Kod 2FA nie działa? Dlaczego kod z aplikacji uwierzytelniającej jest odrzucany i jak to naprawić

Na tym potyka się większość osób podczas konfiguracji. Strona tworzy nowy sekret — i nowy kod QR — za każdym razem, gdy jej ekran konfiguracji 2FA zostanie odświeżony, otwarty ponownie albo uruchomiony od początku. Centrum pomocy Remote opisuje dokładnie to: każdy wcześniej zeskanowany kod QR przestaje działać. Twoja aplikacja uwierzytelniająca nadal pokazuje kody dla pierwszego kodu QR, strona oczekuje teraz kodów dla nowego, a nic na ekranie nie mówi, że przestały do siebie pasować.

Rozwiązanie: zacznij konfigurację 2FA na stronie od nowa i nie wychodź z tego ekranu. Dodaj kod QR, który jest teraz na ekranie — w naszym rozszerzeniu „Dodaj konto” → „Kod QR” → „Skanuj QR z ekranu” — i od razu wpisz pokazany kod na stronie, bez odświeżania i bez opuszczania ekranu. Potem zapisz kody zapasowe, które proponuje strona.

To samo dzieje się po wyłączeniu i ponownym włączeniu 2FA albo po kliknięciu „zmień aplikację uwierzytelniającą”: stary wpis w aplikacji przestaje działać i liczy się tylko nowy kod QR.

Po drugiej próbie konfiguracji ta sama strona często jest na liście dwa razy, pod tą samą nazwą. Działa tylko wpis z kodu QR dodanego jako ostatni — starszy należy do kodu QR, który strona już wyrzuciła. Podczas konfiguracji strona zawsze chce kodu z właśnie dodanego konta.

Ta sama pomyłka zdarza się przy dwóch kontach w jednym serwisie — powiedzmy prywatnym i służbowym koncie Google. Google przy nieprawidłowym kodzie radzi sprawdzić, czy kod jest dla właściwego serwisu i właściwego konta. Patrz na nazwę pod kodem, nie tylko na logo.

Rozwiązanie: użyj najnowszego wpisu. Gdy kod z niego zostanie przyjęty, możesz usunąć stary — najpierw wyeksportuj kopię zapasową („Ustawienia” → „Eksportuj”), na wypadek pomyłki.

Aplikacja uwierzytelniająca pokazuje kody tylko dla kont, które do niej dodano. Jeśli 2FA na stronie zostało włączone kilka miesięcy temu w Google Authenticator, Microsoft Authenticator albo na starym telefonie, to tam są jej kody — wpis dodany później gdzie indziej nie będzie pasował, chyba że powstał z dokładnie tego samego kodu QR.

Rozwiązanie: weź kod z aplikacji użytej przy konfiguracji. Aby przenieść konto, wyeksportuj je z tamtej aplikacji — kod QR eksportu z Google Authenticator importuje się prosto do naszego rozszerzenia, zobacz import z Google Authenticator — albo zaloguj się, otwórz ustawienia 2FA strony i skonfiguruj aplikację uwierzytelniającą od nowa, tym razem w nowej aplikacji. Zachowaj starą aplikację, dopóki kod z nowej nie zostanie przyjęty. Więcej w artykule jak przenieść 2FA na nowy telefon.

Nie każde pole na sześć cyfr czeka na kod z aplikacji uwierzytelniającej. Wiele stron wysyła kod SMS-em lub e-mailem — przy logowaniu albo do potwierdzenia adresu, zanim 2FA w ogóle zostanie włączone — i tam działa tylko ten kod. Centrum pomocy Remote mówi to samo: kod wysłany na e-mail nie jest kodem 2FA z aplikacji uwierzytelniającej. Jeśli strona pisze „wysłaliśmy kod na…”, szukaj w wiadomościach lub w skrzynce pocztowej, a nie w aplikacji.

