Bảo mật tài khoản dashboard

Trang Bảo mật tài khoản

Mở Tài khoản & tổ chức › Bảo mật tài khoản. Trang có ba thẻ: Xác thực hai lớp (kèm nhãn Đang bật hoặc Đang tắt), Passkey và Phiên đăng nhập. Mật khẩu và email được xử lý ở các trang đăng ký, đăng nhập và khôi phục, mô tả ở hai mục ngay sau đây.

Mật khẩu

Máy chủ áp hai quy tắc mỗi khi bạn mở tài khoản hoặc đặt mật khẩu mới:

• Dài 10 đến 128 ký tự. Ngắn hơn, form báo "Dùng ít nhất 10 ký tự".
• Không nằm trong kho mật khẩu đã lộ. ClavisAUH đối chiếu với cơ sở dữ liệu Have I Been Pwned theo kiểu k-anonymity: chỉ 5 ký tự đầu của mã băm SHA-1 rời máy chủ, bản thân mật khẩu không bao giờ được gửi đi. Nếu trùng, form báo "Mật khẩu này từng lộ trong một vụ rò rỉ dữ liệu · hãy chọn mật khẩu khác".

Thanh độ mạnh (Yếu, Tạm, Vững, Kiên cố) và ba gợi ý 10+ ký tự, Hoa và thường, Số hoặc ký hiệu chỉ để tham khảo, máy chủ không bắt buộc chúng. Một mật khẩu dài, ngẫu nhiên, sinh từ trình quản lý mật khẩu vẫn là lựa chọn tốt nhất.

Mật khẩu chỉ được lưu dưới dạng mã băm Argon2id, không bao giờ ở dạng đọc được. Để chống dò mật khẩu, máy chủ nhận tối đa 5 lần đăng nhập bằng mật khẩu mỗi phút; vượt quá, hãy chờ một phút rồi thử lại.

Đặt lại mật khẩu

Dashboard chưa có chỗ đổi mật khẩu khi đang đăng nhập. Muốn đổi, bạn dùng luồng khôi phục:

1. Ở trang đăng nhập, bấm Quên mật khẩu?.
2. Nhập email, bấm Gửi mã khôi phục. Trang luôn báo "Nếu email này có tài khoản, mã đang trên đường tới bạn", dù email có tài khoản hay không, để không ai dò được email nào đã đăng ký.
3. Nhập mã 6 số trong email (hiệu lực 10 phút) và Mật khẩu mới, rồi bấm Đặt mật khẩu mới.
4. Bấm Tiếp tục đăng nhập và đăng nhập bằng mật khẩu vừa đặt.

Xác minh email

Tài khoản phải xác minh email trước khi đăng nhập được bằng mật khẩu.

1. Sau khi bấm Mở tài khoản, bạn tới trang "Thư xác minh đã lên đường". Mã 6 số được gửi tới email vừa nhập và có hiệu lực 10 phút.
2. Nhập mã vào ô Mã xác minh. Đủ 6 số là form tự gửi, hoặc bấm Xác minh.
3. Xác minh xong, bạn được đăng nhập luôn và vào thẳng dashboard.

Vài tình huống thường gặp:

• Gửi lại mã mở sau 30 giây đếm ngược. Nhập sai 5 lần, mã hiện tại bị huỷ và bạn cần xin mã mới.
• Gõ nhầm email thì bấm Đổi email để quay lại trang đăng ký.
• Đăng nhập khi chưa xác minh, ClavisAUH tự gửi mã mới và đưa bạn tới trang xác minh.
• Email ở Tài khoản & tổ chức › Hồ sơ cá nhân chỉ để xem. Dashboard chưa hỗ trợ đổi email.

Xác thực hai lớp (2FA)

2FA thêm một bước sau mật khẩu: mã 6 số từ ứng dụng xác thực trên điện thoại, đổi mỗi 30 giây. Bạn dùng được Google Authenticator, Microsoft Authenticator, 1Password hoặc bất kỳ ứng dụng TOTP nào. Kẻ biết mật khẩu của bạn vẫn không vào được nếu không cầm điện thoại.

Bật 2FA

1. Mở Tài khoản & tổ chức › Bảo mật tài khoản, ở thẻ Xác thực hai lớp bấm Bật.
2. Hộp thoại yêu cầu "Xác nhận mật khẩu". Nhập Mật khẩu, bấm Xác nhận. Sai mật khẩu, hộp thoại báo "Email và mật khẩu chưa khớp".
3. Quét mã QR bằng ứng dụng xác thực. Không quét được thì dùng khoá dưới dòng Hoặc nhập khoá này thủ công (có nút sao chép). Mục mới hiện trong ứng dụng với tên ClavisAUH và email của bạn.
4. Mở mục Mã dự phòng và cất 10 mã vào trình quản lý mật khẩu hoặc in ra. Nút sao chép lấy cả danh sách.
5. Nhập mã 6 số đang hiện trong ứng dụng. Đủ 6 số là dashboard tự xác minh, báo "Đã bật xác thực hai lớp" và nhãn chuyển sang Đang bật.

