Двухфакторный вход: включение, вход с кодом и запасные коды

Пока в аккаунт пускает один пароль, всё зависит от того, знает ли его кто-то ещё. Двухфакторный вход добавляет второй ключ: шесть цифр, которые показывает приложение на вашем телефоне и которые меняются каждые 30 секунд. Знать пароль для входа станет мало.

Включается это за минуту и только для вас: второй фактор персональный, владелец пространства не включает его сотруднику и не видит, у кого он включён.

Что понадобится: приложение-аутентификатор на телефоне. Подойдёт любое, которое умеет коды «по времени» (TOTP): Яндекс.Ключ, Google Authenticator, Microsoft Authenticator, 1Password, Bitwarden, Authy. Если вы пользуетесь менеджером паролей, скорее всего он умеет это сам — отдельное приложение тогда не нужно.

Шаг 1. Открываем «Настройки → Безопасность»

Раздел «Безопасность» стоит в настройках рядом с «Профилем». В нём три блока: сам двухфакторный вход, запасные коды и список устройств, которые вас помнят.

Пока второй фактор выключен, в разделе одна кнопка — «Включить».

Шаг 2. Подтверждаем пароль

Первое, что спросит мастер, — текущий пароль. Это не лишний шаг: у того, кто добрался до вашей открытой вкладки на незалоченном ноутбуке, есть сессия, но нет пароля. Без этого вопроса он привязал бы к вашему аккаунту свой телефон, и войти потом не смогли бы уже вы.

Тот же пароль спрашивается при выключении и при перевыпуске кодов — все три двери, меняющие способ входа, заперты одинаково.

Вверху окна видно все четыре шага сразу: Пароль · Сканируйте QR · Введите код · Запасные коды. Дойти нужно до последнего — на нём выдаются коды, которыми вы войдёте без телефона.

Шаг 3. Добавляем аккаунт в приложение

На экране — квадратный код. Откройте приложение-аутентификатор, нажмите в нём «добавить аккаунт» и наведите камеру.

Если камера недоступна или вы настраиваете прямо с телефона, есть два обхода:

• ключ для ручного ввода — строка под картинкой, копируется кнопкой. Тип в приложении выбирайте «по времени» (Time-based), 6 цифр, интервал 30 секунд — обычно это значения по умолчанию;
• «Открыть в приложении на этом устройстве» — ссылка, которая добавит запись сама, без камеры.

Второй фактор в этот момент ещё не включён — об этом честно написано на самом экране. Так сделано нарочно: включись он здесь, человек с неудачно снятым кодом запер бы себя из аккаунта, и помочь ему было бы уже нечем.

Шаг 4. Вводим код из приложения

Приложение показывает шесть цифр — введите те, что видны сейчас. Код живёт полминуты; если он сменился, пока вы набирали, введите новый, ничего страшного не произошло.

Кнопка «Показать QR ещё раз» слева возвращает на предыдущий шаг, если приложение не успело добавить запись. Возврат бесплатный: ключ остаётся прежним, запись в телефоне не ломается.

Если код не подходит несколько раз подряд, причина почти всегда одна — часы телефона. Включите в настройках телефона автоматическое время: коды считаются от часов, и уехавшие часы дают неверные цифры при верном ключе.

Шаг 5. Сохраняем десять запасных кодов

Код сошёлся — двухфакторный вход включён, и сразу же выдаются десять запасных кодов вида K7QM-3PXR. Каждый из них заменяет код из приложения ровно один раз: это ваш способ войти, если телефон потерян, разряжен или остался дома.

Больше эти коды никто не покажет — ни вы, ни мы. У нас хранятся только их отпечатки, самих кодов на сервере нет уже через мгновение после того, как они появились на экране. Поэтому окно не закроется, пока не отмечена галочка «Я сохранил коды в надёжном месте», — единственное место продукта, где мы так делаем.

Унести коды можно тремя способами, и все три равноправны:

• «Скопировать все» — в менеджер паролей;
• «Скачать файлом» — обычный текстовый файл в тот же сейф, где лежат остальные секреты. Внутри — памятка: чьи коды, когда выданы, сколько раз срабатывает каждый и что делать, если файл потерялся;
• переписать с экрана — коды набраны крупно и без похожих символов (в них не бывает нуля и буквы «O», единицы и буквы «I»), чтобы переписывание на бумагу не превратилось в лотерею.

Если коды сохранить не получилось, а окно уже закрыто, — это не тупик: коды перевыпускаются в том же разделе (шаг 9).

Шаг 6. Как выглядит включённый двухфакторный вход

После «Готово» раздел «Безопасность» показывает три вещи:

• сам второй фактор — включён, рядом кнопка выключения;
• запасные коды — сколько из десяти ещё не потрачено;
• доверенные устройства — список браузеров, которые не спрашивают код (пока пусто).

Отдельно про прерванное включение: если вы дошли до QR и закрыли вкладку, раздел покажет плашку «Включение начато, но не завершено…» и кнопку «Продолжить включение». Продолжение выдаёт новый код для приложения — старую запись из приложения после этого лучше удалить, она не заработает.

Шаг 7. Как теперь выглядит вход

Страница входа не изменилась: адрес /login, почта, пароль, «Забыли пароль?», «Запомнить меня на этом устройстве». Меняется то, что происходит после нажатия «Войти»: вместо кабинета форма разворачивает второй шаг прямо здесь же — адрес страницы остаётся тем же, а заголовок становится «Подтвердите вход».

