2FASync
Et autentificerings-QR kan indeholde hele hemmeligheden
En QR til opsætning eller flytning kan give en anden person mulighed for at beregne fremtidige engangskoder, også efter billedet er lukket.
Den langtidsholdbare nøgle er den største risiko
Den viste engangskode gælder normalt kun et kort tidsrum, men den bagvedliggende TOTP-nøgle kan bruges igen og igen, indtil den oprindelige konto roterer den. Del derfor ikke opsætnings-QR eller eksportbilleder i en supportchat. Hvis billedet er lækket, bør autentificeringen genoprettes hos den oprindelige konto.
Brug lokal scanning frem for fremmede dekodere
2FASync læser understøttede kamerabilleder og lokale filer i browseren. Kameraet åbnes efter brugerhandling og stoppes, når importen afsluttes eller forlades. En lokal fil kan dog stadig være blevet kopieret af telefonens fotosynkronisering eller gemt i en fælles mappe.
Flere billeder skal høre til samme serie
Når Google Authenticator viser en eksport med flere QR-sider, skal alle dele fra samme eksport gennemgås. Kontroller oversigt og advarsler før lagring. Én vellykket scanning er ikke bevis for, at samtlige konti er flyttet, og sammenblandede eksporter er ikke et sikkert alternativ.