Dvoufázové ověření – návod pro všechny

Jak si zapnout ověření v telefonu nebo e-mailem, jak se s ním přihlašovat a co dělat, když ztratíte telefon. Pro žáky, rodiče, vyučující i správce.

Co to je a proč

Při přihlášení zadáte kromě hesla ještě krátký kód, který máte jen vy – v aplikaci v telefonu, nebo v e-mailu. Kdo zjistí vaše heslo (odkoukáním, únikem z jiného webu, podvodným e-mailem), se bez kódu do Lunoro nedostane.

V Lunoro jsou osobní údaje dětí – zápisy, opatření, kontakty. Proto škola dvoufázové ověření doporučuje všem a některým skupinám ho nařizuje.

Kód nikdy nikomu neříkejte a nepište ho nikam jinam než na přihlašovací stránku Lunoro. Škola ani správce systému ho po vás nikdy nebudou chtít.

Co budete potřebovat

Doporučeno: chytrý telefon s aplikací pro ověřování – Google Authenticator nebo Microsoft Authenticator (zdarma v Google Play i App Store). Funguje i bez internetu.
Jde to i ve správci hesel, který umí jednorázové kódy (např. Bitwarden, 1Password, KeePassXC).
Nebo: e-mailovou adresu vyplněnou v profilu – kód vám přijde e-mailem (pokud to škola povoluje).
Asi dvě minuty a papír nebo správce hesel na záložní kódy.

Nastavení aplikace v telefonu

Nainstalujte si do telefonu Google Authenticator nebo Microsoft Authenticator.
V Lunoro otevřete Profil › Dvoufázové ověření (vpravo nahoře v profilu) a zvolte „Nastavit aplikaci“. Pokud je ověření pro váš účet povinné, otevře se tato stránka sama hned po přihlášení.
V aplikaci v telefonu zvolte „+“ (přidat účet) › „Naskenovat QR kód“ a namiřte fotoaparát na QR kód na obrazovce počítače.
Nejde naskenovat (např. přihlašujete se z telefonu)? V aplikaci zvolte „Zadat klíč“ a opište klíč, který je vedle QR kódu – typ „podle času“.
Aplikace začne ukazovat šestimístný kód, který se každých 30 sekund mění. Opište ho do Lunoro a potvrďte „Zapnout ověření“.
Uložte si záložní kódy (viz níže) – zobrazí se jen jednou.

Nastavení kódu e-mailem

Pohodlnější, ale méně bezpečné než aplikace – e-mailová schránka bývá chráněná jen heslem. Hodí se, když nemáte chytrý telefon.

Zkontrolujte, že máte v profilu vyplněný správný e-mail.
V Profil › Dvoufázové ověření zvolte „Posílat kódy na …“.
Do pár minut vám přijde e-mail s kódem (podívejte se i do spamu). Opište ho a potvrďte.
Uložte si záložní kódy.

Záložní kódy

Po zapnutí dostanete 10 záložních kódů (např. ABCD-EFGH-JKLM). Každý funguje jednou a nahradí kód z telefonu nebo e-mailu, když k nim nemáte přístup.

Vytiskněte si je a uložte doma, nebo je vložte do správce hesel.
Neukládejte je jen do stejného telefonu, kde máte aplikaci.
Když dojdou nebo je ztratíte, vytvořte si nové (Profil › Dvoufázové ověření › Vytvořit nové). Staré tím přestanou platit.

Jak se pak přihlašovat

Zadejte jméno a heslo jako dřív.
Otevřete aplikaci v telefonu (nebo e-mail) a opište šestimístný kód.
Na vlastním počítači můžete zaškrtnout „Na tomto počítači se neptat“ – kód pak nebude potřeba několik dní. Na školních a sdílených počítačích to nikdy nezaškrtávejte.

Přihlásíte se z prohlížeče, který jste dosud nepoužili? Přijde vám upozornění e-mailem. Pokud jste to nebyli vy, změňte si heslo a v Profil › Dvoufázové ověření zvolte „Odhlásit všude jinde“.

Tři kroky pro správce (heslo + aplikace + e-mail) správci

U nejdůležitějších účtů (např. správci systému) může škola nařídit tři kroky: heslo, kód z aplikace a ještě kód e-mailem. Útočník by musel mít vaše heslo, váš telefon i vaši schránku.

Nejdřív si nastavte aplikaci (viz výše).
V Profil › Dvoufázové ověření › Další nastavení zvolte „Přidat kód e-mailem“ a potvrďte kód, který vám přijde.
Při přihlášení pak zadáte kód z aplikace a hned potom kód z e-mailu.

U tří kroků se počítač nikdy „nezapamatuje“ – kód se zadává při každém přihlášení.

Potvrzení před exportem údajů zaměstnanci

Před stažením údajů celé třídy nebo školy (CSV exporty, přístupové údaje, zálohy, logy) Lunoro znovu požádá o kód – pokud jste ho nezadali v posledních 10 minutách. Účty bez dvoufázového ověření zadají heslo.

Nový telefon

Dokud máte starý telefon: Profil › Dvoufázové ověření › „Přenést do jiného telefonu“, naskenujte QR kód novým telefonem a potvrďte kódem z něj.
Starý telefon už nemáte: přihlaste se záložním kódem a postupujte stejně.

Microsoft Authenticator i Google Authenticator umí účty zálohovat a přenést – i tak je nejjistější nové nastavení podle bodu 1.

Ztratil(a) jsem telefon a nemám záložní kódy

Žáci a rodiče: obraťte se na třídního učitele nebo vedení školy.
Vyučující: obraťte se na vedení nebo správce systému.
Správce ověří, že jde opravdu o vás (osobně nebo telefonicky), a ověření vašeho účtu zruší. Při dalším přihlášení si ho nastavíte znovu.
Správci systému, kteří se nemohou přihlásit vůbec: nouzová obnova na adrese /obnova (návod v provozní dokumentaci).

Přihlášená zařízení a „Odhlásit všude“

V Profil › Dvoufázové ověření vidíte, na kterých zařízeních jste přihlášení (prohlížeč, adresa IP, poslední aktivita). Neznámé zařízení odhlásíte jedním tlačítkem, „Odhlásit všude jinde“ odhlásí všechno kromě zařízení, na kterém právě jste.

Po změně hesla se ostatní zařízení odhlásí sama.

Časté problémy

„Kód nesouhlasí“ – nejčastěji má telefon špatný čas. Zapněte v telefonu automatický čas (Nastavení › Datum a čas). V Google Authenticatoru na Androidu: Nastavení › Oprava času pro kódy.
Kód se mezitím změnil – počkejte na nový a opište ho rychleji. Každý kód lze použít jen jednou.
E-mail s kódem nepřišel – podívejte se do spamu, počkejte minutu a zvolte „Poslat nový kód“. Kódů lze poslat nejvýš 5 za 15 minut.
Po pěti špatných kódech se ověření na 15 minut zablokuje – a přijde vám upozornění e-mailem.
QR kód nejde naskenovat – zvětšete okno, nebo opište klíč ručně.

Kdo musí mít ověření

Rozhoduje škola (Administrace › Dvoufázové ověření): pro typy účtů (zaměstnanci, žáci, rodiče) a pro skupiny oprávnění. Kdo pod povinnost spadá, nastaví si ověření hned po příštím přihlášení – dřív se jinam nedostane. Ostatní si ho mohou zapnout dobrovolně a doporučujeme to.