Tvåfaktorsautentisering: hur gör man?

Ett lösenord ensamt räcker sällan för att hålla dina konton säkra. Med tvåfaktorsautentisering lägger du till ett andra lås som skyddar dig även om någon skulle få tag på lösenordet. Men hur gör man egentligen? Den här guiden förklarar vad tvåfaktorsautentisering är, hur det fungerar och hur du aktiverar det steg för steg på de vanligaste tjänsterna – på svenska och anpassat för dig som är nybörjare.

Vad är tvåfaktorsautentisering?

Tvåfaktorsautentisering (ofta förkortat 2FA, och ibland kallat tvåstegsverifiering) är en säkerhetsmetod där du bekräftar din identitet på två olika sätt när du loggar in. I stället för att bara ange ett lösenord måste du också godkänna inloggningen med en andra faktor – till exempel en engångskod eller ett fingeravtryck.

En "faktor" är helt enkelt ett bevis på att du är du. Säkerhetsexperter brukar dela in dem i tre kategorier:

• Något du vet – till exempel ditt lösenord eller en PIN-kod.
• Något du har – till exempel din mobiltelefon, en autentiseringsapp eller en fysisk säkerhetsnyckel.
• Något du är – biometri som fingeravtryck eller ansiktsigenkänning.

Vid tvåfaktorsautentisering kombineras två av dessa – oftast "något du vet" (lösenordet) och "något du har" (mobilen). Poängen är att en angripare som stjäl ditt lösenord ändå inte kommer in, eftersom den andra faktorn saknas.

Så fungerar en inloggning med 2FA

Själva inloggningen sker i två steg och tar bara några extra sekunder:

1. Du anger ditt användarnamn och lösenord som vanligt.
2. Tjänsten ber om den andra faktorn – exempelvis en sexsiffrig kod, en push-avisering du trycker på eller en fingeravtrycksläsning.
3. När båda stämmer släpps du in. Först då får du åtkomst till kontot.

På enheter du redan använt regelbundet kan tjänsten ofta lita på dig i en period, så att du slipper bekräfta den andra faktorn varje gång. På en ny eller okänd enhet krävs den däremot alltid.

Olika metoder – och hur säkra de är

Det finns flera sätt att ta emot eller godkänna den andra faktorn. De skiljer sig åt både i hur enkla de är att använda och i hur väl de står emot angrepp.

• SMS-kod: En engångskod skickas som textmeddelande. Enkelt och kräver ingen extra app, men räknas idag som den svagaste metoden. Koder kan fångas upp vid så kallad SIM-swap, där en bedragare lurar operatören att flytta ditt nummer till ett nytt SIM-kort. Använd hellre en annan metod om tjänsten erbjuder det.
• Autentiseringsapp (TOTP): En app som Google Authenticator, Microsoft Authenticator eller Twilio Authy skapar en ny sexsiffrig kod var 30:e sekund. TOTP betyder "time-based one-time password" – tidsbaserat engångslösenord. Koden skapas lokalt i telefonen och skickas aldrig över nätet, vilket gör metoden betydligt säkrare än SMS.
• Push-avisering: I stället för att skriva en kod får du en avisering i appen där du trycker "Godkänn" eller "Neka". Smidigt, men var noga med att bara godkänna inloggningar du själv startat.
• Fysisk säkerhetsnyckel: En liten USB- eller NFC-enhet, till exempel en YubiKey, som du trycker på för att bekräfta. Bygger på standarden FIDO2/WebAuthn och räknas som ett av de säkraste alternativen eftersom den motstår nätfiske (phishing).
• Passkey (nyckel) och biometri: Ett modernt alternativ som använder fingeravtryck eller ansiktsigenkänning tillsammans med en kryptografisk nyckel som lagras i din enhet. Kan inte fiskas eller fångas upp på samma sätt som en kod.

Oavsett metod är alla varianter av tvåfaktorsautentisering mycket bättre än enbart ett lösenord. Vill du samtidigt hålla ordning på dina lösenord är en lösenordshanterare ett bra komplement.

Så aktiverar du tvåfaktorsautentisering steg för steg

Principen är densamma överallt: leta upp konto- eller säkerhetsinställningarna, slå på tvåfaktorsautentisering och välj din metod. Nedan går vi igenom de vanligaste tjänsterna. Menyerna kan ha ändrats något sedan texten skrevs, men stegen följer samma logik.

Google- och Gmail-konto

1. Öppna ditt Google-konto och gå till Säkerhet.
2. Under "Så här loggar du in på Google", välj Tvåstegsverifiering och tryck på Kom igång.
3. Följ stegen och lägg till en andra faktor. Välj gärna Authenticator-app: du skannar en QR-kod med appen, som sedan visar en sexsiffrig kod du anger.
4. Spara dina reservkoder på ett säkert ställe – de fungerar om du tappar telefonen.

Tips: Google Authenticator kan numera säkerhetskopiera koderna till ditt Google-konto, så att de följer med till en ny telefon i stället för att gå förlorade.

Apple-konto (iPhone och iPad)

1. Öppna Inställningar och tryck på ditt namn högst upp.
2. Välj Logga in och säkerhet och därefter Tvåfaktorsautentisering.
3. Ange ett betrott telefonnummer där du vill ta emot verifieringskoder och bekräfta.

