Checklist Aktifkan 2FA di Akun Penting Bisnis
Akun mana yang wajib dilindungi 2FA lebih dulu? Checklist untuk Google Workspace, Meta Business, registrar domain, hosting, marketplace, dan cloud.
Jawaban singkat
Mulai dari akun yang menjadi kunci akun lain: email bisnis, registrar domain, dan akun cloud. Lanjutkan ke panel hosting, Meta Business, dan akun marketplace. Aktifkan 2FA, wajibkan untuk seluruh anggota bila bisa, dan simpan kode cadangan di password manager tim.
Daftar isi
- Langkah 1: email bisnis (Google Workspace atau sejenisnya)
- Langkah 2: registrar domain dan pengelola DNS
- Langkah 3: akun cloud dan server
- Langkah 4: panel hosting
- Langkah 5: Meta Business dan media sosial bisnis
- Langkah 6: akun penjual di marketplace dan pembayaran
- Langkah 7: simpan dan uji kode cadangan
- Ringkasan prioritas
- Pertanyaan yang sering diajukan
Di banyak usaha kecil, verifikasi dua langkah baru aktif di satu atau dua akun, biasanya email pribadi pemilik. Akun yang justru memegang kunci bisnis sering terlewat: registrar domain, panel DNS, atau akun cloud tempat website berjalan.
Urutannya penting. Akun email yang dibobol bisa dipakai mereset password akun lain. Akun registrar yang dibobol bisa membuat domain dipindahkan atau DNS diubah, sehingga email dan website ikut jatuh. Checklist berikut disusun dari akun yang dampaknya paling luas.
Sebelum mulai, siapkan satu tempat menyimpan kode cadangan, idealnya password manager tim. Pilihan metode 2FA (aplikasi, SMS, kunci keamanan) dibahas di 2FA aplikasi vs SMS OTP.
Langkah 1: email bisnis (Google Workspace atau sejenisnya)
Email adalah pintu pemulihan untuk hampir semua akun lain, jadi ini prioritas pertama.
Untuk Google Workspace, alurnya per 4 November 2026 menurut dokumentasi Google: super admin membuka Admin console, lalu Menu > Security > Authentication > 2-step verification. Centang izin bagi pengguna untuk mengaktifkan 2SV, lalu pilih penegakan: langsung aktif, atau mulai dari tanggal tertentu dengan pengingat saat login. Admin juga bisa menetapkan masa pendaftaran untuk pengguna baru, antara 1 hari sampai 6 bulan, dan memilih metode yang diizinkan, termasuk opsi tanpa kode via SMS atau telepon, atau hanya kunci keamanan.
Untuk layanan email lain, cari menu serupa di panel admin: pengaturan keamanan, autentikasi, atau kebijakan login. Bila email dikelola sendiri di server, pastikan webmail dan panel admin email juga punya 2FA.
Langkah 2: registrar domain dan pengelola DNS
Akun di registrar menentukan siapa pemilik domain dan ke mana DNS mengarah. Aktifkan 2FA di akun pelanggan registrar dan di layanan DNS terpisah bila kamu memakainya.
Cloudflare, sebagai contoh layanan DNS dan keamanan, menyediakan tiga metode 2FA menurut dokumentasinya: kunci keamanan (termasuk Touch ID atau Windows Hello), aplikasi authenticator TOTP, dan kode lewat email. Saat pengaturan, Cloudflare memberikan kode cadangan sekali pakai yang bisa dibuat ulang dari My Profile > Authentication, dan Super Administrator bisa menyalakan 2FA Enforcement agar semua anggota akun wajib memakai 2FA. Cloudflare juga menyarankan mendaftarkan minimal dua faktor berbeda.
Di registrar mana pun, periksa juga fitur kunci transfer domain. Panduan soal pemindahan domain yang aman ada di cara transfer domain.
Langkah 3: akun cloud dan server
Akun penyedia cloud memegang server, database, dan tagihan. Per 4 November 2026, dokumentasi AWS menyebut semua jenis akun AWS (standalone, management, dan member) wajib mengonfigurasi MFA untuk root user, dengan batas 14 hari sejak percobaan login pertama ke konsol bila belum aktif. AWS mendukung passkey dan kunci keamanan, aplikasi authenticator virtual, dan token TOTP fisik, serta menyarankan passkey atau kunci keamanan karena lebih tahan phishing.
Prinsip yang sama berlaku untuk penyedia cloud dan VPS lain: lindungi akun pemilik dengan metode terkuat, buat akun terpisah untuk tiap anggota tim, dan jangan memakai akun utama untuk pekerjaan harian. Akses ke server sendiri sebaiknya memakai SSH key, bukan password saja.
