Xác thực hai lớp (2FA) giúp người dùng bảo vệ tài khoản trên website: sau khi nhập đúng mật khẩu, người dùng phải nhập thêm một mã 6 chữ số từ ứng dụng xác thực trên điện thoại hoặc từ email. Kể cả khi mật khẩu bị lộ, người khác vẫn không đăng nhập được. Tài liệu này hướng dẫn quản trị viên bật tính năng, hướng dẫn người dùng tự thiết lập 2FA trong trang tài khoản, mô tả trang xác thực khi đăng nhập và cách quản trị viên đặt lại 2FA khi người dùng mất thiết bị.

Tổng quan về 2FA cho người dùng

EzyLogin hỗ trợ hai phương thức xác thực hai lớp cho người dùng, mỗi người có thể bật một hoặc cả hai:
Phương thứcCách lấy mãĐặc điểm
Ứng dụng xác thựcMã 6 chữ số từ Google Authenticator, Microsoft Authenticator, Authy hoặc ứng dụng TOTP khácMã đổi mỗi 30 giây, không cần mạng hay email, an toàn hơn
EmailMã 6 chữ số gửi tới email của tài khoảnKhông cần cài ứng dụng, nhưng phụ thuộc vào việc gửi email của website
Khi đã bật ít nhất một phương thức, mọi lần đăng nhập trên web của tài khoản đó đều phải qua bước xác thực hai lớp, dù đăng nhập bằng mật khẩu hay bằng Google, Facebook, OAuth 2.0 khác hoặc SSO.
Phần thiết lập 2FA của người dùng nằm trong trang tài khoản do plugin EzyAccount cung cấp, vì vậy website cần cài cả EzyLogin và EzyAccount. Trang xác thực khi đăng nhập do EzyLogin cung cấp.

Cho phép người dùng bật 2FA

Quản trị viên bật tính năng trong EzyLogin > Cài đặt thường của trang quản trị.
Cài đặt cho phép người dùng bật 2FA
  1. Cho phép người dùng bật xác thực hai lớp (2FA): đánh dấu rồi nhấn Lưu.
Khi bỏ đánh dấu, mục Xác thực hai lớp bị ẩn khỏi trang tài khoản của người dùng chưa bật 2FA. Người dùng đã bật trước đó vẫn thấy mục này, vẫn phải xác thực khi đăng nhập và vẫn có thể tự tắt phương thức của mình, nhưng không thể bật thêm phương thức mới.

Thiết lập 2FA trong trang tài khoản

Người dùng đăng nhập vào website và mở trang tài khoản (đường dẫn /account). Mục Xác thực hai lớp nằm ở cuối thông tin tài khoản, cho biết trạng thái từng phương thức.
Mục xác thực hai lớp trong trang tài khoản khi chưa bật
  1. Thiết lập: bật xác thực bằng ứng dụng xác thực.
  2. Bật: bật xác thực bằng email.

Thiết lập ứng dụng xác thực

Cài một ứng dụng xác thực trên điện thoại (ví dụ Google Authenticator), sau đó nhấn Thiết lập để mở hộp thoại dưới đây.
Hộp thoại thiết lập ứng dụng xác thực
  1. Mã QR: mở ứng dụng xác thực, chọn thêm tài khoản và quét mã này.
  2. Khóa bí mật: dùng khi không quét được mã QR, nhập thủ công khóa này vào ứng dụng hoặc nhấn biểu tượng sao chép.
  3. Mã xác thực: nhập mã 6 chữ số mà ứng dụng đang hiển thị.
  4. Nhấn Xác nhận. Nếu mã đúng, ứng dụng xác thực chuyển sang trạng thái Đã kích hoạt; nếu sai, hộp thoại báo "Mã xác thực không hợp lệ hoặc đã hết hạn".
Hãy giữ kín mã QR và khóa bí mật, vì ai có chúng đều có thể tạo mã xác thực cho tài khoản. Mỗi lần nhấn Thiết lập, EzyLogin tạo một khóa bí mật mới.

Bật xác thực qua email

Phương thức này cần tài khoản có email và website đã cấu hình gửi email. Nhấn Bật, website gửi mã xác thực tới email của người dùng và mở hộp thoại dưới đây.
Hộp thoại bật xác thực qua email
  1. Email đã nhận mã xác thực.
  2. Mã xác thực: nhập mã 6 chữ số trong email. Mã có hiệu lực trong 5 phút.
  3. Gửi lại mã xác thực nếu chưa nhận được email. Mỗi lần gửi cách nhau ít nhất 60 giây, gửi sớm hơn sẽ có thông báo "Vui lòng chờ trước khi gửi lại mã xác thực" kèm số giây còn lại.
  4. Nhấn Xác nhận để bật phương thức email.
Nếu tài khoản chưa có email, website báo "Tài khoản của bạn chưa có email". Người dùng cần cập nhật email trước.

