Ověřovací aplikace (Authenticator) – jak fungují kódy TOTP, přenos na nový telefon a záloha

Ověřovací aplikace (anglicky authenticator) je jedna z nejoblíbenějších cest k dvoufázovému ověření. Po zapnutí u služby zadáváte kromě hesla také šestimístný kód, který se v aplikaci mění každých 30 sekund. Je bezpečnější než SMS, protože kód nelze zachytit převzetím telefonního čísla, a funguje i bez signálu. Mezi známé aplikace patří Google Authenticator, Microsoft Authenticator a řada dalších, včetně těch, které jsou součástí správců hesel. Problém, který většina lidí zažije, nastane při výměně nebo ztrátě telefonu: kódy zůstanou „uvězněné“ ve starém zařízení.

V tomto článku vysvětlujeme, jak ověřovací aplikace fungují, jak je nastavit u služby, jak přenést kódy na nový telefon, jak je zálohovat, co dělat při ztrátě telefonu, jak se vyhnout phishingu a kdy zvolit bezpečnostní klíč či passkey. Informace vycházejí z oficiální nápovědy, například z návodu Google: Získání ověřovacích kódů pomocí aplikace Google Authenticator, z přehledu Microsoft Authenticator a ze standardu RFC 6238 (TOTP) (anglicky). Funkce aplikací se mění, proto vždy ověřte aktuální postup u výrobce.

Další návody najdete v kategorii Hesla a přihlašování, například Dvoufaktorová autentizace, Passkeys a Bezpečnostní klíče.

Aktualizováno: listopad 2026.

Jak ověřovací aplikace fungují

Při zapnutí ověření u služby se zobrazí QR kód a případně textový klíč. Naskenujete jej v aplikaci a služba i aplikace sdílejí tajný klíč. Z tohoto klíče a aktuálního času vypočítá aplikace jednorázový kód (standard TOTP), který služba ověří stejným výpočtem. Kód platí obvykle jen několik desítek sekund a nelze jej použít opakovaně. Aplikace nepotřebuje internet, protože počítá lokálně. Z toho plyne: pokud ztratíte tajný klíč (tedy zařízení bez zálohy), nemáte kódy; a pokud se tajný klíč dostane k útočníkovi (například z nezabezpečené zálohy), může kódy generovat také.

Orientační postup nastavení ověřovací aplikace – vlastní infografika

Nastavení krok za krokem

Pro každou službu (e-mail, sociální sítě, cloud, bankovnictví): otevřete nastavení zabezpečení, zvolte dvoufázové ověření a metodu ověřovací aplikace. Naskenujte QR kód v aplikaci, zadejte kód pro potvrzení a uložte záložní kódy, které služba nabídne. Aplikace obvykle umožňuje pojmenovat účet, aby se kódy nepletly. Zvláště u nejdůležitějších účtů (e-mail, bankovnictví) postupujte pomalu a nezavírejte stránku, dokud nemáte uložené záložní kódy. Dobře si rozmyslete, kam kódy ukládat: samostatná aplikace je jednoduchá a oddělená od hesel, správce hesel je pohodlnější, ale spojuje dva faktory v jednom místě. Pro nejcitlivější účty doporučují odborníci oddělit heslo a druhý faktor.

Přenos na nový telefon a záloha

Podle návodů k Google Authenticator lze kódy přenést na nový telefon exportem a importem: na starém zařízení zvolíte export účtů, zobrazí se QR kódy a nový telefon je naskenuje. Funkce se podle verze aplikace a platformy liší, proto postupujte podle aktuální nápovědy. Některé aplikace (například Microsoft Authenticator) nabízejí záloha do cloudu spojená s účtem a obnovu na novém zařízení; i to má rizika, protože kdo ovládne zálohu či účet, může získat kódy. Praktické pravidlo: přenos provádějte před vymazáním starého telefonu, ověřte, že kódy na novém zařízení fungují, a teprve potom starý telefon resetujte. Pokud přecházíte mezi systémy (Android ↔ iPhone), ověřte, zda aplikace takový přenos podporuje, a případně použijte záložní kódy či znovu nastavte ověření u jednotlivých služeb.

