Tài khoản & bảo mật

Tab Account quản lý thông tin cá nhân và bảo mật.

Thông tin hiển thị#

• Email — read-only sau khi đăng ký. Đổi bằng cách invite tài khoản mới + transfer.
• Tên hiển thị — text. Xuất hiện trong audit trail.
• Avatar — upload PNG/JPG ≤ 2MB.
• Múi giờ — mặc định Asia/Ho_Chi_Minh.
• Ngôn ngữ giao diện — Tiếng Việt / English.

Mật khẩu#

• Đổi mật khẩu — yêu cầu mật khẩu cũ.
• Yêu cầu — ≥ 12 ký tự, gồm chữ + số + ký tự đặc biệt.
• KOPA dùng Argon2 + salt riêng cho mỗi user, không reversible.

Xác thực 2 bước (2FA)#

Có 3 phương thức:

• Authenticator app (TOTP) — khuyến nghị (Authy, 1Password, Google Authenticator).
• SMS — fallback nếu mất app (kém an toàn hơn).
• Recovery codes — 8 mã single-use, lưu offline.

Bật 2FA#

1. Bấm Bật 2FA.
2. Quét QR bằng app.
3. Nhập 6 số xác nhận.
4. Lưu 8 mã khôi phục ở nơi an toàn (giấy + password manager).

Tắt 2FA#

Yêu cầu mật khẩu + mã 2FA hiện tại.

Bắt buộc 2FA cho Owner/Admin trong production. Workspace có thể enforce policy "all admins must have 2FA" tại Permissions tab.

Phiên đăng nhập#

Liệt kê tất cả device/browser đang đăng nhập:

Device	Trình duyệt	IP	Vị trí	Lần dùng cuối
MacBook	Chrome 120	113.161.x.x	TP.HCM	Hiện tại
iPhone	Safari iOS	113.161.x.x	TP.HCM	2h trước

Hành động:

• Đăng xuất phiên này — revoke specific session.
• Đăng xuất tất cả thiết bị khác — revoke mọi phiên trừ hiện tại.

API tokens#

Cho automation tự build hoặc MCP client:

1. Bấm + Tạo token mới.
2. Đặt tên (ví dụ "Personal MCP token").
3. Chọn scope (ví dụ read:reports, write:journal_entries).
4. KOPA hiện token một lần — copy ngay.

Token format:

kopa_pat_xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

Bảo mật: Token có toàn quyền theo scope đã cấp. Treat như mật khẩu. Revoke ngay khi nghi ngờ leak.

Revoke token#

Bấm Revoke bên token. Hành động không thể undo — phải tạo token mới và update mọi nơi đang dùng.

Login alerts#

Bật để nhận email khi có đăng nhập từ thiết bị mới:

• "Đăng nhập từ Chrome 120 trên macOS, IP 113.161.x.x, vị trí TP.HCM, 14:32 ngày 15/04/2024."

Click "Không phải tôi" → revoke phiên + force change password.

Xóa tài khoản#

Cảnh báo: Xóa tài khoản là vĩnh viễn. Audit trail của bạn vẫn còn (theo luật) nhưng bạn không truy cập được nữa.

Quy trình:

1. Confirm bằng password + 2FA.
2. KOPA chờ 30 ngày (cooling period).
3. Sau 30 ngày, account bị anonymize (tên → "Deleted user").

Trong 30 ngày, bạn có thể revert delete bằng cách login lại + bấm Cancel deletion.