Panduan Kita
Teknologi & Aplikasi № 2026/07

Cara mengaktifkan verifikasi 2 langkah di akun

Password bocor bukan berarti akun jebol kalau verifikasi 2 langkah aktif. Panduan aktifkan 2FA di Google, WhatsApp, dan Instagram plus kode cadangan.

Oleh Dimas Pratama 9 menit baca
Cara mengaktifkan verifikasi 2 langkah di akun
(CC0 1.0) via rawpixel

Seseorang yang berhasil menebak atau membeli password Gmail kamu tetap akan tersangkut di satu layar: permintaan kode yang cuma muncul di HP kamu. Itulah inti verifikasi 2 langkah - password jadi setengah kunci, bukan kunci utuh. Password bocor lewat kebocoran data terjadi hampir tiap minggu di berbagai layanan; kamu bisa cek sendiri apakah email kamu pernah muncul di kebocoran lewat situs seperti Have I Been Pwned. Masalahnya, banyak orang memakai password yang sama di beberapa akun, jadi satu bocor sama dengan beberapa pintu terbuka sekaligus.

Verifikasi 2 langkah - sering disebut 2FA (two-factor authentication) atau autentikasi dua faktor - menambal celah itu dengan menuntut bukti kedua: sesuatu yang kamu punya (HP, aplikasi authenticator, kunci fisik) di samping sesuatu yang kamu tahu (password). Panduan ini fokus pada tiga akun yang paling sering jadi target - Google, WhatsApp, dan Instagram - plus prinsip yang berlaku untuk hampir semua layanan lain.

Kenapa password saja sudah lama tidak cukup

Password punya tiga kelemahan yang tidak bisa diperbaiki hanya dengan bikin ia lebih panjang. Pertama, password dipakai ulang. Kebanyakan orang punya tiga sampai lima password favorit yang diputar untuk puluhan akun, jadi begitu satu situs kebobolan, penyerang mencoba kombinasi yang sama di situs lain lewat proses otomatis.

Kedua, password bisa ditipu keluar. Halaman login palsu yang mirip aslinya cukup meyakinkan untuk membuat orang mengetik email dan password mereka sendiri ke tangan penipu. Ketiga, password bocor dalam jumlah besar. Miliaran kombinasi email dan password beredar di forum gelap dari berbagai kebocoran lama, dan kamu tidak selalu tahu akunmu ada di sana.

Verifikasi 2 langkah tidak memperbaiki password, tapi ia membuat password yang bocor jadi tidak cukup. Penyerang yang punya email dan password kamu masih terhenti di permintaan faktor kedua yang cuma bisa dipenuhi lewat perangkat di tanganmu. Itu sebabnya mengaktifkan 2FA memberi lompatan keamanan yang jauh lebih besar dibanding sekadar mengganti password jadi lebih rumit.

Empat jenis faktor kedua dan mana yang dipilih

Tidak semua faktor kedua sama kuat. Ada empat bentuk yang umum kamu temui, dari yang paling lemah ke paling kuat.

Kode SMS. Kode dikirim ke nomor HP lewat pesan singkat. Paling gampang diatur, tapi paling rentan. Lewat serangan tukar SIM (SIM swap), penipu bisa membujuk gerai operator memindahkan nomormu ke kartu SIM baru, lalu semua OTP masuk ke mereka. Tetap jauh lebih baik daripada tanpa 2FA, tapi jangan jadikan andalan.

Aplikasi authenticator. Aplikasi seperti Google Authenticator, Microsoft Authenticator, atau Authy membuat kode 6 angka yang berubah tiap 30 detik langsung di HP kamu. Kode ini tidak lewat jaringan, jadi tidak bisa dicegat lewat tukar SIM, dan tetap muncul walau kamu tanpa sinyal.

Prompt sekali-ketuk. Google dan beberapa layanan mengirim notifikasi ke HP yang sudah login: kamu cukup ketuk Ya untuk menyetujui. Cepat dan nyaman, asal kamu disiplin tidak asal menyetujui prompt yang tidak kamu mulai sendiri.

