Khóa thiết lập nằm ở đâu?

Ngay trên màn hình mà dịch vụ hiện mã QR cho ứng dụng xác thực. Tìm một liên kết kiểu “không thể quét?”, “nhập mã thủ công” hoặc “hiện khóa thiết lập”. Nó sẽ lộ ra một chuỗi Base32 (hoặc URI otpauth:// đầy đủ) — dạng nào cũng dùng được trong trình tạo.

Mã của tôi bị từ chối — giờ sao?

Gần như luôn là do lệch đồng hồ. TOTP dựa trên thời gian, nên thiết bị có đồng hồ lệch nửa phút cũng sinh ra mã không hợp lệ. Hãy đặt đồng hồ hệ thống đồng bộ tự động rồi thử lại.

Mã này có giống mã mà ứng dụng trên điện thoại sẽ tạo không?

Giống. Mọi ứng dụng xác thực — Google Authenticator, Authy, Microsoft Authenticator, hay công cụ trình duyệt này — đều tính cùng một mã TOTP theo RFC 6238, từ cùng khóa và cùng đồng hồ. Chúng có thể thay thế nhau.

Tôi vẫn cần mã khôi phục chứ?

Cần. Hãy lưu chúng ngoại tuyến, tách khỏi công cụ này. Nếu một ngày bạn mất quyền truy cập thiết bị chứa khóa bí mật, mã khôi phục chính là con đường trở lại tài khoản.

Hướng dẫn 2FA

Cách lấy mã 2FA của bạn

Toàn bộ quy trình chỉ mất khoảng một phút: hiển thị khóa thiết lập, dán vào đây, rồi nhập mã thu được vào màn hình nào đang đòi nó. Không cần điện thoại — "bản tham chiếu" của phép toán đang chạy ngay trên trình tạo ở trang chủ.

Trước khi bắt đầu cần có gì

Trước hết là quyền truy cập tài khoản — hiển nhiên bạn phải đang đăng nhập vào dịch vụ muốn bảo vệ. Ngoài ra chỉ còn hai điều đáng quan tâm. Một, dịch vụ phải có tùy chọnứng dụng xác thực làm yếu tố thứ hai; điều này bao phủ Google, Microsoft, GitHub, Discord, Steam, AWS, Coinbase, Kraken, Binance, X, và phần lớn ngân hàng hay sàn giao dịch. Hai, bạn cần một nơi để chạy trình xác thực: một ứng dụng trên điện thoại, hoặc — chính là điểm của trang này — công cụ trình duyệt ngay đây, tính ra mã y hệt mà không cài đặt gì.

Vài dòng về cách gọi tên: dịch vụ gọi yếu tố này là “xác thực hai yếu tố”, “2FA”, “xác minh hai bước”, “TOTP”, hoặc “ứng dụng xác thực”. Phía sau các nhãn là cùng một thứ — một mã dùng một lần, dựa trên thời gian, sinh từ khóa bí mật dùng chung. Nếu bạn muốn giải thích cơ chế thay vì cách dùng, đọc 2FA là gì? Cơ chế TOTP hoạt động ra sao.

Bước 1: Bật 2FA và hiển thị khóa thiết lập

Mở cài đặt bảo mật của tài khoản và tìm mục xác thực hai yếu tố. Chọn tùy chọnứng dụng xác thực. Dịch vụ hiện một mã QR cho bạn quét bằng điện thoại — và màn hình đó hầu như luôn kèm một lối thay thế: một liên kết ghi “không thể quét?”,“nhập mã thủ công” hoặc “khóa thiết lập”. Theo liên kết đó, khóa bí mật thật sự sẽ hiện ra: một chuỗi Base32 kiểu JBSWY3DPEHPK3PXP, thỉnh thoảng bọc trong cả một URI otpauth:// đầy đủ, mang thêm nhãn tài khoản, số chữ số, chu kỳ làm mới và thuật toán băm.

Khóa này chính là thông tin đăng nhập — nó là phiên bản di động của mật khẩu dành cho yếu tố thứ hai. Hãy đối xử với màn hình này như một màn khôi phục: không một ai hợp lệ nào lại nhờ bạn dán khóa thiết lập vào email hay tin nhắn cả. Sao chép nó, hoàn tất việc bật 2FA (hầu hết dịch vụ đòi một mã hợp lệ để xác nhận), và giữ bản gốc ở nơi được mã hóa, như trình quản lý mật khẩu.

