Как настроить двухфакторную защиту и сохранить доступ

Если пароль утечёт, дополнительное подтверждение может остановить попытку входа. Двухфакторная аутентификация сочетает два разных вида доказательств. Например, пароль показывает, что ты знаешь секрет, а физический ключ — что у тебя есть зарегистрированное устройство. Начать удобно с основной почты, поскольку через неё часто восстанавливают доступ к другим аккаунтам. Руководство NIST по аутентификации

Как выбрать способ подтверждения

• Ключ доступа или физический ключ. Если сервис поддерживает их через WebAuthn, подтверждение связано с доменом сервиса. Это помогает защититься от страниц-подделок. Проверь, как восстановить ключ и можно ли добавить запасной. Требования NIST к устойчивости к фишингу
• Приложение с одноразовыми кодами. Подходит, когда сервис предлагает коды из приложения. Вводи их на странице входа, которую открыл самостоятельно. У страницы-подделки тоже может быть поле для такого кода. Руководство NIST по одноразовым паролям
• Код по SMS. Может быть доступным дополнительным шагом. Доступ к нему зависит от номера и SIM-карты. Если сервис предлагает устойчивый к фишингу вариант, отдай ему приоритет. Руководство NIST по подтверждению через телефонную сеть

Как подготовить восстановление

Открой настройки безопасности на официальном сайте и сгенерируй резервные коды, если сервис их выдаёт. Храни их в защищённом месте, к которому сохранишь доступ при потере телефона. Подойдёт, например, бумажная копия в надёжном месте. У разных сервисов правила различаются. У Google каждый резервный код используется один раз, а выпуск нового набора аннулирует предыдущий. Как работают резервные коды Google

Что проверить перед заменой телефона

1. Открой настройки входа, пока старое устройство ещё доступно.
2. Добавь новый способ подтверждения или перенеси приложение по инструкции его разработчика.
3. Проверь вход на новом устройстве, сохранив активный сеанс на старом. После проверки удали старый способ из аккаунта, если он больше не нужен.

Подтверждай только те запросы на вход, которые начал сам. Если пришёл неожиданный запрос, открой сервис отдельно и проверь историю входов. Как распознать фишинг