Passkey dan kunci keamanan fisik. Ini yang paling kuat karena tahan phishing - kredensial terikat ke situs aslinya dan tidak bisa dikirim ke situs palsu. Kalau layanan sudah mendukung passkey, itu pilihan terbaik.

Aturan praktisnya: pakai aplikasi authenticator atau passkey sebagai metode utama, sisakan SMS hanya sebagai cadangan darurat.

Mulai dari akun Google karena ia kunci akun lain

Kalau kamu cuma sempat mengamankan satu akun hari ini, jadikan itu email utama. Alasannya sederhana: email adalah kunci induk. Hampir semua layanan lain memakai email untuk fitur lupa password. Siapa pun yang menguasai email kamu bisa memicu reset password di marketplace, media sosial, bahkan sebagian aplikasi keuangan, lalu menyapu akun-akun itu satu per satu.

Buka myaccount.google.com, masuk ke menu Keamanan, dan cari Verifikasi 2 Langkah. Aktifkan Google prompt dulu supaya 2FA langsung menyala, lalu tambahkan aplikasi authenticator sebagai metode yang lebih tahan gangguan. Setelah keduanya aktif, turunkan SMS jadi sekadar cadangan.

Satu hal yang sering dilewati: setelah mengaktifkan, cek daftar perangkat yang sedang login di menu keamanan yang sama. Keluarkan perangkat lama, komputer warnet, atau HP yang sudah kamu jual. 2FA baru tidak otomatis menendang sesi lama yang sudah telanjur masuk, jadi membersihkannya adalah bagian dari mengunci pintu.

Verifikasi dua langkah WhatsApp bekerja beda

Jangan bingung kalau verifikasi dua langkah WhatsApp terasa lain dari akun Google. WhatsApp tidak memakai kode yang berubah tiap 30 detik. Ia memakai PIN 6 angka yang kamu tetapkan sendiri, dan diminta sesekali plus setiap kali nomormu didaftarkan di HP baru.

Buka WhatsApp - Setelan - Akun - Verifikasi dua langkah - Aktifkan, lalu buat PIN yang mudah kamu ingat tapi bukan tanggal lahir. Yang penting jangan lewati bagian email: masukkan alamat email aktif sebagai jalur memulihkan PIN kalau kamu lupa. Tanpa email pemulihan, lupa PIN bisa membuatmu menunggu berhari-hari sebelum boleh mendaftar ulang nomor.

Fungsi utama PIN ini adalah menahan pembajakan nomor. Modus yang umum: penipu pura-pura salah kirim, lalu memancing kamu membacakan kode OTP pendaftaran WhatsApp. Kalau kamu terlanjur memberikannya, PIN verifikasi dua langkah adalah tembok kedua yang tetap menahan mereka mengambil alih nomormu. Karena itu, jangan pernah membagikan kode OTP maupun PIN ke siapa pun, termasuk yang mengaku admin atau pihak WhatsApp.

Instagram dan pola yang sama di aplikasi lain

Instagram dan Facebook sekarang diatur lewat Meta Accounts Center, jadi pengaturannya berkumpul di satu tempat. Buka Instagram - Setelan - Pusat Akun - Kata sandi dan keamanan - Autentikasi dua faktor, pilih akun yang mau diamankan, lalu pilih metode. Aplikasi authenticator adalah pilihan terbaik; WhatsApp dan SMS jadi alternatif. Kalau memilih aplikasi authenticator, kamu tinggal scan kode QR persis seperti langkah di akun Google.

Pola yang sama berlaku di aplikasi lain, hanya beda nama menu. Telegram menyebutnya Verifikasi Dua Langkah, berupa kata sandi tambahan yang diminta saat login di perangkat baru, ada di Settings - Privacy and Security. X (Twitter) dan TikTok menaruh opsi ini di menu keamanan akun masing-masing. Bedanya, di X pilihan SMS kini hanya untuk pelanggan berbayar (X Premium); akun gratis harus memakai aplikasi authenticator atau kunci keamanan fisik. TikTok masih menyediakan aplikasi authenticator, email, maupun SMS.

