---
title: "احراز هویت دوعاملی (⁦2FA⁩) چیست و چگونه فعال می‌شود؟"
description: "احراز هویت دوعاملی (⁦2FA⁩) پس از رمز عبور مدرک دومی مانند یک کد یا تأیید روی گوشی می‌خواهد. سازوکار، روش‌ها و راه روشن کردن آن را بخوانید."
url: https://proxynet.io/fa/blog/what-is-two-factor-authentication
date: 2026-11-15
author: "Acar Diveroli"
category: "مبانی پروکسی"
lang: fa
---

# احراز هویت دوعاملی (⁦2FA⁩) چیست و چگونه فعال می‌شود؟

ایمیلی می‌رسد: کسی از دستگاهی که هرگز نداشته‌اید و از شهری که هرگز به آن نرفته‌اید وارد حساب شما شده است. اگر رمز عبور تنها قفل بود، آن شخص اکنون پیام‌های شما را می‌خواند. وقتی احراز هویت دوعاملی روشن است، رمز عبور کافی نیست: آن غریبه به گوشی، کلید امنیتی یا اثر انگشت شما هم نیاز دارد.

این نوشته توضیح می‌دهد احراز هویت دوعاملی (⁦2FA⁩) چیست، ورود با آن چگونه انجام می‌شود، چه روش‌هایی وجود دارد و هر کدام چقدر قوی است، و آن را در گوگل، اپل، اینستاگرام، فیسبوک و واتساپ کجا روشن کنید. کدهای پشتیبان و گم شدن گوشی هم پوشش داده شده‌اند؛ بازگشت به حساب فقط از راه مراحل رسمی بازیابی خود پلتفرم ممکن است.

> **نکته: پاسخ کوتاه**
>
> احراز هویت دوعاملی (⁦2FA⁩) بررسی‌ای هنگام ورود است که دو نوع مدرک متفاوت می‌خواهد: چیزی که می‌دانید، مانند رمز عبور، و چیزی که دارید یا هستید، مانند گوشی، کلید امنیتی یا اثر انگشتتان. پس از رمز عبور، سایت یک کد یک‌بارمصرف از راه پیامک یا برنامه احراز هویت، یک تأیید روی درخواستی در گوشی‌تان یا یک passkey می‌خواهد، پس رمز عبور دزدیده‌شده به‌تنهایی دیگر حساب را باز نمی‌کند. آن را در تنظیمات امنیتی هر حساب روشن کنید (گوگل: «امنیت و ورود به سیستم»؛ اپل: Sign-In & Security؛ اینستاگرام و فیسبوک: «مرکز حساب‌ها»)، کدهای پشتیبان را جایی دور از گوشی نگه دارید و برنامه احراز هویت، passkey یا کلید امنیتی را به پیامک ترجیح دهید.

## احراز هویت دوعاملی چیست؟

احراز هویت دوعاملی روشی برای ورود است که دو مدرک از دو نوع متفاوت می‌خواهد، پس یک رمز دزدیده‌شده یا حدس‌زده‌شده برای ورود به حساب شما کافی نیست. استانداردهای امنیتی این مدرک‌ها را در سه عامل دسته‌بندی می‌کنند: چیزی که می‌دانید (رمز عبور یا پین)، چیزی که دارید (گوشی یا کلید امنیتی) و چیزی که هستید (اثر انگشت یا چهره).

دستگاه خودپرداز نمونه روزمره آن است: کارت بانکی را می‌خواهد که در دست دارید و پین را که می‌دانید. دزدی که پین را دیده باشد هنوز به کارت نیاز دارد. در اینترنت، رمز عبور نقش پین را دارد و گوشی یا کلید امنیتی شما نقش کارت را.

مدرک‌ها باید از نوع‌های متفاوت باشند: رمز عبور به‌علاوه سؤال امنیتی دو چیز است که می‌دانید. مؤسسه ملی استاندارد و فناوری آمریکا (NIST) هم اثر انگشت را فقط همراه با یک دستگاه به حساب می‌آورد؛ [رهنمودهای هویت دیجیتال](https://pages.nist.gov/800-63-4/sp800-63b.html) این مؤسسه تصریح می‌کنند که ویژگی زیستی (بیومتریک) به‌تنهایی ابزار احراز هویت به شمار نمی‌آید. اثر انگشت قفل گوشی شما را باز می‌کند و گوشی به وب‌سایت ثابت می‌کند که خود شما هستید.

