Multifactorauthenticatie

"Multi-factor authentication" (MFA) vraagt bij het aanmelden om een tweede identiteitsbewijs, boven op uw wachtwoord: een code van zes cijfers uit een authenticator-app op uw telefoon. U stelt die zelf in onder "Profile" → "Security", en een beheerder kan MFA verplicht stellen voor de hele organisatie.

Een authenticator-app instellen

Kies onder "Profile" → "Security" de optie "Start setup". Flowtly toont een QR-code en het achterliggende geheim: scan de code met uw authenticator-app, of typ het geheim met de hand over als scannen niet lukt. Voer daarna de zes cijfers in die de app toont en kies "Verify and enable".

Codes bestaan uit zes cijfers en wisselen elke 30 seconden. Ook de code direct ervoor en erna wordt geaccepteerd, zodat een telefoonklok die een paar seconden afwijkt u niet buitensluit.

MFA staat pas aan zodra u een juiste code hebt ingevoerd. Tot dat moment verandert er niets aan uw aanmelding.

Herstelcodes

Na bevestiging van uw authenticator-app krijgt u tien herstelcodes. Elke code werkt één keer, in plaats van een code uit de app, en ze bestaan voor de dag dat u de telefoon niet meer hebt.

Ze worden één keer getoond en kunnen niet opnieuw worden opgevraagd. Bewaar ze op een veilige plek, of gebruik "Download codes" om ze als bestand te bewaren. Een authenticator-app opnieuw instellen levert tien nieuwe codes op, en de vorige tien werken niet meer.

Als uw organisatie MFA verplicht stelt

Een beheerder kan MFA voor iedereen verplicht stellen. Staat dat aan en hebt u nog geen authenticator-app ingesteld, dan leidt het aanmeldscherm u door de installatie: code scannen, de zes cijfers invoeren, de herstelcodes bewaren — en u bent aangemeld.

Als een code tijdens deze installatie wordt geweigerd, zegt het scherm waarom:

• De code is niet geldig. Controleer de cijfers of scan de QR-code op dit scherm opnieuw. Elke installatiepoging heeft een eigen QR-code, dus een authenticator-item van een eerdere scan levert codes op die niet werken.
• Te veel pogingen. Wacht even. De limiet verdwijnt vanzelf.
• Uw aanmelding is verlopen, of de installatie kan niet meer worden voltooid. De QR-code maakt plaats voor de melding en een knop terug naar het aanmeldscherm. Meld u opnieuw aan om een nieuwe QR-code te krijgen.
• De installatie is niet meer nodig voor dit account. Ga terug naar het aanmeldscherm en meld u opnieuw aan.

U hoeft niemand om hulp te vragen, en het aanzetten van de verplichting sluit niemand buiten.

Vertrouwde apparaten

Bij het invoeren van een code kunt u "Trust this device" aanvinken. Flowtly vraagt dan 30 dagen lang geen code meer in die browser. Het geldt per browser, niet per persoon: een andere browser, een privévenster of een tweede computer vraagt opnieuw.

"Profile" → "Security" toont de apparaten die u hebt vertrouwd en wanneer elk voor het laatst is gebruikt, en laat u er een intrekken — of alle tegelijk met "Revoke all", wat de juiste stap is bij een verloren of gestolen laptop.

E-mail als terugval

U kunt "Email fallback" inschakelen, zodat een eenmalige code naar uw adres kan worden gestuurd wanneer de authenticator-app niet bij de hand is. Die code is tien minuten geldig. Het inschakelen van de terugval wordt bevestigd met een code die naar uw adres wordt gestuurd. Na 10 foute codes in 15 minuten wordt die bevestiging een tijd geweigerd, ook met de juiste code.

Wanneer u bij het aanmelden e-mail kiest, wordt er niets verzonden totdat u om de code vraagt. Nadat een code is verzonden, telt de verzendknop 30 seconden af voordat er nog een kan worden verzonden. Alleen de meest recente code werkt: een nieuwe aanvragen annuleert de vorige, dus wacht tot de e-mail binnenkomt in plaats van opnieuw te vragen. Een geplakte code wordt ook geaccepteerd met een verdwaalde spatie eromheen.

De terugval is zwakker dan een authenticator-app, want hij is nooit veiliger dan de mailbox erachter. Een beheerder kan hem voor de hele organisatie uitschakelen; dan staat hij voor iedereen uit, wat de persoonlijke instelling ook zegt.

Uw authenticator vervangen of uitschakelen

"Profile" → "Security" → "Reset" schakelt MFA uit voor uw account. Eerst wordt om een actuele code uit uw app of om een van uw herstelcodes gevraagd, zodat niemand dit kan doen vanuit een sessie die niet van hem is. Na 10 foute codes in 15 minuten wordt "Reset" een tijd geweigerd, ook met de juiste code, dus wacht even voordat u het opnieuw probeert.

Opnieuw instellen wist meer dan de app: het geheim, alle herstelcodes, een eventuele openstaande e-mailcode en alle vertrouwde apparaten, en de terugval via e-mail gaat weer uit. Precies daarom is het de juiste stap bij een verloren of gecompromitteerde telefoon. Daarna stelt u een authenticator-app opnieuw in — en als uw organisatie MFA verplicht stelt, wordt u daar bij de volgende aanmelding om gevraagd.

MFA voor iedereen verplicht stellen

"Settings" → "Security" bevat de organisatiebrede vereiste: MFA verplicht stellen voor iedereen. Het staat naast de andere organisatiebrede instellingen op die pagina, beschreven onder Beveiligingsinstellingen. Er zijn nergens in Flowtly wachtwoordbeleidsregels of sessietime-outs.

Staat hij aan, dan meldt iedereen zich aan met een tweede factor, en wie er nog geen heeft ingesteld wordt op het aanmeldscherm door de installatie geleid in plaats van geweigerd. Het aanzetten laat dus niemand achter.

Bij demo-accounts kan MFA niet worden ingeschakeld.

Voorbeelden van gebruik

• Een account dat salarissen, facturen en bankgegevens ziet met meer dan alleen een wachtwoord beschermen.
• Voldoen aan de beveiligingseis van een klant of verzekeraar door MFA op één plek voor de hele organisatie aan te zetten.
• Een gedeelde kantoorcomputer 30 dagen soepel laten aanmelden, terwijl een laptop die meegaat op reis elke keer wordt gevraagd.
• Met een herstelcode weer binnenkomen als de telefoon met de app kwijt is, daarna opnieuw instellen en de nieuwe telefoon inrichten.