Xác thực hai lớp (2FA) bổ sung một bước kiểm tra sau khi quản trị viên nhập đúng tên đăng nhập và mật khẩu: quản trị viên phải nhập thêm một mã 6 chữ số từ ứng dụng xác thực trên điện thoại hoặc từ email. Nhờ vậy, kể cả khi mật khẩu bị lộ, người khác vẫn không thể vào trang quản trị. Tài liệu này hướng dẫn cách bật tính năng, cách mỗi quản trị viên thiết lập 2FA cho tài khoản của mình, cách đăng nhập với 2FA và cách xử lý khi một quản trị viên bị mất thiết bị.

Tổng quan về 2FA cho admin trong EzyLogin

EzyLogin hỗ trợ hai phương thức xác thực hai lớp, mỗi quản trị viên có thể bật một hoặc cả hai:
Phương thứcCách lấy mãĐặc điểm
Ứng dụng xác thựcMã 6 chữ số từ Google Authenticator, Microsoft Authenticator, Authy hoặc ứng dụng TOTP khácMã đổi mỗi 30 giây, không cần mạng hay email, an toàn hơn
EmailMã 6 chữ số gửi tới email của tài khoản quản trị viênKhông cần cài ứng dụng, nhưng phụ thuộc vào việc gửi email của website
Khi đã bật ít nhất một phương thức, mọi lần đăng nhập vào trang quản trị của tài khoản đó, kể cả đăng nhập qua SSO, đều phải qua bước xác thực hai lớp.

Cho phép quản trị viên bật 2FA

Trước khi quản trị viên có thể tự thiết lập 2FA, tính năng cần được cho phép trong EzyLogin > Cài đặt thường.
Cài đặt cho phép quản trị viên bật 2FA
  1. Cho phép quản trị viên bật xác thực hai lớp (2FA): đánh dấu rồi lưu cài đặt (nhấn nút Lưu hoặc tổ hợp phím Ctrl + S / Command + S).
Nếu bỏ đánh dấu, quản trị viên không thể thiết lập phương thức mới. Những quản trị viên đã bật 2FA trước đó vẫn phải xác thực khi đăng nhập và vẫn có thể tự tắt phương thức của mình.

Thiết lập 2FA cho tài khoản của bạn

Mỗi quản trị viên tự thiết lập 2FA trong trang hồ sơ của mình (đường dẫn /admins/me). Dòng Xác thực hai lớp cho biết trạng thái của từng phương thức.
Mục xác thực hai lớp trong hồ sơ khi chưa bật
  1. Thiết lập: bật xác thực bằng ứng dụng xác thực.
  2. Cho phép: bật xác thực bằng email.

Thiết lập ứng dụng xác thực

Cài một ứng dụng xác thực trên điện thoại (ví dụ Google Authenticator), sau đó nhấn Thiết lập để mở hộp thoại dưới đây.
Hộp thoại thiết lập ứng dụng xác thực
  1. Mã QR: mở ứng dụng xác thực, chọn thêm tài khoản và quét mã này. Tài khoản sẽ xuất hiện trong ứng dụng với tên bắt đầu bằng EzyPlatform kèm tên đăng nhập của bạn.
  2. Khóa bí mật: dùng khi không quét được mã QR, nhập thủ công khóa này vào ứng dụng hoặc nhấn biểu tượng sao chép.
  3. Nhập mã 6 chữ số mà ứng dụng đang hiển thị.
  4. Nhấn Xác nhận. Nếu mã đúng, trang được tải lại và ứng dụng xác thực chuyển sang trạng thái Đã kích hoạt; nếu sai, hộp thoại báo "Mã xác thực không hợp lệ hoặc đã hết hạn".
Khóa bí mật chỉ hiển thị trong lúc thiết lập. Hãy giữ kín mã QR và khóa bí mật, vì ai có chúng đều có thể tạo mã xác thực cho tài khoản của bạn. Mỗi lần nhấn Thiết lập, EzyLogin tạo một khóa bí mật mới.

Bật xác thực qua email

Phương thức này cần tài khoản quản trị viên có email và website đã cấu hình gửi email. Nhấn Cho phép, EzyLogin gửi một mã xác thực tới email của bạn và mở hộp thoại dưới đây.
Hộp thoại bật xác thực qua email
  1. Email đã nhận mã xác thực.
  2. Nhập mã 6 chữ số trong email. Mã có hiệu lực trong 5 phút.
  3. Gửi lại mã xác thực nếu chưa nhận được email. Mỗi lần gửi cách nhau ít nhất 60 giây, gửi sớm hơn sẽ có thông báo "Vui lòng chờ trước khi gửi lại mã xác thực" kèm số giây còn lại.
  4. Nhấn Xác nhận để bật phương thức email.
Nếu tài khoản chưa có email, EzyLogin báo lỗi và không gửi mã. Hãy cập nhật email trong hồ sơ trước.

