Autentificarea în doi pași (2FA): ce este, ce metodă alegeți și cum o activați

Ați primit vreodată un mesaj de la un „prieten” pe WhatsApp: „Ți-a venit un cod din greșeală, mi-l trimiți și mie?” Dacă da, ați văzut deja în acțiune una dintre cele mai frecvente metode de furt de conturi. Și ați văzut, fără să știți, cât de important este acel cod: el este al doilea lacăt al contului.

Autentificarea în doi pași (numită și 2FA, de la „two-factor authentication”) este probabil cea mai eficientă măsură de securitate pe care o puteți activa în 10 minute, gratuit. În acest ghid vedem ce este, de ce funcționează, ce metodă să alegeți și cum o activați pe conturile care contează cel mai mult.

Articolul face parte din ghidul complet despre siguranța online și completează ghidul despre managerii de parole. Parola bună și autentificarea în doi pași lucrează împreună: una fără cealaltă lasă o ușă întredeschisă.

Ce este autentificarea în doi pași

În mod obișnuit, intrați într-un cont cu un singur lucru: parola. Dacă cineva o află, a intrat. Autentificarea în doi pași adaugă o a doua dovadă că sunteți chiar dumneavoastră, de obicei ceva ce aveți (telefonul, o cheie fizică), pe lângă ceva ce știți (parola).

O comparație simplă: parola este cheia de la ușă, iar al doilea pas este codul de la interfon. Un hoț care v-a copiat cheia tot rămâne în fața blocului.

Probabil o folosiți deja fără să-i spuneți așa: codul primit de la bancă la o plată online cu cardul sau confirmarea din aplicația băncii sunt forme de autentificare în doi pași. Regulile europene privind plățile obligă băncile să ceară această „autentificare strictă” la majoritatea plăților online.

De ce merită: ce spun studiile

Microsoft a analizat conturile utilizatorilor săi de business și a constatat, într-un studiu publicat în 2023, că autentificarea în mai mulți pași reduce riscul ca un cont să fie compromis cu peste 99%. Chiar și în cazul conturilor ale căror parole fuseseră deja furate, riscul scădea cu aproximativ 98,6%.
Google a arătat, într-o cercetare din 2019, că și cea mai simplă variantă, codul prin SMS, a blocat 100% din atacurile automate și 96% din atacurile de phishing în masă. Confirmarea pe telefon (notificarea „Dvs. încercați să vă conectați?”) a blocat 99% din phishingul în masă și 90% din atacurile țintite.

Concluzia este simplă: orice formă de autentificare în doi pași este mult mai bună decât niciuna. Diferențele dintre metode contează, dar mai puțin decât faptul de a o activa.

Metodele, de la cea mai slabă la cea mai sigură

1. Cod prin SMS

Primiți un cod de 6 cifre prin mesaj. Este cea mai răspândită și cea mai comodă metodă, dar și cea mai vulnerabilă. Chiar Google o descrie, în pagina de ajutor, drept opțiunea cea mai puțin sigură, pentru că poate fi atacată prin numărul de telefon.

Principalele riscuri:

Vă este cerut codul. Escrocul se dă drept prieten, curier sau angajat al băncii și vă convinge să i-l citiți sau să i-l trimiteți. Este cea mai frecventă situație și nu ține de tehnologie, ci de încredere.
SIM swap (preluarea numărului). Atacatorul convinge operatorul de telefonie că este titularul numărului și îl mută pe o cartelă SIM sau eSIM pe care o controlează. Din acel moment, codurile dumneavoastră ajung la el. Primul semn este de obicei pierderea bruscă a semnalului. Fenomenul este descris pe larg de Playtech și Mobilissimo. Nu este un atac de masă, dar este real și vizează mai ales persoanele cu bani sau criptomonede de furat.

Verdict: mult mai bine decât nimic. Dacă un serviciu oferă doar SMS, activați-l fără ezitare. Dacă oferă și altceva, alegeți altceva pentru conturile importante.

2. Aplicație de autentificare (coduri care se schimbă la 30 de secunde)

O aplicație instalată pe telefon generează un cod nou la fiecare 30 de secunde, direct pe dispozitiv. Codul nu trece prin rețeaua de telefonie, deci nu poate fi interceptat prin SIM swap, iar aplicația funcționează și fără internet sau semnal.

