Adgangskode og totrinsbekræftelse

Modul 8: Sikkert og uden bekymringer · Læsetid: 10 minutter

Læringsmål: Efter denne lektion kan du forklare, hvad en stærk adgangskode til din mailboks er, hvad du skal gøre på dine enheder efter en ændring, hvordan en kode fra en godkendelsesapp bliver til, og hvad totrinsbekræftelse i webmailen beskytter og ikke beskytter.

Centrale begreber: adgangskode til mailboksen, adgangskodeadministrator, totrinsbekræftelse, TOTP, delt hemmelighed, QR-kode, gendannelseskode, urafvigelse, IMAP og SMTP uden andet trin

Hvorfor din mailboks er din vigtigste konto

Din mailboks er nøgleknippet til dit liv online. Næsten alle tjenester sender et link til at nulstille din adgangskode til din mail. Den, der har din mailboks, kan altså også overtage din webshop, dit regnskab og dine sociale medier. Og vedkommende kan sende mail i dit navn til kunder, der stoler på dig. En stjålet mailboks bliver derfor ofte brugt til fakturasvindel eller til at sende spam. Det sidste bringer hele dit domæne i problemer: andre servere begynder at afvise din mail.

To ting holder en ubuden gæst ude: en god adgangskode og et ekstra trin, når du logger ind.

En stærk adgangskode er først og fremmest lang og unik

Din adgangskode til mailboksen hører til én e-mailadresse. Den er ikke den samme som adgangskoden til din kundekonto eller til kontrolpanelet for din pakke (lektion 1.3).

Hvad gør en adgangskode stærk? Ikke et udråbstegn efter et ord, men længde og tilfældighed. Angribere prøver lækkede adgangskoder og lister med ofte brugte ord og mønstre. "Sommer2026!" står på sådan en liste; en række af fire tilfældige ord eller tyve tilfældige tegn gør ikke. Lige så vigtigt er det, at adgangskoden er unik. Lækker en webshop, hvor du brugte den samme adgangskode, prøver kriminelle den også på din mailboks.

Den praktiske løsning er en adgangskodeadministrator: et program, der laver og husker en lang, tilfældig adgangskode til hver tjeneste. Så skal du kun huske én stærk hovedadgangskode.

Efter ændringen: opdater alle enheder

Du ændrer adgangskoden i webmailen under Indstillinger > Adgangskode, eller i kontrolpanelet for din pakke, hvis du ikke kan huske den gamle. Fra det øjeblik gælder den nye adgangskode overalt: i webmailen, på din telefon og i dit mailprogram.

Her går det ofte galt. Mette Hansen ændrer mandag adgangskoden til mette@example.com. Sin bærbare opdaterer hun med det samme. Sin gamle tablet i køkkenet glemmer hun. Tabletten bliver ved med at logge ind med den gamle adgangskode med få minutters mellemrum. Efter en række mislykkede forsøg ser serverens firewall en forbindelse, der hele tiden prøver en forkert adgangskode, og blokerer IP-adressen. Fordi tabletten og den bærbare deler den samme IP-adresse derhjemme, kan Mette pludselig heller ikke komme til sin mail på den bærbare, og nogle gange heller ikke til sin hjemmeside.

Opdater derfor alle enheder lige efter en ændring: telefon, tablet, mailprogrammet på din computer og en eventuel printer eller scanner, der sender mail.

Totrinsbekræftelse: noget du ved, og noget du har

Med totrinsbekræftelse (i webmailen hedder det 2-trins verificering) skal du bruge to ting, når du logger ind: din adgangskode (noget du ved) og en kode fra din telefon (noget du har). Den, der får fat i din adgangskode via phishing eller et læk, kommer så stadig ikke ind.

Koden kommer fra en godkendelsesapp, for eksempel appen i din adgangskodeadministrator eller en separat app til den slags koder. Metoden hedder TOTP, time-based one-time password, og er beskrevet i RFC 6238. Sådan virker den:

1. Når du slår funktionen til, laver webmailen en delt hemmelighed: en tilfældig række tegn. Du ser den som hemmelig nøgle og som QR-kode.
2. Du scanner QR-koden med appen. Fra nu af kender serveren og din telefon begge den samme hemmelighed.
3. Hvert 30. sekund regner begge hemmeligheden sammen med det aktuelle klokkeslæt om til en kode på seks cifre.
4. Når du logger ind, sammenligner serveren din kode med sit eget resultat.

Det giver to ting. Appen har ikke brug for internet: den regner kun med hemmeligheden og uret. Og uret skal gå rigtigt. Går din telefon et par minutter for hurtigt eller for langsomt, regner den med et andet tidsinterval, og så passer koden ikke. Indstil tiden på din telefon til automatisk.