## ورود با احراز هویت دوعاملی چگونه کار می‌کند؟

ورود با احراز هویت دوعاملی یک مرحله پس از رمز عبور اضافه می‌کند و سایت پیش از راه دادن شما هر دو پاسخ را بررسی می‌کند:

1. **نام کاربری و رمز عبور خود را وارد می‌کنید.** این عامل نخست است، یعنی چیزی که می‌دانید.
1. **سایت می‌بیند که احراز هویت دوعاملی روشن است.** به‌جای باز کردن حساب، مدرک دوم را می‌خواهد.
1. **عامل دوم شما یک پاسخ یک‌بارمصرف می‌سازد.** کدی با پیامک می‌رسد، برنامه‌ای کدی محاسبه می‌کند، درخواستی روی گوشی‌ای که از قبل وارد حساب شده ظاهر می‌شود، یا دستگاه شما با یک passkey پاسخ می‌دهد.
1. **کد را وارد می‌کنید یا درخواست را تأیید می‌کنید.** هر کد فقط یک بار و برای مدتی کوتاه کار می‌کند، پس نسخه‌ای که بعداً پیدا شود بی‌فایده است.
1. **سایت شما را وارد حساب می‌کند.** ممکن است پیشنهاد کند دستگاه را به خاطر بسپارد، همان‌طور که گوگل با گزینه **دیگر در این رایانه نپرسیدن** این کار را می‌کند، تا دفعه بعد در آن دستگاه رمز عبور کافی باشد.
1. **دستگاه تازه از مرحله 1 شروع می‌کند.** برای نمونه، اپل نخستین باری که در دستگاهی تازه یا در وب وارد می‌شوید کد می‌خواهد.

## احراز هویت دوعاملی چه انواعی دارد؟

پنج عامل دوم رایج است و تفاوت اصلی آن‌ها در این است که چقدر آسان می‌توان آن‌ها را رهگیری کرد یا با فریب از شما گرفت:

| روش | چگونه کار می‌کند | نقطه ضعف | مناسب برای |
|---|---|---|---|
| کد پیامکی یا صوتی | کدی شش‌رقمی که به شماره شما فرستاده می‌شود | SIM swap (تعویض سیم‌کارت)، صفحه‌های ورود جعلی | سرویس‌هایی که گزینه دیگری ندارند |
| برنامه احراز هویت | گوشی شما هر 30 ثانیه کدی تازه محاسبه می‌کند | صفحه‌های ورود جعلی | بیشتر حساب‌ها |
| درخواست تأیید (push) | روی گوشی‌ای که وارد حساب است «بله» را می‌زنید | تأیید درخواستی که خودتان آغاز نکرده‌اید | حساب‌های گوگل، مایکروسافت و مشابه آن‌ها |
| passkey | دستگاه شما قفل کلیدی را باز می‌کند که به سایت گره خورده است | گم کردن همه دستگاه‌هایی که آن را نگه می‌دارند | هر حسابی که آن را ارائه کند |
| کلید امنیتی | کلید کوچکی که به دستگاه خود وصل می‌کنید | گم کردن آن بدون کلید یدکی | حساب‌های کاری و پرخطر |

**کدهای پیامکی** ساده‌ترین روش برای راه‌اندازی و آسان‌ترین روش برای دزدیده شدن‌اند. گوگل هشدار می‌دهد که کدهایی که با پیامک یا تماس فرستاده می‌شوند ممکن است در برابر حمله‌های مبتنی بر شماره تلفن آسیب‌پذیر باشند و NIST شبکه تلفن را برای آن‌ها کانالی «محدودشده» (restricted) می‌داند. با این حال هنوز بسیار بهتر از رمز عبور تنها هستند.