Что на этом экране:

• поле на шесть цифр — курсор уже в нём, вводите код из приложения. Как только введена шестая цифра, форма отправляется сама: нажимать кнопку не нужно (кнопка при этом никуда не делась — она нужна клавиатуре и запасному коду);
• «На ввод кода осталось 4:32» — столько живёт начатый вход. Дошло до нуля — форма сама вернёт вас к паролю с подписью «Время на ввод кода вышло — войдите заново». Ничего страшного не произошло, просто начните снова;
• галочка «Запомнить это устройство на 30 дней» — в этом браузере код больше спрашивать не будем. На чужом компьютере её включать не нужно: она привязана к браузеру, а не к вам;
• «Войти под другим аккаунтом» — возвращает к паролю, причём почта и пароль остаются набранными.

Код не подошёл — сообщение появится под полем, шаг останется на месте, поле очистится под новый код. Первым делом проверьте время на телефоне: коды считаются от часов, и уехавшие часы — причина номер один.

Шаг 8. Если телефона под рукой нет

На том же экране есть ссылка «Использовать код восстановления». Поле меняется на запасной код из списка, который вы сохранили на шаге 5, — вводить его можно как угодно: регистр и дефис мы разберём сами.

Каждый запасной код срабатывает ровно один раз, даже если нажать «Подтвердить вход» дважды. После входа отметьте себе, что кодов стало на один меньше: сколько их осталось, видно в разделе «Безопасность», а когда запас подходит к концу — перевыпустите их (шаг 9).

Вернуться к обычному коду можно ссылкой «Ввести код из приложения» — она же чистит поле, чтобы шесть цифр случайно не улетели в поле запасного кода и не сожгли его впустую.

Шаг 9. Перевыпуск запасных кодов

Кнопка «Перевыпустить коды» нужна в двух случаях: список потерялся или вы уже потратили часть кодов и хотите снова иметь полные десять.

Мастер спросит пароль и честно предупредит, чем это стоит: старые коды перестанут работать все сразу — и те, что лежат в менеджере паролей, и распечатанный лист. Второй фактор при этом остаётся включённым, приложение в телефоне трогать не нужно.

Новые десять кодов показываются один раз, ровно как на шаге 5, — с той же галочкой и тем же файлом.

Шаг 10. Доверенные устройства и «Выйти со всех»

Браузер, для которого вы поставили галочку «Запомнить это устройство на 30 дней», попадает в список доверенных: в нём видно, что это за устройство («Chrome, Windows»), когда с него заходили последний раз и до какого числа оно вас помнит.

У каждой строки справа своя кнопка «забыть» — «Забыть устройство «Chrome, Windows»». Она снимает доверие только с этого браузера: остальные продолжают пускать вас без кода. Это то, что нужно, когда из списка выпадает один старый компьютер, а не все сразу.

Внизу списка две кнопки, и они делают разное:

• «Забыть все устройства» — снимает пропуск мимо кода. Открытые сессии продолжают работать, вас никуда не выкинет, но при следующем входе код спросят везде, включая этот браузер;
• «Выйти со всех устройств» — гасит сами сессии вместе с доверием, включая вкладку, в которой вы нажали кнопку. Это то, что нужно, если ноутбук остался в такси.

Доверие живёт у нас, а не в браузере, поэтому снимается оно немедленно — не через 30 дней. Кроме двух кнопок его гасят ещё две вещи: смена пароля и выключение двухфакторного входа.

Шаг 11. Как выключить

Кнопка «Выключить» спросит текущий пароль и покажет, что произойдёт:

• в аккаунт снова будет пускать один пароль;
• запись в приложении-аутентификаторе перестанет работать — при повторном включении понадобится новый код для приложения;
• все запасные коды сгорят, включая распечатанные;
• доверие снимется со всех устройств.

Выключение — обычная операция, а не «взлом»: если вы сменили телефон и не перенесли запись, проще выключить и включить заново, пока у вас есть доступ к кабинету.

Что стоит знать

• Код не подошёл — проверьте время на телефоне. Это причина номер один. Небольшое расхождение часов мы прощаем сами, но ушедшие на минуты часы дают неверные цифры при верном ключе.
• SMS мы не отправляем. Второй фактор — только код из приложения: SMS перехватывают перевыпуском сим-карты, и защищает она заметно хуже.
• Вход по отпечатку, Face ID и аппаратные ключи пока не поддерживаются.
• Обязать команду нельзя. Второй фактор персональный: каждый включает его себе сам, и владелец не может ни включить его сотруднику, ни увидеть, у кого он включён.
• Пароль меняется не здесь. В разделе «Безопасность» есть второй фактор, коды и устройства, но смены пароля нет — она делается ссылкой «Забыли пароль?» на странице входа.
• Потеряли и телефон, и запасные коды одновременно — войти не получится ничем, и восстановить второй фактор за вас мы не можем: у нас нет ни вашего ключа, ни ваших кодов. Именно поэтому шаг 5 не даёт закрыть окно, пока коды не сохранены.
• Неудачные попытки ввода кода в журнале действий не видны. В ленте появляются только «включён», «выключен», «перевыпущены коды» и «вход по запасному коду».