Millionar av X (tidlegare Twitter)-brukarar som gjorde «alt rett» for kontosikkerheit har dei siste 24 timane vore låste ute, fast i endelause totrinnsautentiseringssløyfer og møtt av ei forvirrande melding:
«You must re‑enroll your YubiKey.»
Feilen er direkte knytt til Elon Musk si langvarige innsats for å fjerne dei siste spora av twitter.com og flytte innloggingar heilt over til x.com — eit merke- og domeneskifte kritikarar allereie såg på som ein av dei mest rotete omprofileringane i teknologiverda. [1]
Her er kva som skjedde, kva som er nytt i dag (13. november 2025), og kva du kan gjere om X-kontoen din for tida er fastlåst i autentiseringshelvete.
Kva skjedde: X sitt bytte av sikkerheitsnøkkel gjekk skeis
Mellom 24.–27. oktober åtvara X stille brukarar om at om dei brukte ein fysisk sikkerheitsnøkkel (som YubiKey) eller passnøkkel for totrinnsautentisering (2FA), så hadde dei måtte registrere den på nytt for det nye x.com-domenet innan 10. november 2025, elles risikerte dei å bli låste ute. [2]
X sitt tryggleiksteam understreka då at:
- Endringa var «not related to any security incident,»
- Ho berørte berre sikkerheitsnøklar og passnøklar,
- Og det var naudsynt fordi desse nøklane er kryptografisk knytt til twitter.com, som X vil avvikle. [3]
Sikkerheitsnettstader som BleepingComputer og The Register forklarte at når twitter.com forsvinn, vil nøklar knytt til det domenet rett og slett ikkje fungere — så dei må registrerast på nytt mot x.com. [4]
Det var planen.
Røynda kom denne veka.
12.–13. november: YubiKey-feil og uendelege innloggingssløyfer
Frå seint 12. november (US-tid) og inn i dei tidlege timane av 13. november 2025, byrja X-brukarar å melde at dei ikkje lenger fekk logga inn på nett eller mobil:
- Etter å ha skrive inn passordet sitt, fekk dei beskjed om at dei «must re‑enroll [their] YubiKey» for å knyte den til x.com. [5]
- Då dei prøvde å følgje instruksjonane, berre… loopa flyten.
- Nokre eigde aldri ein YubiKey i det heile, men vart likevel tvinga inn på den same “registrer YubiKey på nytt”-skjermen. [6]
Android Central, Windows Central og TechCrunch dokumenterte alle det same mønsteret: eit globalt innloggingsproblem for kontoar knytt til sikkerheitsnøklar eller passnøklar, ofte med verifiseringsstopp eller fullstendig utestenging sjølv om brukarane følgde instruksjonane rett. [7]
Den sikkerheitsfokuserte nettstaden The Tech Buzz skildra det rett ut som ein “sikkerheitsnøkkelmigrasjon” som gjekk gale og gjorde domenevedlikehald om til “autentiseringshelvete” for dei mest sikkerheitsmedvitne brukarane på plattforma. [8]
Dagens oppdatering (13. november 2025): Delvis gjenoppretting, vedvarande kaos
Nye rapportar og brukarinnlegg i dag tyder på at det verste av nedetida er over — men ikkje alle har fått tilgang att enno.
Redaksjonar: Problemet stadfesta, X framleis stort sett tause
- NewsBytes melder at X “står overfor eit stort problem etter ei obligatorisk tofaktorautentiseringsendring,” og at brukarar blir “fanga i endelause loopar eller heilt utestengde,” og nemner at X ikkje har kommentert offentleg på feilen. [9]
- Storyboard18 skildrar òg ei “mislykka sikkerheitsoppdatering” som utestengde brukarar eller fanga dei i innloggingsloopar — og understrekar igjen at X ikkje har gitt nokon offisiell forklaring, medan Elon Musk held fram med å poste som vanleg frå sin eigen konto. [10]
- Tech Buzz oppdaterte saka si i dag tidleg for å reflektere vedvarande autentiseringsfeil og framleis mangel på ei formell fråsegn frå X. [11]
TechCrunch nemner at X “ikkje svarte på førespurnad om kommentar,” sjølv om deira eigen innloggingsdekning skildra endelause loopar og omfattande utestenging etter fristen 10. november. [12]
Brukarrapportar: tilbakerulling pågår, men ikkje for alle
Windows Central sin liveblogg, med interne kjelder, rapporterte 12. november at X sine ingeniørar var i ferd med å rulle tilbake nylege endringar, og utpå ettermiddagen klarte skribenten å logge inn igjen medan meldingar om nedetid på DownDetector byrja å gå nedover. [13]
På Reddit sine r/Yubikey- og r/Twitter-forum beskriv brukarar: [14]
- Globale problem med X sin YubiKey/passkey-innloggingsflyt.
