Tvåstegsverifiering: så aktiverar du 2FA på dina konton

Ett lösenord kan läcka på många sätt. Det kan finnas med i ett dataintrång hos en tjänst du använt för länge sedan, du kan ha skrivit in det på en falsk inloggningssida eller använt samma lösenord på flera ställen. Med tvåstegsverifiering räcker lösenordet inte längre. Den som försöker logga in behöver också din telefon, din säkerhetsnyckel eller ditt fingeravtryck.

Vi går igenom vad tvåstegsverifiering är och vilka metoder som finns. Du får stegen för Google, Apple, Microsoft, Facebook och Instagram, hämtade från tjänsternas egna svenska hjälpsidor. Sist visar vi hur du undviker att låsa ute dig själv och hur bedragare försöker komma runt skyddet.

Innehåll i guiden15 avsnitt

Vad är tvåstegsverifiering?

Vid en vanlig inloggning anger du ett lösenord och är inne. Med tvåstegsverifiering kommer ett andra steg efter lösenordet. Tjänsten skickar en kod, visar en uppmaning på en telefon du redan har loggat in med eller ber dig använda en nyckel som låses upp med fingeravtryck eller ansikte.

Orden tvåstegsverifiering, tvåfaktorsautentisering och 2FA används om samma sak. Google och Microsoft skriver tvåstegsverifiering. Apple, Facebook och Instagram skriver tvåfaktorsautentisering. Den engelska förkortningen 2FA står för two-factor authentication. MFA för multi-factor authentication används när fler än två steg kan ingå.

Vilka faktorer finns?

Säkerhetsbranschen delar in bevisen i tre grupper. Något du vet, som ett lösenord eller en pinkod. Något du har, som en mobil eller en säkerhetsnyckel. Något du är, som fingeravtryck eller ansikte. Skyddet blir starkt när två olika grupper kombineras, eftersom en angripare då måste komma åt både din information och din telefon.

Samma princip finns i betalningar. Riksbanken beskriver att EU kräver stark kundautentisering vid kortbetalningar, till exempel en pinkod eller BankID utöver kortet. Enligt Riksbanken har kravet bidragit till att kortbedrägerierna minskat.

Vilka metoder för tvåstegsverifiering finns?

De stora tjänsterna erbjuder ungefär samma verktyg men lyfter fram olika metoder. Tabellen visar vad som finns och vad du behöver tänka på.

Sms är enklast att komma igång med och betydligt bättre än inget andra steg alls. Koden är bunden till telefonnumret, så den som lyckas ta över ditt nummer kan också ta emot koden. Har tjänsten stöd för nyckel eller autentiseringsapp är de ett starkare val.

Så aktiverar du tvåstegsverifiering 2026

Gången är likartad hos alla tjänster. Du loggar in, öppnar säkerhetsinställningarna, väljer metod och bekräftar med en kod. Här är menyvägarna hos de tjänster de flesta i Sverige använder.

Google och Gmail

1. Öppna ditt Google-konto.
2. Välj Säkerhet och inloggning.
3. Aktivera tvåstegsverifiering under Så här loggar du in på Google.
4. Följ instruktionerna på skärmen och lägg till minst en extra metod.

Google erbjuder nyckel, meddelanden från Google, Google Authenticator, sms eller röstsamtal, säkerhetsnyckel och reservkoder. Lägger du till ett nytt telefonnummer för tvåstegsverifiering kan det enligt Google ta upp till sju dagar innan numret räknas som betrott.

Apple-konto på iPhone, iPad och Mac

1. Öppna Inställningar på iPhone eller iPad. På Mac öppnar du Systeminställningar.
2. Tryck på ditt namn och sedan på Inloggning och säkerhet.
3. Slå på tvåfaktorsautentisering och följ anvisningarna.

Tvåfaktorsautentisering är standard för de flesta Apple-konton. Apple skriver att funktionen inte går att stänga av för konton som skapades med den. Har du nyss slagit på den själv har du två veckor på dig att ångra dig. Tjänster som Apple Pay och Logga in med Apple kräver tvåfaktorsautentisering.

Microsoft-konto och Outlook

1. Logga in på fliken Säkerhet på account.microsoft.com/security.
2. Välj Hantera hur jag loggar in.
3. Under Ytterligare säkerhet och Tvåstegsverifiering väljer du Aktivera.
4. Följ instruktionerna på skärmen.

Vissa äldre e-postappar och enheter klarar inte säkerhetskoder. För dem skapar du ett särskilt applösenord när tvåstegsverifieringen är påslagen.

Facebook

1. Klicka på din profilbild längst upp till höger och sedan på Inställningar och integritet > Inställningar.
2. Välj Kontocenter och sedan Lösenord och säkerhet.
3. Klicka på Tvåfaktorsautentisering och välj kontot.
4. Välj säkerhetsmetod och följ anvisningarna.

Facebook låter dig välja mellan säkerhetsnyckel, autentiseringsapp och sms. Du kan också hämta tio återställningskoder för de tillfällen då telefonen inte finns till hands.

Instagram

1. Gå till Inställningar. I webbläsaren klickar du först på Mer längst ned till vänster.
2. Välj Se mer i Kontocenter och sedan Lösenord och säkerhet.
3. Klicka på Tvåfaktorsautentisering och välj kontot.
4. Välj metod och följ anvisningarna.

Instagram erbjuder autentiseringsapp, sms och WhatsApp. Autentiseringsappen är Instagrams rekommendation men kan bara aktiveras i Instagram-appen för Android och iPhone. WhatsApp som metod kräver att sms är aktiverat först.

Vilka konton ska du skydda först?

