Recovery Code Bukan Catatan Cadangan: Cara Meny…

Bayangkan kunci rumah cadangan yang baru dicari ketika kunci utama hilang. Begitulah fungsi recovery code atau backup code: kode darurat untuk masuk kembali ke akun ketika metode utama—seperti ponsel, nomor telepon, atau aplikasi autentikator—tidak tersedia.

Fitur ini sering muncul setelah kita mengaktifkan autentikasi multifaktor (MFA), yaitu lapisan verifikasi tambahan selain password. MFA membuat pembobolan akun menjadi lebih sulit, tetapi juga menambah satu persoalan baru: bagaimana masuk jika perangkat utama rusak atau hilang?

Jawabannya bukan menyimpan kode di sembarang tempat. Recovery code harus diperlakukan seperti kunci cadangan: tersedia saat dibutuhkan, tetapi tidak mudah ditemukan orang lain.

Mengapa recovery code penting?

Dalam kondisi normal, kita mungkin menerima kode melalui SMS, menyetujui notifikasi di ponsel, atau membuka aplikasi autentikator. Namun, semua metode itu bergantung pada sesuatu yang bisa hilang, rusak, diganti, atau terkunci.

Ponsel hilang atau dicuri.
Nomor telepon berganti atau tidak lagi aktif.
Aplikasi autentikator belum dipindahkan ke perangkat baru.
Perangkat terkena kerusakan dan tidak bisa menyala.
Kita sedang bepergian dan tidak bisa menerima SMS.

Google, misalnya, menyediakan satu set backup code yang dapat digunakan ketika pengguna tidak bisa memakai metode verifikasi dua langkah biasa. Setiap kode hanya dapat digunakan sekali, dan membuat set baru akan menonaktifkan set lama. Panduan resmi Google juga menyarankan agar kode disimpan di tempat aman dan tidak dibagikan kepada siapa pun.

Namun, recovery code bukan password kedua yang boleh diberikan kepada petugas dukungan, teman, atau orang yang mengaku sedang membantu. Kode ini pada dasarnya adalah tiket masuk ke akun.

Bedakan recovery code dengan kode OTP

Keduanya sama-sama berupa rangkaian angka, tetapi konteksnya berbeda.

OTP biasanya dikirim atau dibuat untuk satu proses login tertentu dan berlaku singkat.
Recovery code dibuat sebelumnya sebagai cadangan ketika metode verifikasi utama tidak tersedia.

Karena recovery code tidak selalu berubah setiap beberapa detik seperti kode autentikator, orang yang mendapatkannya bisa mencoba menggunakannya di lain waktu. Itulah sebabnya kode ini perlu dijaga lebih serius daripada tangkapan layar OTP yang sudah kedaluwarsa.

Aturan praktisnya sederhana: jangan pernah mengirim recovery code melalui chat, email, atau formulir yang tidak dibuka dari situs resmi. Google secara khusus mengingatkan bahwa mereka tidak akan meminta backup code selain pada proses login.

Cara menyimpan recovery code tanpa membuatnya mudah dicuri

1. Buat atau perbarui dari halaman resmi

Masuk ke pengaturan keamanan akun secara langsung, bukan melalui tautan dari email atau pesan. Cari menu seperti 2-Step Verification, Two-Factor Authentication, Backup Codes, atau Recovery Options.

Jika ragu, buka situs layanan dengan mengetik alamatnya sendiri di browser atau menggunakan aplikasi resminya. Ini mengurangi risiko tertipu halaman login palsu.

2. Simpan satu salinan offline

Salinan kertas di tempat aman sering kali lebih berguna daripada file yang hanya tersimpan di perangkat yang sama. Misalnya, simpan bersama dokumen penting atau di tempat yang tidak mudah diakses orang lain.

Microsoft menyarankan recovery code dicetak dan disimpan di lokasi aman, bukan pada perangkat yang digunakan untuk login. Microsoft juga menggunakan recovery code 25 digit untuk membantu pengguna mendapatkan kembali akses ke akun ketika password terlupa atau akun bermasalah. Lihat panduan recovery code Microsoft.