Karena antarmuka aplikasi rutin diperbarui, letak menu bisa bergeser. Kalau kamu tidak menemukannya di jalur yang disebut di sini, cari kata kunci keamanan, two-factor, atau autentikasi di dalam setelan akun. Prinsipnya selalu sama: cari bagian keamanan, tambahkan aplikasi authenticator, lalu simpan kode cadangan.

Kode cadangan: penyelamat yang paling sering dilupakan

Bagian ini yang paling sering diabaikan orang, dan justru paling menentukan apakah kamu selamat atau terkunci saat keadaan darurat. Hampir semua layanan yang mendukung 2FA menyediakan kode cadangan: satu set (umumnya sepuluh) kode sekali-pakai yang bisa menggantikan kode dari HP.

Kegunaannya muncul di saat terburuk: HP hilang dicopet, layar pecah total, atau baterai mati dan kamu perlu login dari komputer orang lain. Tanpa kode cadangan, kamu bergantung sepenuhnya pada satu perangkat, dan kalau perangkat itu tidak ada, akunmu ikut tersandera.

Buat kode cadangan segera setelah mengaktifkan 2FA, jangan ditunda. Lalu simpan di luar HP yang jadi faktor kedua. Cetak dan taruh di dompet atau laci, atau simpan di aplikasi password manager yang terpisah. Kesalahan klasik adalah men-screenshot kode lalu membiarkannya di galeri HP yang sama - kalau HP itu yang hilang, kode cadangannya lenyap bersamaan dan tidak menyelamatkan apa pun.

Kesalahan yang justru bikin kamu terkunci sendiri

2FA melindungi dari penyerang, tapi salah setup bisa mengunci pemilik sah. Beberapa jebakan yang paling sering terjadi:

  • Cuma mengandalkan satu HP. Tanpa kode cadangan atau metode kedua, HP yang hilang berarti akun ikut hilang. Selalu siapkan minimal dua jalur masuk.
  • Email pemulihan sudah mati. Banyak orang memasang email pemulihan bertahun lalu dan lupa emailnya sudah tidak aktif. Cek dan perbarui email serta nomor pemulihan sekarang, bukan nanti.
  • Ganti HP tanpa memindahkan authenticator. Reset atau jual HP lama sebelum memindahkan kode authenticator adalah cara cepat mengunci diri sendiri. Pindahkan dulu selagi HP lama masih ada.
  • Menyetujui prompt yang tidak kamu mulai. Prompt sekali-ketuk memang nyaman, tapi menekan Ya secara refleks bisa membukakan pintu buat penyerang yang sedang mencoba password bocormu. Tolak setiap prompt yang tidak kamu picu sendiri.
  • Membacakan kode ke orang lain. Tidak ada layanan resmi yang meminta kode 2FA lewat telepon atau chat. Permintaan seperti itu selalu penipuan.

Kalau kamu fokus mengamankan WhatsApp, baca juga cara amankan WhatsApp dari diretas untuk lapisan tambahan di luar PIN verifikasi dua langkah. Dan kalau kamu mengelola beberapa akun Google, cara hapus akun Gmail tanpa kehilangan email membantu saat merapikan akun lama yang belum ber-2FA agar tidak jadi celah yang terlupakan.

Langkah-langkahnya

  1. Petakan akun mana yang paling perlu dilindungi dulu

    Jangan aktifkan 2FA di semua akun sekaligus sampai kewalahan. Mulai dari akun yang jadi kunci akun lain: email utama seperti Gmail atau Outlook. Kalau email utama jebol, penyerang bisa reset password akun lain lewat tombol lupa password. Urutan prioritas: (1) email utama, (2) akun yang menyimpan uang - m-banking, dompet digital, marketplace, (3) media sosial dengan banyak pengikut, (4) sisanya. Buat daftar singkat di catatan HP. Sisihkan 20-30 menit tanpa gangguan karena kamu perlu login ulang di beberapa perangkat. Pastikan HP yang jadi faktor kedua ada di tangan dan baterainya cukup.