- Forvirrande meldingar om å “registrere YubiKey på nytt” sjølv for folk som berre har brukt passkey eller autentiseringsappar.
- Ein bølgje av kommentarar tidleg i dag som “Eg er inne igjen” og “Fiksa for begge kontoane mine” — saman med andre som seier dei framleis er låst ute.
Ein mykje delt Reddit-kommentar viser til eit innlegg frå ein verifisert X-ingeniør som seier at “problemet med sikkerheitsnøkkel-innlogging bør vere løyst snart,” men løysinga blir tydelegvis rulla ut ujamnt: nokre kontoar fungerer igjen, andre sit framleis fast i loopen. [15]
Oppsummert for 13. november:
- Nedetida blir betre, men er ikkje heilt over.
- Det er framleis ingen detaljert, offentleg gjennomgang frå X.
Kven er råka — og kven er ikkje?
Basert på rapportar frå dagens dekning og brukarinnlegg: [16]
Mest råka:
- Kontoar som nokon gong har sett opp:
- Ein maskinvare-sikkerheitsnøkkel (YubiKey eller liknande), eller
- Ein passkey (plattformautentisering med Face ID, Touch ID, Windows Hello, osv.)
- Særleg brukarar som registrerte nøklane sine då tenesta framleis brukte twitter.com for innlogging.
Mest uråka (så langt):
- Kontoar som brukar app-baserte autentiserarar (TOTP-appar),
- Kontoar som brukar SMS eller e-postkodar for 2FA,
- Kontoar utan 2FA (sjølv om det er sterkt frårådd av omsyn til tryggleik).
Ironisk nok har dei som har investert i dei sterkaste verna — maskinvaretokener og passnøklar — blitt straffa mest av denne mislukka migrasjonen. Fleire brukarrapportar tyder òg på at nokre brukarar utan nøklar vart råka av feilen på grunn av ein feilaktig innloggingsflyt som ikkje oppdaga oppsettet deira rett. [17]
Kvifor byttet frå twitter.com → x.com øydela innlogginga
For å forstå nedetida, må du forstå korleis sikkerheitsnøklar og passnøklar fungerer.
I motsetnad til passord er WebAuthn/FIDO2-sikkerheitsnøklar og passnøklar knytt til eit spesifikt domene. Då du først registrerte ein nøkkel for twitter.com, låste han seg kryptografisk til akkurat den opphavet. [18]
Så då X bestemte seg for å endeleg fjerne det gamle domenet og flytte innlogginga heilt til x.com:
- Nøklar registrert til twitter.com slutta å matche det nye domenet.
- X kravde derfor at brukarar måtte avregistrere og registrere på nytt dei for x.com.
- Sjølve omregistreringsflyten ser ut til å ha vore øydelagd, noko som førte til:
- Uendelege sløyfer tilbake til “registrer YubiKey på nytt”-skjermen,
- Innloggingsspørsmål om YubiKeys på kontoar som berre brukte passnøklar eller appar,
- Brukarar som ikkje fekk tilgang til innstillingssida der endringa måtte gjerast. [19]
X Safety forsikra tidlegare brukarar om at dette var enkel vedlikehald og “ikkje relatert til nokon tryggleiksrisiko,” men gjennomføringa svikta tydelegvis grunnleggjande pålitelegheitsforventningar: tryggleiksmigrasjonar skal gjere folk tryggare, ikkje logge dei ut i hopetal. [20]
Er dette eit hack eller datalekkasjé?
Det finst ingen bevis så langt for at denne hendinga er eit hack, lekkasje eller ekstern dataåtaksforsøk.
- X sine eigne avklaringar i oktober omtalte nøkkelresetten som ei domenemigrering, ikkje ein hendingsrespons. [21]
- Noverande rapportering frå NewsBytes, Storyboard18, TechBuzz, TechCrunch og andre knyter alle nedetida til ein mislykka gjennomføring av den planlagde migreringa av tryggleiksnøkkel, ikkje til eit brot på X sine system. [22]
Når det er sagt, har X enno ikkje delt ei detaljert teknisk forklaring, så eksterne observatørar prøver framleis å setje saman årsaka ut frå åtferd og lekkasjar av interne kommentarar.
