امنیت از کلید راه‌اندازی شروع می‌شود

به خود کلید مانند یک مدرک حساس نگاه کنید

کلید و QR تنظیم TOTP را داخل پیام عمومی، عکس اشتراکی یا گزارش اشکال قرار ندهید. حتی اگر کد فعلی منقضی شود، افشای کلید ممکن است تا زمان بازنشانی آن مشکل‌ساز بماند.

رمزگذاری سرور، مرورگر آلوده را اصلاح نمی‌کند

صندوق داخل مرورگر رمزگذاری می‌شود تا داده ذخیره‌شده سمت سرور به‌سادگی قابل خواندن نباشد. اگر بدافزار به حافظه مرورگر دسترسی بگیرد یا اسکریپت اجراشده دست‌کاری شود، هنگام بازبودن صندوق امکان مشاهده اسرار وجود دارد.

در صورت شک به افشا اقدام عملی کنید

از تنظیمات سرویس اصلی کلید TOTP را عوض کنید، نشست‌ها و دستگاه‌های مورداعتماد را مرور کنید و روش‌های بازیابی را کنترل کنید. لغو دسترسی دستگاه نمی‌تواند داده‌ای را که پیشتر کپی شده از راه دور نابود کند.

کد زمان‌دار هم در برابر فیشینگ زنده مصون نیست

صفحه‌ای جعلی می‌تواند کد معتبری که کاربر وارد کرده بلافاصله به سایت اصلی منتقل کند. بنابراین تنها داشتن TOTP تضمین مقاومت در برابر فیشینگ نیست؛ آدرس واقعی سرویس را بررسی کنید و در پاسخ به تماس یا پیام ناخواسته رمز ندهید.

اگر سرویس شما گذرکلید یا کلید امنیتی مقاوم‌تر در برابر فیشینگ ارائه می‌کند، آن را بر اساس نیاز حساب بررسی کنید. لغو دستگاه مورداعتماد هم نسخه‌ای را که پیشتر از راز برداشته شده پاک نمی‌کند.