Börja med e-posten. Nästan alla tjänster skickar länkar för nytt lösenord dit, så den som kommer åt din e-post kan ofta ta över resten av dina konton. Gmail, Outlook och iCloud Mail har alla tvåstegsverifiering.

Nästa steg är Apple-kontot eller Google-kontot som styr din telefon. Där finns säkerhetskopior, bilder, sparade lösenord och möjligheten att spärra eller radera telefonen. Ta sedan sociala medier, där en kapad profil kan användas för att lura dina vänner. Därefter kommer tjänster med betalkort sparat.

Vad händer om jag tappar mobilen?

Det vanligaste problemet med tvåstegsverifiering är att du låser ute dig själv. Förbered dig innan något händer.

• Spara reservkoder. Google ger tio åttasiffriga reservkoder åt gången under Säkerhet och inloggning > Tvåstegsverifiering > Reservkoder. Facebook ger tio återställningskoder och Instagram har reservkoder.
• Lägg till ett extra nummer. Apple rekommenderar ett extra betrott telefonnummer som inte är kopplat till din iPhone. Du lägger till det under Inställningar > [ditt namn] > Inloggning och säkerhet > Tvåfaktorsautentisering.
• Koppla flera kontaktvägar. Microsoft rekommenderar tre olika säkerhetsuppgifter på kontot.

Microsoft varnar tydligt. Har du glömt lösenordet och saknar tillgång till båda dina kontaktmetoder kan det ta upp till 30 dagar att få tillbaka kontot. I värsta fall förlorar du det helt. Skriv ut reservkoderna och förvara dem där du har andra viktiga papper. När du skapar nya koder hos Google slutar de gamla att fungera.

Apple räknar varje iPhone, iPad, Apple Watch, Apple Vision Pro eller Mac där du redan har loggat in med tvåfaktorsautentisering som en betrodd enhet. Har du en iPad hemma kan den ta emot koden när telefonen är borta.

Hur försöker bedragare komma runt tvåstegsverifiering?

När lösenordet inte räcker försöker bedragarna få dig att lämna över det andra steget. Ett vanligt grepp är ett samtal eller sms om att något är fel med ditt konto, följt av en begäran om koden du just fått. Ett annat är att skicka inloggningsuppmaningar till din telefon i hopp om att du trycker Godkänn av ren vana.

Falska inloggningssidor kan också fråga efter både lösenord och kod och skicka dem vidare till den riktiga tjänsten i samma ögonblick. Har du drabbats av ett bluffmeddelande hittar du hela åtgärdslistan i vår guide om bluff-sms.

Behöver jag tvåstegsverifiering om jag har BankID?

Ja. BankID skyddar inloggningen hos banker, myndigheter och andra tjänster som använder e-legitimation, men BankID används inte för att logga in på Gmail, iCloud, Instagram eller Facebook. De kontona har egna lösenord och behöver sitt eget andra steg.

Var lika försiktig med BankID som med koderna. Polisen beskriver hur bedragare ringer och lurar personer att logga in med e-legitimation eller lämna ut koder. Riksbanken återger Polisens preliminära statistik där sådana befogenhetsbedrägerier ökade med 12 procent under 2024. Enligt Riksbanken ersätts de sällan av bankerna.

• Två steg i stället för ett Ett läckt lösenord räcker inte för att ta sig in.
• Nyckel och app är starkast Sms är bättre än inget men följer telefonnumret.
• Spara reservkoderna Utan dem kan det ta upp till 30 dagar att komma tillbaka in.
• Koden är bara din Ingen seriös tjänst ber dig läsa upp eller godkänna en kod.

Vanliga frågor om tvåstegsverifiering

Vad är tvåstegsverifiering?

Ett extra steg vid inloggning där du bekräftar att det är du med en kod, en uppmaning i mobilen eller en nyckel utöver lösenordet.

Är tvåstegsverifiering och tvåfaktorsautentisering samma sak?

Ja, i vardagligt bruk. Google och Microsoft skriver tvåstegsverifiering medan Apple och Meta skriver tvåfaktorsautentisering. Båda förkortas 2FA.

Hur aktiverar jag tvåstegsverifiering på Google?

Öppna Google-kontot, välj Säkerhet och inloggning och aktivera tvåstegsverifiering under Så här loggar du in på Google.

Hur aktiverar jag tvåfaktorsautentisering på iPhone?

Gå till Inställningar, tryck på ditt namn och välj Inloggning och säkerhet. Där slår du på tvåfaktorsautentisering.

Hur aktiverar jag tvåfaktorsautentisering på Instagram?

Gå till Inställningar och Kontocenter, välj Lösenord och säkerhet och sedan Tvåfaktorsautentisering. Välj konto och metod.

Vad är reservkoder?

Engångskoder som du sparar i förväg och använder när telefonen inte finns till hands. Google och Facebook ger tio koder åt gången.

Kan jag stänga av tvåfaktorsautentisering för mitt Apple-konto?

Inte om kontot skapades med funktionen. Har du nyss slagit på den själv kan du ångra dig inom två veckor.

Är sms-koder säkra?

De är mycket bättre än bara ett lösenord. Nyckel, autentiseringsapp eller säkerhetsnyckel är starkare eftersom de inte är bundna till ditt telefonnummer.

Vad gör jag om jag får en kod jag inte har bett om?

Lämna inte ut den och godkänn inget. Byt lösenordet till kontot direkt eftersom någon troligen känner till det.

Vad är ett applösenord?

Ett särskilt lösenord som Microsoft använder för äldre e-postappar och enheter som inte klarar säkerhetskoder när tvåstegsverifiering är påslagen.