Kva du kan gjere om du er låst ute frå X-kontoen din
Om du for tida sit fast i YubiKey/passkey-sløyfa, her er praktiske steg henta frå X si eiga tidlegare rettleiing og tilrådingar frå tryggleiksekspertar. [23]
1. Prøv frå ein eining der du allereie er innlogga
Om du framleis har ein aktiv X-økt på:
- Ein telefon,
- Eit nettbrett, eller
- Ein annan nettlesarprofil,
bruk den innlogga økta til å:
- Gå til Innstillingar → Tryggleik & kontotilgang → Tryggleik → To-faktor-autentisering.
- Midlertidig deaktiver den gamle tryggleiksnøkkelen/passkey-oppføringa som viser til twitter.com.
- Legg til ein reserve 2FA-metode (autentiseringsapp eller ein annan maskinvare-nøkkel) om du ikkje allereie har ein.
- Registrer YubiKey/passkey på nytt for x.com berre når migreringsproblema tydeleg er løyst.
2. Sjekk andre 2FA-alternativ
Nokre brukarar rapporterer at dei framleis kjem inn via: [24]
- Ein autentiseringsapp dei tidlegare har sett opp,
- SMS- eller e-postkodar,
- Ein reserve maskinvare-nøkkel.
Om du kan autentisere med ein av desse, gå rett til innstillingar og sjekk:
- Kva tryggleiksnøklar som er lista,
- Om nøkkelen din no er knytt til x.com,
- Og at du har minst ein fungerande reserve-metode.
3. Bruk X sitt skjema for kontogjenoppretting
Om ingen innloggingsmetode fungerer og du er heilt låst ute, er den einaste offisielle vegen å kontakte X sin brukerstøtte via skjemaet for «gjenopprett tilgang til kontoen din», noko fleire brukarar på Reddit seier dei har måtta ty til. [25]
Denne prosessen kan vere treg og det er ingen garanti for at det lukkast, men det er den einaste legitime gjenopprettingsvegen X tilbyr om 2FA er øydelagt.
4. Unngå å slå av 2FA heilt (om du kan unngå det)
X sine eigne åtvaringar før fristen sa at etter 10. november kunne du: [26]
- Registrere nøkkelen eller passnøkkelen din på nytt,
- Bytte til ein annan 2FA-metode, eller
- Slå av 2FA heilt (noko dei sjølve «på det sterkaste frårår»).
Med mindre du absolutt må inn att med ein gong og ikkje har andre alternativ, prøv å ikkje slå av 2FA permanent. Det gjer kontoen din sårbar for phishing, gjenbruk av passord og SIM-bytte-angrep — nett dei truslane sikkerheitsnøklar skal hindre.
Om du mellombels svekkar sikkerheita for å få tilgang att, planlegg å:
- Legg til ein autentiseringsapp eller reserve-nøkkel med ein gong, og
- Slå på sterk 2FA igjen så snart X sine innloggingssystem er stabile.
5. Sjå opp for phishing-e-postar og falsk «brukarstøtte»
Hendingar som dette tiltrekkjer seg svindlarar. Ver merksam på:
- E-postar som utgir seg for å vere frå «X Security» og ber deg «fikse» nøkkelen din,
- Direktemeldingar som tilbyr å gjenopprette kontoen din mot betaling,
- Lenker som ser ut som x.com, men ikkje er det (ekstra teikn, rare underdomener, osv.).
Om du skal trykke på noko, skriv inn x.com sjølv i nettlesaren og naviger via det offisielle grensesnittet i staden for å stole på lenker i meldingar.
Enno ein snublestein for X si lange, rotete omprofilering
Frå eit merkevareperspektiv er dette avbrotet symbolsk brutalt.
- Designnettstaden Creative Bloq kalla nyleg Musks X-omprofilering for “ein av dei mest rotete rebrandingane i tiåret,” og peika på at folk framleis instinktivt omtalar plattforma som “X, tidlegare kjent som Twitter” meir enn to år seinare. [27]
- Den artikkelen peika på at ein av dei siste tekniske restane av Twitter — twitter.com-URL-en — endeleg vart pensjonert, med innloggingar som no blir vidaresende heilt til x.com.
