Tvåfaktorsautentisering (2FA) – så fungerar det och så kommer du igång

Ett starkt lösenord räcker inte längre. Så fort ett lösenord läcker i en dataintrång, gissas eller fiskas via nätfiske står ditt konto öppet. Tvåfaktorsautentisering – ofta förkortat 2FA – lägger till ett extra steg vid inloggningen så att lösenordet ensamt inte räcker för att komma in. Den här guiden förklarar vad 2FA är, hur de olika metoderna fungerar, vilka som är säkrast och hur du kommer igång, steg för steg och på ren svenska.

Vad är tvåfaktorsautentisering (2FA)?

Tvåfaktorsautentisering betyder att du måste bevisa din identitet på två oberoende sätt för att logga in. Först anger du något du kan (lösenordet), sedan bekräftar du med en andra faktor – till exempel en kod från en app eller en tryckning på en fysisk nyckel. Poängen är att en angripare som fått tag i ditt lösenord ändå saknar den andra faktorn.

Begreppet MFA (flerfaktorsautentisering) betyder samma sak men täcker två eller fler faktorer. 2FA är alltså den vanligaste formen av MFA.

De tre faktortyperna

Säkra faktorer delas in i tre kategorier, och en riktig tvåfaktorsinloggning kombinerar två olika kategorier:

• Något du vet – lösenord, PIN-kod eller svar på en säkerhetsfråga.
• Något du har – din telefon, en autentiseringsapp eller en fysisk säkerhetsnyckel.
• Något du är – biometri som fingeravtryck eller ansiktsigenkänning.

Två lösenord räknas alltså inte som 2FA, eftersom båda tillhör samma kategori. Ett lösenord plus en kod från din telefon gör det däremot.

Så fungerar 2FA i praktiken

Den vanligaste andra faktorn för privatpersoner är en tidsbaserad engångskod, på engelska TOTP (Time-based One-Time Password). Den bygger på en öppen standard, RFC 6238, och fungerar så här: när du aktiverar 2FA delar tjänsten och din app en hemlig nyckel, ofta via en QR-kod. Appen och tjänsten räknar sedan oberoende av varandra fram en sexsiffrig kod utifrån den hemliga nyckeln och aktuell tid. Koden byts ut ungefär var 30:e sekund, och eftersom uträkningen sker lokalt behöver appen inte ens vara uppkopplad för att visa rätt kod.

När du loggar in anger du lösenordet som vanligt och skriver därefter in den kod appen visar just då. Stämmer koden släpps du in. Andra metoder – push-notiser, säkerhetsnycklar och passkeys – fungerar annorlunda under huven, men principen är densamma: ett andra, oberoende bevis på att det verkligen är du.

Olika metoder för 2FA

Alla andrafaktorer är inte lika starka. Här är de vanligaste metoderna, från den svagaste till den starkaste.

SMS-koder (engångskod via sms)

Tjänsten skickar en kod som textmeddelande till ditt telefonnummer. Metoden är enkel och kräver ingen extra app, men den är den svagaste formen av 2FA. Koder kan avlyssnas i mobilnätet, visas på låsskärmen och framför allt stjälas genom så kallad SIM-swap, där en bedragare lurar operatören att flytta ditt nummer till ett nytt SIM-kort. Den amerikanska myndigheten NIST klassade 2025 sms som en ”restricted” (begränsad) autentiseringsmetod – den enda i den kategorin – och rekommenderar starkare alternativ när sådana finns. Sms är ändå bättre än ingen 2FA alls; använd det där inget annat erbjuds.

Autentiseringsappar (TOTP)

En app på telefonen genererar de tidsbaserade koderna lokalt. Eftersom inget skickas över mobilnätet går koderna inte att avlyssna eller SIM-swappa på samma sätt. Vanliga appar är Google Authenticator, Microsoft Authenticator, Authy och den öppna appen 2FAS. Flera erbjuder numera krypterad molnbackup så att du inte förlorar dina koder om telefonen går sönder – Google Authenticator fick synk mot Google-kontot 2023. Notera att Authys skrivbordsappar lades ner 2024 och att tjänsten nu bara finns för mobil. En autentiseringsapp är för de flesta den bästa balansen mellan säkerhet och enkelhet.

Push-notiser

I stället för en kod får du en avisering i tjänstens app där du trycker ”Godkänn” eller ”Neka”. Smidigt, men var vaksam på så kallad ”MFA-trötthet”, där en angripare spammar dig med förfrågningar i hopp om att du godkänner en av misstag. Godkänn aldrig en inloggning du inte själv startat.

Säkerhetsnycklar (FIDO2/hårdvarunycklar)

En fysisk nyckel, till exempel en YubiKey, som du sätter i USB-porten eller håller mot telefonen via NFC. Nycklarna bygger på standarden FIDO2/WebAuthn och är motståndskraftiga mot nätfiske: nyckeln kontrollerar webbadressen och vägrar svara på en falsk sajt, även om den ser identisk ut. Detta är guldstandarden och rekommenderas för känsliga konton som e-post, bank och administratörskonton. Nackdelen är att du måste köpa hårdvaran och gärna ha en reservnyckel.

Passkeys (lösenordsnycklar)

Passkeys är samma FIDO-teknik som säkerhetsnycklar, men lagrade i telefonen, datorn eller lösenordshanteraren och upplåsta med fingeravtryck, ansikte eller PIN. De ersätter ofta lösenordet helt och är lika nätfiskesäkra som en fysisk nyckel. Tekniken har vuxit snabbt: enligt FIDO Alliance har över en miljard människor aktiverat minst en passkey, och Microsoft gjorde passkeys till förvalt inloggningssätt för nya konton i maj 2025. Där passkeys erbjuds är de i regel det bästa valet.