Niektóre strony logowania proszą zamiast tego o kod zapasowy (nazywany też kodem odzyskiwania): jeden z jednorazowych kodów, które strona dała ci w formie listy przy konfiguracji 2FA. Są na kartce lub w pliku, w którym je zapisano, a nie w aplikacji uwierzytelniającej — i nie są tajnymi kluczami, więc dodanie takiego kodu do aplikacji jako konta daje kody, których nie przyjmie żadna strona. Nie masz ich już? Google na przykład pozwala pobrać nowe kody zapasowe w ustawieniach weryfikacji dwuetapowej, dopóki nie wylogujesz się z konta.

Rozwiązanie: przeczytaj tekst nad polem. „Aplikacja uwierzytelniająca”, „aplikacja weryfikacyjna” albo „kod z aplikacji” oznacza aplikację uwierzytelniającą; wszystko inne oznacza SMS, e-mail albo listę kodów zapasowych.

Większość kodów z aplikacji uwierzytelniających zmienia się co 30 sekund — FAQ Microsoftu do jego aplikacji podaje to samo. Kod wpisany w ostatnich sekundach ważności może dotrzeć do strony, gdy już się zmienił.

Rozwiązanie: jeśli licznik jest prawie pusty, poczekaj na następny kod i od razu go wpisz. W naszym rozszerzeniu kliknięcie kodu kopiuje go, więc możesz go wkleić zamiast przepisywać.

Jeśli konto zostało dodane przez wpisanie tajnego klucza, a nie zeskanowanie kodu QR, jeden zły znak daje inny klucz. Jego kody wyglądają zupełnie normalnie i są po prostu odrzucane.

Rozwiązanie: na ekranie konfiguracji strony — tym samym, nieodświeżonym — skopiuj klucz jeszcze raz i wklej go do naszego generatora kodów TOTP, który działa w przeglądarce i niczego nie zapisuje. Porównaj jego kod z tym w aplikacji uwierzytelniającej. Jeśli się różnią, klucz w aplikacji jest błędny: usuń ten wpis i dodaj go ponownie, wklejając klucz lub skanując kod QR. Jeśli się zgadzają, a strona nadal je odrzuca, wróć do pierwszej przyczyny.

Kilka serwisów używa ośmiu cyfr, SHA256 albo okresu 60 sekund zamiast zwykłych sześciu cyfr, SHA1 i 30 sekund. Kod QR przenosi te ustawienia, a ręcznie wpisany klucz nie, więc ustaw je tak, jak podaje strona — zobacz algorytm, liczba cyfr i okres.

Kod powstaje z tajnego klucza i bieżącego czasu, więc aplikacja na urządzeniu ze źle ustawionym zegarem generuje kody, które są odrzucane. W aplikacji na telefon włącz automatyczną datę i godzinę w ustawieniach telefonu. Google Authenticator polega na zegarze telefonu — Google usunął osobne ustawienie korekty czasu w wersji 7.0.

W 2FA Authenticator nie trzeba niczego zmieniać: rozszerzenie samo sprawdza czas w kilku źródłach i koryguje kody, jeśli zegar komputera się spieszy lub spóźnia. Ostrzeżenie o czasie pokazuje tylko wtedy, gdy nie może tego zrobić — wtedy wykonaj kroki z FAQ.

Zaloguj się w inny sposób — kodem zapasowym, SMS-em albo kodem z e-maila, czymkolwiek oferuje strona — potem otwórz jej ustawienia 2FA, wyłącz i ponownie włącz aplikację uwierzytelniającą i dodaj nowy kod QR. Nasze poradniki konfiguracji pokazują, gdzie jest to ustawienie w 108 serwisach.

Nie usuwaj wpisów ani nie instaluj ponownie aplikacji uwierzytelniającej w nadziei, że to naprawi kod: kody się nie zmienią, a możesz stracić jedyny działający wpis. Odinstalowanie naszego rozszerzenia usuwa też jego automatyczne kopie — jeśli konto zostało już usunięte, przywróć je z automatycznej kopii.