Nếu đóng hộp thoại trước bước 5, 2FA vẫn tắt. Lần bấm Bật tiếp theo tạo khoá và bộ mã dự phòng mới, nên hãy xoá mục cũ trong ứng dụng xác thực.

Bật 2FA không đăng xuất các thiết bị khác. Nếu bạn bật vì nghi ngờ có người lạ, hãy bấm thêm Đăng xuất thiết bị khác ở thẻ Phiên đăng nhập.

Đăng nhập khi đã bật 2FA

Sau khi nhập email, mật khẩu và bấm Vào không gian của bạn, bạn tới trang Xác minh hai lớp có hai tab:

• Ứng dụng xác thực: nhập mã 6 số, đủ số là tự gửi.
• Mã dự phòng: nhập một mã dự phòng rồi bấm Xác minh. Mã phân biệt chữ hoa và chữ thường, hãy gõ đúng như bản đã lưu.

Bước này có giới hạn để chống dò mã:

• Bạn có 10 phút kể từ lúc nhập mật khẩu. Quá thời gian, hãy đăng nhập lại từ đầu.
• Mỗi lượt đăng nhập cho tối đa 5 lần nhập sai, sau đó phải nhập lại mật khẩu.
• 10 lần sai liên tiếp, tính qua nhiều lượt, khoá bước 2FA của tài khoản trong 15 phút.

Mã luôn bị báo sai dù gõ đúng? Kiểm tra đồng hồ điện thoại có đang tự đồng bộ không, vì mã TOTP tính theo thời gian.

Mã dự phòng và khi mất điện thoại

Mỗi mã dự phòng dùng được đúng một lần. Khi mất hoặc đổi điện thoại:

1. Đăng nhập, chọn tab Mã dự phòng và nhập một mã còn lại.
2. Vào Tài khoản & tổ chức › Bảo mật tài khoản, bấm Tắt rồi Bật lại để gắn điện thoại mới và nhận 10 mã dự phòng mới.

Dashboard không có nút tạo lại riêng mã dự phòng, tắt rồi bật lại là cách lấy bộ mới. Nếu mất cả điện thoại lẫn mã dự phòng, bấm Liên hệ hỗ trợ cạnh dòng Mất thiết bị? ở trang xác minh.

Tắt 2FA

Bấm Tắt, nhập mật khẩu, bấm Xác nhận. Dashboard báo "Đã tắt xác thực hai lớp". Khoá TOTP và mọi mã dự phòng bị xoá, trình duyệt đang dùng cũng mất trạng thái tin cậy.

Thiết bị tin cậy

Ở trang Xác minh hai lớp, bật Tin cậy thiết bị này 30 ngày trước khi xác minh. Từ đó trình duyệt này chỉ cần email và mật khẩu, không hỏi mã 2FA nữa.

• Mỗi lần bạn đăng nhập bằng mật khẩu trên trình duyệt đó trong thời hạn, hạn tin cậy được tính lại thêm 30 ngày.
• Tin cậy lưu trong cookie của trình duyệt, nên cửa sổ ẩn danh, trình duyệt khác hoặc xoá cookie đều không còn tin cậy.
• Đăng xuất không gỡ tin cậy. Tắt 2FA chỉ gỡ tin cậy của trình duyệt bạn đang dùng.
• Dashboard chưa có danh sách thiết bị tin cậy. Nếu mất một máy đã tin cậy, hãy đặt lại mật khẩu: mọi phiên bị đăng xuất, và máy kia vẫn phải có mật khẩu mới mới vào được.

Chỉ bật tin cậy trên máy cá nhân, không bật trên máy dùng chung.

Passkey

Passkey cho bạn đăng nhập bằng Touch ID, Windows Hello, khoá bảo mật phần cứng hoặc trình quản lý mật khẩu mà không gõ mật khẩu. Passkey gắn với tên miền của dashboard nên trang giả mạo không lừa lấy được.

Thêm passkey

1. Ở thẻ Passkey trong Tài khoản & tổ chức › Bảo mật tài khoản, bấm Thêm passkey.
2. Làm theo hộp thoại của trình duyệt hoặc hệ điều hành: vân tay, khuôn mặt, PIN hoặc cắm khoá bảo mật.
3. Dashboard báo "Đã thêm passkey", passkey hiện trong danh sách kèm thời điểm thêm.

Thêm passkey là thao tác nhạy cảm nên chỉ chạy khi bạn đăng nhập chưa quá 15 phút. Nếu bấm mà không thấy hộp thoại nào, hãy đăng xuất, đăng nhập lại rồi thử.