**برنامه‌های احراز هویت** رمزهای یک‌بارمصرف مبتنی بر زمان (TOTP) می‌سازند که در [⁦RFC 6238⁩](https://www.rfc-editor.org/rfc/rfc6238) تعریف شده‌اند. هنگام راه‌اندازی، سایت یک کد QR نشان می‌دهد که کلیدی محرمانه را در خود دارد؛ از آن پس برنامه و سایت هر کدام آن کلید را با زمان کنونی ترکیب می‌کنند و به کدی یکسان می‌رسند، هر 30 ثانیه یک کد تازه. چیزی به گوشی شما فرستاده نمی‌شود، پس برنامه بدون آنتن هم کار می‌کند.

**درخواست‌های تأیید (push)** روی گوشی‌ای ظاهر می‌شوند که از قبل وارد حساب شده است؛ دستگاه و موقعیت نشان‌داده‌شده را بررسی می‌کنید و «بله» یا «نه» را می‌زنید. گوگل می‌گوید این درخواست‌ها در برابر تعویض سیم‌کارت هم محافظت می‌کنند. فقط ورودی را تأیید کنید که همین چند لحظه پیش خودتان آغاز کرده‌اید.

**passkeyها و کلیدهای امنیتی** رمزنگاری را جایگزین کد می‌کنند. FIDO Alliance یک [passkey](https://fidoalliance.org/passkeys/) را اعتبارنامه‌ای مبتنی بر استانداردهای FIDO توصیف می‌کند که روی گوشی یا رایانه شما ذخیره می‌شود و با همان اثر انگشت، چهره یا پینی باز می‌شود که قفل دستگاه را باز می‌کند. دستگاه فقط مدرکی را به سایت می‌دهد که برای همان سایت ساخته شده است، پس صفحه ورود جعلی چیزی دریافت نمی‌کند که بتواند دوباره به کار ببرد. passkey دو عامل در یک مرحله است و به همین دلیل گوگل وقتی از آن استفاده می‌کنید مرحله دوم جداگانه را کنار می‌گذارد؛ کلید امنیتی سخت‌افزاری همین کار را روی جاکلیدی شما انجام می‌دهد.

## تفاوت ⁦2FA⁩، درستی‌سنجی دومرحله‌ای و MFA چیست؟

در کاربرد روزمره هر سه به معنای بررسی دومی پس از رمز عبورند؛ تفاوتشان در این است که چه چیزی بررسی دوم به حساب می‌آید.

- **احراز هویت دوعاملی (⁦2FA⁩)** به معنای دقیق یعنی دو عامل متفاوت، مانند رمز عبور و گوشی.
- **درستی‌سنجی دومرحله‌ای** (two-step verification) یعنی دو مرحله که لازم نیست دو عامل متفاوت باشند. گوگل ویژگی خود را در رابط فارسی «درستی‌سنجی دومرحله‌ای» می‌نامد و در همان جمله آن را «اصالت‌سنجی دوعاملی»، یعنی احراز هویت دوعاملی، هم می‌خواند.
- **احراز هویت چندعاملی (MFA)** یعنی دو عامل یا بیشتر. ⁦2FA⁩ رایج‌ترین شکل آن است و حساب‌های کاری معمولاً همین نام کلی‌تر را به کار می‌برند.

روشی که پشت نام است مهم‌تر است: passkey در برابر صفحه‌های ورود جعلی تاب می‌آورد، اما کد نه.

## احراز هویت دوعاملی را چگونه روشن کنید؟

آن را در تنظیمات امنیتی هر حساب روشن می‌کنید؛ مسیرهای زیر همان‌هایی هستند که خود سرویس‌ها منتشر کرده‌اند. برچسب‌های گوگل، اینستاگرام، فیسبوک و واتساپ همان‌طور آمده‌اند که در رابط فارسی آن‌ها دیده می‌شوند و برچسب‌های اپل به شکلی که در رابط انگلیسی دیده می‌شوند. کدهای پشتیبان را به محض اینکه پیشنهاد شدند ذخیره کنید.

### حساب گوگل (Gmail، یوتیوب)

حساب گوگل خود را باز کنید، **امنیت و ورود به سیستم** را انتخاب کنید و در بخش **نحوه وارد شدن به سیستم Google** گزینه **روشن کردن درستی‌سنجی دومرحله‌ای** را بزنید، سپس مراحل را دنبال کنید. اگر با passkey وارد نمی‌شوید، گوگل [توصیه می‌کند](https://support.google.com/accounts/answer/185839?hl=fa) پیام‌واره‌های Google، یعنی درخواست‌های تأیید روی گوشی، را مرحله دوم قرار دهید؛ همان صفحه افزودن برنامه احراز هویت، کلید امنیتی و کدهای پشتیبان را هم توضیح می‌دهد.

