Witajcie, przyjaciele Yclas!
W zeszły piątek wdrożyliśmy nowe wydanie Yclas. Jak zawsze wiecie, pracujemy ciężko, aby zaoferować najlepszą platformę dla osób, które chcą stworzyć marketplace lub serwis ogłoszeniowy. Dziś chcielibyśmy przedstawić dwuetapową autoryzację SMS do logowania.
Co to jest?
Dwuetapowa autoryzacja SMS to funkcja, która pozwala użytkownikom logować się do swoich serwisów/kont, niezależnie od tego, czy są administratorami czy zwykłymi użytkownikami, z zapewnieniem 100% bezpieczeństwa. Administratorzy muszą zażądać numeru telefonu swoich użytkowników i włączyć autoryzację SMS w panelu administracyjnym. Następnie, gdy użytkownik chce się zalogować, może to zrobić przez SMS: otrzyma SMS z kodem na swój telefon, a potem wpisze go na stronie, żeby się zalogować. Łatwe.
Jak włączyć dwuetapową autoryzację SMS
Administratorzy, którzy chcą zaoferować tę nową funkcję użytkownikom i klientom, muszą wykonać następujące kroki:
- Administrator musi zarejestrować się w Clickatell
- Na panelu Clickatell wybierz SMS integrations w lewym menu
- Kliknij Activate Now i skonfiguruj Billing Details. Cennik możesz wyliczyć tutaj
- Gdy integracja jest już aktywna, wybierz ponownie SMS integrations i skopiuj klucz API
- W panelu administracyjnym swojej strony, Settings -> General, włącz 2 Step SMS Authentication i wklej klucz API w pole Clickatell
- Kliknij Save
Więcej informacji i kroki znajdziesz na naszej stronie dokumentacji
Kody SMS czy aplikacja uwierzytelniająca? Wybór logowania dwuetapowego w 2026 roku
Aktualizacja: powyższe kroki z Clickatell już nie obowiązują. Dziś logowanie dwuetapowe przez SMS włączasz w Panel administracyjny > Integracje > 2Factor. Zaznacz „Enable 2 Step SMS Authentication”, wklej swój klucz w „2Factor API Key”, zapisz, a następnie wybierz swój główny kraj w Settings > General > Regional (zobacz aktualny przewodnik). Yclas oferuje też darmową alternatywę: logowanie dwuetapowe z Google Authenticator, opisane na stronie funkcji. Które z nich warto włączyć?
Dlaczego warto mieć jakikolwiek drugi krok
W badaniu Microsoftu z 2023 roku na kontach Azure Active Directory, „How effective is multifactor authentication at deterring cyberattacks?”, uwierzytelnianie wieloskładnikowe zmniejszyło ryzyko naruszenia o 99,22% ogółem, a o 98,56% dla kont, których hasła już wyciekły. Autorzy odkryli też, że aplikacje uwierzytelniające chronią lepiej niż SMS. Dla marketplace'u, gdzie przejęte konto sprzedawcy może służyć do publikowania fałszywych ogłoszeń lub wiadomości do kupujących, ta ochrona ma znaczenie.
Słaba strona SMS
Kody SMS są bezpieczne tylko tak, jak bezpieczny jest numer telefonu. W komunikacie z lutego 2022 roku FBI zgłosiło 320 skarg dotyczących przejęcia karty SIM (SIM swap) z ok. 12 mln USD strat w latach 2018-2020, a w samym 2021 roku 1611 skarg z ponad 68 mln USD strat. W ataku SIM swap przestępcy przenoszą numer ofiary na własną kartę SIM i otrzymują kody. Amerykańska instytucja standaryzacyjna NIST traktuje to jako znane ryzyko: jej wytyczne SP 800-63B-4 (2025) wymieniają kody SMS i połączenia telefoniczne jako „ograniczony” rodzaj uwierzytelniania. Usługi, które z nich korzystają, muszą udostępnić inny rodzaj uwierzytelniania i są zobowiązane rozważać sygnały ostrzegawcze, takie jak zmiana karty SIM lub przeniesienie numeru.
| Kod SMS (2Factor) | Aplikacja uwierzytelniająca (Google Authenticator) | |
|---|---|---|
| Koszt dla Ciebie | Płacisz 2Factor za każdy wysłany kod | Bezpłatne |
| Co potrzebują członkowie | Numer telefonu z zasięgiem | Smartfon z zainstalowaną aplikacją |
| Główne ryzyko | Przejęcie karty SIM. Jeśli saldo 2Factor się wyczerpie, członkowie z numerem w profilu nie mogą dokończyć logowania | Utrata telefonu z zainstalowaną aplikacją |
| Najlepsze dla | Rynków, gdzie ludzie oczekują logowania przez telefon | Większości serwisów, a zwłaszcza kont administracyjnych |
Praktyczna konfiguracja
- Włącz najpierw aplikację uwierzytelniającą i używaj jej na każdym koncie administratora i moderatora, bo te konta kontrolują płatności i ogłoszenia.
- Dodaj SMS tylko jeśli Twoi członkowie go oczekują, np. na rynkach, gdzie logowanie przez numer telefonu jest normą. Śledź saldo 2Factor: przewodnik Yclas ostrzega, że członkowie z numerem w profilu nie mogą się zalogować, gdy saldo się wyczerpie.
Jak to działa
Jak wspomniano wyżej, jest naprawdę łatwe w użyciu, ale oto krok po kroku, jak to działa:
- Użytkownik rejestruje się na Twojej stronie lub publikuje ogłoszenie
- Konto użytkownika zostaje utworzone, a użytkownik przechodzi na stronę Edit Profile i wpisuje swój numer telefonu
- Po aktualizacji danych profilu użytkownik otrzyma kod weryfikacyjny w wiadomości na swój telefon, który musi wpisać na następnej stronie
- Teraz użytkownik jest uwierzytelniony, a dwuetapowa autoryzacja SMS jest włączona na jego koncie
Jeśli masz pytania, propozycje lub potrzebujesz pomocy, skontaktuj się z nami!