  2. Install aplikasi authenticator sebelum menyentuh setelan akun

    Sebelum masuk ke setelan keamanan, siapkan dulu aplikasi authenticator di HP. Pilihan gratis yang umum: Google Authenticator, Microsoft Authenticator, atau Authy. Aplikasi ini membuat kode 6 angka yang berganti tiap 30 detik, tanpa perlu sinyal atau kuota, jadi tetap jalan walau kamu di area tanpa jaringan. Bedanya dengan SMS: kode tidak bisa dicegat lewat serangan tukar SIM. Authy dan Microsoft Authenticator bisa mencadangkan kode ke cloud, memudahkan saat ganti HP. Google Authenticator juga bisa sinkron kalau kamu login dengan akun Google. Install satu saja dulu supaya tidak bingung; kamu bisa taruh semua akun di aplikasi yang sama.

  3. Buka setelan keamanan akun Google dan pilih Verifikasi 2 Langkah

    Dari HP atau komputer, buka myaccount.google.com lalu masuk ke menu Keamanan (Security). Cari bagian cara kamu login ke Google dan pilih Verifikasi 2 Langkah (2-Step Verification). Google akan minta password sekali lagi untuk memastikan itu kamu. Ikuti wizard sampai muncul pilihan metode. Google biasanya menawarkan Google prompt - notifikasi ketuk Ya di HP yang sudah login - sebagai metode default karena paling praktis. Aktifkan itu dulu supaya 2FA langsung menyala. Susunan menu bisa sedikit berbeda antar versi aplikasi dan bahasa, tapi kata kunci yang dicari selalu Verifikasi 2 Langkah atau 2-Step Verification di dalam menu Keamanan.

  4. Tambahkan aplikasi authenticator dan kurangi ketergantungan pada SMS

    Di dalam pengaturan Verifikasi 2 Langkah, cari Authenticator app atau Aplikasi Authenticator lalu pilih Siapkan. Google menampilkan kode QR - buka aplikasi authenticator, ketuk tambah akun, scan QR itu. Kode 6 angka langsung muncul; masukkan ke Google untuk konfirmasi. Setelah aplikasi authenticator aktif, kamu boleh menyimpan nomor SMS hanya sebagai cadangan, bukan metode utama. SMS lebih rentan dibanding aplikasi atau prompt karena bisa dicegat lewat serangan tukar SIM. Kalau layanan mengizinkan, jadikan aplikasi authenticator atau passkey sebagai metode utama, dan sisakan SMS untuk keadaan darurat saja.

  5. Buat kode cadangan dan simpan di luar HP

    Masih di menu Verifikasi 2 Langkah, cari Kode cadangan (Backup codes) lalu buat dan unduh. Kamu dapat sepuluh kode sekali-pakai yang bisa dipakai login kalau HP hilang, rusak, atau kehabisan baterai. Ini penyelamat paling penting saat memakai 2FA; tanpa kode cadangan, kehilangan HP bisa berarti terkunci dari akun sendiri. Simpan di tempat yang tidak ikut hilang bersama HP: tulis di kertas lalu taruh di dompet atau laci, atau simpan di aplikasi password manager. Jangan cuma di-screenshot dan dibiarkan di galeri HP yang sama, karena kalau HP-nya yang hilang, kodenya ikut hilang juga.

  6. Aktifkan verifikasi dua langkah WhatsApp dengan PIN dan email

    WhatsApp memakai model berbeda: bukan kode berubah, tapi PIN 6 angka yang kamu tetapkan sendiri. Buka WhatsApp - Setelan - Akun - Verifikasi dua langkah - Aktifkan. Buat PIN 6 angka yang mudah kamu ingat tapi bukan tanggal lahir. Lalu masukkan alamat email aktif; email ini dipakai memulihkan PIN kalau kamu lupa. Tanpa email, lupa PIN bisa membuat kamu menunggu berhari-hari sebelum bisa daftar ulang nomor. WhatsApp sesekali meminta PIN ini untuk memastikan kamu masih ingat, dan wajib memasukkannya saat mendaftarkan nomor di HP baru - inilah yang menahan pembajakan nomor lewat penipuan kode OTP.

