Authenticator App: что это, как работает TOTP и как перенести коды

Authenticator App — это приложение-аутентификатор, которое генерирует одноразовые коды для входа в аккаунт или подтверждения чувствительного действия. Если вы встретили английскую формулировку и ищете, как переводится Authenticator App, буквальный перевод полезен лишь в начале: важнее понять, что приложение не хранит обычный пароль от сервиса, а использует отдельный секрет для вычисления временных кодов. Самый распространённый вариант — TOTP, то есть одноразовый пароль, зависящий от времени.

Такой код обычно выглядит как шесть цифр и меняется через короткий интервал. Он может генерироваться без мобильной связи и без доступа к интернету, потому что приложению достаточно сохранённого секрета и точного времени на устройстве. Сервер той системы, где включена двухфакторная защита, хранит совместимый секрет и самостоятельно вычисляет ожидаемый код. Совпадение подтверждает, что пользователь располагает настроенным вторым фактором.

Authenticator App нельзя путать с SMS-кодом, push-уведомлением и passkey. SMS зависит от телефонного номера и оператора. Push требует связи с сервером и часто просит подтвердить вход кнопкой. TOTP показывает код, который человек вводит вручную. Passkey использует криптографическую пару ключей и способен привязать подтверждение к конкретному сайту. Эти различия определяют не удобство интерфейса, а классы атак, от которых защищает каждый метод.

Для владельца цифровых активов особенно важно понимать границу между защитой аккаунта и защитой криптографического секрета. TOTP может хорошо защищать почту, облачное хранилище, кабинет финансового сервиса или другой аккаунт, но он не заменяет seed-фразу и private key некастодиального кошелька. Если приватный ключ уже украден, шестизначный код не запретит злоумышленнику подписывать операции в блокчейне. И наоборот, утрата Authenticator не означает автоматическую потерю активов, если речь идёт о self-custody и ключи сохранены отдельно.

Главный практический риск появляется при переносе на новый телефон и при восстановлении после утраты устройства. Пользователь часто обнаруживает, что помнит пароль, но второй фактор остался на старом смартфоне. Поэтому безопасная настройка начинается не с красивого QR-кода, а с плана recovery: понять, синхронизируются ли записи, можно ли экспортировать их вручную, есть ли backup codes и какой официальный путь восстановления предусмотрен у каждого защищаемого сервиса.

Ещё один важный нюанс — фишинг. Одноразовый код короткоживущий, но это не делает его невосприимчивым к краже. Поддельная страница способна попросить логин, пароль и текущий TOTP, а затем немедленно передать их настоящему сервису. Поэтому приложение-аутентификатор значительно полезнее одного пароля, но само по себе не делает любой экран входа доверенным. Для высокорисковых аккаунтов стоит понимать, когда лучше использовать phishing-resistant методы вроде passkey или аппаратного security key.

Ниже разобрана полная модель: что находится внутри Authenticator, как из секрета и времени получается код, почему часы телефона важны, как правильно сканировать QR, как переносить записи, что делать при потере устройства, где хранить backup codes и как отличать нормальный запрос второго фактора от попытки выманить код. Цель — сделать двухфакторную защиту предсказуемой, а не зависимой от одного телефона и памяти владельца.

Что такое Authenticator App и какую задачу он решает

Перевод Authenticator App — приложение-аутентификатор

В интерфейсах слово authenticator означает средство, которое помогает доказать системе, что вход выполняет владелец настроенного фактора. В бытовом русском обычно говорят «приложение-аутентификатор», «приложение для кодов 2FA» или просто «аутентификатор». Это не кошелёк, не менеджер паролей и не генератор случайных чисел для любых целей: записи внутри приложения связаны с конкретными аккаунтами и выдают коды по заранее согласованному алгоритму.

Ошибка начинается, когда приложение считают вторым паролем, который можно запросить у поддержки. Код нельзя восстановить по памяти как текстовую фразу: он вычисляется из скрытого секрета. Если секрет утерян вместе с единственной копией настройки, потребуется резервный способ входа или процедура восстановления на стороне защищаемого сервиса.

При настройке подпишите каждую запись понятным именем и доменом, чтобы не путать одинаковые логины. После включения фактора сразу проверьте, где хранятся backup codes и какой путь существует на случай потери телефона. Это превращает перевод термина в рабочую модель, а не в ещё одну иконку на экране.

Для «Перевод Authenticator App — приложение-аутентификатор» сначала назовите активный фактор и резерв. Затем «Перевод Authenticator App — приложение-аутентификатор» проверьте реальным тестовым входом. После теста «Перевод Authenticator App — приложение-аутентификатор» сопоставьте со списком устройств и методов. Если «Перевод Authenticator App — приложение-аутентификатор» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Перевод Authenticator App — приложение-аутентификатор» должен восстанавливаться официальным путём. Если «Перевод Authenticator App — приложение-аутентификатор» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Перевод Authenticator App — приложение-аутентификатор» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Перевод Authenticator App — приложение-аутентификатор» откройте Security-раздел ещё раз. В состоянии «Перевод Authenticator App — приложение-аутентификатор» новый фактор должен быть виден серверу. Для «Перевод Authenticator App — приложение-аутентификатор» старый метод удаляйте только после теста. Локальное удаление записи «Перевод Authenticator App — приложение-аутентификатор» само по себе не меняет серверную настройку. Финальная проверка «Перевод Authenticator App — приложение-аутентификатор» должна подтверждать и вход, и аварийный recovery.

TOTP — самый распространённый тип шестизначного кода

TOTP расшифровывается как Time-Based One-Time Password. Код зависит от общего секрета и текущего временного интервала, поэтому через несколько десятков секунд становится другим. Приложение и сервер не обязаны общаться в момент генерации: они независимо получают одинаковый результат, если используют один секрет, один алгоритм и достаточно синхронизированное время.

Короткий срок жизни снижает ценность старого перехваченного кода, но не защищает от мгновенного relay. Если пользователь вводит свежий TOTP на поддельной странице, злоумышленник может успеть применить его до истечения окна. Именно поэтому TOTP считается сильнее одного пароля, но не относится к методам, устойчивым к фишингу по происхождению сайта.

Проверяйте не только цифры, но и контекст запроса. Код должен вводиться на том домене и для того действия, которое вы сами начали. Если сообщение в чате просит «назвать код для отмены операции», закрывайте диалог: легитимная проверка не требует диктовать TOTP человеку.

