Securitatea și recuperarea contului
Confirmarea identității (sudo), deconectarea de pe toate dispozitivele, butonul „Nu eu” la o cerere de autentificare și cum resetează un administrator autentificarea în doi pași a unui membru.
Brivio îți cere să confirmi că ești tu înaintea acțiunilor sensibile și îți oferă — ție și administratorilor organizației — căi sigure de ieșire când pierzi un factor sau parola este compromisă.
Confirmarea identității („sudo”)
Înaintea unei acțiuni sensibile asupra contului (dezactivarea autentificării în doi pași, regenerarea codurilor de rezervă, ștergerea unei chei de acces) Brivio îți cere să confirmi cu o cheie de acces, aplicația de autentificare, un cod de rezervă sau, pentru acțiunile cu risc redus, parola. Confirmarea durează 5 minute, doar în browserul în care ai dat-o.
Confirmarea este înregistrată pe serverele noastre, așa că Setări › Securitate › Deconectează toate dispozitivele o încheie imediat, împreună cu toate sesiunile — inclusiv într-un browser pe care l-ar putea avea altcineva.
„Nu eu” la o cerere de autentificare
Dacă folosești aprobarea prin notificare, o autentificare de pe alt dispozitiv afișează o cerere pe telefon. Dacă nu ai pornit-o tu, apasă Nu am fost eu — raportează. Cineva a introdus parola corectă, așa că Brivio:
- respinge cererea și te deconectează de pe toate dispozitivele;
- blochează autentificarea cu parolă până când resetezi parola din Am uitat parola;
- uită toate dispozitivele „memorate” și încheie orice confirmare în curs;
- îți trimite un e-mail cu adresa IP de la care a venit cererea.
Cheile de acces și autentificarea unică (SSO) funcționează în continuare, așa că nu rămâi niciodată fără un factor pe care atacatorul nu îl are. După resetare, conectează-te cu parola nouă și verifică Setări › Securitate.
Autentificarea cu Google când organizația cere doi pași
Autentificarea cu Google dovedește contul Google, nu un al doilea factor, așa că într-o organizație care cere autentificare în doi pași Brivio îți cere unul imediat după ce Google te readuce în aplicație. Rămâi conectat — ecranul Confirmă că ești tu îți cere:
- codul de 6 cifre din aplicația de autentificare, sau
- cheia de acces (Windows Hello, Touch ID, telefonul) ori o cheie de securitate, sau
- unul dintre codurile de rezervă.
Dacă contul nu are încă un al doilea factor, același ecran te lasă să adaugi unul pe loc — o cheie de acces sau o aplicație de autentificare — și apoi te duce în aplicație. Nu se sare nimic: cerința organizației este îndeplinită doar după ce un factor a fost verificat efectiv pe serverele noastre.
Personalul platformei
Conturile personalului Brivio cu roluri de platformă își păstrează puterile doar într-o sesiune în care a fost prezentat un al doilea factor (cheie de acces, aplicație de autentificare, cod de rezervă sau aprobare prin notificare). O sesiune doar cu parolă sau cu Google — ori un dispozitiv „memorat” care a sărit peste al doilea factor — primește cererea de factor pe ecranul Confirmă că ești tu.
Când un membru își pierde al doilea factor
Dacă un membru și-a pierdut telefonul și nu mai are coduri de rezervă, un proprietar sau administrator îi poate reseta al doilea factor din Setări › Echipă (pictograma cheie de lângă membru). Resetarea nu este imediată, intenționat:
| Pas | Ce se întâmplă |
|---|---|
| Cerere | Administratorul confirmă cu propriul al doilea factor, scrie un motiv și alege o perioadă de așteptare de 24, 48 sau 72 de ore. Membrul primește un e-mail la fiecare adresă verificată. |
| Perioada de așteptare | Membrul vede un mesaj în Setări › Echipă și poate anula resetarea. O poate anula și orice administrator. |
| Finalizare | După perioada de așteptare, un administrator confirmă din nou cu al doilea factor. Aplicația de autentificare, codurile de rezervă, cheile de acces, dispozitivele memorate și cele pentru notificări ale membrului sunt eliminate, iar toate sesiunile lui se închid. |
| Blocarea plăților | Timp de 72 de ore după finalizare, un factor nou al membrului nu poate autoriza plăți, schimburi valutare, beneficiari noi sau reguli de plată. |
Doar un proprietar poate reseta factorul altui proprietar și nimeni nu își poate reseta propriul factor din acest ecran. Fiecare pas apare în jurnalul de audit al organizației și în Activitatea de securitate a membrului.