### حساب اپل (آیفون، آیپد، مک)

بیشتر حساب‌های اپل (Apple Account) از قبل از احراز هویت دوعاملی استفاده می‌کنند. در آیفون یا آیپد **Settings** (تنظیمات) را باز کنید (در مک **System Settings**، یعنی تنظیمات سیستم)، روی نام خود و سپس **Sign-In & Security** (ورود و امنیت) بزنید؛ اگر خاموش است، همان‌جا روشنش کنید. در وب، در ⁦account.apple.com⁩ وارد شوید و **Upgrade Account Security** (ارتقای امنیت حساب) را انتخاب کنید. [صفحه راهنمای اپل](https://support.apple.com/en-us/102660) کدهای شش‌رقمی‌ای را توضیح می‌دهد که روی دستگاه‌های مورد اعتماد شما ظاهر می‌شوند.

### اینستاگرام و فیسبوک (مرکز حساب‌ها)

هر دو از مرکز حساب‌های Meta استفاده می‌کنند. در اینستاگرام **تنظیمات** را باز کنید، سپس **مشاهده موارد بیشتر در مرکز حساب** > **گذرواژه و امنیت** > **اصالت‌سنجی دوعاملی** را بزنید. در فیسبوک، تصویر نمایه خود > **تنظیمات و حریم‌خصوصی** > **تنظیمات** > **مرکز حساب‌ها** > **گذرواژه و امنیت** > **اصالت‌سنجی دوعاملی** را انتخاب کنید.

اینستاگرام سه روش ارائه می‌کند: برنامه اصالت‌سنجی (روش پیشنهادی خودش)، پیامک و واتساپ، که فقط پس از روشن شدن پیامک در دسترس است؛ فیسبوک برنامه اصالت‌سنجی، پیامک یا کلید امنیتی را ارائه می‌کند. خاموش کردن یک روش هم از همین مسیر انجام می‌شود؛ این کار را فقط برای جایگزین کردن آن با روشی قوی‌تر انجام دهید.

### واتساپ

درستی‌سنجی دومرحله‌ای واتساپ رمز عبوری را که خودتان تعیین می‌کنید به شماره تلفنی که با آن ثبت‌نام کرده‌اید اضافه می‌کند. به **تنظیمات** > **حساب** > **درستی‌سنجی دومرحله‌ای** بروید، **فعال کردن درستی‌سنجی دومرحله‌ای** را روشن کنید، رمز عبور را بسازید و نشانی ایمیلی را که به آن دسترسی دارید اضافه کنید. واتساپ پین شش‌رقمی قدیمی را با یک رمز عبور کامل جایگزین می‌کند و از اوت 2026 کسی که هم از اندروید و هم از آیفون استفاده می‌کند می‌تواند در **تنظیمات** > **حساب**، در بخش passkeyها، بیش از یک passkey اضافه کند.

## کدهای پشتیبان چیست و اگر گوشی‌تان را گم کنید چه می‌شود؟

کدهای پشتیبان کدهای یک‌بارمصرفی هستند که از پیش ذخیره می‌کنید تا وقتی گوشی‌تان گم شده یا خراب است، باز هم بتوانید وارد شوید. گوگل مجموعه‌ای از 10 کد هشت‌رقمی می‌دهد که هر کدام فقط یک بار به کار می‌رود؛ فیسبوک 10 کد بازیابی ارائه می‌کند. آن‌ها را چاپ کنید و کاغذ را کنار گذرنامه‌تان نگه دارید، یا در مدیر رمز عبوری ذخیره کنید که بدون این گوشی هم باز می‌شود؛ نوشته [مدیر رمز عبور چیست؟](/fa/blog/what-is-a-password-manager) توضیح می‌دهد قفل آن گاوصندوق چگونه بسته می‌شود.