Для «TOTP — самый распространённый тип шестизначного кода» сначала назовите активный фактор и резерв. Затем «TOTP — самый распространённый тип шестизначного кода» проверьте реальным тестовым входом. После теста «TOTP — самый распространённый тип шестизначного кода» сопоставьте со списком устройств и методов. Если «TOTP — самый распространённый тип шестизначного кода» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «TOTP — самый распространённый тип шестизначного кода» должен восстанавливаться официальным путём. Если «TOTP — самый распространённый тип шестизначного кода» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «TOTP — самый распространённый тип шестизначного кода» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «TOTP — самый распространённый тип шестизначного кода» откройте Security-раздел ещё раз. В состоянии «TOTP — самый распространённый тип шестизначного кода» новый фактор должен быть виден серверу. Для «TOTP — самый распространённый тип шестизначного кода» старый метод удаляйте только после теста. Локальное удаление записи «TOTP — самый распространённый тип шестизначного кода» само по себе не меняет серверную настройку. Финальная проверка «TOTP — самый распространённый тип шестизначного кода» должна подтверждать и вход, и аварийный recovery.

Push-подтверждение — другой механизм

Некоторые приложения-аутентификаторы умеют не только TOTP, но и push-запросы. В этом случае сервер отправляет на зарегистрированное устройство запрос входа, а пользователь подтверждает или отклоняет его. Иногда дополнительно показывается число для сопоставления с экраном входа. Это уже не локальная генерация шестизначного кода, а сетевое взаимодействие между сервисом и приложением.

Push удобен, но создаёт риск MFA fatigue: злоумышленник многократно инициирует входы, рассчитывая, что владелец случайно нажмёт Approve. Опасность особенно высока, когда интерфейс не показывает город, устройство или номер запроса и человек привыкает подтверждать уведомления автоматически.

Не одобряйте push, который не инициировали сами. Если запросы повторяются, смените пароль, завершите активные сессии и проверьте журнал входов. Хорошая привычка — воспринимать неожиданный push как индикатор попытки входа, а не как раздражающее уведомление, которое нужно убрать.

Для «Push-подтверждение — другой механизм» сначала назовите активный фактор и резерв. Затем «Push-подтверждение — другой механизм» проверьте реальным тестовым входом. После теста «Push-подтверждение — другой механизм» сопоставьте со списком устройств и методов. Если «Push-подтверждение — другой механизм» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Push-подтверждение — другой механизм» должен восстанавливаться официальным путём. Если «Push-подтверждение — другой механизм» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Push-подтверждение — другой механизм» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Push-подтверждение — другой механизм» откройте Security-раздел ещё раз. В состоянии «Push-подтверждение — другой механизм» новый фактор должен быть виден серверу. Для «Push-подтверждение — другой механизм» старый метод удаляйте только после теста. Локальное удаление записи «Push-подтверждение — другой механизм» само по себе не меняет серверную настройку. Финальная проверка «Push-подтверждение — другой механизм» должна подтверждать и вход, и аварийный recovery.

Authenticator не хранит ваш обычный пароль

TOTP-приложение обычно не знает пароль от защищаемого аккаунта. В нём хранится секрет, выделенный именно для генерации кодов. Поэтому компрометация пароля и компрометация TOTP-секрета — разные события. Два независимых фактора и создают дополнительный барьер: злоумышленнику нужно получить оба либо захватить уже авторизованную сессию.

Иногда пользователь хранит пароль и аутентификатор на одном телефоне. Это удобно, но снижает независимость факторов при полном компрометации устройства. Если вредоносная программа получила доступ и к менеджеру паролей, и к локальным данным аутентификатора, формальное наличие 2FA не гарантирует сохранность аккаунта.

Для значимых аккаунтов включите блокировку самого Authenticator биометрией или PIN, если приложение её поддерживает, а пароли храните в защищённом менеджере. Ещё лучше иметь phishing-resistant фактор на отдельном аппаратном ключе либо passkey на доверенном устройстве для критичных входов.

Для «Authenticator не хранит ваш обычный пароль» сначала назовите активный фактор и резерв. Затем «Authenticator не хранит ваш обычный пароль» проверьте реальным тестовым входом. После теста «Authenticator не хранит ваш обычный пароль» сопоставьте со списком устройств и методов. Если «Authenticator не хранит ваш обычный пароль» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Authenticator не хранит ваш обычный пароль» должен восстанавливаться официальным путём. Если «Authenticator не хранит ваш обычный пароль» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Authenticator не хранит ваш обычный пароль» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Authenticator не хранит ваш обычный пароль» откройте Security-раздел ещё раз. В состоянии «Authenticator не хранит ваш обычный пароль» новый фактор должен быть виден серверу. Для «Authenticator не хранит ваш обычный пароль» старый метод удаляйте только после теста. Локальное удаление записи «Authenticator не хранит ваш обычный пароль» само по себе не меняет серверную настройку. Финальная проверка «Authenticator не хранит ваш обычный пароль» должна подтверждать и вход, и аварийный recovery.

2FA защищает аккаунт, но не заменяет ключи кошелька

В self-custody кошельке право распоряжения определяется приватными ключами. Код из Authenticator не участвует в проверке подписи блокчейном, если только конкретная система не добавляет собственный серверный слой. Поэтому нельзя считать 2FA универсальным замком на все цифровые активы. Оно защищает именно тот аккаунт или сервис, который проверяет второй фактор.

Если seed-фраза или private key раскрыты, злоумышленник способен восстановить кошелёк независимо от вашего TOTP. В таком сценарии полезна статья OneMagic о том, чем приватный ключ отличается от seed-фразы: локальный код приложения не делает уже украденный криптографический секрет снова безопасным.

Разделяйте два чек-листа: для аккаунтов — пароль, TOTP/passkey, recovery и сессии; для self-custody — seed, private key, устройство подписи и резервные копии. Такая граница предотвращает опасную иллюзию, будто включение аутентификатора компенсирует неправильное хранение seed.

Для «2FA защищает аккаунт, но не заменяет ключи кошелька» сначала назовите активный фактор и резерв. Затем «2FA защищает аккаунт, но не заменяет ключи кошелька» проверьте реальным тестовым входом. После теста «2FA защищает аккаунт, но не заменяет ключи кошелька» сопоставьте со списком устройств и методов. Если «2FA защищает аккаунт, но не заменяет ключи кошелька» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «2FA защищает аккаунт, но не заменяет ключи кошелька» должен восстанавливаться официальным путём. Если «2FA защищает аккаунт, но не заменяет ключи кошелька» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «2FA защищает аккаунт, но не заменяет ключи кошелька» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «2FA защищает аккаунт, но не заменяет ключи кошелька» откройте Security-раздел ещё раз. В состоянии «2FA защищает аккаунт, но не заменяет ключи кошелька» новый фактор должен быть виден серверу. Для «2FA защищает аккаунт, но не заменяет ключи кошелька» старый метод удаляйте только после теста. Локальное удаление записи «2FA защищает аккаунт, но не заменяет ключи кошелька» само по себе не меняет серверную настройку. Финальная проверка «2FA защищает аккаунт, но не заменяет ключи кошелька» должна подтверждать и вход, и аварийный recovery.