  7. Nyalakan 2FA di Instagram dan media sosial lewat Accounts Center

    Instagram dan Facebook kini diatur lewat Meta Accounts Center. Buka Instagram - Setelan - Pusat Akun (Accounts Center) - Kata sandi dan keamanan - Autentikasi dua faktor, lalu pilih akun yang mau diamankan. Pilih metode: aplikasi authenticator (paling disarankan), WhatsApp, atau SMS. Kalau memilih aplikasi authenticator, scan QR seperti langkah Google tadi. Untuk platform lain, Telegram punya Verifikasi Dua Langkah berupa kata sandi tambahan di Settings - Privacy and Security; X (Twitter) dan TikTok ada di menu keamanan masing-masing. Menu tiap aplikasi bisa berpindah setelah pembaruan, jadi cari kata kunci keamanan atau two-factor kalau letaknya berubah.

  8. Uji dengan keluar lalu masuk lagi sebelum menganggap selesai

    Jangan anggap 2FA aktif sampai kamu membuktikannya. Keluar (log out) dari salah satu akun di satu perangkat, lalu masuk lagi. Kamu semestinya diminta kode dari aplikasi authenticator atau ketukan prompt. Kalau prosesnya lancar dan kamu berhasil masuk, berarti setup benar. Sekalian pastikan kode cadangan yang kamu simpan benar-benar terbaca dan lengkap. Ulangi untuk tiap akun penting. Terakhir, cek daftar perangkat yang login atau sesi aktif di menu keamanan tiap akun, lalu keluarkan perangkat lama atau yang tidak kamu kenali. Langkah kecil ini memastikan tidak ada sesi lama yang lolos dari perlindungan 2FA baru.

Pertanyaan yang sering ditanya

Kalau HP saya hilang, apakah saya terkunci selamanya dari akun?

Tidak, asal kamu sudah menyiapkan jalur cadangan. Inilah gunanya kode cadangan yang dibuat saat mengaktifkan 2FA - sepuluh kode sekali-pakai yang bisa dipakai login tanpa HP. Kalau kamu pakai Authy atau Microsoft Authenticator dengan cadangan cloud, kode bisa dipulihkan di HP baru setelah login. Google Authenticator juga bisa sinkron lewat akun Google. Untuk akun Google, kamu bisa memakai metode pemulihan lain seperti nomor cadangan atau perangkat lain yang masih login. Kuncinya: siapkan minimal dua metode sebelum masalah datang. Yang membuat orang benar-benar terkunci biasanya karena hanya mengandalkan satu HP tanpa kode cadangan sama sekali.

Aplikasi authenticator atau SMS, mana yang lebih aman?

Aplikasi authenticator lebih aman. Kode SMS dikirim lewat jaringan seluler yang bisa disalahgunakan lewat serangan tukar SIM: penipu meyakinkan operator memindahkan nomor kamu ke kartu SIM mereka, lalu semua OTP masuk ke HP mereka. Aplikasi authenticator membuat kode langsung di HP kamu tanpa melewati jaringan, jadi tidak bisa dicegat dengan cara itu. Aplikasi juga tetap jalan saat kamu tanpa sinyal atau di luar negeri. SMS bukannya tidak berguna - jauh lebih baik daripada tanpa 2FA sama sekali - tapi jadikan ia cadangan, bukan andalan. Kalau layanan mendukung passkey, itu bahkan lebih kuat lagi karena tahan terhadap phishing.

Apa itu passkey dan apa bedanya dengan 2FA biasa?