اگر گوشی از دست رفته است، این مراحل را به ترتیب طی کنید:

1. **از راه دیگری وارد شوید.** گوشی دومی که وارد حساب است، یک کد پشتیبان، یک کلید امنیتی یا یک passkey روی دستگاهی دیگر؛ در صفحه ورود گوگل این گزینه‌ها پشت **امتحان کردن روشی دیگر** قرار دارند.
1. **یک دستگاه مورد اعتماد را امتحان کنید.** رایانه‌ای که در آن گزینه «دیگر در این رایانه نپرسیدن» را علامت زده‌اید ممکن است فقط با رمز عبور اجازه ورود بدهد.
1. **حساب را ایمن کنید.** گوشی گم‌شده را از حساب خارج کنید، رمز عبور را عوض کنید و گوشی تازه‌تان را اضافه کنید.
1. **شماره‌تان را پس بگیرید.** اپراتور تلفن همراه شما می‌تواند شماره را به سیم‌کارتی تازه منتقل کند و با این کار کدهای پیامکی دوباره می‌رسند.
1. **اگر هیچ راه دیگری جواب نداد، از روند رسمی بازیابی استفاده کنید.** گوگل می‌گوید بازیابی بدون مرحله دوم دیگری ممکن است 3 تا 5 روز کاری طول بکشد؛ بازیابی حساب اپل ممکن است چند روز یا بیشتر طول بکشد و پشتیبانی اپل نمی‌تواند آن را کوتاه کند.

به هر کسی که پیشنهاد می‌کند در ازای پول قفل حسابی را باز کند اعتنا نکنید: گوگل اعلام می‌کند که با هیچ سرویسی که مدعی ارائه پشتیبانی حساب یا رمز عبور است همکاری نمی‌کند.

## آیا احراز هویت دوعاملی امن است؟

بله: هر نوع ⁦2FA⁩ تصاحب حساب را بسیار دشوارتر از رمز عبور تنها می‌کند، اما کدها هنوز ممکن است دزدیده شوند، پس روش اهمیت دارد.

**تعویض سیم‌کارت (SIM swap).** مجرم اپراتور تلفن همراه شما را قانع می‌کند شماره‌تان را به سیم‌کارتی منتقل کند که در دست اوست و کدهای پیامکی شما به او می‌رسد. به همین دلیل NIST کدهایی را که از راه شبکه تلفن فرستاده می‌شوند محدود می‌کند. از اپراتور خود درباره پین حساب یا قفل انتقال شماره بپرسید.

**فیشینگ.** صفحه ورود جعلی می‌تواند علاوه بر رمز عبور کد شما را هم بخواهد و هر دو را همان لحظه به کار ببرد، و تماس‌گیرنده‌ای ممکن است شما را قانع کند کدی را بلند بخوانید. کدها نمی‌توانند سایت واقعی را از نسخه کپی تشخیص دهند؛ passkeyها و کلیدهای امنیتی می‌توانند. نوشته [فیشینگ چیست؟](/fa/blog/what-is-phishing) نشان می‌دهد چنین صفحه‌ها و تماس‌هایی را چگونه تشخیص دهید.

**پس از ورود.** ⁦2FA⁩ از ورود محافظت می‌کند، نه از نشستی که پس از آن می‌آید: بدافزار می‌تواند کوکی نشستی را که سایت پس از ورود به شما می‌دهد بدزدد، پس دستگاه‌ها را به‌روز نگه دارید و نشست‌هایی را که نمی‌شناسید ببندید.

## چرا در دستگاه یا شبکه تازه دوباره کد خواسته می‌شود؟

سرویس‌ها وقتی ورودی تازه به نظر می‌رسد دوباره کد می‌خواهند: گوشی تازه، مرورگری که کوکی‌هایش پاک شده، دستگاهی که هرگز آن را مورد اعتماد علامت نزده‌اید. بسیاری از آن‌ها به اینکه ورود از کجا انجام می‌شود هم توجه می‌کنند؛ هشدارهای امنیتی گوگل نوع دستگاه، زمان و موقعیت ورود تازه را نشان می‌دهند.