Många nyare Apple-konton har tvåfaktorsautentisering påslaget från start. Är det redan aktiverat behöver du inte göra något mer.

Microsoft-konto

1. Logga in på ditt Microsoft-konto och öppna fliken Säkerhet.
2. Välj Hantera hur jag loggar in och slå på Tvåstegsverifiering.
3. Lägg till din säkerhetsinformation, förslagsvis appen Microsoft Authenticator, och följ anvisningarna.

Observera att Microsoft under augusti 2025 tog bort funktionerna för att spara lösenord och fylla i dem automatiskt i Authenticator-appen. Appen fungerar fortfarande fullt ut för tvåfaktorsautentisering och passkeys.

Facebook och Instagram

Facebook och Instagram delar samma säkerhetsinställningar via Meta:s Kontocenter.

1. Gå till Inställningar och öppna Kontocenter.
2. Välj Lösenord och säkerhet och därefter Tvåfaktorsautentisering.
3. Välj det konto du vill skydda och sedan metod – Autentiseringsapp rekommenderas framför SMS.
4. Slå på reglaget för autentiseringsapp och följ instruktionerna på skärmen.

På Instagram kan just autentiseringsapp bara slås på via mobilappen för Android eller iPhone.

Vad gör du om du tappar telefonen?

Det här är den vanligaste oron – men den går att förbereda sig för:

• Spara reservkoderna. Nästan alla tjänster ger dig en uppsättning engångskoder när du slår på 2FA. Skriv ut dem eller lägg dem i din lösenordshanterare.
• Lägg till mer än en metod. Har du både en app och ett betrott telefonnummer kan du ta dig in även om en metod försvinner.
• Använd molnsäkerhetskopiering. Appar som Google Authenticator och Microsoft Authenticator kan flytta dina koder till en ny telefon.
• Känn till återställningsvägen. Varje tjänst har en process för kontoåterställning om allt annat misslyckas – den tar ofta längre tid, så förebygg hellre.

Vanliga misstag att undvika

• Att förlita sig enbart på SMS när en säkrare metod finns tillgänglig.
• Att inte spara reservkoderna – och sedan bli utelåst vid ett telefonbyte.
• Att godkänna en push-avisering du inte själv startat. Får du en oväntad förfrågan kan någon försöka logga in med ditt lösenord – byt då lösenord direkt.
• Att lämna ut engångskoder till någon som ringer eller mejlar. En seriös tjänst frågar aldrig efter din 2FA-kod.
• Att bara skydda ett konto. Slå på 2FA på e-post först – den används ofta för att återställa alla andra konton.

Är du osäker på om ett meddelande eller en inloggningssida är äkta kan det vara bra att veta hur du känner igen en legitim webbplats. Misstänker du att något redan gått fel kan du kontrollera om ditt konto har blivit hackat.

Passkeys – nästa steg efter lösenordet

Ett växande alternativ är passkeys, som bygger på standarderna FIDO2 och WebAuthn. I stället för lösenord och kod använder du fingeravtryck, ansikte eller enhetens PIN, medan en hemlig nyckel aldrig lämnar din enhet. Eftersom det inte finns någon kod att fånga upp eller fiska betraktar branschorganisationen FIDO Alliance passkeys som motståndskraftiga mot nätfiske. Allt fler tjänster stödjer dem, och de kan på sikt ersätta både lösenord och traditionell 2FA.

Fram tills dess är kombinationen av starka, unika lösenord och tvåfaktorsautentisering det bästa vardagsskyddet. Vill du höja säkerheten ytterligare kan ett gratis antivirusprogram och en pålitlig VPN-tjänst vara bra komplement när du surfar på osäkra nätverk.

Vem passar tvåfaktorsautentisering för?

Kort svar: alla. Metoden är gratis, tar några minuter att aktivera och är särskilt viktig för e-post, banktjänster, sociala medier och konton med sparade betalningsuppgifter. Även om du tycker att dina konton är "ointressanta" är de värdefulla för bedragare – ett kapat e-postkonto kan öppna dörren till allt annat.

Vanliga frågor (FAQ)

Vad är skillnaden mellan tvåfaktorsautentisering och tvåstegsverifiering?

I praktiken används begreppen synonymt. Båda innebär att du bekräftar din identitet i två steg. Vissa gör en teknisk skillnad, men för de flesta tjänster betyder de samma sak.

Är tvåfaktorsautentisering gratis?

Ja. Samtliga stora tjänster erbjuder 2FA utan kostnad, och autentiseringsappar som Google Authenticator och Microsoft Authenticator är gratis. Endast fysiska säkerhetsnycklar kostar pengar att köpa in.

Vilken metod är säkrast?

Fysiska säkerhetsnycklar och passkeys är säkrast eftersom de motstår nätfiske. Autentiseringsappar är ett mycket bra och enkelt val. SMS är den svagaste metoden men fortfarande bättre än inget alls.

Vad händer om jag byter telefon?

Använder du en app med molnsäkerhetskopiering följer dina koder med automatiskt. Annars flyttar du över dem manuellt, loggar in med reservkoder eller lägger till den nya enheten innan du gör dig av med den gamla.

Kan jag stänga av tvåfaktorsautentisering igen?

Ja, det går att stänga av under samma säkerhetsinställningar där du slog på det. Det rekommenderas dock inte, eftersom ditt konto då bara skyddas av lösenordet.