نسخه‌های جدید SmarterMail از احراز هویت دومرحله‌ای پشتیبانی می‌کنند (معمولاً با اپلیکیشن‌های TOTP مثل Google Authenticator یا Authy).

نکات مهم قبل از فعال‌سازی اجباری:

1. اول روی حساب‌های مدیریتی فعال کنید، نه همه‌ی کاربران. حساب System Admin و ادمین‌های دامنه بیشترین ریسک را دارند.
2. 2FA فقط روی وب‌میل کار می‌کند. پروتکل‌های IMAP، POP و SMTP از TOTP پشتیبانی نمی‌کنند. یعنی اگر کاربری با Outlook یا موبایل وصل می‌شود، آن مسیر همچنان فقط با رمز است.
   راه‌حل استاندارد: رمز اپلیکیشن (app password) — یک رمز جداگانه و طولانی برای هر کلاینت که در صورت لو رفتن، فقط همان کلاینت را تحت تأثیر قرار می‌دهد.
3. کدهای بازیابی را حتماً به کاربران بدهید و آموزش دهید جای امنی نگه دارند. کاربری که گوشی‌اش را عوض کند و کد بازیابی نداشته باشد، از حسابش قفل می‌شود.
4. یک روال مشخص برای بازنشانی 2FA توسط مدیر داشته باشید.

اگر 2FA برای همه ممکن نیست، حداقل سیاست رمز قوی + محدودیت تلاش ورود + IDS را فعال کنید.