Как TOTP создаёт код и почему он работает без интернета

Увеличить

Общий секрет появляется при первоначальной настройке

Когда сервис предлагает включить TOTP, он создаёт случайный секрет и показывает его как QR-код или строку для ручного ввода. Приложение считывает этот секрет и сохраняет запись. Сервер хранит эквивалентное значение, чтобы позже самостоятельно вычислять ожидаемые коды. QR-код поэтому чувствительнее обычной картинки профиля: тот, кто скопировал его при настройке, может создать второй генератор.

Скриншот QR в облачной галерее превращает секрет второго фактора в обычный файл, который может пережить телефон и попасть в резервные копии. Это полезно для восстановления только тогда, когда вы сознательно управляете риском; случайное облачное копирование делает независимый фактор менее независимым.

Сканируйте QR на чистом устройстве и завершайте настройку сразу. Если секрет показывался на подозрительном экране, не продолжайте использовать его: отключите фактор в настоящем сервисе, создайте новый и проверьте активные сессии.

Для «Общий секрет появляется при первоначальной настройке» сначала назовите активный фактор и резерв. Затем «Общий секрет появляется при первоначальной настройке» проверьте реальным тестовым входом. После теста «Общий секрет появляется при первоначальной настройке» сопоставьте со списком устройств и методов. Если «Общий секрет появляется при первоначальной настройке» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Общий секрет появляется при первоначальной настройке» должен восстанавливаться официальным путём. Если «Общий секрет появляется при первоначальной настройке» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Общий секрет появляется при первоначальной настройке» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Общий секрет появляется при первоначальной настройке» откройте Security-раздел ещё раз. В состоянии «Общий секрет появляется при первоначальной настройке» новый фактор должен быть виден серверу. Для «Общий секрет появляется при первоначальной настройке» старый метод удаляйте только после теста. Локальное удаление записи «Общий секрет появляется при первоначальной настройке» само по себе не меняет серверную настройку. Финальная проверка «Общий секрет появляется при первоначальной настройке» должна подтверждать и вход, и аварийный recovery.

Время заменяет счётчик событий

HOTP использует счётчик, а TOTP берёт за движущийся фактор время. Текущее Unix-время делится на заданный интервал, после чего полученное значение участвует в вычислении HMAC. В результате и телефон, и сервер знают, какой временной шаг активен сейчас, не обмениваясь сообщениями при каждом открытии приложения.

Из-за этой архитектуры отсутствие сети не мешает увидеть код. Но полностью неверные системные часы способны привести к тому, что телефон и сервер окажутся в разных временных окнах. Современные устройства обычно синхронизируют время автоматически, поэтому постоянная ошибка кодов чаще связана с неверной записью или аккаунтом, а не с самой математикой.

Если код не принимается, сначала проверьте имя записи и системное время, затем дождитесь нового интервала. Не удаляйте старую запись до успешного входа или повторного enrolment: импульсивное удаление превращает диагностическую проблему в проблему восстановления.

Для «Время заменяет счётчик событий» сначала назовите активный фактор и резерв. Затем «Время заменяет счётчик событий» проверьте реальным тестовым входом. После теста «Время заменяет счётчик событий» сопоставьте со списком устройств и методов. Если «Время заменяет счётчик событий» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Время заменяет счётчик событий» должен восстанавливаться официальным путём. Если «Время заменяет счётчик событий» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Время заменяет счётчик событий» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Время заменяет счётчик событий» откройте Security-раздел ещё раз. В состоянии «Время заменяет счётчик событий» новый фактор должен быть виден серверу. Для «Время заменяет счётчик событий» старый метод удаляйте только после теста. Локальное удаление записи «Время заменяет счётчик событий» само по себе не меняет серверную настройку. Финальная проверка «Время заменяет счётчик событий» должна подтверждать и вход, и аварийный recovery.

Код короткий, но секрет должен быть длинным и случайным

Шесть цифр имеют ограниченное число комбинаций, поэтому безопасность опирается не на невозможность угадать один код, а на короткое окно действия, ограничение попыток и секрет, неизвестный атакующему. Сервер должен блокировать массовый перебор, а пользователь — не раскрывать seed TOTP. Один увиденный код не позволяет напрямую восстановить хорошо сгенерированный секрет.

Но наличие rate limiting зависит от сервиса. Если система позволяет тысячи попыток без задержки, короткий OTP становится слабее. Пользователь не может исправить серверную реализацию, зато может выбирать более сильный фактор, если доступен passkey или security key.

Не оценивайте безопасность по длине отображаемого кода отдельно. Смотрите на весь протокол: как создан секрет, сколько живёт код, сколько попыток разрешено, есть ли защита от фишинга и как устроен recovery.

Для «Код короткий, но секрет должен быть длинным и случайным» сначала назовите активный фактор и резерв. Затем «Код короткий, но секрет должен быть длинным и случайным» проверьте реальным тестовым входом. После теста «Код короткий, но секрет должен быть длинным и случайным» сопоставьте со списком устройств и методов. Если «Код короткий, но секрет должен быть длинным и случайным» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Код короткий, но секрет должен быть длинным и случайным» должен восстанавливаться официальным путём. Если «Код короткий, но секрет должен быть длинным и случайным» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Код короткий, но секрет должен быть длинным и случайным» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Код короткий, но секрет должен быть длинным и случайным» откройте Security-раздел ещё раз. В состоянии «Код короткий, но секрет должен быть длинным и случайным» новый фактор должен быть виден серверу. Для «Код короткий, но секрет должен быть длинным и случайным» старый метод удаляйте только после теста. Локальное удаление записи «Код короткий, но секрет должен быть длинным и случайным» само по себе не меняет серверную настройку. Финальная проверка «Код короткий, но секрет должен быть длинным и случайным» должна подтверждать и вход, и аварийный recovery.

Сервер обычно допускает небольшое временное окно

На практике сервер может проверять не только один текущий интервал, но и соседние, чтобы компенсировать небольшое расхождение часов и задержку ввода. Это повышает удобство, но расширяет время, в которое перехваченный код потенциально пригоден. Точная политика зависит от конкретной реализации и не видна пользователю из интерфейса.

Из этого следует простой вывод: не отправляйте код в чат даже после того, как он почти истёк. Вы не знаете допуск сервера, а злоумышленнику достаточно нескольких секунд для relay. Слова «он уже красный, значит бесполезен» не являются гарантией.

Если вход нужен на медленном устройстве, ждите появления свежего кода перед вводом. Это уменьшает вероятность истечения в процессе и не требует отключать защиту ради удобства.

Для «Сервер обычно допускает небольшое временное окно» сначала назовите активный фактор и резерв. Затем «Сервер обычно допускает небольшое временное окно» проверьте реальным тестовым входом. После теста «Сервер обычно допускает небольшое временное окно» сопоставьте со списком устройств и методов. Если «Сервер обычно допускает небольшое временное окно» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Сервер обычно допускает небольшое временное окно» должен восстанавливаться официальным путём. Если «Сервер обычно допускает небольшое временное окно» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Сервер обычно допускает небольшое временное окно» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Сервер обычно допускает небольшое временное окно» откройте Security-раздел ещё раз. В состоянии «Сервер обычно допускает небольшое временное окно» новый фактор должен быть виден серверу. Для «Сервер обычно допускает небольшое временное окно» старый метод удаляйте только после теста. Локальное удаление записи «Сервер обычно допускает небольшое временное окно» само по себе не меняет серверную настройку. Финальная проверка «Сервер обычно допускает небольшое временное окно» должна подтверждать и вход, и аварийный recovery.