Reservkoder (backup-koder)

När du aktiverar 2FA får du oftast en lista med engångskoder att spara. De är din räddning om du tappar telefonen eller nyckeln. Skriv ut dem eller lägg dem i en lösenordshanterare – inte i en osparad anteckning på samma telefon som du kan bli utelåst från.

Så kommer du igång med 2FA – steg för steg

Att slå på 2FA tar oftast bara någon minut per konto:

1. Installera en autentiseringsapp från den officiella app-butiken, eller skaffa en säkerhetsnyckel.
2. Logga in på tjänsten och gå till Inställningar → Säkerhet (kan även heta ”Inloggning” eller ”Tvåstegsverifiering”).
3. Välj att aktivera tvåfaktors- eller tvåstegsverifiering och välj metod, helst app, passkey eller säkerhetsnyckel före sms.
4. Skanna QR-koden med appen, eller registrera din nyckel enligt anvisningarna.
5. Bekräfta med den första koden så att kopplingen verifieras.
6. Spara reservkoderna på ett säkert ställe och lägg gärna till en andra metod som backup.

Börja med dina viktigaste konton: e-post (som ofta kan återställa alla andra lösenord), bank, sociala medier och din lösenordshanterare. Ett unikt, starkt lösenord från en lösenordsgenerator kombinerat med 2FA ger ett mycket robust skydd.

Vanliga misstag att undvika

• Bara en metod. Har du enbart appen på en telefon som försvinner kan du bli utelåst. Lägg alltid till reservkoder eller en andra faktor.
• Skärmdumpa QR-koden och spara den oskyddat. QR-koden innehåller den hemliga nyckeln – hanteras den vårdslöst kan någon annan generera dina koder.
• Godkänna push-notiser reflexmässigt. Neka allt du inte själv startat.
• Lämna ut engångskoder. Ingen seriös tjänst eller support ringer och ber om din 2FA-kod – det är ett klassiskt bedrägeriknep.
• Glömma bort backup vid telefonbyte. Aktivera molnbackup eller flytta över koderna innan du gör fabriksåterställning på gamla telefonen.

Säkerhet, integritet och begränsningar

2FA stoppar den stora majoriteten av automatiserade angrepp och läckta lösenord, men det är inte magiskt. Avancerat nätfiske i realtid kan lura dig att mata in både lösenord och en TOTP-kod på en falsk sajt – därför är nätfiskesäkra metoder som passkeys och säkerhetsnycklar överlägsna för känsliga konton. Skydda även själva telefonen med skärmlås och håll systemet uppdaterat, och komplettera med grundskydd som ett gratis virusskydd eller inbyggda Windows Defender. Ett VPN förklarat hjälper dig förstå hur du skyddar själva anslutningen, medan tjänster som Hitta min enhet gör det lättare att spärra en borttappad telefon. Integritetsmässigt är en app som räknar ut koder lokalt att föredra framför sms, eftersom du slipper knyta säkerheten till ditt telefonnummer och operatörens nät.

I Sverige använder de flesta redan en form av stark autentisering via e-legitimationer som BankID och Freja, där appen och enheten tillsammans utgör faktorerna. Samma logik – något du har plus något du vet eller är – ligger bakom all bra 2FA.

Vem passar 2FA för?

Kort sagt alla. Har du ett onlinekonto med värde – e-post, bank, sociala medier, molnlagring eller jobbverktyg – bör du ha 2FA påslaget. För vanliga privatkonton är en autentiseringsapp ett utmärkt förstahandsval. För det mest känsliga, som huvud-e-post och kryptovalutor, är en passkey eller fysisk säkerhetsnyckel värt investeringen. Det enda ”fel” du kan göra är att inte använda 2FA alls.

Vanliga frågor (FAQ)

Vad är skillnaden mellan 2FA och MFA?

MFA (flerfaktorsautentisering) är samlingsnamnet för inloggning som kräver två eller fler oberoende faktorer. 2FA är specialfallet med exakt två faktorer och är den vanligaste formen av MFA.

Är sms-koder säkra nog?

Sms är den svagaste 2FA-metoden och kan kringgås via SIM-swap och avlyssning. Det är ändå betydligt bättre än enbart lösenord, men välj en autentiseringsapp, passkey eller säkerhetsnyckel om tjänsten erbjuder det.

Vad händer om jag tappar telefonen med min autentiseringsapp?

Då använder du dina sparade reservkoder eller en andra registrerad faktor för att logga in. Har du aktiverat molnbackup kan du också återställa koderna på en ny telefon. Därför bör du alltid spara reservkoder på ett säkert ställe.

Fungerar en autentiseringsapp utan internet?

Ja. Tidsbaserade koder räknas ut lokalt på enheten utifrån en hemlig nyckel och klockan, så appen visar rätt kod även i flygplansläge. Push-notiser och sms kräver däremot uppkoppling.

Vad är en passkey och behöver jag fortfarande ett lösenord?

En passkey är en kryptografisk nyckel som lagras på din enhet och låses upp med fingeravtryck, ansikte eller PIN. Den är nätfiskesäker och ersätter ofta lösenordet helt, så att du loggar in helt utan att skriva något lösenord.