Politica de autentificare a organizației
Proprietarii și administratorii o configurează în Setări › Securitate › Politica de autentificare. Fiecare modificare îți cere confirmarea cu al doilea factor și apare în jurnalul de audit al organizației.
| Setare | Efect |
|---|---|
| Metode de autentificare permise | Membrii conectați cu o metodă nepermisă sunt rugați să se conecteze din nou. Nu poți elimina metoda cu care ești conectat. |
| Confirmare rezistentă la phishing | Pentru acțiunile de plăți și/sau administrare este acceptată doar o cheie de acces; parola sau codul din aplicație nu mai sunt suficiente. Membrii fără cheie de acces sunt rugați să adauge una. |
| Durata maximă a sesiunii / inactivitate | Mai scurte decât limitele platformei (7 zile / 12 ore). După limită, membrul se conectează din nou. |
| Rețele permise | Adrese IP sau intervale CIDR. Adresa ta curentă trebuie să fie în listă. Un proprietar conectat cu cheie de acces poate intra și din afara ei, ca o listă greșită să poată fi corectată oricând. |
| Acceptă MFA făcut la furnizorul SSO | Când este activă, un membru care a trecut deja prin autentificarea în doi pași la Okta, Entra sau alt furnizor SAML/OIDC nu mai este întrebat de Brivio, dacă verificarea este recentă (implicit 60 de minute). Nu contează niciodată ca nivelul maxim, rezervat cheilor de securitate hardware verificate de Brivio. |
Pentru fiecare conexiune SSO, cardul arată ce a dovedit ultima conectare prin ea: dacă furnizorul a trimis o dovadă de MFA și ce nivel ar acorda — ca să verifici înainte de a activa încrederea. Dacă furnizorul folosește o valoare proprie pentru MFA (de exemplu un context de autentificare specific Okta), adaug-o în lista conexiunii.
Confirmarea unei plăți
Când trimiți o plată, aprobi sau respingi una, faci un schimb valutar sau adaugi un beneficiar nou din Revolut Business, Brivio îți arată întâi un ecran de confirmare cu detaliile exact așa cum vor fi executate — suma, beneficiarul, ultimele patru cifre ale IBAN-ului, referința și modul. Confirmarea ta se aplică doar acelei operațiuni:
| Confirmi cu | Ce se leagă |
|---|---|
| O cheie de acces | Dispozitivul tău semnează o amprentă a operațiunii înseși. Dacă ceva din ea s-a schimbat, semnătura nu se potrivește și nu se trimite nimic. |
| Un cod din aplicația de autentificare sau reautentificare | Confirmarea este acceptată doar pentru acea operațiune și doar dacă ai dat-o după ce a apărut ecranul de confirmare. |
Ecranul de confirmare este valabil 15 minute. Un aprobator confirmă plata așa cum a văzut-o: dacă plata s-a modificat între timp, aprobarea este refuzată și trebuie verificată din nou. Operațiunile pregătite, dar neconfirmate, apar la Operațiuni neconfirmate pe pagina de plăți — pentru ele nu s-a trimis nimic băncii. Amprenta operațiunii de pe ecran apare și în jurnalul de audit, ca să poți potrivi o confirmare cu înregistrarea ei.