TOTP устойчив к повтору старого кода, но не к relay свежего

После смены временного окна вчерашний или минутный код перестаёт подходить, поэтому простая запись старого OTP мало полезна. Это называется replay resistance в практическом смысле. Однако мошенническая страница способна передать свежий код настоящему сервису в тот же момент, когда пользователь вводит его сам.

Именно здесь проходит граница между TOTP и WebAuthn. При passkey подтверждение криптографически связано с origin, поэтому поддельный домен не может просто взять введённый пользователем шестизначный результат и повторить его на настоящем сайте.

Для важных аккаунтов используйте TOTP как достойный второй фактор, но не как разрешение игнорировать URL. Если сервис поддерживает passkey или аппаратный ключ, рассмотрите их для входа, а TOTP оставьте резервом с хорошо подготовленным recovery.

Для «TOTP устойчив к повтору старого кода, но не к relay свежего» сначала назовите активный фактор и резерв. Затем «TOTP устойчив к повтору старого кода, но не к relay свежего» проверьте реальным тестовым входом. После теста «TOTP устойчив к повтору старого кода, но не к relay свежего» сопоставьте со списком устройств и методов. Если «TOTP устойчив к повтору старого кода, но не к relay свежего» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «TOTP устойчив к повтору старого кода, но не к relay свежего» должен восстанавливаться официальным путём. Если «TOTP устойчив к повтору старого кода, но не к relay свежего» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «TOTP устойчив к повтору старого кода, но не к relay свежего» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «TOTP устойчив к повтору старого кода, но не к relay свежего» откройте Security-раздел ещё раз. В состоянии «TOTP устойчив к повтору старого кода, но не к relay свежего» новый фактор должен быть виден серверу. Для «TOTP устойчив к повтору старого кода, но не к relay свежего» старый метод удаляйте только после теста. Локальное удаление записи «TOTP устойчив к повтору старого кода, но не к relay свежего» само по себе не меняет серверную настройку. Финальная проверка «TOTP устойчив к повтору старого кода, но не к relay свежего» должна подтверждать и вход, и аварийный recovery.

TOTP, SMS, push и passkey: что именно отличается

SMS-код зависит от телефонного номера

SMS доставляется через инфраструктуру оператора связи и привязан к номеру. Это даёт удобный recovery, но добавляет риски перевыпуска SIM, переноса номера, социальной инженерии и перехвата сообщений на самом устройстве. TOTP обычно не зависит от текущей SIM и продолжает работать даже в авиарежиме.

Переезд на eSIM или смена номера не переносит TOTP автоматически, потому что секрет находится в приложении или его backup-модели. И наоборот, смена телефона без переноса Authenticator может оставить номер рабочим, но второй фактор недоступным.

Если сервис предлагает выбор, не считайте SMS равноценным TOTP только потому, что оба дают шесть цифр. Выбирайте механизм по модели угроз и обязательно защищайте аккаунт оператора связи, если номер остаётся recovery-фактором.

Для «SMS-код зависит от телефонного номера» сначала назовите активный фактор и резерв. Затем «SMS-код зависит от телефонного номера» проверьте реальным тестовым входом. После теста «SMS-код зависит от телефонного номера» сопоставьте со списком устройств и методов. Если «SMS-код зависит от телефонного номера» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «SMS-код зависит от телефонного номера» должен восстанавливаться официальным путём. Если «SMS-код зависит от телефонного номера» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «SMS-код зависит от телефонного номера» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «SMS-код зависит от телефонного номера» откройте Security-раздел ещё раз. В состоянии «SMS-код зависит от телефонного номера» новый фактор должен быть виден серверу. Для «SMS-код зависит от телефонного номера» старый метод удаляйте только после теста. Локальное удаление записи «SMS-код зависит от телефонного номера» само по себе не меняет серверную настройку. Финальная проверка «SMS-код зависит от телефонного номера» должна подтверждать и вход, и аварийный recovery.

Push удобнее ввода, но может вызывать fatigue

Push-запрос сокращает число действий: вместо переписывания цифр пользователь нажимает подтверждение. При number matching нужно дополнительно сверить число с экраном входа. Такая схема уменьшает часть ошибок, но требует сетевого канала и внимательности к неожиданным запросам.

Серия внезапных push-уведомлений часто означает, что кто-то уже знает пароль или пытается запустить процедуру входа. Нажатие Approve «чтобы уведомление пропало» может завершить атаку. Поэтому правильный ответ на незапрошенный push — отклонить, а затем проверить пароль и журнал активности.

Настройте уведомления так, чтобы видеть контекст, и не подтверждайте запросы по телефонной инструкции незнакомца. Настоящая поддержка не должна заставлять вас одобрять чужой вход.

Для «Push удобнее ввода, но может вызывать fatigue» сначала назовите активный фактор и резерв. Затем «Push удобнее ввода, но может вызывать fatigue» проверьте реальным тестовым входом. После теста «Push удобнее ввода, но может вызывать fatigue» сопоставьте со списком устройств и методов. Если «Push удобнее ввода, но может вызывать fatigue» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Push удобнее ввода, но может вызывать fatigue» должен восстанавливаться официальным путём. Если «Push удобнее ввода, но может вызывать fatigue» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Push удобнее ввода, но может вызывать fatigue» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Push удобнее ввода, но может вызывать fatigue» откройте Security-раздел ещё раз. В состоянии «Push удобнее ввода, но может вызывать fatigue» новый фактор должен быть виден серверу. Для «Push удобнее ввода, но может вызывать fatigue» старый метод удаляйте только после теста. Локальное удаление записи «Push удобнее ввода, но может вызывать fatigue» само по себе не меняет серверную настройку. Финальная проверка «Push удобнее ввода, но может вызывать fatigue» должна подтверждать и вход, и аварийный recovery.

Passkey не показывает код для ручной передачи

Passkey обычно создаёт ключевую пару, где приватная часть остаётся на устройстве или в защищённой синхронизации, а сервис получает публичный ключ. При входе устройство подписывает challenge для конкретного origin. Пользователь не видит универсальный одноразовый код, который можно переписать в чат или ввести на другом домене.

Это не делает passkey неуязвимым: остаются риски захваченного устройства, слабого recovery, вредоносной сессии и ошибок авторизации. Но классический phishing relay TOTP становится значительно сложнее из-за привязки к домену.

Если вы уже используете TOTP, не обязательно удалять его сразу после добавления passkey. Сначала проверьте резервные устройства и recovery, затем решите, какой фактор будет основным, а какой аварийным.

