קוד מתחלף מועיל רק כשהמפתח נשאר סודי

אל תחשפו מפתחות הגדרה בתמונה או בטקסט

QR של חשבון ומחרוזת Base32 דורשים הגנה כמו סיסמה רגישה. כשמדגימים בעיה, השתמשו במפתח בדיקה ולא בחשבון אמיתי, גם אם מסתירים את שש הספרות שהופיעו.

הצפנה אינה תיקון למכשיר לא מאובטח

הצפנת הכספת בדפדפן מגינה מפני חשיפה פשוטה של נתונים שמאוחסנים בשרת. היא לא מבטיחה הגנה מפני קוד זדוני שרץ בדפדפן כשהכספת פתוחה או מפני מי שכבר העתיק סוד.

כך פועלים אחרי חשש לדליפה

משנים את הגדרת האימות באתר המקורי, בודקים מכשירים מחוברים ומבטלים אמון במכשיר חשוד. אם החשבון המקורי מאפשר קודי גיבוי, יש לבדוק גם את מצבם.

TOTP אינו חסין מפני פישינג בזמן אמת

עמוד התחברות מזויף עשוי לבקש את הקוד הנוכחי ולהעביר אותו מיד לאתר האמיתי. לכן קוד מתחלף אינו לבדו הגנה בפני פישינג; בדקו את כתובת השירות המקורי לפני הזנה ואל תמסרו קוד בשיחה לא צפויה.

בשירות שמציע מפתח אבטחה או passkey עמידים לפישינג, אפשר לשקול אותם לפי צרכי החשבון. ביטול אמון במכשיר לא מוחק עותק של סוד שכבר הועתק ממכשיר שנפגע.