Langkah 4: panel hosting
Panel seperti cPanel, Plesk, atau DirectAdmin mendukung 2FA berbasis aplikasi authenticator, ada yang bawaan dan ada yang lewat ekstensi, tergantung konfigurasi penyedia hostingmu. Aktifkan di akun panel milikmu, dan di akun pelanggan penyedia hosting tempat kamu membayar tagihan, karena keduanya biasanya terpisah.
Bila website dikelola agensi atau freelancer, minta mereka memakai akun sendiri dengan 2FA, bukan meminjam login pemilik.
Langkah 5: Meta Business dan media sosial bisnis
Halaman iklan, akun Instagram bisnis, dan WhatsApp Business sering diincar karena langsung bisa dipakai menipu pelanggan atau membelanjakan saldo iklan. Pusat Bantuan Bisnis Meta punya panduan untuk mewajibkan autentikasi dua faktor bagi orang di portofolio bisnis Meta. Terapkan kewajiban itu, lalu pastikan setiap admin juga mengaktifkan 2FA di akun Facebook pribadinya, karena akses portofolio melekat pada akun pribadi tersebut.
Untuk WhatsApp Business, aktifkan verifikasi dua langkah dengan PIN di pengaturan akun.
Langkah 6: akun penjual di marketplace dan pembayaran
Akun seller dan dasbor payment gateway menyimpan saldo dan data pencairan dana. Cari pengaturan keamanan di aplikasi atau dasbor penjual, aktifkan metode terkuat yang tersedia, dan pastikan nomor HP serta email pemulihan adalah milik perusahaan, bukan nomor pribadi karyawan yang bisa keluar sewaktu-waktu.
Langkah 7: simpan dan uji kode cadangan
Setiap layanan di atas biasanya memberikan kode cadangan atau cara pemulihan. Simpan semuanya di satu brankas tim, catat siapa pemegang aksesnya, dan uji minimal satu kali bahwa kode cadangan memang bisa dipakai. Penyimpanan bersama yang aman untuk tim dibahas di password manager untuk tim dengan Vaultwarden.
Akun yang sudah mendukung passkey bisa dipindah ke metode yang lebih tahan phishing. Penjelasannya di apa itu passkey.
Ringkasan prioritas
| Prioritas | Akun | Kenapa | Metode minimal |
|---|---|---|---|
| 1 | Email bisnis | Pintu reset semua akun lain | Aplikasi authenticator atau kunci keamanan |
| 2 | Registrar domain dan DNS | Mengendalikan domain, email, dan website | Aplikasi authenticator, plus kunci transfer |
| 3 | Akun cloud dan VPS | Server, data, dan tagihan | Passkey atau kunci keamanan |
| 4 | Panel hosting | File website dan database | Aplikasi authenticator |
| 5 | Meta Business dan media sosial | Iklan dan reputasi ke pelanggan | 2FA wajib untuk semua anggota |
| 6 | Marketplace dan pembayaran | Saldo dan pencairan dana | Metode terkuat di aplikasi |
Pertanyaan yang sering diajukan
Apakah semua karyawan perlu 2FA, atau cukup pemilik?
Semua orang yang punya akses ke akun bisnis perlu 2FA. Pelaku tidak harus membobol pemilik, cukup satu anggota tim yang punya akses admin.
Bagaimana kalau karyawan yang memegang 2FA keluar dari perusahaan?
Cabut aksesnya di hari yang sama, ganti password akun bersama, dan pindahkan metode 2FA ke perangkat milik perusahaan. Ini lebih mudah bila kode cadangan sejak awal disimpan di brankas tim.
Apakah boleh memakai satu nomor HP kantor untuk semua SMS OTP?
Boleh sebagai cadangan, tapi nomor itu menjadi titik lemah tunggal. Untuk akun utama, pilih aplikasi authenticator atau kunci keamanan, dan lindungi nomor kantor dari pemindahan SIM.
Seberapa sering daftar ini perlu ditinjau?
Tinjau setiap ada pergantian staf, penambahan layanan baru, atau minimal beberapa kali setahun. Pastikan tidak ada akun lama yang masih aktif tanpa 2FA.
Checklist singkat:
- Email bisnis: 2FA wajib untuk semua pengguna.
- Registrar dan DNS: 2FA aktif, kunci transfer menyala.
- Cloud dan VPS: akun pemilik dengan passkey atau kunci keamanan.
- Panel hosting dan akun penyedia hosting: 2FA aktif di keduanya.
- Meta Business: 2FA diwajibkan untuk semua orang di portofolio.
- Marketplace dan pembayaran: kontak pemulihan milik perusahaan.
- Kode cadangan: tersimpan di brankas tim dan sudah diuji.