Для «Passkey не показывает код для ручной передачи» сначала назовите активный фактор и резерв. Затем «Passkey не показывает код для ручной передачи» проверьте реальным тестовым входом. После теста «Passkey не показывает код для ручной передачи» сопоставьте со списком устройств и методов. Если «Passkey не показывает код для ручной передачи» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Passkey не показывает код для ручной передачи» должен восстанавливаться официальным путём. Если «Passkey не показывает код для ручной передачи» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Passkey не показывает код для ручной передачи» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Passkey не показывает код для ручной передачи» откройте Security-раздел ещё раз. В состоянии «Passkey не показывает код для ручной передачи» новый фактор должен быть виден серверу. Для «Passkey не показывает код для ручной передачи» старый метод удаляйте только после теста. Локальное удаление записи «Passkey не показывает код для ручной передачи» само по себе не меняет серверную настройку. Финальная проверка «Passkey не показывает код для ручной передачи» должна подтверждать и вход, и аварийный recovery.

Аппаратный security key отделяет фактор от телефона

FIDO-ключ хранит приватный ключ в отдельном устройстве и участвует в криптографической проверке сайта. Это полезно, когда телефон одновременно используется для пароля, почты и TOTP: аппаратный фактор уменьшает концентрацию секретов на одном устройстве.

Цена такой независимости — необходимость иметь резерв. Один физический ключ, потерянный в дороге, может создать проблему входа. Поэтому для значимых аккаунтов обычно регистрируют второй ключ либо passkey на другом доверенном устройстве и хранят его отдельно.

Проверяйте зарегистрированные факторы периодически. Резервный ключ полезен только если он действительно добавлен в аккаунт и не заблокирован изменившейся политикой сервиса.

Для «Аппаратный security key отделяет фактор от телефона» сначала назовите активный фактор и резерв. Затем «Аппаратный security key отделяет фактор от телефона» проверьте реальным тестовым входом. После теста «Аппаратный security key отделяет фактор от телефона» сопоставьте со списком устройств и методов. Если «Аппаратный security key отделяет фактор от телефона» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Аппаратный security key отделяет фактор от телефона» должен восстанавливаться официальным путём. Если «Аппаратный security key отделяет фактор от телефона» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Аппаратный security key отделяет фактор от телефона» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Аппаратный security key отделяет фактор от телефона» откройте Security-раздел ещё раз. В состоянии «Аппаратный security key отделяет фактор от телефона» новый фактор должен быть виден серверу. Для «Аппаратный security key отделяет фактор от телефона» старый метод удаляйте только после теста. Локальное удаление записи «Аппаратный security key отделяет фактор от телефона» само по себе не меняет серверную настройку. Финальная проверка «Аппаратный security key отделяет фактор от телефона» должна подтверждать и вход, и аварийный recovery.

Recovery — отдельный слой, который может быть слабее основного входа

Даже идеальный основной фактор не помогает, если злоумышленник может сбросить его через почту или простой звонок. Поэтому безопасность определяется самым слабым официальным способом восстановления. Backup email, номер телефона, recovery codes и подтверждение личности должны рассматриваться как часть одной системы.

Пользователи часто усиливают вход, но оставляют старую почту без 2FA. Тогда атака смещается в recovery. Аналогично, фотография backup codes рядом с паспортом и паролями создаёт единый архив, компрометация которого обходит несколько слоёв сразу.

Составьте карту восстановления для критичных аккаунтов: что нужно потерять атакующему, чтобы сбросить фактор, и что нужно вам, чтобы восстановиться после потери устройства. Усиливайте именно слабое звено.

Для «Recovery — отдельный слой, который может быть слабее основного входа» сначала назовите активный фактор и резерв. Затем «Recovery — отдельный слой, который может быть слабее основного входа» проверьте реальным тестовым входом. После теста «Recovery — отдельный слой, который может быть слабее основного входа» сопоставьте со списком устройств и методов. Если «Recovery — отдельный слой, который может быть слабее основного входа» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Recovery — отдельный слой, который может быть слабее основного входа» должен восстанавливаться официальным путём. Если «Recovery — отдельный слой, который может быть слабее основного входа» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Recovery — отдельный слой, который может быть слабее основного входа» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Recovery — отдельный слой, который может быть слабее основного входа» откройте Security-раздел ещё раз. В состоянии «Recovery — отдельный слой, который может быть слабее основного входа» новый фактор должен быть виден серверу. Для «Recovery — отдельный слой, который может быть слабее основного входа» старый метод удаляйте только после теста. Локальное удаление записи «Recovery — отдельный слой, который может быть слабее основного входа» само по себе не меняет серверную настройку. Финальная проверка «Recovery — отдельный слой, который может быть слабее основного входа» должна подтверждать и вход, и аварийный recovery.

Как безопасно настроить приложение-аутентификатор

Начинайте настройку только из официального Security-раздела

QR-код для TOTP должен появляться после того, как вы самостоятельно вошли на правильный сайт или в официальное приложение и открыли настройки безопасности. Ссылка из письма, сообщения или рекламы способна привести на фишинговую копию, которая покажет свой QR и затем попросит код для «проверки».

Опасность двойная: пользователь может настроить чужой секрет и одновременно раскрыть пароль. Поэтому любой неожиданный сценарий «срочно переподключите Authenticator» требует независимой проверки через вручную открытый официальный домен.

Перед сканированием сверьте домен, активную сессию и название действия. Если страница просит seed-фразу криптокошелька или private key вместе с TOTP-настройкой, прекращайте процесс: это разные контуры безопасности.

Для «Начинайте настройку только из официального Security-раздела» сначала назовите активный фактор и резерв. Затем «Начинайте настройку только из официального Security-раздела» проверьте реальным тестовым входом. После теста «Начинайте настройку только из официального Security-раздела» сопоставьте со списком устройств и методов. Если «Начинайте настройку только из официального Security-раздела» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Начинайте настройку только из официального Security-раздела» должен восстанавливаться официальным путём. Если «Начинайте настройку только из официального Security-раздела» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Начинайте настройку только из официального Security-раздела» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Начинайте настройку только из официального Security-раздела» откройте Security-раздел ещё раз. В состоянии «Начинайте настройку только из официального Security-раздела» новый фактор должен быть виден серверу. Для «Начинайте настройку только из официального Security-раздела» старый метод удаляйте только после теста. Локальное удаление записи «Начинайте настройку только из официального Security-раздела» само по себе не меняет серверную настройку. Финальная проверка «Начинайте настройку только из официального Security-раздела» должна подтверждать и вход, и аварийный recovery.

Сканируйте QR без лишних копий

QR содержит данные enrolment, включая секрет. Его удобно считать камерой, но не следует публиковать, отправлять в мессенджер или хранить среди обычных скриншотов без осознанной модели backup. Копия позволяет создать параллельный генератор тех же кодов до тех пор, пока фактор не будет перевыпущен.