Aprobarea de pe telefon sau calculator
Aplicația Brivio pentru Android și pentru Windows, macOS și Linux îți poate aproba autentificările și plățile cu o cheie de dispozitiv: o cheie creată în hardware-ul securizat al dispozitivului (StrongBox sau zona securizată pe Android, cipul TPM pe Windows, seiful sistemului pe macOS și Linux) care nu îl părăsește niciodată.
Configurarea. Deschide aplicația, mergi la Profil → Securitate → Dispozitive de aprobare și alege Folosește acest dispozitiv pentru a aproba autentificări și plăți. Brivio îți cere întâi să confirmi că ești tu cu un al doilea factor. Lista arată fiecare dispozitiv, tipul cheii și când a fost folosit ultima dată; dacă pierzi un dispozitiv, elimină-l de acolo. Eticheta Cheie hardware, verificată apare doar când Brivio a verificat atestarea Google pentru o cheie Android — altfel afirmația dispozitivului apare ca neverificată.
Aprobarea unei autentificări. Când te autentifici în altă parte, telefonul primește o notificare, iar aplicația de pe calculator afișează una. Deschide-o, verifică ora, dispozitivul și adresa și apasă numărul afișat pe ecranul de autentificare. Dispozitivul semnează exact acea cerere — numărul, identificatorul cererii și momentul expirării. Notificarea în sine nu conține niciun număr și niciun detaliu, doar un link.
Confirmarea unei plăți pe telefon. Pe ecranul de confirmare a plății alege Confirmă pe telefon. Telefonul arată aceeași sumă, același beneficiar și aceeași amprentă a operațiunii, construite din copia păstrată pe server; apasă numărul care se potrivește și dispozitivul semnează acea operațiune. O confirmare pe telefon este valabilă 60 de secunde.
Limite.
- Se trimit cel mult trei cereri de aprobare în zece minute.
- Dacă respingi trei cereri în 15 minute (un număr greșit, Nu am fost eu sau Raportează), cererile noi sunt oprite o oră și primești un email. Între timp autentifică-te cu codul din aplicația de autentificare sau cu o cheie de acces — și schimbă-ți parola, pentru că o mai știe cineva.
- O aprobare de pe dispozitiv contează ca un al doilea factor puternic, dar nu ca nivelul cel mai înalt, rezervat cheilor de securitate hardware.
Cheile de acces în aplicațiile Brivio
Aplicația Android. Cheile de acces funcționează în aplicație: autentificarea, adăugarea unei chei și confirmarea unei acțiuni folosesc Google Password Manager sau furnizorul de chei de acces ales pe telefon, exact ca în browser. O cheie creată pe telefon funcționează și pe brivio.ro.
Aplicația pentru Windows, macOS și Linux. Aplicația te autentifică printr-o fereastră de browser: folosește acolo cheia de acces (sau parola și codul din aplicația de autentificare), iar aplicația se deschide deja autentificată. Cheile create în browser funcționează deci și pentru autentificarea în aplicație. Aplicația nu poate crea și nici folosi o cheie de acces, așa că Profil → Securitate arată unde o poți adăuga, în locul butonului Adaugă passkey. Dacă te-ai autentificat cu un al doilea factor acum mai puțin de 15 minute, sesiunea din aplicație păstrează acel nivel; după aceea contează ca o autentificare simplă până confirmi din nou.
Confirmările în aplicația desktop. Când o acțiune cere cheia de acces, aplicația îți oferă în schimb codul din aplicația de autentificare sau un cod de rezervă. Unde organizația cere o cheie de acces (de exemplu pentru plăți), aprob-o cu Confirmă pe telefon dacă ai un dispozitiv de aprobare, sau fă-o pe brivio.ro, într-un browser.
Deschide aplicația desktop deja autentificat. Pe brivio.ro/descarca, cât timp ești autentificat, apasă Deschide Brivio autentificat după ce se termină instalarea. Aplicația se deschide și îți arată contul cu care se va autentifica (Continuă ca …); nu se întâmplă nimic până nu confirmi. Linkul funcționează o singură dată, timp de 10 minute. Dacă a expirat sau a fost deja folosit, deschide din nou pagina de descărcare sau autentifică-te cu e-mailul. Fiecare link creat, fiecare link refuzat și autentificarea însăși apar la Activitate de securitate.
