Apa Itu Verifikasi Dua Langkah? Cara Kerja dan Cara Mengaktifkannya

Pernah menerima notifikasi “ada upaya masuk baru” dari lokasi yang tidak Anda kenal? Atau mendapati akun email tiba-tiba terkunci karena dianggap melakukan aktivitas mencurigakan? Kedua kejadian itu biasanya berawal dari satu hal: password Anda berhasil jatuh ke tangan orang lain. Password sekuat apa pun tetap bisa bocor lewat phishing, malware, atau kebocoran data di server layanan yang Anda pakai. Kabar baiknya, ada cara sederhana untuk menahan kejadian seperti itu: verifikasi dua langkah, atau 2FA.

Karena risiko itu, hampir semua layanan besar—Google, WhatsApp, Instagram, hingga aplikasi m-banking—kini mendorong penggunanya mengaktifkan verifikasi dua langkah. Lapisan keamanan ini menjadi pagar kedua yang membuat akun jauh lebih sulit dibobol, bahkan ketika password sudah jatuh ke tangan yang salah.

Apa Itu Verifikasi Dua Langkah?

Verifikasi dua langkah adalah proses masuk ke akun yang meminta dua bukti identitas berbeda, bukan hanya password. Bukti pertama umumnya berupa sesuatu yang Anda ketahui, yaitu password atau PIN. Bukti kedua berupa sesuatu yang Anda miliki, misalnya kode sementara di HP, atau sesuatu yang melekat pada diri Anda seperti sidik jari.

Analoginya sederhana: password itu seperti kunci pintu rumah, sedangkan verifikasi dua langkah adalah lemari besi di dalam rumah. Maling yang berhasil menyelinap melewati pintu tetap tidak bisa membuka lemari besi tanpa kodenya. Dengan kata lain, satu lapisan boleh bocor, tapi akun tetap aman selama lapisan kedua bertahan. Layanan biasanya meminta faktor kedua hanya saat Anda login dari perangkat baru. Di perangkat yang sudah tepercaya, proses login berjalan seperti biasa tanpa kode tambahan.

Verifikasi Dua Langkah dan 2FA: Sama atau Berbeda?

Anda mungkin menemukan istilah two-step verification (2SV), two-factor authentication (2FA), hingga multi-factor authentication (MFA). Secara teknis ada perbedaan tipis. 2FA menuntut dua faktor dari kategori berbeda, misalnya pengetahuan plus kepemilikan. Sementara itu, 2SV kadang hanya dua langkah dari kategori yang sama, seperti password lalu PIN.

Dalam praktik sehari-hari, istilah-istilah itu dipakai bergantian. Google menyebut fiturnya “verifikasi 2 langkah”, WhatsApp menyebutnya “verifikasi dua langkah”, dan banyak aplikasi memakai kata “2FA”. Intinya sama: Anda diminta membuktikan identitas lewat lebih dari satu cara. Prinsip menggabungkan faktor-faktor berbeda ini dikenal luas sebagai multi-factor authentication. Wikipedia merangkumnya sebagai standar keamanan yang direkomendasikan di berbagai layanan besar dunia.

Cara Kerja Verifikasi Dua Langkah

Prosesnya berlangsung cepat, biasanya kurang dari satu menit:

1. Masukkan password. Anda login seperti biasa dengan username dan password.
2. Sistem meminta faktor kedua. Setelah password cocok, layanan meminta bukti tambahan sebelum membuka akses.
3. Anda mengirimkan bukti kedua. Misalnya mengetik kode enam digit yang dikirim lewat SMS, membuka aplikasi autentikator, atau menyetujui notifikasi di perangkat tepercaya.
4. Akses diberikan atau ditolak. Kode yang cocok membuka akun; kode yang salah berulang kali akan memblokir upaya masuk.

Kode sementara yang dikirim layanan disebut OTP (one-time password). Kode ini umumnya hanya berlaku 30–60 detik dan tidak bisa dipakai dua kali, sehingga meskipun tercuri, ia sudah tidak berharga beberapa saat kemudian. Penipu pun sering memburu kode ini—lihat polanya di artikel apa itu kode OTP dan cara menjaganya dari penipuan.

Jenis-Jenis Verifikasi Dua Langkah

1. Kode OTP via SMS

Cara paling umum dan paling mudah: layanan mengirim kode melalui SMS ke nomor HP terdaftar. Kelemahannya, SMS rentan terhadap SIM swap, yaitu penipuan yang memindahkan nomor Anda ke kartu milik penjahat.

