Mã 2FA không hoạt động? Vì sao mã từ ứng dụng xác thực bị từ chối và cách sửa

Đây là lỗi khiến nhiều người vấp nhất khi thiết lập. Trang web tạo một khóa bí mật mới — và một mã QR mới — mỗi lần trang thiết lập 2FA được tải lại, mở lại hoặc bắt đầu lại. Trung tâm trợ giúp của Remote mô tả đúng điều này: mọi mã QR đã quét trước đó đều ngừng hoạt động. Ứng dụng xác thực của bạn vẫn hiển thị mã cho mã QR đầu tiên, trang web giờ chờ mã cho mã QR mới, và không có gì trên màn hình báo cho bạn rằng chúng đã không còn khớp.

Cách sửa: bắt đầu lại việc thiết lập 2FA trên trang web và ở yên trên trang đó. Thêm mã QR đang hiện trên màn hình — với tiện ích của chúng tôi là “Thêm tài khoản” → “Mã QR” → “Quét QR từ màn hình” — và nhập ngay mã mà nó hiển thị vào trang web, không tải lại hay rời trang. Sau đó lưu các mã dự phòng mà trang web cung cấp.

Điều tương tự xảy ra sau khi bạn tắt rồi bật lại 2FA, hoặc nhấp “đổi ứng dụng xác thực”: mục cũ trong ứng dụng ngừng hoạt động và chỉ mã QR mới có giá trị.

Sau lần thử thiết lập thứ hai, cùng một trang web thường xuất hiện hai lần trong danh sách, với cùng tên. Chỉ mục từ mã QR bạn thêm sau cùng là dùng được — mục cũ hơn thuộc về mã QR mà trang web đã hủy. Trong lúc thiết lập, trang web luôn chờ mã của tài khoản bạn vừa thêm.

Nhầm lẫn tương tự xảy ra với hai tài khoản trên cùng một trang web — ví dụ một tài khoản Google cá nhân và một tài khoản công việc. Chính Google khuyên khi mã không đúng, hãy kiểm tra xem mã có đúng dịch vụ và đúng tài khoản không. Hãy nhìn tên bên dưới mã, không chỉ nhìn logo.

Cách sửa: dùng mục mới nhất. Khi mã từ mục đó đã được chấp nhận, bạn có thể xóa mục cũ — hãy xuất bản sao lưu trước (“Cài đặt” → “Xuất”) phòng khi chọn nhầm.

Ứng dụng xác thực chỉ hiển thị mã cho các tài khoản đã được thêm vào nó. Nếu bạn bật 2FA cho một trang web từ nhiều tháng trước bằng Google Authenticator, Microsoft Authenticator hoặc một chiếc điện thoại cũ, thì mã của nó nằm ở đó — một mục bạn thêm ở nơi khác về sau sẽ không khớp, trừ khi nó được tạo từ chính mã QR đó.

Cách sửa: lấy mã từ ứng dụng bạn đã dùng lúc thiết lập. Để chuyển tài khoản, hoặc xuất nó từ ứng dụng đó — mã QR xuất của Google Authenticator nhập thẳng vào tiện ích của chúng tôi, xem nhập từ Google Authenticator — hoặc đăng nhập, mở cài đặt 2FA của trang web và thiết lập lại ứng dụng xác thực, lần này bằng ứng dụng mới. Giữ ứng dụng cũ cho đến khi mã từ ứng dụng mới được chấp nhận. Xem thêm trong chuyển 2FA sang điện thoại mới.

Không phải ô sáu chữ số nào cũng đang chờ mã từ ứng dụng xác thực. Nhiều trang web gửi mã qua tin nhắn SMS hoặc email — khi đăng nhập, hoặc để xác nhận địa chỉ trước cả khi bật 2FA — và chỉ mã đó dùng được ở đó. Trung tâm trợ giúp của Remote cũng nói vậy: mã gửi tới email không phải là mã 2FA từ ứng dụng xác thực. Nếu trang ghi “chúng tôi đã gửi mã tới…”, hãy xem tin nhắn hoặc hộp thư, không phải ứng dụng.