Иногда человек фотографирует QR вторым телефоном «на всякий случай». Это действительно резервирует секрет, но делает его доступным владельцу галереи и облачной синхронизации. Безопаснее использовать официальные export/backup-функции либо хранить ручной setup key в защищённом офлайн-архиве, если сервис его показывает.

После настройки закройте страницу с QR и убедитесь, что повторное открытие требует новой процедуры. Если есть сомнение, что секрет уже попал на чужое устройство, отключите TOTP и создайте новый enrolment.

Для «Сканируйте QR без лишних копий» сначала назовите активный фактор и резерв. Затем «Сканируйте QR без лишних копий» проверьте реальным тестовым входом. После теста «Сканируйте QR без лишних копий» сопоставьте со списком устройств и методов. Если «Сканируйте QR без лишних копий» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Сканируйте QR без лишних копий» должен восстанавливаться официальным путём. Если «Сканируйте QR без лишних копий» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Сканируйте QR без лишних копий» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Сканируйте QR без лишних копий» откройте Security-раздел ещё раз. В состоянии «Сканируйте QR без лишних копий» новый фактор должен быть виден серверу. Для «Сканируйте QR без лишних копий» старый метод удаляйте только после теста. Локальное удаление записи «Сканируйте QR без лишних копий» само по себе не меняет серверную настройку. Финальная проверка «Сканируйте QR без лишних копий» должна подтверждать и вход, и аварийный recovery.

Сохраните backup codes отдельно от телефона

Backup codes — статические аварийные коды, которые позволяют войти, когда основной фактор недоступен. Это не те же самые меняющиеся TOTP. Они часто одноразовые и должны храниться отдельно от устройства с Authenticator, иначе кража телефона одновременно забирает основной и резервный путь.

Не оставляйте backup codes в той же незапароленной заметке, где лежит пароль. Удобная единая папка превращает многофакторность в один файл. Для критичных аккаунтов подойдёт защищённый менеджер секретов и дополнительная офлайн-копия в контролируемом месте.

Проверьте, можно ли сгенерировать новый набор после использования или компрометации. Старые коды после ротации должны быть уничтожены, чтобы не сохранять недействительные резервные копии.

Для «Сохраните backup codes отдельно от телефона» сначала назовите активный фактор и резерв. Затем «Сохраните backup codes отдельно от телефона» проверьте реальным тестовым входом. После теста «Сохраните backup codes отдельно от телефона» сопоставьте со списком устройств и методов. Если «Сохраните backup codes отдельно от телефона» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Сохраните backup codes отдельно от телефона» должен восстанавливаться официальным путём. Если «Сохраните backup codes отдельно от телефона» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Сохраните backup codes отдельно от телефона» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Сохраните backup codes отдельно от телефона» откройте Security-раздел ещё раз. В состоянии «Сохраните backup codes отдельно от телефона» новый фактор должен быть виден серверу. Для «Сохраните backup codes отдельно от телефона» старый метод удаляйте только после теста. Локальное удаление записи «Сохраните backup codes отдельно от телефона» само по себе не меняет серверную настройку. Финальная проверка «Сохраните backup codes отдельно от телефона» должна подтверждать и вход, и аварийный recovery.

Проверьте первый код и тестовый повторный вход

Настройка считается завершённой не после появления записи в приложении, а после успешного теста. Введите свежий код, завершите enrolment, выйдите из аккаунта на тестовом устройстве и войдите снова. Так вы подтверждаете, что сервер действительно связал правильный секрет и что у вас есть понятный рабочий процесс.

Не удаляйте прежний фактор до теста нового. При миграции это особенно важно: пользователь иногда сканирует QR, видит шестизначные цифры и сразу стирает старый телефон, а затем обнаруживает, что изменение не было сохранено на сервере.

После теста проверьте список активных факторов в Security Center. Там не должно быть неизвестных устройств, лишних TOTP-записей или старых методов, которые вы считали удалёнными.

Для «Проверьте первый код и тестовый повторный вход» сначала назовите активный фактор и резерв. Затем «Проверьте первый код и тестовый повторный вход» проверьте реальным тестовым входом. После теста «Проверьте первый код и тестовый повторный вход» сопоставьте со списком устройств и методов. Если «Проверьте первый код и тестовый повторный вход» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Проверьте первый код и тестовый повторный вход» должен восстанавливаться официальным путём. Если «Проверьте первый код и тестовый повторный вход» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Проверьте первый код и тестовый повторный вход» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Проверьте первый код и тестовый повторный вход» откройте Security-раздел ещё раз. В состоянии «Проверьте первый код и тестовый повторный вход» новый фактор должен быть виден серверу. Для «Проверьте первый код и тестовый повторный вход» старый метод удаляйте только после теста. Локальное удаление записи «Проверьте первый код и тестовый повторный вход» само по себе не меняет серверную настройку. Финальная проверка «Проверьте первый код и тестовый повторный вход» должна подтверждать и вход, и аварийный recovery.

Защитите само устройство и резервную экосистему

PIN телефона, шифрование накопителя и блокировка Authenticator снижают риск при физической краже. Но если приложение синхронизирует секреты через облачную учётную запись, безопасность переносится и на этот аккаунт: его пароль, второй фактор и recovery становятся частью общей модели.

Разделение секретов полезно именно здесь. Телефон может быть потерян, облачный аккаунт — временно недоступен, а backup codes — остаться единственным каналом. Если все элементы зависят от одной SIM и одной почты, формально разные методы не дают настоящей устойчивости.

Перед крупными изменениями запишите без секретов, где находится каждый резервный путь. Такая карта поможет восстановиться без импровизации и не заставит искать инструкции в стрессовой ситуации.

Для «Защитите само устройство и резервную экосистему» сначала назовите активный фактор и резерв. Затем «Защитите само устройство и резервную экосистему» проверьте реальным тестовым входом. После теста «Защитите само устройство и резервную экосистему» сопоставьте со списком устройств и методов. Если «Защитите само устройство и резервную экосистему» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Защитите само устройство и резервную экосистему» должен восстанавливаться официальным путём. Если «Защитите само устройство и резервную экосистему» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Защитите само устройство и резервную экосистему» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Защитите само устройство и резервную экосистему» откройте Security-раздел ещё раз. В состоянии «Защитите само устройство и резервную экосистему» новый фактор должен быть виден серверу. Для «Защитите само устройство и резервную экосистему» старый метод удаляйте только после теста. Локальное удаление записи «Защитите само устройство и резервную экосистему» само по себе не меняет серверную настройку. Финальная проверка «Защитите само устройство и резервную экосистему» должна подтверждать и вход, и аварийный recovery.

Как перенести Authenticator на новый телефон

Увеличить

Сначала выясните, синхронизируются ли ваши записи

Современные приложения могут поддерживать облачную синхронизацию, но поведение зависит от продукта и типа аккаунта. Нельзя считать, что установка программы на новый телефон автоматически вернёт все коды. У Google Authenticator есть сценарий синхронизации через Google Account и ручной экспорт; другие приложения используют собственные механизмы.