2. Aplikasi autentikator

Aplikasi seperti Google Authenticator, Microsoft Authenticator, dan Authy membuat kode di dalam HP tanpa perlu jaringan seluler. Kodenya berganti otomatis setiap 30 detik dan tidak bisa disadap lewat SIM, sehingga dianggap lebih aman daripada SMS.

3. Notifikasi push

Layanan mengirim peringatan ke perangkat yang sudah tepercaya; Anda cukup menekan “Ya, itu saya” atau “Tidak, bukan saya”. Cara ini nyaman, tapi rawan disalahgunakan lewat spam notifikasi agar pengguna menekan tombol tanpa berpikir.

4. Kunci keamanan fisik

Perangkat kecil seperti YubiKey dicolok ke port USB atau ditempelkan ke HP lewat NFC. Kunci jenis ini mengikuti standar FIDO2 dan dianggap paling tahan phishing karena hanya bekerja di situs asli yang terdaftar.

5. Biometrik

Sidik jari, pemindai wajah, atau pola layar sering dipakai sebagai faktor kedua di aplikasi perbankan. Metode ini praktis karena tidak perlu mengingat atau mengetik apa pun. Untuk perangkat yang mendukungnya, biometrik juga tidak bisa dilupakan atau dipinjamkan seperti password.

Mengapa Verifikasi Dua Langkah Penting?

Riset yang dipublikasikan Google pada 2019 bersama dua universitas di Amerika Serikat menemukan hal yang menenangkan. Autentikasi berbasis HP dapat menghentikan 100% serangan bot otomatis dan sekitar 96% serangan phishing massal. Angka itu menjelaskan mengapa layanan besar terus mengingatkan penggunanya untuk mengaktifkan verifikasi dua langkah.

Manfaat lainnya juga terasa nyata. Akun email yang aman berarti dokumen, foto, dan akses pemulihan akun lain tetap terlindungi. Untuk pekerja yang memakai email kantor, satu akun yang bocor bisa berujung pada kebocoran data perusahaan. Biayanya hanya 5–10 detik tambahan saat login—jauh lebih murah daripada kehilangan akun selamanya.

Ada juga sisi psikologis yang jarang dibahas. Setelah verifikasi dua langkah aktif, Anda cenderung lebih berhati-hati memasukkan password di situs asing karena tahu masih ada lapisan kedua. Kebiasaan kecil seperti mengecek alamat situs sebelum login tumbuh dari kesadaran ini.

Cara Mengaktifkan Verifikasi Dua Langkah

1. Di akun Google

Buka pengaturan akun Google, masuk ke menu Keamanan, lalu pilih Verifikasi 2 Langkah dan ikuti petunjuknya. Tambahkan opsi cadangan seperti nomor pemulihan atau kunci fisik agar Anda tidak terkunci sendiri.

2. Di WhatsApp

Masuk ke Pengaturan → Akun → Verifikasi dua langkah, lalu buat PIN enam digit. PIN ini akan diminta secara berkala saat Anda mendaftarkan ulang nomor di perangkat baru. Dengan begitu, orang lain tidak bisa memindahkan akun WhatsApp Anda hanya dengan pinjam SIM.

3. Di Instagram dan media sosial lain

Pada Instagram, buka Pengaturan → Keamanan → Two-factor authentication, lalu pilih metode autentikator atau WhatsApp. Twitter/X, Facebook, dan TikTok menyediakan menu serupa di bagian keamanan akun.

4. Di aplikasi m-banking

Sebagian besar aplikasi bank sudah menerapkan OTP otomatis untuk setiap transaksi. Pastikan nomor HP yang terdaftar di bank tetap aktif, dan nyalakan notifikasi transaksi agar setiap aktivitas mencurigakan langsung terlihat.

Kesalahan yang Sering Membuat Verifikasi Dua Langkah Gagal

1. Kode cadangan disimpan di tempat yang salah

Banyak orang menyimpan kode pemulihan di catatan HP yang sama dengan aplikasi autentikatornya. Saat HP hilang atau direset, semua salinan ikut lenyap sekaligus. Pindahkan kode ke kertas atau komputer lain yang tidak selalu Anda bawa.

2. Nomor lama belum dilepas dengan benar

Ganti kartu SIM tanpa memperbarui nomor di layanan favorit membuat kode berpindah ke pemegang nomor berikutnya. Operator sering mendaur ulang nomor setelah beberapa bulan tidak aktif, dan di situlah risiko SIM swap mulai nyata.