Một số trang đăng nhập lại hỏi mã dự phòng (còn gọi là mã khôi phục): một trong các mã dùng một lần mà trang web đưa cho bạn thành danh sách khi thiết lập 2FA. Các mã này nằm trên tờ giấy hoặc tệp bạn đã lưu, không nằm trong ứng dụng xác thực — và chúng không phải khóa bí mật, nên thêm một mã như vậy vào ứng dụng xác thực như một tài khoản sẽ tạo ra những mã mà không trang web nào chấp nhận. Làm mất chúng? Google chẳng hạn cho phép lấy mã dự phòng mới trong cài đặt Xác minh 2 bước khi bạn vẫn đang đăng nhập.

Cách sửa: đọc dòng chữ phía trên ô nhập. “Ứng dụng xác thực”, “ứng dụng xác minh” hay “mã từ ứng dụng của bạn” (authenticator app, verification app) nghĩa là ứng dụng xác thực; mọi thứ khác nghĩa là tin nhắn, email hoặc danh sách mã dự phòng.

Hầu hết mã xác thực thay đổi mỗi 30 giây — FAQ của Microsoft cho ứng dụng của họ cũng nói vậy. Mã gõ vào trong vài giây cuối có thể đến trang web khi nó đã đổi.

Cách sửa: nếu bộ đếm sắp hết, hãy chờ mã tiếp theo và nhập ngay. Trong tiện ích của chúng tôi, nhấp vào mã là sao chép mã, nên bạn có thể dán thay vì gõ.

Nếu bạn thêm tài khoản bằng cách gõ khóa bí mật thay vì quét mã QR, chỉ một ký tự sai cũng cho ra một khóa khác. Mã của nó trông hoàn toàn bình thường và chỉ đơn giản là bị từ chối.

Cách sửa: trên trang thiết lập của trang web — chính trang đó, không tải lại — sao chép lại khóa và dán vào trình tạo mã TOTP của chúng tôi, chạy trong trình duyệt và không lưu gì. So mã của nó với mã trong ứng dụng xác thực. Nếu khác nhau, khóa trong ứng dụng xác thực bị sai: xóa mục đó và thêm lại bằng cách dán khóa hoặc quét mã QR. Nếu khớp mà trang web vẫn từ chối, hãy quay lại nguyên nhân đầu tiên.

Một số dịch vụ dùng tám chữ số, SHA256 hoặc chu kỳ 60 giây thay vì sáu chữ số, SHA1 và 30 giây thông thường. Mã QR mang theo các cài đặt này; khóa gõ tay thì không, nên hãy đặt chúng theo những gì trang web ghi — xem thuật toán, số chữ số và chu kỳ.

Mã được tạo từ khóa bí mật và thời gian hiện tại, nên ứng dụng trên thiết bị có đồng hồ sai sẽ tạo ra mã bị từ chối. Với ứng dụng điện thoại, hãy bật ngày giờ tự động trong cài đặt của điện thoại. Google Authenticator dựa vào đồng hồ của chính điện thoại — Google đã bỏ cài đặt hiệu chỉnh thời gian riêng từ phiên bản 7.0.

Với 2FA Authenticator – Trình xác thực thì không cần thay đổi gì: tiện ích tự kiểm tra thời gian với nhiều nguồn và điều chỉnh mã nếu đồng hồ máy tính bị lệch. Chỉ khi không làm được điều đó, nó mới hiển thị cảnh báo về thời gian — khi đó hãy làm theo các bước trong FAQ.

Hãy đăng nhập bằng cách khác — mã dự phòng, tin nhắn SMS hoặc mã qua email, bất cứ thứ gì trang web cung cấp — rồi mở cài đặt 2FA, tắt rồi bật lại ứng dụng xác thực và thêm mã QR mới. Hướng dẫn cài đặt của chúng tôi chỉ vị trí cài đặt đó cho 108 dịch vụ.

Đừng xóa mục hay cài lại ứng dụng xác thực với hy vọng sửa được mã: mã sẽ không thay đổi, và bạn có thể mất mục duy nhất đang dùng được. Gỡ cài đặt tiện ích của chúng tôi cũng xóa các bản sao tự động của nó — nếu bạn đã lỡ xóa một tài khoản, hãy khôi phục từ bản sao tự động.