Самая опасная ошибка — сбросить старый телефон до проверки нового. Даже если приложение обещает backup, часть корпоративных или passwordless-записей может потребовать повторной регистрации. Название записи в backup ещё не означает, что вся аутентификационная способность восстановлена.

Откройте настройки backup заранее и зафиксируйте, какие аккаунты действительно покрываются. Затем переносите, пока старое устройство ещё доступно.

Для «Сначала выясните, синхронизируются ли ваши записи» сначала назовите активный фактор и резерв. Затем «Сначала выясните, синхронизируются ли ваши записи» проверьте реальным тестовым входом. После теста «Сначала выясните, синхронизируются ли ваши записи» сопоставьте со списком устройств и методов. Если «Сначала выясните, синхронизируются ли ваши записи» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Сначала выясните, синхронизируются ли ваши записи» должен восстанавливаться официальным путём. Если «Сначала выясните, синхронизируются ли ваши записи» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Сначала выясните, синхронизируются ли ваши записи» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Сначала выясните, синхронизируются ли ваши записи» откройте Security-раздел ещё раз. В состоянии «Сначала выясните, синхронизируются ли ваши записи» новый фактор должен быть виден серверу. Для «Сначала выясните, синхронизируются ли ваши записи» старый метод удаляйте только после теста. Локальное удаление записи «Сначала выясните, синхронизируются ли ваши записи» само по себе не меняет серверную настройку. Финальная проверка «Сначала выясните, синхронизируются ли ваши записи» должна подтверждать и вход, и аварийный recovery.

Ручной export/import удобен, когда старый телефон у вас

При ручном переносе старое приложение формирует один или несколько QR-кодов с данными выбранных TOTP-записей, а новое устройство импортирует их. Такой QR следует считать секретным: его нельзя фотографировать для отправки или демонстрировать в видеозвонке. Тот, кто его сканирует, получает параллельные генераторы.

Экспорт полезен тем, что не требует повторно отключать и включать 2FA в каждом сервисе. Но он переносит сразу много секретов, поэтому компрометация экспортного QR имеет больший радиус ущерба, чем утечка одного setup key.

Делайте перенос в приватной обстановке, удалите временные снимки, если они случайно созданы, и сразу протестируйте несколько записей на новом устройстве.

Для «Ручной export/import удобен, когда старый телефон у вас» сначала назовите активный фактор и резерв. Затем «Ручной export/import удобен, когда старый телефон у вас» проверьте реальным тестовым входом. После теста «Ручной export/import удобен, когда старый телефон у вас» сопоставьте со списком устройств и методов. Если «Ручной export/import удобен, когда старый телефон у вас» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Ручной export/import удобен, когда старый телефон у вас» должен восстанавливаться официальным путём. Если «Ручной export/import удобен, когда старый телефон у вас» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Ручной export/import удобен, когда старый телефон у вас» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Ручной export/import удобен, когда старый телефон у вас» откройте Security-раздел ещё раз. В состоянии «Ручной export/import удобен, когда старый телефон у вас» новый фактор должен быть виден серверу. Для «Ручной export/import удобен, когда старый телефон у вас» старый метод удаляйте только после теста. Локальное удаление записи «Ручной export/import удобен, когда старый телефон у вас» само по себе не меняет серверную настройку. Финальная проверка «Ручной export/import удобен, когда старый телефон у вас» должна подтверждать и вход, и аварийный recovery.

Облачный restore не всегда восстанавливает все функции

Приложение может восстановить TOTP для сторонних сервисов, но потребовать повторный вход для собственных push- или passwordless-функций. Microsoft прямо различает типы записей: некоторые OTP возвращаются, а work/school или passwordless-учётные данные могут требовать повторной регистрации. Поэтому после restore слово «аккаунт появился» ещё не равно «всё готово».

Если новый телефон показывает Action required, не игнорируйте статус. Проверьте каждый критичный сервис отдельно и убедитесь, что вход проходит без старого устройства. Только после этого можно считать миграцию завершённой.

Ведите простой список важных аккаунтов и отмечайте результат теста. Это скучная процедура, но она предотвращает обнаружение пропущенного фактора спустя месяцы, когда старый телефон уже продан.

Для «Облачный restore не всегда восстанавливает все функции» сначала назовите активный фактор и резерв. Затем «Облачный restore не всегда восстанавливает все функции» проверьте реальным тестовым входом. После теста «Облачный restore не всегда восстанавливает все функции» сопоставьте со списком устройств и методов. Если «Облачный restore не всегда восстанавливает все функции» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Облачный restore не всегда восстанавливает все функции» должен восстанавливаться официальным путём. Если «Облачный restore не всегда восстанавливает все функции» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Облачный restore не всегда восстанавливает все функции» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Облачный restore не всегда восстанавливает все функции» откройте Security-раздел ещё раз. В состоянии «Облачный restore не всегда восстанавливает все функции» новый фактор должен быть виден серверу. Для «Облачный restore не всегда восстанавливает все функции» старый метод удаляйте только после теста. Локальное удаление записи «Облачный restore не всегда восстанавливает все функции» само по себе не меняет серверную настройку. Финальная проверка «Облачный restore не всегда восстанавливает все функции» должна подтверждать и вход, и аварийный recovery.

Не стирайте старое устройство до контрольного входа

Правило миграции простое: новый фактор должен доказать работоспособность раньше, чем старый исчезнет. Проведите контрольный вход минимум в один высокорисковый аккаунт, проверьте ещё несколько записей и убедитесь, что recovery доступен. После этого удалите секреты со старого телефона штатным способом и выполните полный сброс перед передачей устройства.

Если старый телефон уже предназначен к продаже, не откладывайте перенос до встречи с покупателем. Спешка подталкивает к скриншотам QR и отключению 2FA. Лучше подготовить новый аппарат заранее и оставить временное пересечение двух устройств только на период проверки.

После стирания просмотрите список доверенных устройств в аккаунтах. Старый телефон может оставаться авторизованной сессией даже если вы удалили локальное приложение.

Для «Не стирайте старое устройство до контрольного входа» сначала назовите активный фактор и резерв. Затем «Не стирайте старое устройство до контрольного входа» проверьте реальным тестовым входом. После теста «Не стирайте старое устройство до контрольного входа» сопоставьте со списком устройств и методов. Если «Не стирайте старое устройство до контрольного входа» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Не стирайте старое устройство до контрольного входа» должен восстанавливаться официальным путём. Если «Не стирайте старое устройство до контрольного входа» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Не стирайте старое устройство до контрольного входа» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Не стирайте старое устройство до контрольного входа» откройте Security-раздел ещё раз. В состоянии «Не стирайте старое устройство до контрольного входа» новый фактор должен быть виден серверу. Для «Не стирайте старое устройство до контрольного входа» старый метод удаляйте только после теста. Локальное удаление записи «Не стирайте старое устройство до контрольного входа» само по себе не меняет серверную настройку. Финальная проверка «Не стирайте старое устройство до контрольного входа» должна подтверждать и вход, и аварийный recovery.