3. Menyetujui notifikasi karena penasaran

Notifikasi persetujuan yang muncul tiba-tiba bisa jadi cobaan. Penipu sengaja mengirim permintaan login berulang agar korban lelah, lalu menekan tombol persetujuan hanya agar berhenti. Jika Anda tidak sedang login, tolak saja dan segera ganti password.

Hal yang Perlu Diperhatikan Saat Memakai Verifikasi Dua Langkah

• Simpan kode cadangan. Sebagian besar layanan memberi 8–10 kode pemulihan sekali pakai; simpan di tempat aman, bukan di catatan HP yang sama.
• Jangan pernah membagikan kode OTP. Tidak ada petugas bank, kurir, maupun admin yang meminta kode Anda. Permintaan seperti itu pasti penipuan.
• Utamakan autentikator atau kunci fisik dibanding SMS bila layanannya mendukung.
• Perbarui nomor sebelum ganti kartu. Nonaktifkan verifikasi dua langkah di nomor lama hanya setelah nomor baru terpasang.
• Waspadai banjir notifikasi. Jika peringatan persetujuan muncul berulang-ulang padahal Anda tidak sedang login, tolak semuanya dan segera ganti password.

Pertanyaan Umum tentang Verifikasi Dua Langkah

Apakah verifikasi dua langkah wajib?

Tidak untuk semua layanan, tapi semakin banyak platform mewajibkannya untuk akun dengan akses data sensitif. Mengaktifkannya sejak sekarang jauh lebih mudah daripada memulihkan akun yang dibobol.

Apakah OTP lewat SMS masih layak dipakai?

Masih jauh lebih baik daripada tidak memakai verifikasi dua langkah sama sekali. Namun bila layanannya menyediakan aplikasi autentikator, pilihlah itu karena lebih tahan terhadap SIM swap.

Bagaimana jika HP yang terdaftar hilang?

Gunakan kode cadangan, kunci fisik cadangan, atau opsi pemulihan yang sudah Anda daftarkan. Jika tidak ada, hubungi dukungan resmi layanan terkait untuk verifikasi identitas—prosesnya bisa memakan waktu beberapa hari.

Apakah fitur ini memperlambat login?

Tambahan waktunya hanya beberapa detik per login, dan banyak layanan menawarkan opsi “jangan tanya lagi di perangkat ini”. Keringanan itu sebaiknya hanya dipakai di perangkat pribadi, bukan komputer umum.

Apakah verifikasi dua langkah bisa diretas?

Tidak ada sistem yang benar-benar mustahil diretas, tapi mengakses akun ber-2FA butuh usaha jauh lebih besar. Penyerang harus mencuri password sekaligus perangkat atau kode yang baru dibuat. Mayoritas serangan berhenti di lapisan pertama karena tidak sanggup melanjutkan ke faktor kedua.

Apakah OTP saat transaksi termasuk verifikasi dua langkah?

Ya, prinsipnya sama. Saat Anda memasukkan PIN lalu menerima kode OTP untuk menyetujui transaksi m-banking, Anda sedang melewati dua faktor berbeda: pengetahuan dan kepemilikan. Itulah alasan kode transaksi tidak boleh dibagikan ke siapa pun.

Mengaktifkan verifikasi dua langkah bukan pekerjaan besar, tapi dampaknya besar untuk keamanan akun. Mulailah dari akun email utama, lalu lanjutkan ke media sosial dan dompet digital. Sambil di situ, pastikan juga password Anda unik di setiap layanan. Lengkapi juga lapisan lainnya, seperti memakai VPN saat berada di Wi-Fi publik, agar seluruh perlindungan akun Anda benar-benar rapat.

Artikel ini disusun berdasarkan panduan keamanan resmi dari penyedia layanan populer dan ditinjau oleh tim redaksi tiktak.id.

Adam Humain

Adam Humain adalah seorang pegiat dan pemerhati teknologi yang memiliki ketertarikan mendalam pada perkembangan ekosistem digital global dan lokal. Lewat tulisan-tulisannya, Adam mengulas berbagai topik hangat seputar inovasi teknologi, dinamika bisnis startup dan raksasa hulu (big tech), hingga profil serta pemikiran para tokoh pemrakarsa di balik revolusi industri 4.0.

Dengan pendekatan analitis namun tetap komunikatif, Adam berusaha menjembatani kompleksitas dunia teknologi agar mudah dipahami oleh publik awam, pelaku bisnis, maupun sesama antusias teknologi. Selain aktif mengamati tren AI, keamanan siber, dan ekonomi digital, ia kerap membagikan perspektifnya mengenai bagaimana teknologi membentuk lanskap sosial dan cara manusia berinteraksi di masa depan