Multifactorauthenticatie

Multifactorauthenticatie (MFA) vraagt bij het aanmelden om een tweede identiteitsbewijs, boven op uw wachtwoord: een code van zes cijfers uit een authenticator-app op uw telefoon. U stelt die zelf in onder Profiel → Beveiliging, en een beheerder kan MFA verplicht stellen voor de hele organisatie.

Een authenticator-app instellen

Kies onder Profiel → Beveiliging de optie Installatie starten. Flowtly toont een QR-code en het achterliggende geheim: scan de code met uw authenticator-app, of typ het geheim met de hand over als scannen niet lukt. Voer daarna de zes cijfers in die de app toont en kies Verifiëren en inschakelen.

Codes bestaan uit zes cijfers en wisselen elke 30 seconden. Ook de code direct ervoor en erna wordt geaccepteerd, zodat een telefoonklok die een paar seconden afwijkt u niet buitensluit.

MFA staat pas aan zodra u een juiste code hebt ingevoerd. Tot dat moment verandert er niets aan uw aanmelding.

Herstelcodes

Na bevestiging van uw authenticator-app krijgt u tien herstelcodes. Elke code werkt één keer, in plaats van een code uit de app, en ze bestaan voor de dag dat u de telefoon niet meer hebt.

Ze worden één keer getoond en kunnen niet opnieuw worden opgevraagd. Bewaar ze op een veilige plek, of gebruik Codes downloaden om ze als bestand te bewaren. Een authenticator-app opnieuw instellen levert tien nieuwe codes op, en de vorige tien werken niet meer.

Als uw organisatie MFA verplicht stelt

Een beheerder kan MFA voor iedereen verplicht stellen. Staat dat aan en hebt u nog geen authenticator-app ingesteld, dan leidt het aanmeldscherm u door de installatie: code scannen, de zes cijfers invoeren, de herstelcodes bewaren — en u bent aangemeld.

U hoeft niemand om hulp te vragen, en het aanzetten van de verplichting sluit niemand buiten.

Vertrouwde apparaten

Bij het invoeren van een code kunt u Dit apparaat vertrouwen aanvinken. Flowtly vraagt dan 30 dagen lang geen code meer in die browser. Het geldt per browser, niet per persoon: een andere browser, een privévenster of een tweede computer vraagt opnieuw.

Profiel → Beveiliging toont de apparaten die u hebt vertrouwd en wanneer elk voor het laatst is gebruikt, en laat u er een intrekken — of alle tegelijk met Alles intrekken, wat de juiste stap is bij een verloren of gestolen laptop.

E-mail als terugval

U kunt een terugval via e-mail inschakelen, zodat een eenmalige code naar uw adres kan worden gestuurd wanneer de authenticator-app niet bij de hand is. Die code is tien minuten geldig.

De terugval is zwakker dan een authenticator-app, want hij is nooit veiliger dan de mailbox erachter. Een beheerder kan hem voor de hele organisatie uitschakelen; dan staat hij voor iedereen uit, wat de persoonlijke instelling ook zegt.

Uw authenticator vervangen of uitschakelen

Profiel → Beveiliging → Opnieuw instellen schakelt MFA uit voor uw account. Eerst wordt om een actuele code uit uw app of om een van uw herstelcodes gevraagd, zodat niemand dit kan doen vanuit een sessie die niet van hem is.

Opnieuw instellen wist meer dan de app: het geheim, alle herstelcodes, een eventuele openstaande e-mailcode en alle vertrouwde apparaten, en de terugval via e-mail gaat weer uit. Precies daarom is het de juiste stap bij een verloren of gecompromitteerde telefoon. Daarna stelt u een authenticator-app opnieuw in — en als uw organisatie MFA verplicht stelt, wordt u daar bij de volgende aanmelding om gevraagd.

MFA voor iedereen verplicht stellen

Instellingen → Beveiliging heeft één schakelaar: MFA verplicht stellen voor de organisatie. Het is de enige instelling op die pagina — er is geen wachtwoordbeleid en er zijn geen sessietime-outs.

Staat hij aan, dan meldt iedereen zich aan met een tweede factor, en wie er nog geen heeft ingesteld wordt op het aanmeldscherm door de installatie geleid in plaats van geweigerd. Het aanzetten laat dus niemand achter.

Bij demo-accounts kan MFA niet worden ingeschakeld.

Voorbeelden van gebruik

• Een account dat salarissen, facturen en bankgegevens ziet met meer dan alleen een wachtwoord beschermen.
• Voldoen aan de beveiligingseis van een klant of verzekeraar door MFA op één plek voor de hele organisatie aan te zetten.
• Een gedeelde kantoorcomputer 30 dagen soepel laten aanmelden, terwijl een laptop die meegaat op reis elke keer wordt gevraagd.
• Met een herstelcode weer binnenkomen als de telefoon met de app kwijt is, daarna opnieuw instellen en de nieuwe telefoon inrichten.