Een alternatief voor Authy voor teams

Authy is een goede authenticatie-app voor één persoon. Het wordt lastig wanneer een team hem gebruikt voor gedeelde accounts: de codes blijven op de telefoon van degene die ze heeft ingesteld.

Wat Authy is geworden

• Alleen mobiel. De desktopapps voor Windows, macOS en Linux zijn op 19 maart 2024 stopgezet (bron), en de Chrome-extensie wordt sinds 2020 niet meer onderhouden (bron).
• Eén account per persoon. Een Authy-account is gekoppeld aan een telefoonnummer; de synchronisatie dient om je eigen codes op je eigen apparaten terug te vinden, en Authy biedt geen gedeelde kluis.
• Geen export. Met Authy kun je accounts importeren noch exporteren (bron): wie vertrekt, moet de 2FA van elke dienst opnieuw instellen.
• Juli 2024. Twilio meldde dat telefoonnummers die aan Authy-accounts gekoppeld waren, verzameld konden zijn via een niet-geauthenticeerd endpoint, dat inmiddels is beveiligd, en voegde eraan toe dat de accounts niet waren gecompromitteerd (bron).

Wat een team in plaats daarvan verwacht

In Share Auth staan de 2FA-accounts in de omgeving van het team in plaats van op een telefoon, en elk bevoegd lid haalt de actuele code op via de site, de API, Slack of Discord. Een lezer krijgt die code zonder ooit het geheim te zien waaruit hij voortkomt: als hij het team verlaat, neemt hij geen kopie mee. In het toegangslogboek zie je wie welke code heeft opgehaald, en wanneer.

Je zit daarmee niet vast aan Share Auth. De pagina van elk geheim toont de QR-code om het in te stellen, en die kan elke TOTP-app lezen. Dat is precies wat Authy niet toestaat.

Van Authy naar Share Auth

Bij gebrek aan export gaat de overstap account per account: open de beveiligingsinstellingen van de dienst, wissel van authenticatie-app, scan de nieuwe QR-code in Share Auth en bevestig met de getoonde code. Begin met de accounts die het team het meest gebruikt. De pagina Overstappen beschrijft elk geval in detail.