En tredje følge: QR-koden ér hemmeligheden. Den, der har et foto eller et skærmbillede af den, kan lave de samme koder. Del den derfor aldrig, og gem den ikke som billede.

På billedet ser du skærmen, hvor du slår totrinsbekræftelse til, med den hemmelige nøgle, gendannelseskoderne og QR-koden.

Gendannelseskoder og en telefon, der er væk

Når du slår funktionen til, får du også fire gendannelseskoder. Hver kode virker én gang i stedet for en kode fra appen. De er din reservenøgle, hvis din telefon går i stykker, bliver stjålet eller udskiftet. Gem dem et andet sted end på din telefon: i din adgangskodeadministrator eller på papir i en skuffe.

Bruger du en gendannelseskode, så opsæt totrinsbekræftelse igen med det samme på din nye telefon. Så får du også nye gendannelseskoder. Har du ikke flere gendannelseskoder, kan din mailudbyder slå det andet trin fra for din mailboks, efter at have kontrolleret, hvem du er.

På din egen computer kan du ved login vælge, at webmailen ikke beder om en kode igen i 30 dage. På en delt computer gør du det aldrig.

Det beskytter totrinsbekræftelse ikke

Det her er den vigtigste faldgrube, og mange kender den ikke. Totrinsbekræftelse i webmailen gælder kun for webmailen. Dit mailprogram og mailappen på din telefon logger ind via IMAP (hente) og SMTP (sende), og de beder kun om din adgangskode. En angriber med din adgangskode kan altså stadig læse din mail og sende i dit navn via et mailprogram.

Derfor er totrinsbekræftelse et supplement, ikke en erstatning. Din adgangskode skal stadig være lang og unik. Totrinsbekræftelse til din kundekonto sætter du op separat; det er en anden konto med sin egen sikkerhed.

Hos store tjenester som Gmail eller Outlook.com fungerer det lidt anderledes: der gælder det andet trin ofte for hele kontoen, og et mailprogram skal bruge en separat app-adgangskode eller sin egen loginmetode. Idéen er den samme: adgangskode plus noget, du har.

I praksis: sådan virker det i webmailen

Adgangskoden ændrer du under Indstillinger > Adgangskode, og totrinsbekræftelse slår du til under Indstillinger > 2-trins verificering. Her sætter du flueben ved Aktiver, lader webmailen udfylde felterne, scanner QR-koden, kontrollerer en kode og gemmer. Trinene står i Roundcube-vejledningen (10.3, 10.4 og 10.5). Anden webmail har lignende indstillinger, ofte under Sikkerhed.

Opsummering

• Din mailboks er nøglen til dine andre konti: beskyt den med en lang, unik adgangskode fra en adgangskodeadministrator.
• Efter en ændring af adgangskoden opdaterer du alle enheder; en enhed med den gamle adgangskode kan få din IP-adresse blokeret.
• TOTP laver hvert 30. sekund en kode ud fra en delt hemmelighed og tiden; uret på din telefon skal gå rigtigt, og QR-koden er hemmeligheden.
• Gem de fire gendannelseskoder uden for din telefon; hver kode virker én gang.
• Totrinsbekræftelse i webmailen beskytter kun webmailen, ikke IMAP og SMTP i dit mailprogram.

Quiz

Opgave

Opgave A8.1: Øv dig med en godkendelsesapp. Klik på knappen for at få en øvehemmelighed. Du får en QR-kode til en øvekonto. Scan den med en godkendelsesapp efter eget valg (eller indtast den viste nøgle), og skriv den sekscifrede kode, som appen viser. Programmet regner med den samme øvehemmelighed og tiden og kontrollerer, om din kode passer; en kode fra det forrige eller næste tidsinterval tæller også som rigtig, så en lille urafvigelse ikke er et problem. Grøn: koden passer. Rød: koden passer ikke; kontrollér så uret på din telefon, og om du bruger den rigtige linje i appen. Øvehemmeligheden hører ikke til din mailboks, har ingen værdi og forsvinder inden for 24 timer. Slet øvekontoen fra din app bagefter.

Læs videre

Hvor der står trin i webmailen, gælder de for webmailen hos WebOké; i anden webmail fungerer det på lignende måde.

• Roundcube Webmail 10.3: Slå totrinsbekræftelse til
• Roundcube Webmail 10.4: Log på med totrinsbekræftelse
• Roundcube Webmail 10.5: Skift adgangskoden til din mailboks
• Skift adgangskode eller grænser for en e-mailadresse
• Password manager og passkeys: sådan logger du sikkert ind
• Gratis kursus Sikker online for virksomheder 2.1: Hvad et stærkt kodeord egentlig er
• Gratis kursus Sikker online for virksomheder 2.3: Totrinsbekræftelse: koder, apps og sms
• RFC 6238, TOTP: Time-Based One-Time Password Algorithm (engelsk): https://www.rfc-editor.org/rfc/rfc6238