Weryfikacja dwuetapowa i klucze dostępu: jak je włączyć

Samo hasło chroni konto tylko do chwili, gdy ktoś je pozna, na przykład z wycieku albo fałszywej strony. Drugi krok logowania sprawia, że samo hasło już nie wystarcza. Ten poradnik wyjaśnia, czym różnią się dostępne metody, i pokazuje, jak włączyć je na kontach Google, Microsoft i Apple, na podstawie stron pomocy producentów i zaleceń NIST oraz CISA.

1. Weryfikacja dwuetapowa a klucz dostępu

Weryfikacja dwuetapowa (2FA) to hasło plus drugi dowód, że logujesz się ty. Może to być kod SMS, kod z aplikacji, powiadomienie na telefonie albo sprzętowy klucz bezpieczeństwa. Hasło nadal istnieje i nadal można je wyłudzić.

Klucz dostępu (passkey) działa inaczej. Według FIDO Alliance to dane uwierzytelniające oparte na kryptografii klucza publicznego. Klucz prywatny zostaje na twoim urządzeniu i nigdy nie trafia na serwer. Logujesz się tak, jak odblokowujesz telefon, odciskiem palca, twarzą albo PIN-em. Klucz jest powiązany z domeną serwisu, dla którego powstał, więc fałszywa strona pod inną domeną nie może go użyć.

2. Dlaczego SMS to najsłabsza opcja

CISA uszeregowała metody od najsilniejszej do najsłabszej. Na szczycie są metody odporne na phishing, czyli FIDO i WebAuthn, na których opierają się klucze dostępu. Dalej są aplikacje z kodami i powiadomienia, na końcu SMS i połączenia głosowe. Kody SMS można przechwycić przez przejęcie numeru telefonu u operatora (SIM swap) albo wyłudzić na fałszywej stronie razem z hasłem.

NIST SP 800-63B w rewizji 4 z 2025 roku nadaje kodom przez sieć telefoniczną status „restricted”. Za odporne na phishing uznaje tylko uwierzytelnianie kryptograficzne powiązane z nazwą serwisu. Hasła i kody jednorazowe takie nie są. CISA podkreśla jednak, że każda forma uwierzytelniania wieloskładnikowego jest lepsza niż jej brak.

3. Ile to daje w liczbach

Badanie Google z 2019 roku pokazało, że kod SMS zablokował 100% zautomatyzowanych botów, 96% masowego phishingu i 76% ataków ukierunkowanych. Powiadomienie na telefonie zablokowało odpowiednio 100%, 99% i 90%. W czasie badania żaden użytkownik logujący się wyłącznie kluczami bezpieczeństwa nie padł ofiarą ukierunkowanego phishingu.

Badanie Microsoft Research z 2023 roku, przeprowadzone na kontach firmowych, wykazało, że uwierzytelnianie wieloskładnikowe zmniejsza ryzyko przejęcia konta o 99,22%. Według Microsoftu logowanie kluczem dostępu kończy się sukcesem w około 98% prób, a hasłem w 32%.

4. Konto Google

Weryfikację dwuetapową włączysz w ustawieniach konta Google, w sekcji zabezpieczeń i logowania. Jako drugi krok Google oferuje klucze dostępu, klucze bezpieczeństwa, powiadomienia Google na telefonie, aplikację Google Authenticator, kod SMS albo połączenie oraz kody zapasowe.

Klucz dostępu utworzysz na stronie myaccount.google.com/signinoptions/passkeys. Działa na Windows 10 i nowszym, macOS Ventura i nowszym, Androidzie 9 i nowszym oraz iOS 16 i nowszym, w aktualnych przeglądarkach. Przy włączonej weryfikacji dwuetapowej klucz dostępu zastępuje drugi krok, bo sam potwierdza, że masz urządzenie. Google wygeneruje ci też 10 jednorazowych kodów zapasowych na wypadek utraty telefonu.

5. Konto Microsoft

Weryfikację dwuetapową konta Microsoft włączysz na stronie account.microsoft.com/security, w zarządzaniu sposobem logowania, w sekcji dodatkowych zabezpieczeń. Microsoft ostrzega, że po utracie metody kontaktu samo hasło nie przywróci dostępu, a odzyskiwanie konta może trwać 30 dni. Zaleca więc dodanie trzech metod zabezpieczeń.

Klucz dostępu dodasz na stronie account.live.com/proofs/manage, wybierając logowanie twarzą, odciskiem palca, PIN-em albo kluczem bezpieczeństwa. Zapiszesz go w Windows Hello, na telefonie, w menedżerze haseł albo na sprzętowym kluczu. Microsoft podaje, że nowe konta od maja 2025 są domyślnie bez hasła.

6. Konto Apple

Uwierzytelnianie dwupoziomowe Konta Apple wymaga przy logowaniu na nowym urządzeniu hasła i sześciocyfrowego kodu, który pojawia się na twoich zaufanych urządzeniach. Włączysz je w Ustawieniach, po stuknięciu swojego imienia i nazwiska, w sekcji Logowanie i zabezpieczenia. Na kontach utworzonych z tym zabezpieczeniem nie da się go wyłączyć.

Klucze dostępu Apple synchronizują się między urządzeniami przez pęk kluczy iCloud, szyfrowany kompleksowo kluczami, których Apple nie zna. Pęk kluczy iCloud wymaga uwierzytelniania dwupoziomowego. Apple podaje, że klucze da się odzyskać nawet po utracie wszystkich urządzeń.

7. Od czego zacząć

Zacznij od konta, które otwiera dostęp do pozostałych. Najczęściej to skrzynka e-mail, bo przez nią resetuje się hasła do innych serwisów. Włącz na nim weryfikację dwuetapową z aplikacją albo powiadomieniem zamiast SMS-a, a tam, gdzie to możliwe, utwórz klucz dostępu.

Zanim cokolwiek zmienisz, dodaj metodę awaryjną. Zapisz kody zapasowe, drugi numer telefonu albo drugi klucz sprzętowy i trzymaj je poza telefonem, który jest twoim głównym drugim krokiem.

8. Podsumowanie

Każdy drugi krok logowania jest lepszy niż samo hasło. SMS to jednak najsłabsza opcja, a aplikacja i powiadomienia są wyraźnie skuteczniejsze. Klucze dostępu idą dalej, bo nie da się ich wpisać na fałszywej stronie. Google, Microsoft i Apple obsługują je już na swoich kontach, więc warto je włączyć zaraz po zabezpieczeniu metod awaryjnych.