No har sjølve handlinga med å gravleggje twitter.com dratt det gamle merket tilbake i overskriftene, då brukarar klagar over at “Twitter rota det til igjen” medan dei prøver å fikse dei siste spora av… Twitter. [28]
For kritikarar passar denne hendinga inn i eit mønster dei har peika på sidan Musks oppkjøp: aggressive, toppstyrte endringar rulla ut i høgt tempo, med nedskalerte ingeniørteam og tilsynelatande avgrensa tryggleiksnett. Fleire medium i dag framstiller eksplisitt nedetida som den siste i ei rekkje driftsmessige snublingar sidan oppkjøpet på 44 milliardar dollar. [29]
Betyr dette at passnøklar og tryggleiksnøklar er ein dårleg idé?
Kort svar: nei — men det er ei åtvaring om korleis du rullar dei ut.
Rapportar frå BleepingComputer, The Verge og The Register understrekar alle at maskinvarenøklar og passnøklar framleis er blant dei sikraste autentiseringsformene som finst i dag. Dei reduserer risikoen for phishing dramatisk fordi dei berre vil svare på det eksakte domenet dei vart registrerte på. [30]
Det som gjekk gale her, var ikkje sjølve teknologien. Det var:
- Dårleg handtert migreringsplanlegging (tvangsnyregistrering mot ein hard tidsfrist),
- Ein feilfull re-registreringsprosess utan påliteleg reserve,
- Svak kommunikasjon under nedetida, som let brukarar feilsøkje tryggleiksfeil offentleg. [31]
For andre plattformer som følgjer med på dette, er lærdomen klar:
Om du skal flytte millionar av brukarar til eit nytt domene med maskinvarebundne legitimasjonar, treng du vassprøvd testing, gradvis utrulling og solide gjenopprettingsløysingar.
FAQ: X sikkerheitsnøkkel-nedetid, 13. november 2025
Kva utløyste X sin innloggings-nedetid?
Ein tvungen migrering av sikkerheitsnøklar og passnøklar frå twitter.com-domenet til x.com, kombinert med ein øydelagd re-registreringsflyt som fanga brukarar i YubiKey/passnøkkel-løkker og blokkerte tilgang til kontoinnstillingar. [32]
Kven vart mest råka?
Brukarar som hadde konfigurert maskinvare-sikkerheitsnøklar eller passnøklar for 2FA, særleg dei som hadde registrert nøklane då innlogginga framleis brukte twitter.com. Mange av dei vart mellombels eller framleis heilt låste ute. [33]
Er problemet løyst no (13. november 2025)?
Rapportar frå Windows Central og Reddit viser at mange brukarar kan logge inn igjen etter at X tilsynelatande rulla tilbake delar av endringa, men andre sit framleis fast, og X har ikkje gitt ut ein detaljert offentleg gjennomgang. [34]
Vart X hacka?
Det finst ingen offentlege bevis på hacking eller datalekkasje. X og uavhengig sikkerheitsrapportering tilskriv hendinga ein mislykka intern migrering av sikkerheitsnøklar, ikkje eit eksternt angrep. [35]
Bør eg slå av 2FA på X-kontoen min?
Berre som siste utveg. Å slå av 2FA gjer kontoen din mykje lettare å kompromittere. Om du må svekke sikkerheita for å få tilgang igjen, legg til ein autentiseringsapp eller reserve-nøkkel og slå på sterk 2FA igjen så snart X sine system er stabile. [36]
Per 13. november er krisa sakte på veg til å løysast opp, men skaden på brukartilliten — og på den allereie omstridde X-omprofileringa — kan vare mykje lenger enn sjølve nedetida.
References
1. www.creativebloq.com, 2. www.theverge.com, 3. www.theverge.com, 4. www.bleepingcomputer.com, 5. www.androidcentral.com, 6. www.reddit.com, 7. www.androidcentral.com, 8. www.techbuzz.ai, 9. www.newsbytesapp.com, 10. www.storyboard18.com, 11. www.techbuzz.ai, 12. techcrunch.com, 13. www.windowscentral.com, 14. www.reddit.com, 15. www.reddit.com, 16. www.newsbytesapp.com, 17. www.androidcentral.com, 18. www.theverge.com, 19. www.techbuzz.ai, 20. www.theregister.com, 21. www.theregister.com, 22. www.newsbytesapp.com, 23. www.bleepingcomputer.com, 24. www.androidcentral.com, 25. www.reddit.com, 26. www.bleepingcomputer.com, 27. www.creativebloq.com, 28. www.creativebloq.com, 29. www.techbuzz.ai, 30. www.bleepingcomputer.com, 31. www.techbuzz.ai, 32. www.newsbytesapp.com, 33. www.techbuzz.ai, 34. www.windowscentral.com, 35. www.theregister.com, 36. www.bleepingcomputer.com
