Självbetjäning för lösenordsåterställning (SSPR): mindre tid på support

SSPR brukar säljas in som en tidsbesparing, och det är det. Den viktigare poängen är säkerheten. Det svagaste stället i många företags lösenordsrutin är inte användaren som gör det själv, utan supporten som återställer lösenordet åt den som ringer, låter stressad och vet vad chefen heter. Den här sidan är en del av guiden till identitet och åtkomst.

Vad är självbetjäning för lösenord?

Självbetjäning för lösenord betyder att användaren kan byta ett glömt lösenord eller låsa upp sitt konto utan att kontakta IT. I Microsoft 365 heter funktionen SSPR och finns inbyggd i Entra ID. Användaren går till aka.ms/sspr, eller klickar på länken för återställning på Windows inloggningsskärm om datorn är ansluten till Entra ID.

Ett påhittat men typiskt exempel. En säljare på ett åkeri med 25 anställda kommer tillbaka efter semestern och har glömt sitt lösenord. Klockan är tio i sju och IT öppnar klockan åtta. Så här går det till:

1. Hon klickar på "Har du glömt ditt lösenord?" på inloggningssidan eller i Windows.
2. Hon skriver in sin e-postadress och fyller i en captcha, den lilla kontrollen av att det är en människa.
3. Hon godkänner en notis i Microsoft Authenticator och får en kod till sin registrerade e-post.
4. Hon väljer ett nytt lösenord och loggar in.
5. Hon får ett mejl om att lösenordet har bytts. Var det inte hon som gjorde det vet hon vem hon ska ringa.

Tre minuter, och inget ärende i supportkön. Poängen är inte bekvämligheten, utan att hon aldrig behövde övertyga en människa om vem hon var.

Säkerhet: hur stoppar man missbruk?

Du stoppar missbruk genom att göra det svårare att återställa lösenordet än att gissa det. SSPR är bara så säkert som metoderna du tillåter, så inställningarna spelar större roll än funktionen i sig.

Kräv två metoder. Du kan välja om en eller två metoder krävs för att återställa. Välj två. För administratörer kräver Microsoft alltid två, och det går inte att ändra.

Välj starka metoder. Microsoft Authenticator och en kod till en registrerad e-postadress är bra. SMS och röstsamtal är de svagaste, och Microsoft slutar dessutom leverera dem i Entra ID den 1 februari 2027, även för lösenordsåterställning. Mer om metoderna står i guiden om MFA.

Skydda registreringen. Den som kan registrera metoder på någon annans konto kan också återställa det. Med villkorad åtkomst kan du kräva att registreringen sker från företagets nätverk eller en hanterad enhet. [VERIFIERA MOT KÄLLA: licens för villkorad åtkomst på registrering av säkerhetsinformation, Entra ID P1]

Slå på aviseringar. Låt användaren få ett mejl vid varje återställning, och låt administratörerna få veta när en annan administratör återställer sitt lösenord. Det kostar ingenting och är ofta det som avslöjar ett försök.

Be om ny bekräftelse. Du kan be användarna bekräfta sina metoder med jämna mellanrum. Microsoft använder 180 dagar i sitt exempel, och det är ett rimligt val.

Nytta: tid och kostnad

Nyttan syns först i din egen supportstatistik. Här står ingen branschsiffra på hur stor andel av alla ärenden som gäller lösenord, eftersom de varierar för mycket för att säga något om just ditt företag. Räkna i stället själv: hur många lösenords- och utelåsningsärenden hade du förra månaden, hur lång tid tog de, och hur länge satt kollegan utan att kunna jobba medan hen väntade?

Den sista frågan glöms ofta bort. Supportens tid är en kostnad, men den som inte kommer in klockan sju en måndag är också en kostnad, och den syns inte i någon faktura. Med självbetjäning är väntetiden några minuter, dygnet runt.

Kostnaden är i de flesta fall redan betald. Återställning för användare som bara finns i molnet ingår i Microsoft 365 Business Standard och uppåt. Har du en lokal Active Directory och vill att det nya lösenordet skrivs tillbaka dit krävs Microsoft 365 Business Premium eller Entra ID P1. Skillnaden förklaras i Entra ID och Active Directory.

Så inför du det

Införandet tar en förmiddag att ställa in och några veckor att få alla registrerade. Stegen följer Microsofts egen guide.

1. Kontrollera licenserna. Business Standard räcker för rena molnkonton, lokal Active Directory kräver Business Premium eller P1.
2. Välj en pilotgrupp. I Microsoft Entra administrationscenter går du till Entra ID, Lösenordsåterställning. Under Egenskaper sätter du självbetjäning till Markerade och väljer en grupp.
3. Välj metoder och antal. Sätt antalet metoder som krävs till två och välj vilka metoder som får användas. Sedan 30 september 2025 styrs metoderna i principen för autentiseringsmetoder, samma ställe som för MFA.
4. Kräv registrering. Sätt "Kräv att användarna registrerar sig vid inloggning" till Ja och välj hur ofta de ska bekräfta sina uppgifter. Användarna registrerar metoderna för MFA och lösenordsåterställning på samma ställe, aka.ms/mysecurityinfo.
5. Slå på aviseringar. Både till användare och till administratörer.
6. Lägg in en länk till supporten. Under Anpassning anger du vart den som fastnar ska vända sig.
7. Slå på tillbakaskrivning om du har lokal Active Directory. Det görs i Entra Connect.
8. Aktivera återställning från Windows inloggningsskärm. Datorerna måste vara anslutna till Entra ID, och inställningen görs till exempel med en profil i Intune.
9. Utöka till alla. När piloten fungerar byter du från Markerade till Alla.

Ett råd till sist. Berätta för kollegorna att funktionen finns innan de behöver den. En självbetjäning som ingen känner till blir ett telefonsamtal ändå.

Samma kontroll, oavsett vägen in

Självbetjäningen är bara halva rutinen. Någon kommer ändå att ringa, och då är frågan om telefonen blir den bakdörr som webben stängde. Nods princip är att ett lösenordsärende ska gå igenom samma kontroll och samma automation oavsett om det startas i en portal, via telefon eller via ett API. Den som ringer bevisar vem hen är på samma sätt som den som återställer själv, till exempel genom att godkänna en notis i Authenticator, i stället för genom att svara på frågor som en angripare kan hitta på LinkedIn. [FYLL I: bekräfta vilka kanaler som finns vid publicering]

Tanken är enkel. Säkerheten ska inte bero på vilken väg in du råkar välja, och inte heller på hur övertygande du låter.

Så hjälper Nod till

Nod ställer in självbetjäning för lösenord i din Microsoft 365-miljö: metoder, registrering, aviseringar, tillbakaskrivning till lokal Active Directory och återställning från Windows inloggningsskärm. I en kostnadsfri rådgivning går vi igenom hur dina lösenordsärenden hanteras i dag och var rutinen går att lura. Läs mer om IT-support hos Nod.