Co dělat při ztrátě telefonu

Pokud telefon ztratíte či se rozbije a nemáte přenos:

1. Použijte záložní kód u důležitých služeb a znovu nastavte ověření na novém zařízení.
2. Pokud záložní kódy nemáte, využijte obnovení účtu u služby (e-mail, telefon, doklad); může trvat a není vždy úspěšné.
3. Odeberte ztracený telefon z přihlášených zařízení a změňte hesla k nejdůležitějším účtům.
4. U některých služeb můžete ověření vypnout a znovu zapnout v nové aplikaci, pokud se dokážete přihlásit jiným způsobem.
5. Zablokujte SIM kartu a lokalizujte telefon pomocí nástroje Najít zařízení.

Proto je nutné záložní postup připravit předem. Při obnově buďte opatrní: podvodníci využívají situaci a vydávají se za podporu. Viz Dvoufaktorová autentizace.

Phishing a podvody kolem kódů

Ověřovací kód je na první pohled bezpečný, ale útočníci jej umí vylákat:

• Falešná přihlašovací stránka vás požádá o heslo i aktuální kód a útočník je okamžitě použije na skutečné stránce (tzv. real-time phishing).
• Falešná podpora po telefonu žádá „potvrzení kódem“.
• Falešné zprávy o „podezřelém přihlášení“ s odkazem na falešnou stránku.
• Únos účtu u známého, který vás přes chat žádá o kód „kvůli ověření“.
• Spamování žádostí o potvrzení (MFA fatigue) u aplikací s potvrzením jedním klepnutím: útočník doufá, že jednu omylem potvrdíte.

Zásady: kód nikomu nesdělujte, zadávejte jej jen na ručně zadané oficiální adrese a nepotvrzujte přihlášení, které jste nevyvolali. Odolnější než kódy je přístupový klíč či bezpečnostní klíč, které phishing odráží; viz Passkeys a Bezpečnostní klíče. Další zásady popisuje phishing.

Kontrolní seznam pro bezpečné 2FA kódy – vlastní infografika

SMS, aplikace, klíč: srovnání

SMS kódy jsou pohodlné, ale zranitelné převzetím čísla (SIM swapping), zachycením zprávy a phishingem; lepší než žádné ověření, ale slabší než aplikace; viz SIM swapping. Ověřovací aplikace poskytují vyšší bezpečnost a fungují bez signálu, ale vyžadují zálohu a nejsou odolné proti real-time phishingu. Přístupové klíče a bezpečnostní klíče jsou nejodolnější vůči phishingu, ale vyžadují podporu služby a zálohu. Praktické doporučení: pro důležité účty použijte nejsilnější metodu, kterou služba nabízí, a ponechte si záložní možnost. Pro méně důležité účty postačí aplikace; SMS ponechte jako nouzovou cestu tam, kde není jiná.

Správce hesel jako ověřovač

Moderní správci hesel (například Bitwarden Premium či 1Password) umí ukládat také kódy TOTP: pohodlí je velké, protože se kód zobrazí hned vedle hesla a zálohuje se s trezorem. Nevýhodou je soustředění obou faktorů do jednoho místa: pokud útočník získá trezor, má heslo i kód. Proto pro nejdůležitější účty (hlavní e-mail, bankovnictví) zvažte samostatnou aplikaci či klíč. Pro ostatní služby je správce hesel rozumný kompromis, pokud je sám chráněn silným hlavním heslem a ověřením. Viz Bitwarden a 1Password.

Časté problémy

Kód nefunguje: zkontrolujte čas a datum v telefonu (nastavte automatický čas), protože TOTP je na čase závislý. Aplikace se po přenosu neobnovila: použijte záložní kódy a nastavte ověření znovu. Služba žádá kód, který nemám: použijte záložní kód či jinou metodu. Telefon bez signálu: aplikace funguje i offline. Nové zařízení nemá účty: obnovte je ze zálohy či exportu. Zapomenuté heslo k záloze: bez něj nelze zálohu obnovit; ukládejte jej do správce hesel.

Ověřovací aplikace v kostce

Základní údaje – vlastní infografika

Výhody a nevýhody

Souhrn pro běžného uživatele – vlastní infografika

Související články

Další návody najdete v kategorii Hesla a přihlašování: Dvoufaktorová autentizace, Passkeys, Bitwarden a Správce hesel.

Shrnutí

Ověřovací aplikace nabízí bezpečnější ověření než SMS, ale vyžaduje záložní kódy, přenos při výměně telefonu a opatrnost vůči phishingu. U nejdůležitějších účtů zvažte passkey či bezpečnostní klíč. Aktuální postupy najdete v nápovědě Google.

Často kladené otázky k ověřovacím aplikacím