Wajibkan 2FA, Token API, dan Log Keamanan
Mewajibkan 2FA untuk akun pemilik toko
Di Pengaturan > Keamanan, nyalakan Wajibkan 2FA untuk akun pemilik dan pilih masa tenggang 0 sampai 30 hari. Bawaannya mati. Menyalakan atau mengubah masa tenggang memulai hitungan dari saat itu.
| Keadaan akun pemilik | Yang terjadi |
|---|---|
| Sudah punya 2FA, atau toko tidak mewajibkan | Tidak ada perubahan |
| Masa tenggang (belum punya 2FA) | Bisa masuk dan bekerja normal. Tampil banner dengan hitungan mundur dan tombol Atur sekarang |
| Setelah tenggat | Bisa masuk, tetapi sesinya hanya untuk pengaturan: semua halaman lain ditolak sampai 2FA aktif, dan Dashboard langsung membuka panduan pengaktifan |
Begitu 2FA diaktifkan, pembatasan hilang seketika. Sesi yang sudah berjalan dievaluasi ulang saat memperbarui sesinya, jadi tenggat bisa terasa setelah itu. Panduan: Mengaktifkan Verifikasi 2 Langkah.
Token API dan klien MCP
Token akses pribadi (eta_pat_...) berfungsi seperti sebelumnya dan tidak pernah diminta kode 2FA saat dipakai. Karena token tidak ikut keluar bersama sesi, membuatnya adalah momen yang dilindungi:
- Jika 2FA aktif, dialog Buat token meminta kode 2FA (kode aplikasi atau kode pemulihan). Tanpa kode, pembuatan ditolak; kode salah ditolak; terkunci menampilkan sisa waktu.
- Token tidak bisa membuat token baru. Token yang bocor tidak bisa dipakai untuk mencetak token lain.
- Akun tanpa 2FA: tidak ada yang berubah.
- Mencabut dan melihat daftar token tidak butuh kode tambahan.
- Ganti kata sandi tidak mencabut token. Setelah akun diduga bocor, cabut token secara manual di Pengaturan > Token API.
- Token, staf, dan impersonasi tidak bisa membuka halaman Keamanan dan Sesi.
Klien MCP: jika klien MCP Anda masuk memakai email dan kata sandi pada akun dengan 2FA, ia mendapat permintaan kode dan tidak bisa lanjut. Ganti ke token akses pribadi atau OAuth. Lihat Integrasi dan Pengaturan OAuth.
Email keamanan
Etalasse mengirim email (tanpa kode di dalamnya) saat: 2FA diaktifkan atau dinonaktifkan, kode pemulihan dibuat ulang, kata sandi diubah atau di-reset, perangkat lain dikeluarkan, 2FA di-reset oleh dukungan, dan masuk dari perangkat baru.
Jejak di Log Aktivitas
Setiap perubahan keamanan tercatat di Log Aktivitas dengan sumber daya keamanan. Catatan tidak pernah memuat kunci, kode, atau kata sandi.
FAQ
Apakah 2FA wajib?
Tidak, kecuali pemilik mengaktifkan wajib 2FA untuk toko.
Apakah staf saya perlu 2FA?
Tidak. 2FA hanya untuk akun pemilik. Login staf tidak berubah.
Apakah ini mengeluarkan saya setelah rilis?
Tidak. Sesi yang sudah ada tetap berlaku sampai habis dan pindah ke sistem baru sendiri.
Saya ganti ponsel. Apa yang harus dilakukan?
Pindahkan akun di aplikasi autentikator, atau nonaktifkan lalu aktifkan lagi di ponsel baru. Lihat Ponsel Hilang atau Terkunci.
Kode saya ditolak padahal benar.
Periksa jam ponsel (atur otomatis), dan ingat kode yang sudah dipakai tidak bisa dipakai lagi: tunggu kode berikutnya. Setelah 10 kali salah, akun terkunci 15 menit.
Apakah Dashboard mobile punya fitur yang sama?
Halaman Pengaturan > Keamanan dirancang untuk Dashboard web dan aplikasi mobile.