Bước 2: Dán khóa vào trình tạo

Trong trình tạo trên đầu trang chủ, dán thứ bạn vừa chép — chuỗi Base32 trơn hoặc cả liên kết otpauth://, dạng nào cũng được. Mã 6 chữ số trực tiếp xuất hiện trong vài giây và làm mới mỗi 30 giây. Bạn cũng có thể nạp khóa từ ảnh: dán ảnh chụp mã QR trực tiếp lên trang bằng Ctrl+V, kéo thả một tệp ảnh, hoặc quét mã QR bằng camera — việc giải mã diễn ra ngay tại máy, không có gì được tải lên. Nếu dịch vụ phát hành cấu hình không chuẩn (mã 8 chữ số, chu kỳ 15/30/60 giây, SHA-256, hoặc HOTP theo bộ đếm), một URI otpauth:// đầy đủ mang theo mọi tham số đó và trình tạo tự động tôn trọng chúng.

Bước 3: Sao chép mã trực tiếp và hoàn tất đăng nhập

Nhập mã hiện tại vào ô xác minh trước khi nó đổi. Mỗi mã chỉ còn hiệu lực đúng một cửa sổ 30 giây (ngắn hơn hoặc dài hơn với dịch vụ có chu kỳ riêng), nên nếu đếm ngược đã vào vài giây cuối, hãy đợi mã kế tiếp thay vì vội nhập mã cũ. Từ giờ, mỗi lần đăng nhập dịch vụ này lặp lại cùng vòng lặp: mở trình tạo → sao chép mã → dán vào. Khóa cuối cùng được nhớ chỉ trong localStorage của chính trình duyệt bạn, nên lần sau chỉ cần một cú nhấp.

Tìm khóa thiết lập ở đâu trong các dịch vụ phổ biến

Mỗi dịch vụ giấu tùy chọn ứng dụng xác thực ở một góc khác nhau, vì vậy chúng tôi phát hành các hướng dẫn thiết lập từng bước đi cặp với trình tạo này — kết thúc bằng việc bạn dán khóa vào đây và hoàn tất thiết lập. Được đọc nhiều nhất:Google, Microsoft, Discord, GitHub, Steam, AWS, Coinbase, Kraken, và Binance.

Xử lý sự cố: làm gì khi nó không chạy

Mã bị từ chối. Thực tế gần như luôn do lệch đồng hồ trên thiết bị đang chạy trình tạo. TOTP so mã của bạn với mã suy ra từ đồng hồ của dịch vụ; nếu thời gian hệ thống lệch nửa phút, hai mã sẽ lệch nhau. Đặt hệ điều hành đồng bộ thời gian tự động (Windows: “Đồng bộ ngay” trong cài đặt ngày giờ; macOS: “Đặt ngày giờ tự động”), rồi thử mã kế tiếp.

Mã QR không quét được. Hãy dùng liên kết “không thể quét?” để hiển thị khóa thiết lập thay thế — khóa dạng chữ luôn đáng tin hơn việc chụp màn hình. Nếu bạn chỉ có ảnh chụp, hãy cắt ảnh quanh vùng mã QR; ảnh nén mạnh hoặc chụp xiên thường giải mã thất bại.

Bạn làm mất chiếc điện thoại chứa khóa. Đó chính xác là tình huống mà công cụ này được tạo ra để giải quyết: nếu bạn đã giữ khóa gốc trong trình quản lý mật khẩu — hoặc đã dán nó vào đây khi điện thoại còn dùng được — bạn có thể tạo lại mã trên bất kỳ máy tính nào. Không cần điện thoại, không cần khôi phục, không cần vé hỗ trợ.

Hai thói quen đáng hình thành

Lưu các mã khôi phục của dịch vụ ở nơi ngoại tuyến khi bạn bật 2FA; đó là tấm phao cứu sinh nếu một ngày bạn mất thiết bị chứa khóa. Và đừng bao giờ coi mã 2FA trực tiếp là thứ để chia sẻ: không nhân viên hỗ trợ, không ngân hàng, không sàn giao dịch nào cần mã hiện tại của bạn mà không được yêu cầu trước. Một mã chỉ có ích trong cửa sổ 30 giây của nó, trên đúng màn hình đăng nhập mà bạn lựa chọn.