3. Hindari screenshot di galeri ponsel

Screenshot memang praktis, tetapi galeri ponsel sering tersinkronisasi otomatis ke layanan cloud, muncul dalam hasil pencarian foto, atau ikut terbawa saat perangkat dipinjamkan. Selain itu, gambar mudah diteruskan tanpa sengaja.

Jika harus menyimpan salinan digital, gunakan penyimpanan yang terenkripsi dan terlindungi password kuat. Jangan menamai file dengan sesuatu yang terlalu jelas seperti backup-code-akun-bank.txt.

4. Jangan simpan semua cadangan di satu tempat

Menaruh recovery code, password manager, email pemulihan, dan perangkat autentikator di satu ponsel memang nyaman, tetapi menciptakan satu titik kegagalan. Jika ponsel hilang dan tidak bisa dibuka, seluruh jalur pemulihan ikut hilang.

Pilihan yang lebih masuk akal adalah menyimpan salinan offline di tempat aman dan mempertahankan setidaknya satu metode pemulihan lain yang masih bisa diakses.

Setelah recovery code dipakai, lakukan ini

Recovery code sebaiknya dianggap habis setelah digunakan. Jangan berasumsi kode itu masih berlaku. Segera lakukan tiga langkah berikut:

Masuk ke pengaturan keamanan akun melalui situs atau aplikasi resmi.
Buat set recovery code baru atau ganti recovery key.
Periksa daftar perangkat, sesi login, nomor telepon, email pemulihan, dan aplikasi yang memiliki akses.

Google menyatakan bahwa membuat set backup code baru akan menonaktifkan set lama. Pada Microsoft, membuat recovery code baru juga membuat kode sebelumnya tidak berlaku. Karena itu, jangan menyimpan beberapa versi lama tanpa penanda yang jelas.

Untuk Apple Account, recovery key memiliki konsekuensi yang perlu dipahami: Apple menyebut pengguna membutuhkan recovery key dan nomor telepon tepercaya untuk mengatur ulang password dalam kondisi tertentu. Artinya, fitur ini dapat membantu pemulihan, tetapi juga membuat kehilangan recovery key menjadi masalah serius. Baca penjelasan Apple tentang recovery key sebelum mengaktifkannya.

Apa artinya bagi kita?

Recovery code bukan pengganti password kuat, MFA, atau kebiasaan waspada terhadap phishing. Ia adalah rencana darurat. Nilainya baru terasa ketika metode utama gagal, tetapi pada saat itu biasanya kita sedang panik dan tidak punya banyak pilihan.

Menurut saya, ukuran pengaturan akun yang baik bukan hanya apakah kita bisa login hari ini. Ukurannya juga: apakah kita masih bisa masuk jika ponsel hilang malam ini? Jika jawabannya belum jelas, luangkan waktu sekitar sepuluh menit untuk memeriksa pengaturan pemulihan akun paling penting—email utama, akun cloud, media sosial, dan layanan keuangan.

Yang bisa dilakukan sekarang: buka satu akun penting, aktifkan MFA jika tersedia, buat recovery code, cetak atau tulis di tempat aman, lalu pastikan kita tahu cara mengganti kode setelah salah satunya digunakan. Langkah kecil ini tidak membuat akun kebal, tetapi dapat mencegah masalah sederhana berubah menjadi kehilangan akses berkepanjangan.

Catatan keamanan

CISA merekomendasikan penggunaan MFA karena lapisan tambahan ini meningkatkan kesulitan bagi penyerang untuk mengambil alih akun. Untuk akun yang sangat penting, metode berbasis perangkat keamanan atau passkey dapat memberikan perlindungan yang lebih kuat daripada SMS, tetapi setiap layanan memiliki pilihan pemulihan yang berbeda. Panduan MFA dari CISA dapat menjadi rujukan umum.

Sumber & bacaan lebih lanjut

– Rio Yotto @rioyotto