Kaksivaiheinen tunnistautuminen: mitä se on ja miten se otetaan käyttöön

Mikä on kaksivaiheinen tunnistautuminen?

Minusta asian ymmärtää helpoimmin näin: salasana ei yksin avaa tiliä. Kaksivaiheisessa tunnistautumisessa kirjautuminen varmistetaan lisäksi toisella tunnistusvälineellä. Jos joku arvaa salasanan tai saa sen haltuunsa, se ei vielä riitä tilille pääsyyn.

Kun minulta kysytään, mitä tarkoittaa kaksivaiheinen tunnistautuminen, erotan toisistaan salasanan ja kirjautumisen lisävarmistuksen. Salasana on edelleen tarpeen. Toinen tunnistusväline tulee sen rinnalle, ei sen tilalle.

Traficomin mukaan monivaiheinen tunnistaminen estää valtaosan tilien väärinkäytöistä. Kyberturvallisuuskeskus puolestaan suosittelee kaksivaiheisen tunnistautumisen käyttöönottoa tilikaappausten varalta. Pidän tätä hyvänä lähtökohtana omien tilien suojaamiselle. Aiheeseen liittyviä ohjeita kokoan sivulle tietoturva verkkoasioinnissa.

Miten otan kaksivaiheisen tunnistautumisen käyttöön?

Aloitan tärkeimmistä tileistä. Tarkistan kunkin palvelun omalta sivulta, miten kaksivaiheinen tunnistautuminen otetaan käyttöön, ja seuraan palvelun omaa ohjetta. Pidän palvelukohtaisen ohjeen erillään näistä yleisistä turvallisuusohjeista.

• Ota kaksivaiheinen tunnistautuminen käyttöön tärkeimmillä tileilläsi palvelun oman ohjeen mukaan.
• Varmista, että jokaisella palvelulla on oma salasanansa. Lisävarmistus ei poista erillisten salasanojen tarvetta.
• Tarkista sivuston osoite ennen kirjautumista. Osoitteen tarkistaminen on tärkeää myös silloin, kun käytössä on vahvistuskoodi.
• Pysähdy, jos saat odottamattoman vahvistuskoodiviestin. Älä jaa koodia kenellekään.

En käsittele käyttöönottoa pelkkänä asetuksen vaihtamisena. Salasanat, sivuston osoitteen tarkistaminen ja vahvistuskoodien pitäminen omana tietona kuuluvat samaan kokonaisuuteen. Muita verkkoasioinnin vaiheittaisia neuvoja löytyy sivulta verkkoasioinnin käytännön ohjeet.

Mistä löydän Googlen, Gmailin, Facebookin ja WhatsAppin ohjeet?

Kun etsin Googlen tai Gmailin kaksivaiheisen tunnistautumisen käyttöönottoa, tarkistan menettelyn palvelun omalta sivulta. Samoin toimin Facebookin ja WhatsAppin kohdalla. Tarkka käyttöönottotapa kannattaa tarkistaa aina sen palvelun omasta ohjeesta, jonka tiliä olen suojaamassa.

Pidän erillään kysymykset siitä, mitä kaksivaiheinen tunnistautuminen tarkoittaa ja miten tietyn palvelun asetus otetaan käyttöön. Yleinen periaate on salasanan rinnalle tuleva toinen tunnistusväline. Varsinaiset käyttöönottovaiheet tarkistan palvelukohtaisesti.

Jos etsin vastausta kysymykseen, miten Gmailin kaksivaiheinen tunnistautuminen otetaan pois, tarkistan myös poistamisen ohjeen palvelun omalta sivulta. Ennen muutosta pidän mielessä suojauksen tarkoituksen: pelkän salasanan haltuun saaminen ei sen ollessa käytössä vielä riitä tilille pääsyyn. Palvelukohtaisia asioita käsittelen myös sivulla kirjautuminen palvelu kerrallaan.

Tarvitaanko toinen tunnistusväline jokaisella kirjautumisella?

Traficomin ohjeen mukaan toisella tunnistusvälineellä varmistaminen on aina pakollista, kun kirjautuminen tapahtuu uudesta paikasta tai uudella laitteella. Siksi pidän tämän kohdan mielessä erityisesti silloin, kun kirjautumiseen käytettävä laite vaihtuu.

Pelkkä salasana ja kaksivaiheisesti suojattu kirjautuminen ovat siis eri asioita. En päättele suojauksen toimintaa vain salasanan perusteella, vaan tarkistan tarvittaessa palvelun oman tunnistautumisohjeen. Näin yleinen turvallisuusperiaate ja palvelun käytännön toimintatapa pysyvät erillään.

Mikä vahvistuskoodien kanssa menee helposti pieleen?

Tärkein muistutukseni on yksinkertainen: vahvistuskoodia ei saa jakaa kenellekään. Kyberturvallisuuskeskuksen ohjeessa korostetaan koodin pitämistä omana tietona. Koodin välittäminen eteenpäin voi avata tilin ulkopuoliselle.

Toinen sudenkuoppa on kalastelusivu. Kyberturvallisuuskeskuksen mukaan kalastelusivut kysyvät myös kirjautumisessa tarvittavaa kertakäyttöistä koodia. Siksi koodi ei yksin suojaa, jos asiointi tapahtuu väärällä sivulla. Tarkistan osoitteen ennen kirjautumista, en vasta ongelman jälkeen.

Odottamattoman vahvistuskoodiviestin kohdalla pysähdyn. En välitä koodia eteenpäin. Lisävarmistuksesta on hyötyä, mutta sen rinnalla tarvitaan huolellisuutta sen suhteen, millä sivulla asioidaan ja kenelle koodeja päätyy.

Onko tekstiviestikoodi vahvin vaihtoehto?

Kyberturvallisuuskeskus kuvaa tekstiviestipohjaista tunnistautumista menetelmistä keveimmäksi. En siis pidä kaikkia vahvistustapoja suojaltaan samanlaisina. Vahvempi menetelmä antaa paremman suojan.

Kun tarkistan käyttöönottoa, katson palvelun omalta sivulta myös sen tarjoamat tunnistautumismenetelmät. Pidän silti samat perusasiat mukana menetelmästä riippumatta: jokaiselle palvelulle oma salasana, sivuston osoitteen tarkistaminen ja vahvistuskoodien pitäminen omana tietona.

Mistä voin tarkistaa ohjeiden perusteet itse?

Ohjeen lähdetiedot on tarkistettu 13.11.2026. Käytännön käyttöönottovaiheet tarkistan aina kyseisen palvelun omalta sivulta. Yleiset turvallisuusperiaatteet perustuvat seuraaviin virallisiin ohjeisiin:

• Traficom: Näin pidät huolta tietoturvasta kotona ja työpaikalla. Traficomin arjen tietoturvaohjeista
• Kyberturvallisuuskeskus: Pikaviestitilit kiinnostavat rikollisia – ota haltuun tärkeimmät suojautumiskeinot. Kyberturvallisuuskeskuksen tiedotteesta pikaviestitileistä
• Kyberturvallisuuskeskuksen viikkokatsaus: kalastelusivut ja kertakäyttöiset koodit. Kyberturvallisuuskeskuksen viikkokatsauksesta kalastelusivuista
• Kyberturvallisuuskeskuksen viikkokatsaus: tekstiviestipohjainen tunnistautuminen. Kyberturvallisuuskeskuksen viikkokatsauksesta

Selvitin saman kohdan myös sivuille Operaattorien häiriöt, Osoitteenmuutos ja muuttoilmoitus ja Päijät-Soten hyvinvointialue (Päijät-Hämeen hyvinvointialue).