Logowanie, reset hasła i uwierzytelnianie dwuskładnikowe (2FA)

Włączenie 2FA

1. Wejdź w „Konto i bezpieczeństwo” (menu użytkownika lub Ustawienia) i w karcie „Uwierzytelnianie dwuskładnikowe (2FA)” kliknij „Włącz 2FA”.
2. Kliknij „Rozpocznij konfigurację”. Zobaczysz kod QR i klucz do ręcznego wpisania („Kopiuj klucz”). Klucz pokazujemy tylko raz.
3. Zeskanuj kod aplikacją uwierzytelniającą (np. Google Authenticator, Microsoft Authenticator lub 2FAS).
4. Wpisz 6-cyfrowy „Kod z aplikacji” i kliknij „Włącz 2FA”.

Od tej pory logowanie wymaga dodatkowo pola „Kod 2FA”. Aby wyłączyć 2FA, kliknij „Wyłącz 2FA” i podaj hasło oraz aktualny kod.

Blokada po błędnych kodach

Pięć błędnych kodów 2FA blokuje logowanie na 15 minut; w tym czasie nawet poprawny kod jest odrzucany. Dodatkowo rejestracja, logowanie i inne trasy uwierzytelniania mają limit 10 zapytań na minutę z jednego adresu IP.

Reset hasła

1. Na stronie logowania wybierz „Nie pamiętasz hasła?”, wpisz „Adres e-mail” i kliknij „Wyślij link”. Odpowiedź jest zawsze taka sama, niezależnie od tego, czy konto istnieje.
2. Link z e-maila jest ważny 1 godzinę i działa jeden raz; nowy link unieważnia poprzedni.
3. Ustaw „Nowe hasło” (co najmniej 12 znaków) i potwierdź je.

Po zmianie hasła wszystkie Twoje sesje na wszystkich urządzeniach są wylogowane, a adres e-mail zostaje oznaczony jako zweryfikowany. Reset hasła nie wyłącza 2FA. Wysyłka linków wymaga skonfigurowanej poczty wychodzącej po stronie serwera.

Weryfikacja adresu e-mail

Po rejestracji wysyłamy link ważny 3 dni, jednorazowy. Weryfikacja na razie niczego nie blokuje, a w aplikacji nie ma jeszcze przycisku ponownego wysłania linku. Zaproszenie przyjęte przez link oraz reset hasła weryfikują adres automatycznie.

Sesje

Token dostępu żyje 15 minut i jest odnawiany tokenem odświeżania ważnym 7 dni. Ponowne użycie zużytego tokenu unieważnia całą rodzinę tokenów. „Wyloguj” kończy sesję na bieżącym urządzeniu. Listy sesji ani wylogowania ze wszystkich urządzeń nie ma; to drugie daje reset hasła.