FirmbitDlaczego to ważne akurat tutaj
Firmbit to nie tylko notatnik — z konta wystawiasz faktury, łączysz się z KSeF (token działa w Twoim imieniu wobec urzędu) i wysyłasz JPK. Ktoś, kto wejdzie na Twoje konto, może zrobić to samo. Dlatego traktuj je jak bankowość: osobne hasło i drugi składnik.
1. Hasło — mocne i tylko do Firmbita
W Ustawienia → Konto i bezpieczeństwo → „Hasło” zmienisz je w każdej chwili (podajesz stare i nowe). Hasło ma być inne niż do poczty i innych serwisów — większość włamań to hasło wyciekłe gdzie indziej i użyte tutaj.
Najprościej: długie zdanie (np. cztery losowe słowa) albo menedżer haseł. Po zmianie hasła wylogujemy Cię na wszystkich urządzeniach — to celowe.
2. Logowanie dwuetapowe (2FA) — najlepiej aplikacją
W tej samej sekcji włącz „Logowanie dwuetapowe (2FA)”. Masz trzy metody do wyboru — zawsze działa dokładnie jedna. Pierwsze włączenie to jedno kliknięcie; zamiana na inną metodę (np. z e-maila na aplikację) wyłączy obecną, więc najpierw uprzedzimy Cię, co zgaśnie, a potem poprosimy o potwierdzenie obecną metodą — tak samo jak przy wyłączaniu. O każdym włączeniu 2FA i o każdym dodanym zaufanym urządzeniu dostaniesz e-mail z przyciskiem „To nie ja? Zabezpiecz konto”. Konto pokazowe (demo) nie ma logowania dwuetapowego.
• 2FA aplikacją (Google Authenticator / Authy) — zeskanuj kod QR telefonem, wpisz 6-cyfrowy kod z aplikacji, gotowe. Przy włączaniu pokażemy RAZ 8 kodów zapasowych — skopiuj je, pobierz jako plik tekstowy albo wydrukuj i trzymaj poza telefonem. Każdy kod działa jeden raz i ratuje Cię, gdy zgubisz telefon. W tej samej sekcji widzisz, ile kodów zostało, i możesz wygenerować nowe. Co zrobić, gdy telefon przepadnie — artykuł „Straciłem telefon z aplikacją do kodów”. To metoda, którą polecamy — działa bez internetu i bez dostępu do poczty.
• 2FA SMS-em — podajesz numer komórkowy, dostajesz na niego kod i przepisujesz go (dopiero to włącza metodę — dzięki temu literówka w numerze Cię nie zablokuje). Przy każdym logowaniu wysyłamy 6-cyfrowy kod SMS-em. Wygodne i nie wymaga instalowania niczego, ale słabsze od aplikacji: kto przejmie Twój numer u operatora, przejmie też kody. Kodu nigdy nikomu nie podawaj — nasz zespół o niego nie prosi.
• 2FA przez e-mail — przy logowaniu dostajesz 6-cyfrowy kod na skrzynkę. Wymaga potwierdzonego adresu e-mail (jeśli jeszcze go nie potwierdziłeś, w tej samej sekcji jest przycisk „Wyślij link potwierdzający”). Wygodne, ale tak bezpieczne, jak Twoja poczta: jeśli ktoś przejmie maila, przejmie też ten kod. Jeśli wybierasz tę metodę, zabezpiecz skrzynkę 2FA u swojego dostawcy.
Bez włączonego 2FA nie połączysz KSeF ani nie wyślesz JPK — aplikacja wymaga drugiego składnika do operacji wobec urzędu.
3. „Pamiętaj to urządzenie” i zaufane urządzenia
Przy wpisywaniu kodu 2FA możesz zaznaczyć „Pamiętaj to urządzenie przez 90 dni” — na tym telefonie/komputerze nie będziemy pytać o kod. Rób to tylko na swoim sprzęcie, nigdy na cudzym ani w pracy u klienta.
Listę takich urządzeń widzisz w „Zaufane urządzenia” — każde możesz usunąć (przy następnym logowaniu znów poprosimy o kod). Jeśli sprzedajesz lub gubisz telefon — usuń go stąd.
4. Aktywne urządzenia i „Wyloguj wszędzie”
„Aktywne urządzenia” to lista miejsc, gdzie jesteś aktualnie zalogowany (np. „Chrome • Windows”, telefon). Przy każdym jest przycisk wylogowania — przydatne, gdy zalogowałeś się na cudzym komputerze i zapomniałeś wyjść.
„Wyloguj ze wszystkich urządzeń” kończy wszystkie sesje naraz (również Twoją bieżącą — zalogujesz się ponownie) i usuwa listę zaufanych urządzeń, więc każde z nich przy następnym logowaniu znowu poprosi o kod 2FA. Użyj zawsze, gdy: zgubisz telefon, podejrzewasz, że ktoś zna Twoje hasło, albo widzisz na liście urządzenie, którego nie poznajesz. Zaraz po tym zmień hasło.
Dotyczy to też aplikacji na telefonie — przy najbliższym połączeniu poprosi o ponowne logowanie. Jeśli zgubiłeś telefon z zainstalowaną apką i chcesz mieć pewność, napisz do nas (kontakt@firmbit.pl) — zablokujemy konto do czasu, aż je zabezpieczysz.
5. Konto Google i adres e-mail
Jeśli logujesz się przez Google — zabezpiecz samo konto Google (2FA u Google). Jeśli go nie używasz, możesz je odłączyć w „Połączone konta”.
Zmiana adresu e-mail wymaga hasła i kliknięcia w link na NOWYM adresie; na stary adres wysyłamy powiadomienie. Jeśli dostaniesz takie powiadomienie, a to nie Ty — natychmiast „Wyloguj wszędzie”, zmień hasło i napisz do nas.
6. Wzmocniona ochrona (dla chętnych)
W Ustawienia → Konto i bezpieczeństwo → „Wzmocniona ochrona” są trzy opcje, każdą włączasz osobno. Działają tylko przy włączonym logowaniu dwuetapowym (2FA) — po wyłączeniu 2FA przestają działać.
• Kod przy każdym logowaniu — każde logowanie (hasłem, przez Google, kodem QR, w aplikacji) wymaga drugiego składnika, a „Pamiętaj to urządzenie” przestaje działać. Raz zalogowana aplikacja na telefonie zostaje zalogowana.
• Wyloguj po zamknięciu przeglądarki i po bezczynności — na komputerze sesja kończy się po zamknięciu przeglądarki, po 15, 30 albo 60 minutach bez aktywności (minutę wcześniej zapytamy, czy zostajesz) i najpóźniej po 12 godzinach.
• Tylko jedna sesja naraz — jedna sesja w przeglądarce i jedna w aplikacji. Nowe logowanie kończy poprzednią sesję tego rodzaju, a o każdym logowaniu dostaniesz e-mail.
Każde włączenie i wyłączenie potwierdzasz kodem 2FA (albo kodem zapasowym), a o wyłączeniu dostaniesz e-mail. Najpełniej chronią wszystkie trzy opcje razem.
Na co uważać (phishing)
Firmbit nigdy nie prosi mailem ani telefonicznie o hasło, kod 2FA ani o „potwierdzenie konta” przez link. Maile od nas przychodzą z domeny firmbit.pl — przy wątpliwościach nie klikaj w link, tylko wejdź na firmbit.pl ręcznie i zaloguj się normalnie.
Raz na jakiś czas (np. przy okazji rozliczenia miesiąca) zajrzyj do „Aktywnych urządzeń” — to 10 sekund.