要求双因素认证
密码会被钓走；手机上的六位验证码大多不会跟着一起走。几分钟之内，登录你的组织的每一次都会两者都要。
这里的双因素是 TOTP——标准的身份验证器应用验证码。任何身份验证器都行：1Password、Google Authenticator、Authy、你的密码管理器内置的那个。
1. 先给你自己注册
Section titled “1. 先给你自己注册”在要求所有人之前，先在你自己的账户上设置好——你会希望自己已经走过一遍你即将要求别人走的路。
在你的账户设置里，打开双因素部分，开始注册。你会得到一个二维码——用你的身份验证器应用扫描它（或者手动输入密钥）——然后用应用显示的第一个验证码确认。这个密钥在注册时只显示一次；之后没有办法再读回来。
你还会得到恢复码：一组一次性的验证码，在你丢了手机时顶替它。像对待机密一样保存它们——放进密码管理器，而不是便利贴。
2. 对整个组织要求它
Section titled “2. 对整个组织要求它”作为 Owner，打开管理 → 身份验证，把策略设为要求双因素。从那一刻起，登录你的组织的每一次都需要密码和验证码。
你的队友会经历什么：
- 已经注册的——除了登录时多一个验证码提示，什么都没变。
- 还没注册的——他们会在能继续之前被带着完成注册。没有人被锁在外面；他们是被领进来的。
你可以一眼看到谁已经注册：管理 → 用户里有一列 2FA。
细则，直白地说
Section titled “细则，直白地说”- 跨组织从严。如果一个人属于多个 FortressFlag 组织，而其中任何一个要求 2FA，那这个人在所有地方都用 2FA 登录。你的策略可能会抬高一位共享队友在他其他组织里的门槛——这是一个真实的代价，我们宁愿你从我们这里听到。
- 丢了手机意味着重新注册——一个恢复码让他们进来，再次注册会签发一个全新的密钥。没有任何支持路径能把旧密钥读回来；这是一个特性。