Kiểm tra trạng thái và tắt một phương thức

Sau khi thiết lập, mục Xác thực hai lớp hiển thị trạng thái mới.
Mục xác thực hai lớp khi đã bật cả hai phương thức
  1. Đã kích hoạt: phương thức đang được dùng khi đăng nhập.
  2. Tắt: tắt phương thức tương ứng.
Để tránh người khác tắt 2FA khi người dùng quên đăng xuất trên máy dùng chung, website yêu cầu nhập lại mật khẩu trước khi tắt:
Nhập mật khẩu trước khi tắt một phương thức 2FA
  1. Nhập mật khẩu hiện tại.
  2. Nhấn Tắt để tắt phương thức.
Khi tắt hết các phương thức, tài khoản quay lại đăng nhập chỉ bằng mật khẩu.

Đăng nhập với 2FA

Khi tài khoản đã bật 2FA, sau khi đăng nhập thành công ở bước đầu (mật khẩu hoặc mạng xã hội), người dùng được chuyển tới trang Xác thực hai lớp (đường dẫn /2fa). Chỉ sau khi nhập đúng mã, người dùng mới được đưa về trang đang xem trước khi đăng nhập.

Xác thực bằng ứng dụng

Trang xác thực mặc định chọn Ứng dụng xác thực nếu phương thức này đã được bật.
Trang xác thực hai lớp với ứng dụng xác thực
  1. Chọn phương thức xác thực. Các tab chỉ hiện khi tài khoản bật cả hai phương thức.
  2. Nhập mã 6 chữ số đang hiển thị trong ứng dụng xác thực.
  3. Nhấn Xác thực để hoàn tất đăng nhập.
  4. Đăng xuất: hủy lần đăng nhập này.
Mã từ ứng dụng chấp nhận lệch thời gian khoảng 30 giây, nên nếu đồng hồ điện thoại hơi lệch vẫn đăng nhập được. Mỗi mã chỉ dùng được một lần: nếu vừa dùng một mã, hãy chờ ứng dụng hiển thị mã tiếp theo.

Xác thực qua email

Chọn tab Email để nhận mã qua email. Địa chỉ email được che một phần để bảo vệ thông tin.
Trang xác thực hai lớp trước khi gửi mã qua email
  1. Email sẽ nhận mã xác thực.
  2. Nhấn Gửi mã xác thực để nhận mã.
Trang xác thực hai lớp sau khi đã gửi mã qua email
  1. Thông báo mã đã được gửi. Nút bên dưới đổi thành Gửi lại mã xác thực (cách nhau ít nhất 60 giây).
  2. Nhập mã trong email (hiệu lực 5 phút) và nhấn Xác thực.

Khi nhập sai mã

Nếu mã sai hoặc đã hết hạn, trang hiển thị lỗi để người dùng nhập lại.
Thông báo mã xác thực không hợp lệ
  1. Thông báo "Mã xác thực không hợp lệ hoặc đã hết hạn".
Sau 5 lần nhập sai liên tiếp, bước xác thực hai lớp của tài khoản bị khóa trong 15 phút và trang hiển thị "Tài khoản của bạn bị khoá trong ... phút". Hết thời gian khóa, người dùng có thể thử lại. Lần xác thực thành công sẽ xóa bộ đếm số lần sai.

Đặt lại 2FA khi người dùng mất thiết bị

Khi người dùng mất điện thoại, xóa nhầm ứng dụng xác thực hoặc không truy cập được email, họ không thể tự đăng nhập. Quản trị viên có quyền quản lý người dùng có thể đặt lại 2FA cho họ sau khi đã xác minh đúng chủ tài khoản.
Trong trang quản trị, mở hồ sơ của người dùng (từ danh sách người dùng, đường dẫn /users/<tên đăng nhập>):
Đặt lại 2FA của người dùng trong trang quản trị
  1. Trạng thái 2FA và các phương thức người dùng đang bật.
  2. Cài lại: xóa toàn bộ thiết lập 2FA của người dùng.
Xác nhận đặt lại 2FA của người dùng
  1. Xác nhận tên người dùng cần đặt lại, sau đó nhấn Cài lại.
Sau khi đặt lại, người dùng đăng nhập lại chỉ bằng mật khẩu và nên vào trang tài khoản để thiết lập lại 2FA. Dòng Xác thực hai lớp và nút Cài lại chỉ hiện khi người dùng đang bật 2FA và quản trị viên có quyền đặt lại 2FA của người dùng.

Khuyến nghị khi áp dụng 2FA cho người dùng

Một vài lưu ý giúp việc triển khai 2FA cho người dùng thuận lợi:
  • Đảm bảo website gửi được email trước khi bật tính năng, vì cả việc bật phương thức email lẫn đăng nhập bằng email đều cần gửi mã.
  • Khuyến khích người dùng bật cả hai phương thức: ứng dụng xác thực dùng hằng ngày, email làm phương án dự phòng khi không có điện thoại bên cạnh.
  • Chuẩn bị quy trình xác minh danh tính trước khi đặt lại 2FA cho người dùng, tránh việc kẻ gian giả danh chủ tài khoản để yêu cầu đặt lại.
  • Kết hợp với giới hạn số lần đăng nhập sai và chính sách đăng nhập trên nhiều thiết bị trong Cài đặt thường để bảo vệ tài khoản tốt hơn.