Variante gratuite des folosite:

Google Authenticator: simplă și foarte răspândită. Din 2023 poate salva codurile în contul Google, ca să nu le pierdeți odată cu telefonul. Dacă folosiți această funcție, contul Google devine și mai important, așa că trebuie protejat foarte bine.
Microsoft Authenticator: generează coduri pentru orice serviciu, nu doar pentru Microsoft. Atenție: din vara lui 2025 nu mai păstrează parole, doar coduri, așa cum am arătat în ghidul despre managerii de parole.
2FAS Auth: gratuită, cu cod sursă deschis, nu cere crearea unui cont și permite copii de rezervă controlate de dumneavoastră.
Managerul de parole: unele aplicații, precum 1Password sau varianta Premium a Bitwarden, pot genera și ele coduri. Este comod, dar înseamnă să țineți „ambele chei” în același loc. Pentru conturile cele mai importante (emailul principal, banca), mulți specialiști preferă o aplicație separată.

O mențiune pentru utilizatorii mai vechi ai aplicației Authy: versiunile pentru calculator (Windows, macOS, Linux) au fost închise de producător în martie 2024. Dacă v-ați bazat pe ele, verificați că aveți codurile și pe telefon.

Verdict: cea mai bună alegere pentru majoritatea oamenilor. Singura grijă: dacă pierdeți telefonul, aveți nevoie de o copie de rezervă sau de codurile de recuperare (vezi mai jos).

3. Confirmare pe telefon (notificare)

Google, Microsoft, Apple și băncile vă pot trimite o notificare pe telefonul deja conectat: „Încercați să vă conectați?” Apăsați „Da” sau „Nu”. Este comodă și sigură, cu o condiție: nu apăsați niciodată „Da” la o cerere pe care nu ați inițiat-o dumneavoastră. Unii atacatori trimit cereri în serie, sperând că veți aproba una din greșeală sau din oboseală.

4. Chei de acces (passkeys) și chei de securitate fizice

Sunt cea mai sigură variantă. O cheie de acces (passkey) vă conectează cu amprenta, fața sau codul de blocare al telefonului, fără parolă de tastat. O cheie de securitate fizică este un mic dispozitiv USB sau NFC pe care îl atingeți la conectare. Ambele sunt legate de adresa reală a site-ului, deci nu funcționează pe o pagină falsă de phishing. În studiul Google din 2019, niciunul dintre utilizatorii care foloseau exclusiv chei de securitate nu a căzut victimă phishingului țintit.

Verdict: excelente acolo unde sunt disponibile. Cheile de acces sunt gratuite și din ce în ce mai răspândite; cheile fizice costă bani și se justifică mai ales pentru persoanele expuse (antreprenori, persoane publice, investitori în criptomonede).

Pe ce conturi să o activați mai întâi

Nu trebuie să faceți totul într-o seară. Începeți cu ordinea aceasta:

Emailul principal (Gmail, Yahoo, Outlook). Este cel mai important, pentru că prin el se pot reseta parolele tuturor celorlalte conturi.
WhatsApp. Este ținta preferată a escrocilor din România, pentru că un cont preluat poate fi folosit imediat pentru a cere bani prietenilor.
Facebook și Instagram.
Contul Apple sau Google al telefonului.
Managerul de parole, dacă folosiți unul.
Magazinele online, platformele de plăți și orice cont cu card salvat.

Cum o activați, pas cu pas

Meniurile se mai schimbă de la o versiune la alta a aplicațiilor, iar denumirile pot diferi puțin în funcție de limba telefonului. Pașii de mai jos sunt cei valabili la data scrierii, conform paginilor oficiale de ajutor.

Contul Google (Gmail, YouTube, Android)

Intrați pe myaccount.google.com.
Alegeți „Securitate și conectare”.
La secțiunea despre cum vă conectați la Google, activați „Verificarea în doi pași” și urmați pașii de pe ecran.
Adăugați cel puțin două metode (de exemplu solicitări Google pe telefon și o aplicație de autentificare) și descărcați codurile de rezervă.

Sursa: Ajutor Google – Activarea verificării în doi pași.

Deschideți WhatsApp și mergeți la Setări → Cont → Verificare în doi pași.
Apăsați „Activează” și alegeți un cod PIN de 6 cifre, pe care îl introduceți de două ori.
Adăugați o adresă de email la care aveți acces. Vă ajută să resetați PIN-ul dacă îl uitați.

De ce contează: chiar dacă un escroc reușește să obțină codul de 6 cifre primit prin SMS, fără PIN-ul dumneavoastră nu poate activa contul pe telefonul lui. Sursa: Centrul de ajutor WhatsApp.