Đăng nhập và xoá passkey

Ở trang đăng nhập, bấm Đăng nhập bằng passkey ở trên cùng rồi chọn passkey. Huỷ giữa chừng, trang báo "Đã huỷ đăng nhập bằng passkey". Đăng nhập bằng passkey không hỏi thêm mã 2FA, vì passkey vốn gắn với thiết bị của bạn và thường được mở khoá bằng vân tay, khuôn mặt hoặc PIN.

Để xoá, bấm biểu tượng thùng rác ở dòng passkey. Passkey bị xoá ngay, không có hộp xác nhận.

Chỉ dùng passkey

Bật Chỉ dùng passkey ở Tài khoản & tổ chức › Bảo mật tài khoản để tắt đăng nhập bằng mật khẩu cho tài khoản của bạn. Cần có ít nhất hai passkey.

Không có đăng nhập bằng mã gửi qua mail. Mã trong hộp thư chỉ dùng để xác minh email và đặt lại mật khẩu.

Phiên đăng nhập

Thẻ Phiên đăng nhập liệt kê các phiên còn hiệu lực. Mỗi dòng có hệ điều hành (đọc từ user agent của trình duyệt), địa chỉ IP và lần hoạt động gần nhất. Phiên bạn đang dùng mang nhãn Thiết bị này.

• Bấm Đăng xuất ở một dòng để kết thúc phiên đó.
• Bấm Đăng xuất thiết bị khác để kết thúc mọi phiên trừ phiên hiện tại.

Cả hai chạy ngay, không có hộp xác nhận, và có hiệu lực từ yêu cầu kế tiếp của thiết bị kia vì ClavisAUH không lưu đệm phiên trong cookie. Mỗi phiên sống 7 ngày và được gia hạn khi bạn dùng dashboard, tối đa mỗi ngày một lần, nên phiên bỏ không khoảng 7 ngày sẽ tự hết hạn.

Thao tác cần đăng nhập gần đây

Khoá Seller API, khoá ký, webhook và chuyển quyền sở hữu cần đăng nhập trong 15 phút gần nhất khi chạy production. Quá thời gian đó, hãy đăng xuất, đăng nhập lại rồi thử.

Bắt buộc 2FA hoặc passkey cho cả nhóm

Bắt buộc MFA cho team là một phương pháp của Bảo vệ Advanced đặt theo từng ứng dụng, mặc định tắt. Khi bật, ai trong workspace chưa có 2FA hoặc passkey sẽ không thao tác được trên ứng dụng đó trong dashboard, bất kể vai trò, kể cả Chủ sở hữu.

Cách bật

1. Bật 2FA hoặc thêm passkey cho chính tài khoản của bạn trước.
2. Mở ứng dụng, vào Bảo mật ứng dụng › Bảo vệ, tab Phương pháp.
3. Nếu ứng dụng đang ở Bảo vệ Standard, bấm Dùng chế độ này trên thẻ Bảo vệ Advanced.
4. Trong nhóm Kiểm soát truy cập, bật công tắc Bắt buộc MFA cho team. Dashboard báo "Đã lưu".

Chỉ Quản trị và Chủ sở hữu bật tắt được phương pháp này. Nếu bạn chưa có cả hai, dashboard từ chối với thông báo "Bật 2FA cho tài khoản của bạn trước". Ứng dụng mới chạy Bảo vệ Standard, nơi quy tắc này không áp dụng, nên không ai bị khoá ngay ngày đầu. Về Standard thì quy tắc ngừng chạy, và quay lại khi bạn bật Advanced. Mỗi lần đổi được ghi vào Lịch sử thay đổi cuối trang, kèm người đổi và thời điểm.

Khi quy tắc đang bật

Thành viên chưa có cả hai vẫn thấy ứng dụng ở Không gian làm việc › Ứng dụng, nhưng các trang bên trong ứng dụng báo "Đã có lỗi xảy ra" kèm nút Thử lại. Phía máy chủ, yêu cầu bị từ chối với HTTP 403:

{
  "error": {
    "code": "two_factor_required",
    "message": "This app requires two-factor authentication for every member",
    "requestId": "..."
  }
}

• Người đó bật 2FA hoặc thêm passkey ở Tài khoản & tổ chức › Bảo mật tài khoản là vào lại được ngay, không cần đăng nhập lại.
• Quy tắc nhận passkey cũng như 2FA.
• Quy tắc chỉ áp cho người dùng dashboard. Phần mềm của bạn, người dùng cuối và các lời gọi Seller API không bị ảnh hưởng.

Liên quan

• Workspace, thành viên và vai trò
• Hai chế độ bảo vệ
• Bán hàng qua Seller API