.
2. Bandingkan metode yang tersedia
Pilih passkey atau kunci keamanan bila layanan serta kebiasaan Anda mendukungnya. Aplikasi autentikator sering menjadi pilihan praktis yang baik. SMS dapat dipakai sebagai cadangan, tetapi pahami bahwa nomor telepon juga memiliki risiko seperti pengambilalihan SIM. Bukan menambah kerumitan.
3. Simpan kode cadangan di luar perangkat utama
Kode cadangan membantu saat ponsel rusak, hilang, atau tidak dapat menerima kode. Simpan secara offline atau di penyimpanan yang aman dan terpisah. Jangan menyimpan satu-satunya salinan pada galeri, chat, atau catatan terbuka di ponsel yang sama.
4. Daftarkan pemulihan resmi saat Anda masih bisa masuk
Tambahkan perangkat kedua, nomor cadangan, atau metode resmi lain bila didukung layanan. Uji apakah Anda memahami proses pemulihan tanpa menonaktifkan faktor utama. Pengujian yang tenang lebih baik daripada mencari pilihan pemulihan saat panik. Periksa hasilnya setelah selesai.
5. Tolak prompt yang tidak Anda mulai
Jika muncul persetujuan masuk padahal Anda tidak sedang login, tolak. Jangan menekan setuju hanya agar notifikasi berhenti. Setelah itu, buka keamanan akun melalui jalur resmi, ubah kata sandi jika perlu, dan periksa perangkat yang aktif.
Contoh: notifikasi masuk yang muncul berulang
Bayangkan notifikasi "setujui masuk" muncul berulang saat Anda sedang bekerja. Pelaku mungkin sudah mengetahui kata sandi dan berharap salah satu notifikasi disetujui karena jengkel. Menolak semua prompt, kemudian mengubah kata sandi dari halaman resmi, adalah respons yang lebih tepat daripada menyetujui satu kali demi ketenangan. Notifikasi semacam itu adalah sinyal bahwa akun layak ditinjau, bukan gangguan biasa. Beri diri Anda jeda untuk memakai "simpan kode cadangan di luar perangkat utama".
Saat ponsel atau faktor kedua tidak tersedia
Jika ponsel hilang, gunakan kode cadangan atau metode pemulihan yang sudah Anda siapkan. Jika kode 2FA diberikan kepada pihak lain, anggap akses akun berisiko: ubah kata sandi, keluarkan sesi aktif, tinjau email dan nomor pemulihan, lalu hubungi dukungan melalui pusat bantuan resmi. Jangan percaya tawaran "pemulihan instan" dari akun atau nomor yang menghubungi Anda tanpa diminta.
Menjaga 2FA tetap berguna setelah perangkat berubah
Setiap kali mengganti ponsel, cek daftar metode 2FA pada akun penting sebelum perangkat lama dihapus atau diberikan kepada orang lain. Hapus perangkat yang tidak lagi digunakan dan buat ulang kode cadangan bila Anda curiga kode sebelumnya terlihat pihak lain. Untuk akun organisasi, pahami prosedur administrator dan jangan memakai perangkat pribadi untuk faktor kerja bila kebijakan perusahaan melarangnya. Perhatikan khusus langkah "tolak prompt yang tidak anda mulai".
Audit mandiri untuk pengaturan 2FA
Tinjau lima hal ini saat ganti ponsel, sebelum bepergian, atau setelah menambah akun penting.
- Urutan akun. Pasang 2FA di email utama lebih dulu. Email memegang tombol reset untuk hampir semua layanan lain, jadi mengamankannya belakangan tidak masuk akal.
- Metode per akun. Passkey atau kunci keamanan untuk akun paling penting, aplikasi autentikator untuk sisanya, SMS hanya bila layanan tidak menyediakan pilihan lain.
- Kode cadangan. Simpan di luar ponsel: cetak, atau taruh di pengelola kata sandi yang bisa dibuka dari perangkat lain. Kode yang hanya ada di ponsel hilang bersama ponselnya.
- Jalur pemulihan. Daftarkan alamat dan nomor pemulihan sekarang, selagi Anda masih bisa masuk. Mendaftarkannya setelah terkunci jauh lebih sulit.
- Prompt yang tidak Anda mulai. Tolak, lalu ganti kata sandi. Notifikasi masuk yang datang tanpa Anda memulai berarti seseorang sudah memegang kata sandi Anda.
Uji satu pemulihan setahun sekali. Metode yang tidak pernah diuji sering gagal justru saat dibutuhkan.
Kesalahan yang membuat 2FA justru menyulitkan pemilik akun
- Mengaktifkan 2FA tetapi tidak menyimpan pilihan cadangan. Ini dapat mengunci pemilik akun saat perangkat utama rusak atau hilang.
- Menyetujui prompt tanpa membaca konteks. Satu persetujuan dapat memberi akses kepada orang yang sudah memegang kata sandi.
- Menganggap semua metode sama kuatnya. Pilih sesuai kemampuan layanan dan risiko akun, lalu rawat pemulihannya. Risiko tak bisa dihapus seluruhnya, tapi dampaknya bisa dipersempit. Bila ragu, jangan ambil tindakan yang sulit dibatalkan sebelum Anda tahu jalur resmi dan informasi yang benar-benar dibutuhkan. Kejelasan proses lebih berharga daripada keputusan cepat yang tak bisa ditelusuri.
Pertanyaan yang sering diajukan
Apakah 2FA membuat akun kebal diretas?
Tidak. 2FA menambah hambatan penting, tetapi password unik, perangkat terbaru, dan kewaspadaan phishing tetap dibutuhkan.
Metode mana yang sebaiknya dipilih?
Gunakan opsi paling kuat yang didukung dan dapat Anda kelola dengan andal. Passkey atau kunci keamanan sering memberi perlindungan phishing yang lebih baik.
Bagaimana jika kode cadangan hilang?
Selagi masih bisa masuk, buat ulang kode cadangan dan tinjau metode pemulihan. Jangan menunggu perangkat utama hilang.
Sumber dan bacaan lanjutan
- Google Account Help: Make Your Account More Secure
- Google Account Help: 2-Step Verification
- NIST NCCoE: Multi-Factor Authentication Concepts
Catatan editorial: Artikel ini bersifat edukatif dan defensif. Tampilan, kebijakan, dan fitur setiap layanan dapat berubah. Gunakan dokumentasi resmi layanan yang Anda pakai untuk petunjuk teknis terbaru.