Facebook și Instagram

În aplicația Facebook, deschideți meniul (sau poza de profil), apoi „Setări și confidențialitate” → „Setări”.
Intrați în „Centrul de conturi” → „Parolă și securitate” → „Autentificare în doi pași” și alegeți contul.
Alegeți metoda. Facebook recomandă aplicația de autentificare; sunt disponibile și SMS-ul sau WhatsApp, precum și cheile de securitate.
Salvați codurile de recuperare.

Centrul de conturi este comun pentru Facebook și Instagram, așa că de acolo puteți proteja ambele conturi. Sursa: ghidul Malwarebytes (octombrie 2025).

Contul Apple (iPhone, iPad, Mac)

Vestea bună: potrivit Apple, autentificarea cu doi factori este metoda implicită pentru majoritatea conturilor Apple. Ca să verificați, deschideți Configurări → numele dumneavoastră → Autentificare și securitate. Dacă nu este activă, o puteți porni de acolo.

Ce faceți dacă pierdeți telefonul

Aceasta este temerea principală a celor care amână activarea, și pe bună dreptate. Soluția se pregătește din timp:

Codurile de rezervă (de recuperare). Aproape toate serviciile vi le oferă la activare. Tipăriți-le sau scrieți-le pe hârtie și păstrați-le acasă, într-un loc sigur. Nu le țineți doar pe telefonul pe care l-ați putea pierde.
O a doua metodă. De exemplu, aplicația de autentificare plus o cheie de acces sau un număr de telefon de rezervă.
Copia de rezervă a aplicației de autentificare. Verificați în setările aplicației dacă este activată și unde se salvează.

Trei reguli de aur

Nu dați nimănui codul primit. Nici prietenului care „l-a trimis din greșeală”, nici „băncii”, nici „curierului”. Nicio instituție serioasă nu vă cere codul de verificare. Detalii în ghidul despre preluarea conturilor.
Nu aprobați notificări pe care nu le-ați cerut. O cerere de conectare neașteptată înseamnă că altcineva are deja parola. Refuzați-o și schimbați parola imediat.
Nu introduceți codul pe un site la care ați ajuns dintr-un link primit. Paginile false de phishing pot cere și codul, pe lângă parolă. Intrați pe site scriind singuri adresa sau din aplicația oficială.

Un sfat suplimentar pentru cei care folosesc SMS-ul: întrebați operatorul de telefonie ce protecții oferă împotriva mutării neautorizate a numărului (de exemplu o parolă sau un cod de securitate pentru cont) și activați-le.

Întrebări frecvente

Nu e prea complicat pentru părinții mei?
Pentru WhatsApp, este doar un PIN de 6 cifre, cerut din când în când. Pentru emailul Google, confirmarea pe telefon („Da, sunt eu”) este foarte simplă. Merită să-i ajutați să o activeze: ei sunt adesea ținta preferată a escrocilor.

Trebuie să introduc codul la fiecare conectare?
De obicei nu. Majoritatea serviciilor vă permit să marcați dispozitivele personale drept „de încredere”, iar codul vă este cerut doar la conectarea de pe un dispozitiv nou. Nu folosiți această opțiune pe calculatoare publice sau împrumutate.

Dacă am autentificare în doi pași, mai contează parola?
Da. Al doilea pas este o plasă de siguranță, nu un înlocuitor. O parolă unică și lungă, ținută într-un manager de parole, plus autentificarea în doi pași reprezintă combinația recomandată.

Costă ceva?
Nu. Autentificarea în doi pași este gratuită la toate serviciile menționate, iar aplicațiile de autentificare de mai sus sunt gratuite. Singurele care costă sunt cheile de securitate fizice, opționale.

📩 Vă este util? Abonați-vă mai jos și primiți cadou două liste gratuite: „10 pași de siguranță online pentru familie”, de pus pe frigider sau de trimis părinților, și, dacă aveți o afacere sau lucrați ca freelancer, checklistul „10 pași ca să vă securizați conturile în 30 de minute”. Veți afla apoi primii despre fraudele noi și despre cum vă protejați. Fără spam, cu dezabonare oricând.

Notă de transparență: acest articol nu conține linkuri de afiliere. Toate instrumentele recomandate aici sunt gratuite. Detalii despre modul în care lucrăm găsiți pe pagina Transparență.