این موضوع برای تیم‌هایی اهمیت دارد که حساب‌ها را از راه پروکسی مدیریت می‌کنند، مانند آژانسی که شبکه‌های اجتماعی مشتریانش را اداره می‌کند. اگر آی‌پی با هر درخواست عوض شود، هر ورود شبیه غریبه‌ای در جایی تازه به نظر می‌رسد و صاحب حساب بارها با بررسی دوباره روبه‌رو می‌شود. برای هر حساب یک آی‌پی پایدار نگه دارید، از راه نشست ثابت (sticky session) که یک آی‌پی را برای مدتی مشخص نگه می‌دارد یا یک آی‌پی اختصاصی که تغییر نمی‌کند؛ نوشته [چطور چند حساب شبکه‌های اجتماعی را امن مدیریت کنیم؟](/fa/blog/manage-multiple-social-media-accounts) بقیه این راه‌اندازی را پوشش می‌دهد.

[پروکسی ISP](https://proxynet.io/fa/static-isp-residential-proxy) به هر حساب یک آی‌پی اختصاصی می‌دهد که به نام یک ارائه‌دهنده اینترنت ثبت شده است و به‌طور پیش‌فرض به سایت‌های هدفی که انتخاب می‌کنید محدود است. آی‌پی پایدار ⁦2FA⁩ را خاموش نمی‌کند: کد همچنان در هر دستگاه تازه خواسته می‌شود و همین است که حساب را امن نگه می‌دارد.

## جاهایی که با احراز هویت دوعاملی روبه‌رو می‌شوید

در صفحه کد پس از رمز عبور، وقتی در لپ‌تاپی تازه وارد ایمیلتان می‌شوید. در درخواستی روی گوشی‌تان که می‌پرسد آیا خودتان هستید. در پیامکی با یک کد یک‌بارمصرف از بانک یا یک سرویس دولتی. در محل کار، در برنامه احراز هویت یا کلید امنیتی‌ای که شرکتتان در اختیارتان می‌گذارد.

## خطاهای رایج

- **ذخیره نکردن کدهای پشتیبان.** آن وقت گم شدن گوشی به روند بازیابی چندروزه‌ای تبدیل می‌شود.
- **نگه داشتن کدهای پشتیبان فقط روی گوشی.** این کدها برای روزی هستند که همان گوشی از دست رفته است.
- **خواندن کد برای تماس‌گیرنده.** گوگل می‌گوید هرگز برای تأیید یک کد با شما تماس نمی‌گیرد.
- **زدن «بله» روی درخواستی که خودتان آغاز نکرده‌اید.** «نه» را بزنید و رمز عبورتان را عوض کنید؛ احتمالاً کسی آن را دارد.
- **ساعت نادرست گوشی.** Google Authenticator از تنظیم زمان گوشی شما استفاده می‌کند، پس تاریخ و زمان را روی خودکار بگذارید.
- **پاک کردن گوشی قدیمی پیش از انتقال کدها.** اول کدهای برنامه احراز هویت را منتقل کنید یا گوشی تازه را اضافه کنید.

## راهنمای انتخاب

| وضعیت شما | از چه استفاده کنید |
|---|---|
| ساده‌ترین گزینه قوی را می‌خواهید | passkey، هر جا که سرویس آن را ارائه کند |
| سرویس فقط کد ارائه می‌کند | برنامه احراز هویت به‌جای پیامک |
| حساب گوگل شما | پیام‌واره‌های Google یا passkey، به‌علاوه کدهای پشتیبان چاپ‌شده |
| آیفون، آیپد یا مک | احراز هویت دوعاملی اپل که معمولاً از قبل روشن است |
| اینستاگرام یا فیسبوک | برنامه اصالت‌سنجی در مرکز حساب‌ها، به‌علاوه کدهای بازیابی |
| واتساپ | رمز عبور درستی‌سنجی دومرحله‌ای همراه با یک نشانی ایمیل |
| تیمی که وارد حساب‌های مشتریان می‌شود | کدهای پشتیبان نزد مشتری می‌ماند؛ یک آی‌پی پایدار برای هر حساب |

## پرسش‌های متداول

### آیا احراز هویت دوعاملی را خاموش کنم؟

نه، مگر اینکه آن را با روشی قوی‌تر جایگزین کنید. خاموش کردنش رمز عبور را دوباره به تنها قفل تبدیل می‌کند و گوگل هشدار می‌دهد که این کار ممکن است ورود دیگران را آسان‌تر کند. اگر صفحه کد آزارتان می‌دهد، دستگاه‌های خودتان را مورد اعتماد علامت بزنید یا به passkey روی بیاورید؛ در حساب اپلی که با احراز هویت دوعاملی ساخته شده، اصلاً نمی‌توان آن را خاموش کرد.

