Adgangskode og totrinsbekræftelse

Modul 8: Sikkert og uden bekymringer · Læsetid: 10 minutter

Læringsmål: Efter denne lektion kan du forklare, hvad en stærk adgangskode til din mailboks er, hvad du skal gøre på dine enheder efter en ændring, hvordan en kode fra en authenticator-app opstår, og hvad totrinsbekræftelse i webmailen beskytter og ikke beskytter.

Centrale begreber: adgangskode til mailboksen, adgangskodeadministrator, totrinsbekræftelse, TOTP, delt hemmelighed, QR-kode, gendannelseskode, urafvigelse, IMAP og SMTP uden andet trin

Hvorfor din mailboks er din vigtigste konto

Din mailboks er nøgleknippet til dit liv online. Næsten alle tjenester sender et link til at nulstille din adgangskode til din mail. Den, der har din mailboks, kan altså også overtage din webshop, dit regnskab og dine sociale medier. Og vedkommende kan sende mail i dit navn til kunder, der stoler på dig. Derfor bliver en stjålet mailboks ofte brugt til fakturasvindel eller til at sende spam. Det sidste bringer hele dit domæne i problemer: andre servere begynder at afvise din mail.

To ting holder en ubuden gæst ude: en god adgangskode og et ekstra trin, når du logger ind.

En stærk adgangskode er først og fremmest lang og unik

Din adgangskode til mailboksen hører til én mailadresse. Den er ikke den samme som adgangskoden til din kundekonto eller til kontrolpanelet for dit pakke (lektion 1.3).

Hvad gør en adgangskode stærk? Ikke et udråbstegn efter et ord, men længde og tilfældighed. Angribere prøver lækkede adgangskoder og lister med ofte brugte ord og mønstre. "Sommer2026!" står på sådan en liste, men fire tilfældige ord i træk eller tyve tilfældige tegn gør ikke. Lige så vigtigt er det, at adgangskoden er unik. Bliver en webshop, hvor du brugte den samme adgangskode, udsat for et læk, så prøver kriminelle den også på din mailboks.

Den praktiske løsning er en adgangskodeadministrator: et program, der laver og husker en lang, tilfældig adgangskode til hver tjeneste. Så skal du selv kun huske én stærk hovedadgangskode.

Efter ændringen: opdater alle enheder

Du ændrer adgangskoden i webmailen under Indstillinger > Adgangskode, eller i kontrolpanelet for dit pakke, hvis du ikke længere kan huske den gamle. Fra det øjeblik gælder den nye adgangskode overalt: i webmailen, på din telefon og i dit mailprogram.

Her går det tit galt. Sanne de Vries ændrer om mandagen adgangskoden til sanne@example.com. Hun opdaterer sin bærbare med det samme. Den gamle tablet i køkkenet glemmer hun. Tabletten bliver ved med at logge ind med den gamle adgangskode med få minutters mellemrum. Efter et antal mislykkede forsøg ser serverens firewall en forbindelse, der hele tiden prøver en forkert adgangskode, og blokerer IP-adressen. Fordi tabletten og den bærbare deler den samme IP-adresse derhjemme, kan Sanne pludselig heller ikke komme til sin mail på den bærbare, og nogle gange heller ikke til sin hjemmeside.

Opdater derfor alle enheder lige efter en ændring: telefon, tablet, mailprogrammet på din computer og en eventuel printer eller scanner, der sender mail.

Totrinsbekræftelse: noget, du ved, og noget, du har

Med totrinsbekræftelse (i webmailen hedder det 2-trins verificering) skal du bruge to ting, når du logger ind: din adgangskode (noget, du ved) og en kode fra din telefon (noget, du har). En person, der får fat i din adgangskode via phishing eller et læk, kommer så stadig ikke ind.

Koden kommer fra en authenticator-app, for eksempel appen fra din adgangskodeadministrator eller en separat app til den slags koder. Metoden hedder TOTP, time-based one-time password, og er beskrevet i RFC 6238. Sådan fungerer den:

1. Når du slår den til, laver webmailen en delt hemmelighed: en tilfældig række tegn. Du ser den som en hemmelig nøgle og som en QR-kode.
2. Du scanner QR-koden med appen. Fra nu af kender serveren og din telefon begge den samme hemmelighed.
3. Hvert 30. sekund regner begge hemmeligheden sammen med det aktuelle klokkeslæt om til en kode på seks cifre.
4. Når du logger ind, sammenligner serveren din kode med sit eget resultat.

Der følger to ting af det. Appen har ikke brug for internet: den regner kun med hemmeligheden og uret. Og uret skal gå rigtigt. Går din telefon et par minutter for hurtigt eller for langsomt, regner den med et andet tidsinterval, og så passer koden ikke. Sæt tiden på din telefon til automatisk.

