Zwei-Faktor-Authentifizierung
Mit eingeschalteter Zwei-Faktor-Authentifizierung braucht die Anmeldung an der App zwei Dinge: das, womit Sie sich heute anmelden (Ihr Passwort, ein Magic Link oder Ihr Google- oder GitHub-Konto), und einen 6-stelligen Code aus einer Authenticator-App auf Ihrem Handy. Wer Ihr Passwort erfährt, kommt damit allein nicht hinein.
Sie ist freiwillig, jedes Mitglied entscheidet für sein eigenes Konto, und sie ist in jedem Plan enthalten.
Einschalten
- Öffnen Sie in der App das Menü unten in der Seitenleiste (Ihr Name) und wählen Sie Zwei-Faktor-Authentifizierung.
- Wählen Sie Zwei-Faktor-Authentifizierung einrichten, geben Sie dem Authenticator einen Namen, zum Beispiel „iPhone“ oder „1Password“, und wählen Sie Weiter. Der Name unterscheidet später Ihre Geräte und lässt sich danach nicht mehr ändern.
- Scannen Sie den QR-Code mit einer Authenticator-App: 1Password, Google Authenticator, Microsoft Authenticator, Authy und jede andere App, die TOTP beherrscht, funktionieren. Ohne Kamera tippen Sie den Einrichtungsschlüssel neben dem Code in die App.
- Geben Sie den 6-stelligen Code ein, den die App zeigt, und wählen Sie Zwei-Faktor-Authentifizierung einschalten.
Ab dann fragt jede Anmeldung nach dem ersten Schritt nach einem Code. Das Einschalten meldet Ihre anderen Sitzungen ab, damit sich jeder Browser einmal ausweist. Codes wechseln alle 30 Sekunden; wird einer abgelehnt, obwohl Sie ihn richtig getippt haben, stellen Sie die Uhr Ihres Handys auf automatisch.
Es gibt keine Wiederherstellungscodes. Fügen Sie auf derselben Seite mit Weiteren Authenticator hinzufügen einen zweiten Authenticator als Reserve hinzu, etwa einen Passwort-Manager neben dem Handy; jeder von beiden meldet Sie an. Bei mehreren lässt die Code-Abfrage Sie wählen, von welchem Sie ablesen.
Was sie abdeckt
| Mit eingeschalteter Zwei-Faktor-Authentifizierung | |
|---|---|
| Anmeldung an der App (Passwort, Magic Link, Google, GitHub) | fragt nach einem Code |
| Vergessenes Passwort zurücksetzen | der Link aus der E-Mail fragt nach einem Code, bevor das neue Passwort gesetzt werden kann |
formfeed login | Sie geben die Kommandozeile in der App frei, also hinter dem Code |
| KI-Agenten am gehosteten MCP-Endpunkt | Sie erlauben jeden Agenten auf seiner Zustimmungsseite, hinter dem Code |
| API-Schlüssel | unverändert: Ein Schlüssel ist ein eigener Zugang und fragt nie nach einem Code |
API-Schlüssel funktionieren weiter, weil Server keine Codes tippen können. Behandeln Sie sie entsprechend: Einen Schlüssel in falschen Händen hält Ihr Authenticator nicht auf, widerrufen Sie Schlüssel, die Sie nicht mehr brauchen.
Agenten, die schon verbunden waren
Ein Agent handelt für ein Konto mit Zwei-Faktor-Authentifizierung erst, nachdem dieses Konto ihn aus einer Sitzung erlaubt hat, die den Code bestanden hat. Ein Agent, den Sie vor dem Einschalten der Zwei-Faktor-Authentifizierung erlaubt haben, wird deshalb ab seinem nächsten Token abgewiesen, das er innerhalb der Stunde erhält: Verbinden Sie ihn neu und erlauben Sie ihn auf der Zustimmungsseite noch einmal. Bis dahin, und für jeden Agenten, der nie so erlaubt wurde, antwortet die API mit 403 forbidden und dem Grund. Verbundene Agenten im selben Menü listet die Agenten, die Ihr Konto erlaubt hat, und widerruft einen.
Ausschalten
Entfernen Sie auf derselben Seite Ihre Authenticatoren über das Papierkorb-Symbol (Authenticator entfernen) und bestätigen Sie mit Entfernen. Mit dem letzten schaltet sich die Zwei-Faktor-Authentifizierung aus, und die Anmeldung fragt nach keinem Code mehr.
Handy verloren?
Verwenden Sie Ihren zweiten Authenticator, falls Sie einen hinzugefügt haben, und ersetzen Sie den verlorenen auf der Seite oben.
Ohne einen zweiten schreiben Sie von der Adresse des Kontos an support@formfeed.dev; eine Anfrage von einer anderen Adresse erhält nur die Antwort, von dieser zu schreiben. Wir schalten die Zwei-Faktor-Authentifizierung ab, sobald wir geprüft haben, dass das Konto Ihnen gehört. Das dauert länger, als einen Code abzulesen: Rechnen Sie mit Fragen, die nur der Inhaber des Kontos beantworten kann; ein Inhaber Ihrer Organisation kann sich von seiner eigenen Adresse aus für Sie verbürgen. Ihre API-Schlüssel funktionieren in der Zwischenzeit weiter, es wird also nichts unterbrochen, was rendert.
Danach melden Sie sich allein mit Passwort, Magic Link oder Ihrem Google- oder GitHub-Konto an. Schalten Sie die Zwei-Faktor-Authentifizierung wieder ein, diesmal mit einem zweiten Authenticator.