### آیا احراز هویت دوعاملی با پیامک امن است؟

بسیار امن‌تر از رمز عبور تنهاست، اما ضعیف‌ترین نوع ⁦2FA⁩ است: کدهای پیامکی را می‌توان با تعویض سیم‌کارت به جای دیگری فرستاد یا در صفحه‌ای جعلی وارد کرد. برای ایمیل و بانک از برنامه احراز هویت، passkey یا کلید امنیتی استفاده کنید و پیامک را فقط جایی به کار ببرید که گزینه دیگری وجود ندارد.

### کد ⁦2FA⁩ چیست؟

کد ⁦2FA⁩ عددی کوتاه و یک‌بارمصرف، معمولاً شش‌رقمی، است که ثابت می‌کند عامل دوم را در دست دارید. با پیامک یا تماس می‌رسد یا برنامه احراز هویت آن را محاسبه می‌کند و فقط یک بار و برای مدتی کوتاه کار می‌کند. هرگز آن را با کسی در میان نگذارید.

### آیا احراز هویت دوعاملی هک می‌شود؟

بله، اما بسیار دشوارتر از دزدیدن رمز عبور. نقطه‌های ضعف عبارت‌اند از صفحه‌های ورود جعلی که کد شما را همان لحظه به سایت واقعی می‌رسانند، تعویض سیم‌کارت، افرادی که قانع می‌شوند درخواستی را تأیید کنند و بدافزاری که پس از ورود نشست را در دست می‌گیرد. passkeyها و کلیدهای امنیتی سه مورد نخست را از کار می‌اندازند: نه کدی هست که رد شود، نه پیامکی که مسیرش عوض شود و نه درخواستی که تأیید شود.

### از کدام برنامه احراز هویت استفاده کنم؟

هر برنامه‌ای که از کدهای استاندارد مبتنی بر زمان پشتیبانی کند با بیشتر سایت‌ها کار می‌کند. Google Authenticator و Microsoft Authenticator هر دو چنین کدهایی می‌سازند و از ⁦iOS 18⁩ و macOS Sequoia برنامه Passwords اپل هم کدهای تأیید را نگه می‌دارد؛ برنامه‌های بسیار دیگری هم وجود دارند. برنامه‌ای را انتخاب کنید که بتواند کدهایتان را به گوشی تازه منتقل کند، همان‌طور که Google Authenticator آن‌ها را با حساب گوگل شما همگام می‌کند.

### چرا کد ⁦2FA⁩ من کار نمی‌کند؟

معمولاً کد منقضی شده، مال حساب دیگری است یا ساعت گوشی درست نیست. فهرست بررسی گوگل: کد را پیش از انقضا وارد کنید، مطمئن شوید برای برنامه و حساب درست است و بررسی کنید زمان دستگاهتان همگام و برای منطقه زمانی شما درست باشد. اگر کد پیامکی هرگز نرسید، از یک کد پشتیبان استفاده کنید.

## خلاصه

احراز هویت دوعاملی پس از رمز عبور مدرک دوم و متفاوتی می‌خواهد، پس رمز عبور دزدیده‌شده به‌تنهایی دیگر حساب شما را باز نمی‌کند. آن را اول برای ایمیلتان روشن کنید، چون بازنشانی رمز حساب‌های دیگرتان از راه آن انجام می‌شود، سپس برای گوگل یا اپل، شبکه‌های اجتماعی و واتساپ. passkey یا برنامه احراز هویت را به پیامک ترجیح دهید، کدهای پشتیبان را دور از گوشی نگه دارید و حساب قفل‌شده را فقط از راه مراحل خود پلتفرم بازیابی کنید. اگر تیم شما از راه پروکسی وارد حساب‌های مشتریان می‌شود، صفحه [خدمات پروکسی](/fa/proxy) ما گزینه‌های نشست ثابت و آی‌پی استاتیک را مقایسه می‌کند.