Deconectarea. Deconectează-te din meniul contului încheie sesiunea și te duce înapoi la ecranul de autentificare — în browser și în aplicații. În aplicația desktop uită și autentificarea salvată și șterge datele păstrate pentru lucrul offline, așa că la următoarea pornire ți se cere din nou autentificarea.
Autentificări neobișnuite
Fiecare autentificare — cu parolă, cheie de acces, Google, Microsoft sau alt furnizor de autentificare unică — este verificată după un set fix și public de reguli. Nu este profilare automată și nici învățare automată: fiecare decizie vine dintr-o regulă pe care o poți vedea, niciodată dintr-un scor ascuns.
| Regulă | Se declanșează când |
|---|---|
| Dispozitiv nou | Browserul sau dispozitivul nu a mai fost văzut pe contul tău. |
| Țară nouă | Nu te-ai mai autentificat din acea țară. |
| Furnizor de rețea nou | Conexiunea vine de la un furnizor de internet (ASN) nou pentru contul tău. |
| Călătorie imposibilă | Două autentificări sunt prea departe una de alta pentru timpul scurs între ele — peste aproximativ 900 km/h. Distanțele sub 500 km sunt ignorate. |
| Tor | Adresa este un nod de ieșire Tor. |
| Rețea de găzduire | Adresa aparține unui centru de date — servere în cloud și multe VPN-uri. |
| Încercări eșuate | O serie de parole greșite pe contul tău sau de la aceeași adresă. |
Ce se întâmplă. Aceste semnale nu te blochează niciodată singure — Brivio îți cere în schimb o verificare suplimentară:
- Dacă ai autentificarea în doi pași activă, ți se cere al doilea factor, chiar și pe un dispozitiv marcat ca de încredere.
- Dacă nu o ai, îți trimitem pe e-mail, la adresa contului, un cod de unică folosință. Este valabil 10 minute; introdu-l ca să continui. Primești un e-mail și de fiecare dată când un dispozitiv nou se autentifică.
- La autentificarea cu cheie de acces nu se cere verificare suplimentară — cheia dovedește deja că ești tu, pe dispozitivul tău.
- După autentificarea cu Google sau Microsoft ți se cere al doilea factor, dacă ai unul; altfel ești conectat și primești o alertă pe e-mail.
Singurul refuz. O autentificare este refuzată doar când vine prin Tor și, în același timp, există o serie de încercări eșuate — indiferent de metodă. Așteaptă puțin, apoi conectează-te de pe conexiunea obișnuită. Dacă încercările eșuate nu sunt ale tale, cineva îți încearcă parola: reseteaz-o din Am uitat parola.
De unde afli motivul. Profil › Activitatea de securitate arată fiecare decizie cu motivele ei, de exemplu Verificare suplimentară cerută: țară nouă (DE), dispozitiv nou sau Autentificare refuzată (activitate neobișnuită). Înregistrările se păstrează 180 de zile.
Administratorii platformei pot ajusta pragurile. Cât timp verificările sunt introduse treptat, pot rula în mod de observare: semnalele sunt înregistrate, dar nu se cere nicio verificare suplimentară.
Ce poți face. Activează autentificarea în doi pași din Profil › Securitate, adaugă o cheie de acces (vezi Cheile de acces în aplicațiile Brivio) sau un dispozitiv de aprobare, iar dacă vezi un dispozitiv pe care nu îl recunoști, folosește Setări › Securitate › Deconectează toate dispozitivele și schimbă-ți parola.
Sesiuni legate de dispozitivul tău
Pe Chrome pentru Windows, pe un calculator cu cip de securitate (TPM), Brivio leagă fiecare autentificare de o cheie păstrată în acel cip, care nu poate fi copiată de pe dispozitiv (Device Bound Session Credentials). Nu trebuie să faci nimic: se întâmplă în fundal după autentificare, iar Profil › Dispozitive arată dispozitivul ca Legată de dispozitiv.