Kiểm tra trạng thái và tắt một phương thức

Sau khi thiết lập, mục Xác thực hai lớp hiển thị trạng thái mới.
Mục xác thực hai lớp khi đã bật cả hai phương thức
  1. Đã kích hoạt: phương thức đang được dùng khi đăng nhập.
  2. Vô hiệu hoá: tắt phương thức tương ứng.
Để tránh người khác tắt 2FA khi bạn quên khóa máy, EzyLogin yêu cầu nhập lại mật khẩu trước khi tắt:
Nhập mật khẩu trước khi tắt một phương thức 2FA
  1. Nhập mật khẩu hiện tại rồi nhấn Gửi.
Khi tắt hết các phương thức, tài khoản quay lại đăng nhập chỉ bằng mật khẩu.

Đăng nhập với 2FA

Khi tài khoản đã bật 2FA, sau khi nhập đúng tên đăng nhập và mật khẩu, quản trị viên được chuyển tới trang Xác thực hai lớp. Phiên đăng nhập chỉ được kích hoạt sau khi nhập đúng mã.

Xác thực bằng ứng dụng

Trang xác thực mặc định chọn Ứng dụng xác thực nếu phương thức này đã được bật.
Trang xác thực hai lớp với ứng dụng xác thực
  1. Chọn phương thức xác thực. Các tab chỉ hiện khi tài khoản bật cả hai phương thức.
  2. Nhập mã 6 chữ số đang hiển thị trong ứng dụng xác thực.
  3. Nhấn Xác thực để vào trang quản trị.
  4. Đăng xuất: hủy lần đăng nhập này và quay về trang đăng nhập.
Mã từ ứng dụng chấp nhận lệch thời gian khoảng 30 giây, nên nếu đồng hồ điện thoại hơi lệch vẫn đăng nhập được. Mỗi mã chỉ dùng được một lần: nếu vừa dùng một mã, hãy chờ ứng dụng hiển thị mã tiếp theo.

Xác thực qua email

Chọn tab Email để nhận mã qua email. Địa chỉ email được che một phần để bảo vệ thông tin.
Trang xác thực hai lớp trước khi gửi mã qua email
  1. Email sẽ nhận mã xác thực.
  2. Nhấn Gửi mã xác thực để nhận mã.
Trang xác thực hai lớp sau khi đã gửi mã qua email
  1. Thông báo mã đã được gửi. Nút bên dưới đổi thành Gửi lại mã xác thực (cách nhau ít nhất 60 giây).
  2. Nhập mã trong email (hiệu lực 5 phút) và nhấn Xác thực.

Khi nhập sai mã

Nếu mã sai hoặc đã hết hạn, trang hiển thị lỗi để quản trị viên nhập lại.
Thông báo mã xác thực không hợp lệ
  1. Thông báo "Mã xác thực không hợp lệ hoặc đã hết hạn".
Sau 5 lần nhập sai liên tiếp, bước xác thực hai lớp của tài khoản bị khóa trong 15 phút: ô nhập mã và các nút bị vô hiệu hóa, trang hiển thị thời gian bị khóa. Hết thời gian khóa, quản trị viên có thể thử lại. Lần xác thực thành công sẽ xóa bộ đếm số lần sai.

Đặt lại 2FA khi mất thiết bị

Khi một quản trị viên mất điện thoại, xóa nhầm ứng dụng xác thực hoặc không truy cập được email, họ không thể tự đăng nhập. Một quản trị viên khác có quyền quản lý admin có thể đặt lại 2FA cho họ.
Mở trang hồ sơ của quản trị viên cần hỗ trợ (từ danh sách quản trị viên, đường dẫn /admins/<tên đăng nhập>):
Đặt lại 2FA của quản trị viên khác
  1. Trạng thái 2FA và các phương thức quản trị viên đó đang bật.
  2. Cài lại: xóa toàn bộ thiết lập 2FA của quản trị viên đó.
Xác nhận đặt lại 2FA
  1. Xác nhận tên quản trị viên cần đặt lại, sau đó nhấn Cài lại.
Sau khi đặt lại, quản trị viên đó đăng nhập lại chỉ bằng mật khẩu và nhận được email thông báo hồ sơ đã được cập nhật. Họ nên vào trang hồ sơ để thiết lập lại 2FA ngay. Nút Cài lại chỉ hiện khi quản trị viên đó đang bật 2FA và người xem có quyền đặt lại 2FA cho quản trị viên khác.

Khuyến nghị khi áp dụng 2FA

Một vài lưu ý giúp việc áp dụng 2FA cho đội quản trị an toàn và ít gián đoạn:
  • Ưu tiên Ứng dụng xác thực cho các tài khoản có quyền cao, và bật thêm Email làm phương án dự phòng khi không có điện thoại bên cạnh.
  • Luôn có ít nhất hai quản trị viên có quyền quản lý admin, để người này có thể đặt lại 2FA cho người kia khi cần.
  • Đảm bảo website gửi được email trước khi khuyến khích quản trị viên dùng phương thức email.
  • Kết hợp với giới hạn số lần đăng nhập sai trong Cài đặt thường để chống dò mật khẩu ở bước đầu tiên.