Passkey adalah cara login tanpa password yang memakai sidik jari, wajah, atau PIN perangkat untuk membuktikan identitas. Alih-alih mengetik password lalu memasukkan kode, kamu cukup membuka kunci HP atau laptop. Teknologi ini tahan phishing karena passkey terikat ke situs aslinya, jadi tidak bisa tertipu mengirim kredensial ke situs palsu. Banyak layanan besar seperti Google, Apple, dan Microsoft sudah mendukungnya. Bedanya dengan 2FA: 2FA menambah lapisan di atas password, sedangkan passkey bisa menggantikan password sekaligus. Kamu tidak harus memilih salah satu - pakai passkey di layanan yang sudah siap, dan tetap nyalakan 2FA di layanan yang belum mendukung passkey.

Verifikasi dua langkah WhatsApp minta PIN terus, apakah bisa dihentikan permintaannya?

Permintaan PIN sesekali itu memang disengaja supaya kamu tidak lupa, dan tidak bisa dinonaktifkan sendiri tanpa mematikan seluruh fitur. Frekuensinya jarang, bukan tiap kali buka aplikasi. Kalau kamu sering lupa PIN, pastikan email pemulihan sudah terpasang lewat Setelan - Akun - Verifikasi dua langkah supaya bisa reset lewat tautan email. Jangan matikan fitur ini hanya karena repot: PIN inilah yang menahan orang lain mendaftarkan ulang nomor kamu di HP mereka setelah mencuri kode OTP lewat penipuan. Repot beberapa detik sebulan sekali jauh lebih ringan daripada kehilangan akun WhatsApp beserta seluruh grup dan riwayat chat.

Apakah 2FA bikin akun saya 100 persen kebal dari peretasan?

Tidak ada yang 100 persen kebal, tapi 2FA menutup celah paling umum: password yang bocor atau ditebak. Dengan 2FA, password bocor saja tidak cukup bagi penyerang untuk masuk. Namun 2FA tidak melindungi dari segalanya - kamu masih bisa tertipu memberikan kode ke situs palsu (phishing), atau menyetujui prompt login yang sebenarnya dari penyerang. Karena itu, jangan pernah membacakan kode 2FA ke siapa pun lewat telepon atau chat, dan jangan menyetujui prompt login yang tidak kamu mulai sendiri. Untuk perlindungan lebih kuat terhadap phishing, gunakan passkey atau kunci keamanan fisik. 2FA adalah lapisan penting, bukan satu-satunya lapisan.

Saya ganti HP baru, bagaimana memindahkan aplikasi authenticator?

Tergantung aplikasinya. Google Authenticator bisa sinkron ke akun Google, jadi kode muncul otomatis setelah kamu login di HP baru; ada juga fitur transfer akun lewat scan QR dari HP lama ke HP baru. Authy dan Microsoft Authenticator memakai cadangan cloud - login dengan akun yang sama dan kode akan pulih. Kalau aplikasimu tidak punya sinkronisasi, buka setelan keamanan tiap akun, matikan authenticator lama, lalu daftarkan ulang di HP baru dengan scan QR baru. Lakukan pemindahan selagi HP lama masih di tangan; jauh lebih sulit kalau HP lama sudah telanjur dijual atau di-reset. Di sinilah kode cadangan jadi penyelamat kalau HP lama sudah tidak ada.

Apakah mengaktifkan verifikasi 2 langkah berbayar?

Tidak. Verifikasi 2 langkah di Google, WhatsApp, Instagram, dan hampir semua layanan besar gratis, begitu juga aplikasi authenticator seperti Google Authenticator, Microsoft Authenticator, dan Authy. Yang berbayar hanya opsi lanjutan tertentu, misalnya kunci keamanan fisik (perangkat kecil yang dicolok atau ditempel ke HP) yang harganya bervariasi tergantung merek. Untuk kebanyakan orang, kombinasi gratis - aplikasi authenticator ditambah kode cadangan - sudah lebih dari cukup. Jadi tidak ada alasan biaya untuk menunda. Kalau ada situs atau jasa yang meminta bayaran untuk mengaktifkan 2FA di akunmu, itu tanda penipuan; fitur ini selalu ada gratis di dalam menu keamanan resmi aplikasi.

Panduan teknologi & aplikasi lainnya