Ce protejează. Un program rău-intenționat care îți fură cookie-urile din browser nu le poate folosi pentru a confirma acțiuni sensibile — plăți, ștergerea datelor, schimbarea setărilor de securitate sau consola de administrare — de pe alt calculator. Fără dovada cipului, Brivio îți cere să confirmi din nou cu cheia de acces, codul din aplicația de autentificare, un cod de rezervă sau parola.
Când ți se poate cere din nou. Dacă browserul nu a putut reîmprospăta dovada (de exemplu calculatorul a stat mult în repaus sau cipul era ocupat), o acțiune sensibilă îți cere încă o confirmare. Este normal; confirmă și continuă.
Alte browsere. Firefox, Safari, Chrome pe alte sisteme și calculatoarele fără cip de securitate funcționează exact ca înainte — pentru ele nu se schimbă nimic.
Ai pierdut toți factorii de autentificare (proprietari)
Dacă deții o organizație în care nimeni altcineva nu e proprietar sau administrator și ai pierdut aplicația de autentificare, cheile de acces și codurile de rezervă, nimeni nu îți poate reseta al doilea factor. Brivio îți permite să recuperezi contul dovedindu-ți din nou identitatea — trebuie să fie aceeași persoană care și-a verificat identitatea înainte.
Înainte să ai nevoie. Verifică-ți identitatea o dată în Setări › Identitate, cât încă te poți autentifica. Recuperarea compară noua verificare cu aceea; un cont neverificat (sau verificat înainte de 14 octombrie 2026) nu o poate folosi și trebuie să contacteze suportul.
| Pas | Ce se întâmplă |
|---|---|
| Început | Autentifică-te cu e-mailul și parola, iar la pasul celui de-al doilea factor alege Ai pierdut toți factorii de autentificare? |
| Verificarea identității | Îți verifici identitatea cu un act și un selfie (Stripe Identity) sau, unde e disponibil, cu portofelul european de identitate digitală. Rezultatul trebuie să corespundă identității verificate anterior. |
| Perioadă de așteptare | 72 de ore. Trimitem un e-mail la fiecare adresă verificată, cu un link de anulare care funcționează fără autentificare. Dacă nu ai fost tu, un clic o oprește. |
| Finalizare | După perioada de așteptare, autentifică-te cu parola și alege Verifică stadiul. Aplicația de autentificare, codurile de rezervă, cheile de acces, dispozitivele memorate și cele pentru notificări sunt șterse, iar toate sesiunile se închid; configurează imediat un factor nou. |
| Blocarea plăților | Timp de 72 de ore după finalizare, un factor nou nu poate autoriza plăți, schimburi valutare, beneficiari noi sau reguli de plată. |
Dacă organizația ta are alt administrator, cere-i lui — vezi Când un membru își pierde al doilea factor. O verificare care nu corespunde nu schimbă nimic, iar fiecare pas apare în Profil › Activitate de securitate.
Brivio nu păstrează numele sau data nașterii din verificare: păstrează doar o amprentă ireversibilă, calculată cu o cheie de server, care poate spune „aceeași persoană”, dar din care datele nu pot fi refăcute.
Portofelul european de identitate digitală
Unde portofelul național este disponibil, Setări › Identitate oferă Portofelul european de identitate digitală. Brivio cere portofelului doar numele de familie, prenumele și data nașterii (datele tale de identificare, PID), iar tu aprobi cererea în portofel.
- Pe același dispozitiv: dacă browserul tău suportă acreditări digitale, alege Folosește portofelul de pe acest dispozitiv.
- De pe telefon: scanează codul QR cu aplicația portofelului sau atinge Deschide în aplicația portofel pe telefon.
Brivio verifică faptul că datele au fost emise de un furnizor de PID recunoscut și au fost prezentate de portofelul tău doar pentru această cerere. Verificarea contează ca cel mai înalt nivel de identitate. Portofelul românesc nu este încă public; opțiunea apare când va fi.