Setiap layanan yang menawarkan verifikasi dua langkah menampilkan layar yang sama persis satu kali: satu blok berisi delapan atau sepuluh baris kode pendek, tombol bertuliskan "saya sudah menyimpannya", dan tidak ada kesempatan kedua. Hampir semua orang menekan tombolnya. Hampir tidak ada yang benar-benar menyimpan kodenya. Lalu HP hilang, di-reset, atau kecebur air — dan ternyata baris-baris itu satu-satunya pintu yang masih terbuka.
Kode ini layak dipahami betul, karena perilakunya berbeda dari kredensial lain yang kamu punya. Kalau kamu masih dalam tahap memasang faktor kedua, bagian enam digitnya bisa dibuat dan diuji dulu lewat autentikator TOTP online gratis, lalu urus kode cadangan sebagai langkah tersendiri.
Sebenarnya kode pemulihan itu apa
Kode pemulihan adalah rahasia sekali pakai yang sudah dibuat lebih dulu dan diterima layanan sebagai pengganti faktor kedua. Ia tidak diturunkan dari kata sandimu maupun dari seed aplikasi autentikator. Server membuat satu batch string acak saat kamu mengaktifkan 2FA, menyimpan hash-nya, dan menampilkan teks aslinya tepat satu kali.
Ada dua akibatnya. Pertama, layanan memang tidak bisa menampilkannya lagi — yang tersisa hanya hash. Kedua, siapa pun yang memegang salah satu string itu bisa melewati faktor keduamu sepenuhnya. Kode pemulihan bukan petunjuk atau pertanyaan keamanan. Ia kunci berkekuatan penuh.
Bedanya dengan kode TOTP
Enam digit di aplikasi autentikator berubah tiap tiga puluh detik karena dihitung dari secret bersama dan waktu saat ini. Itulah kode TOTP — sebabnya ia bisa jalan offline dan cepat kedaluwarsa.
Kode pemulihan justru kebalikannya:
- Tidak kedaluwarsa. Kode yang dicetak tahun 2023 masih berfungsi hari ini selama batch-nya belum kamu buat ulang.
- Sekali pakai. Satu kode terpakai berarti hangus; sisanya masih berlaku.
- Lebih panjang. Umumnya 8–16 karakter, karena tidak ada jendela 30 detik yang melindunginya dari tebakan.
- Jumlahnya terbatas. Biasanya sepuluh. Habis semua, tinggal tiket support dan verifikasi identitas.
Di mana menyimpannya
Soal penyimpanannya memang canggung: kode harus selamat kalau HP hilang, tapi tidak boleh berada di tempat yang bisa dijangkau orang yang sudah memegang kata sandimu. Itu langsung mencoret dua tempat yang paling sering dipakai orang — catatan di HP itu sendiri, dan email ke diri sendiri.
Yang benar-benar bekerja:
- Password manager, di entri terpisah dari akunnya. Jangan di dalam item login yang sama, dan idealnya di brankas dengan kunci utama berbeda.
- Dicetak di kertas, disimpan secara fisik. Terdengar kuno tapi paling tangguh. Selembar kertas terlipat di laci bertahan dari kehilangan HP, akun cloud terkunci, dan SIM swap sekaligus. Tulis nama layanannya — sepuluh baris tanpa keterangan tidak menolong siapa pun.
- File terenkripsi di flashdisk atau disk offline. Bagus kalau kebiasaan itu sudah ada; merepotkan kalau belum.
Yang tidak bekerja: screenshot di galeri (ikut tersinkron ke akun cloud yang justru sedang kamu lindungi), file teks di drive bersama, pesan chat ke diri sendiri, dan autofill browser. Kalau sebuah kode berada di tempat yang bisa dibaca sesi login-mu, penyerang yang mencuri sesi itu juga bisa membacanya.
Apa pun pilihanmu, lindungi wadahnya dengan benar. Brankas atau arsip terenkripsi hanya sekuat kunci pembukanya, jadi untuk kredensial utama sebaiknya pakai passphrase hasil generate, bukan karangan sendiri.
Cara memakainya dan apa yang harus dilakukan setelahnya
Di layar 2FA, cari "gunakan kode cadangan", "coba cara lain", atau sejenisnya. Tempel satu kode dan kamu masuk. Setelah itu langsung lakukan tiga hal, karena akunmu sedang dalam kondisi lemah:
- Daftarkan faktor kedua yang baru di perangkat sekarang sebelum menutup tab.
- Buat ulang seluruh batch. Hampir semua layanan menyediakannya di pengaturan keamanan. Semua kode lama langsung tidak berlaku, termasuk salinan yang sudah tidak kamu kuasai.
- Periksa sesi aktif dan cabut yang tidak kamu kenali.
Kalau kode habis dan perangkat juga hilang, kamu masuk skenario berat yang dibahas di panduan memulihkan akun saat 2FA hilang: verifikasi identitas, prosedur khusus tiap penyedia, dan menunggu berhari-hari, bukan bermenit-menit.
Kebiasaan sepuluh menit yang mencegah semua ini
Lain kali saat ada layanan menampilkan kode pemulihan, jangan tutup layarnya sampai kode itu tersimpan di dua tempat yang tidak akan gagal bersamaan. Lalu setahun sekali, luangkan sepuluh menit untuk memastikan kode email, password manager, dan bank utamamu masih ada di tempat yang kamu kira, dan jumlah yang belum terpakai cocok dengan catatan layanan.
Akun email pantas dapat perhatian paling besar, karena semua reset lewat sana. Itu juga alasan untuk tidak memakainya di sembarang pendaftaran: inbox sekali pakai untuk akun-akun sementara membuat alamat aslimu — dan kode pemulihannya — tetap tidak beredar.