En tredje konsekvens: QR-koden ér hemmeligheden. Den, der har et foto eller et skærmbillede af den, kan lave de samme koder. Del den derfor aldrig, og gem den ikke som billede.

På billedet ser du skærmen, hvor du slår totrinsbekræftelse til, med den hemmelige nøgle, gendannelseskoderne og QR-koden.

Gendannelseskoder og en telefon, der er væk

Når du slår det til, får du også fire gendannelseskoder. Hver af dem virker én gang i stedet for en kode fra appen. De er din reservenøgle, hvis din telefon går i stykker, bliver stjålet eller udskiftet. Opbevar dem et andet sted end på din telefon: i din adgangskodeadministrator eller på papir i en skuffe.

Bruger du en gendannelseskode, så sæt totrinsbekræftelse op igen med det samme med din nye telefon. Så får du også nye gendannelseskoder. Har du ikke flere gendannelseskoder, kan din mailudbyder slå det andet trin fra for din mailboks, når den har tjekket, hvem du er.

På din egen computer kan du vælge, at webmailen ikke spørger efter en kode igen i 30 dage, når du logger ind. Det gør du aldrig på en delt computer.

Hvad totrinsbekræftelse ikke beskytter

Det her er den vigtigste faldgrube, og mange kender den ikke. Totrinsbekræftelse i webmailen gælder kun for webmailen. Dit mailprogram og mailappen på din telefon logger ind via IMAP (hente) og SMTP (sende), og de spørger kun efter din adgangskode. En angriber med din adgangskode kan altså stadig læse din mail og sende i dit navn via et mailprogram.

Derfor er totrinsbekræftelse et supplement, ikke en erstatning. Din adgangskode skal stadig være lang og unik. Totrinsbekræftelse til din kundekonto sætter du op for sig. Det er en anden konto med sin egen sikkerhed.

Hos store tjenester som Gmail eller Outlook.com fungerer det lidt anderledes: der gælder det andet trin ofte for hele kontoen, og et mailprogram skal bruge en separat app-adgangskode eller sin egen login-metode. Idéen er den samme: adgangskode plus noget, du har.

I praksis: sådan fungerer det i webmailen

Adgangskoden ændrer du under Indstillinger > Adgangskode, og totrinsbekræftelse slår du til under Indstillinger > 2-trins verificering. Der sætter du flueben i Aktiver, lader webmailen udfylde felterne, scanner QR-koden, tjekker en kode og gemmer. Trinene står i Roundcube-vejledningen (10.3, 10.4 og 10.5). Andre webmails har lignende indstillinger, ofte under Sikkerhed.

Opsummering

• Din mailboks er nøglen til dine andre konti: beskyt den med en lang, unik adgangskode fra en adgangskodeadministrator.
• Efter en ændring af adgangskoden opdaterer du alle enheder. En enhed med den gamle adgangskode kan få din IP-adresse blokeret.
• TOTP laver hvert 30. sekund en kode ud fra en delt hemmelighed og tiden. Uret på din telefon skal gå rigtigt, og QR-koden er hemmeligheden.
• Opbevar de fire gendannelseskoder uden for din telefon. Hver kode virker én gang.
• Totrinsbekræftelse i webmailen beskytter kun webmailen, ikke IMAP og SMTP i dit mailprogram.

Quiz

Opgave

Opgave A8.1: Øv dig med en authenticator-app. Klik på knappen for at få en øvehemmelighed. Du får en QR-kode til en øvekonto. Scan den med en authenticator-app efter eget valg (eller skriv den viste nøgle af), og indtast den sekscifrede kode, som appen viser. Programmet regner med den samme øvehemmelighed og tiden efter, om din kode passer. En kode fra det forrige eller næste tidsinterval tæller også som rigtig, så en lille urafvigelse ikke er et problem. Grøn: koden passer. Rød: koden passer ikke. Tjek så uret på din telefon, og om du bruger den rigtige linje i appen. Øvehemmeligheden hører ikke til din mailboks, har ingen værdi og forsvinder inden for 24 timer. Slet derefter øvekontoen fra din app.

Læs videre

Hvor der står trin i webmailen, gælder de for webmailen hos WebOké. I andre webmails fungerer det på lignende måde.

• Roundcube Webmail 10.3: Slå totrinsbekræftelse til
• Roundcube Webmail 10.4: Log på med totrinsbekræftelse
• Roundcube Webmail 10.5: Skift adgangskoden til din mailboks
• Skift adgangskode eller grænser for en e-mailadresse
• Password manager og passkeys: sådan logger du sikkert ind
• Gratis kursus Sikker online for virksomheder 2.1: Hvad et stærkt kodeord egentlig er
• Gratis kursus Sikker online for virksomheder 2.3: Totrinsbekræftelse: koder, apps og sms
• RFC 6238, TOTP: Time-Based One-Time Password Algorithm (engelsk): https://www.rfc-editor.org/rfc/rfc6238