Tvåfaktorsautentisering: vad det är, vilken metod du ska välja och hur du slår på det

Tvåfaktorsautentisering lägger till ett andra bevis på att det är du som loggar in. Google beskriver det som något du känner till, lösenordet, och något du har, som mobilen, en säkerhetsnyckel eller en utskriven kod. Den tredje sortens faktor kallas i betaltjänstlagen unik egenskap: något du är, som ett fingeravtryck. Poängen är att kontot fortfarande är skyddat om någon får tag på ditt lösenord. Namnen varierar: Apple säger tvåfaktorsautentisering, Google och Microsoft tvåstegsverifiering, och Google skriver uttryckligen att det är samma sak.

Du använder det redan, med BankID

När du betalar på nätet eller loggar in på banken används stark kundautentisering. Betaltjänstlagen definierar det som en autentisering med två eller flera av varandra oberoende komponenter: kunskap (något bara du vet), innehav (något bara du har) och unik egenskap (något du är). Konsumenternas Bank- och finansbyrå kallar det tvåfaktorsidentifiering. Och nästan alla har verktyget: enligt Internetstiftelsens undersökning Svenskarna och internet 2026 använder 94 procent av svenskarna en e-legitimation, och nästan alla av dem har Mobilt BankID. Loggar du in på en dator skannar du en QR-kod med BankID-appen, vilket enligt BankID säkerställer att ditt Mobila BankID finns nära datorn.

Men en andra faktor skyddar inte mot att du själv godkänner något åt en bedragare. Konsumenternas Bank- och finansbyrå varnade i oktober 2026 för bedragare som lurar konsumenter att godkänna en ansökan om kreditkort med BankID, under förevändning att stoppa ett bedrägeri. Kortet kopplas sedan till Apple Pay eller Google Pay. Läs därför alltid texten i BankID-appen innan du godkänner, och använd aldrig BankID på uppmaning av någon annan.

Metoderna, från svagast till starkast

• Kod via sms eller samtal: bättre än ingenting, men Google skriver att sådana koder kan vara sårbara för attacker via telefonnummer. Microsoft börjar fasa ut sms som metod för autentisering och kontoåterställning för personliga Microsoft-konton. Och den europeiska bankmyndigheten EBA har klargjort att kortuppgifter i kombination med en sms-kod inte räcker för stark kundautentisering.
• Kod i en identifieringsapp, som Google Authenticator eller Microsoft Authenticator: appen skapar engångskoder även när du saknar internetanslutning. NCSC föredrar den här typen av inloggning framför koder via sms eller e-post.
• Bekräftelse i mobilen: Google rekommenderar meddelanden från Google som andra steg, eftersom det är enklare att trycka på ett meddelande än att skriva en kod och eftersom det också kan skydda mot SIM-kortsbedrägerier.
• Nycklar (passkeys): du loggar in med fingeravtryck, ansikte eller skärmlås i stället för lösenord. Apple beskriver nycklar som motståndskraftiga mot nätfiske, och loggar du in med en nyckel hos Google hoppar du över det andra steget.
• Fysisk säkerhetsnyckel eller smart kort: en liten enhet som du ansluter till datorn eller mobilen. NCSC kallar identifiering med digitala certifikat på ett smart kort eller en säkerhetsnyckel en ännu säkrare form, och CERT-SE rekommenderar nätfiskeresistent MFA för det mest skyddsvärda.

Så slår du på det

En nyckel för ditt personliga Microsoft-konto lägger du till via Lägg till ett nytt sätt att logga in eller verifiera under account.live.com/proofs/manage. För Apple-kontot kan du använda säkerhetsnycklar som extra skydd mot riktade attacker som nätfiske. Börja med e-posten: den som styr den kan återställa lösenorden till dina andra tjänster.

Lås inte ute dig själv

• Ha mer än en metod. Microsoft varnar för att lösenordet inte räcker om du tappar bort din enda kontaktmetod, och att det kan ta 30 dagar innan du kommer åt kontot igen. Microsoft rekommenderar starkt tre olika säkerhetsuppgifter.
• Skriv ut eller ladda ned Googles åttasiffriga reservkoder och spara dem på ett säkert ställe, så att du kommer in även om du tappar bort mobilen.
• Lägger du till ett nytt telefonnummer kan det ta upp till sju dagar innan Google litar på det för tvåstegsverifiering.
• Markera Fråga inte igen på den här enheten bara på enheter som du använder regelbundet och inte delar med någon.
• Har du nyligen aktiverat tvåfaktorsautentisering för Apple-kontot kan du sänka säkerheten igen inom två veckor.

Ge aldrig bort koden

Google ringer aldrig för att verifiera en kod. Apple ber dig aldrig ange tvåfaktorsautentiseringskoden på en webbplats, trycka på Acceptera i dialogrutan för tvåfaktorsautentisering eller inaktivera säkerhetsfunktioner. Ber någon om en kod är det ett bedrägeri, oavsett vem personen säger sig vara.

Slå på det andra steget för e-posten i dag. Ett stulet lösenord öppnar då inte längre dörren.