После переноса проверьте время, labels и дубликаты

Новый Authenticator может импортировать одинаково названные записи. Если у вас несколько аккаунтов на одном домене, ошибка выбора кода выглядит как «TOTP не работает». Labels должны содержать достаточно контекста: сервис и конкретный логин, но не пароль и не секрет.

Также включите автоматическую синхронизацию времени на устройстве. Если часть кодов не принимается, сравните учётную запись и дождитесь нового временного окна. Не пытайтесь чинить проблему массовым удалением записей.

Когда перенос закончен, создайте обновлённую резервную стратегию: новый backup, актуальные recovery codes и список вторых факторов. Миграция — подходящий момент убрать старые методы, которые больше не используются.

Для «После переноса проверьте время, labels и дубликаты» сначала назовите активный фактор и резерв. Затем «После переноса проверьте время, labels и дубликаты» проверьте реальным тестовым входом. После теста «После переноса проверьте время, labels и дубликаты» сопоставьте со списком устройств и методов. Если «После переноса проверьте время, labels и дубликаты» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «После переноса проверьте время, labels и дубликаты» должен восстанавливаться официальным путём. Если «После переноса проверьте время, labels и дубликаты» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «После переноса проверьте время, labels и дубликаты» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «После переноса проверьте время, labels и дубликаты» откройте Security-раздел ещё раз. В состоянии «После переноса проверьте время, labels и дубликаты» новый фактор должен быть виден серверу. Для «После переноса проверьте время, labels и дубликаты» старый метод удаляйте только после теста. Локальное удаление записи «После переноса проверьте время, labels и дубликаты» само по себе не меняет серверную настройку. Финальная проверка «После переноса проверьте время, labels и дубликаты» должна подтверждать и вход, и аварийный recovery.

Что делать, если телефон с Authenticator потерян или сломан

Сначала определите, остался ли доступ к аккаунту на другом устройстве

Активная сессия на ноутбуке может дать законный путь в Security Settings без полного recovery. Но действуйте аккуратно: не выходите из единственной рабочей сессии, пока не добавили новый фактор и не сохранили backup codes. Потеря телефона сама по себе не означает, что нужно немедленно сбросить пароль, если нет признаков кражи данных.

Если устройство именно украдено и могло быть разблокировано посторонним, завершите его сессии и измените критичные пароли после подготовки нового доступа. Цель — не просто вернуть вход себе, но и закрыть старый аппарат как доверенный фактор.

Составьте приоритет: почта и менеджер паролей, затем финансовые и рабочие аккаунты. Через них часто восстанавливаются остальные сервисы.

Для «Сначала определите, остался ли доступ к аккаунту на другом устройстве» сначала назовите активный фактор и резерв. Затем «Сначала определите, остался ли доступ к аккаунту на другом устройстве» проверьте реальным тестовым входом. После теста «Сначала определите, остался ли доступ к аккаунту на другом устройстве» сопоставьте со списком устройств и методов. Если «Сначала определите, остался ли доступ к аккаунту на другом устройстве» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Сначала определите, остался ли доступ к аккаунту на другом устройстве» должен восстанавливаться официальным путём. Если «Сначала определите, остался ли доступ к аккаунту на другом устройстве» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Сначала определите, остался ли доступ к аккаунту на другом устройстве» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Сначала определите, остался ли доступ к аккаунту на другом устройстве» откройте Security-раздел ещё раз. В состоянии «Сначала определите, остался ли доступ к аккаунту на другом устройстве» новый фактор должен быть виден серверу. Для «Сначала определите, остался ли доступ к аккаунту на другом устройстве» старый метод удаляйте только после теста. Локальное удаление записи «Сначала определите, остался ли доступ к аккаунту на другом устройстве» само по себе не меняет серверную настройку. Финальная проверка «Сначала определите, остался ли доступ к аккаунту на другом устройстве» должна подтверждать и вход, и аварийный recovery.

Используйте backup code только на настоящей странице

Резервный код обладает силой обхода обычного TOTP, поэтому фишинговый сайт охотно просит его под видом «аварийной проверки». Вводите backup code только после самостоятельного открытия официального домена. После использования проверьте, одноразовый ли он и нужно ли сгенерировать новый комплект.

Не отправляйте код человеку поддержки. Если специалисту требуется подтвердить вашу личность, он должен использовать предусмотренную системой процедуру, а не просить секрет, который фактически выполняет вход.

После успешного восстановления просмотрите журнал активности и зарегистрированные факторы. Потеря устройства — подходящий момент удалить старые токены доступа и неизвестные сессии.

Для «Используйте backup code только на настоящей странице» сначала назовите активный фактор и резерв. Затем «Используйте backup code только на настоящей странице» проверьте реальным тестовым входом. После теста «Используйте backup code только на настоящей странице» сопоставьте со списком устройств и методов. Если «Используйте backup code только на настоящей странице» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Используйте backup code только на настоящей странице» должен восстанавливаться официальным путём. Если «Используйте backup code только на настоящей странице» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Используйте backup code только на настоящей странице» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Используйте backup code только на настоящей странице» откройте Security-раздел ещё раз. В состоянии «Используйте backup code только на настоящей странице» новый фактор должен быть виден серверу. Для «Используйте backup code только на настоящей странице» старый метод удаляйте только после теста. Локальное удаление записи «Используйте backup code только на настоящей странице» само по себе не меняет серверную настройку. Финальная проверка «Используйте backup code только на настоящей странице» должна подтверждать и вход, и аварийный recovery.

Если есть синхронизация, восстановите её на новом устройстве

При облачной модели установите официальное приложение, войдите в правильный recovery-аккаунт и выполните restore по инструкции продукта. Не путайте резервный аккаунт Authenticator с аккаунтом, для которого генерируется код: один backup может содержать множество сторонних TOTP-записей.

После восстановления проверьте несколько кодов вручную. Некоторые записи возвращаются полностью, а другие требуют повторного enrolment. Не считайте интерфейс с названиями доказательством того, что все методы входа функционируют.

Если облачный аккаунт тоже недоступен, переходите к recovery каждого сервиса. Не вводите seed-фразу криптокошелька в попытке восстановить TOTP: эти секреты не связаны.

Для «Если есть синхронизация, восстановите её на новом устройстве» сначала назовите активный фактор и резерв. Затем «Если есть синхронизация, восстановите её на новом устройстве» проверьте реальным тестовым входом. После теста «Если есть синхронизация, восстановите её на новом устройстве» сопоставьте со списком устройств и методов. Если «Если есть синхронизация, восстановите её на новом устройстве» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Если есть синхронизация, восстановите её на новом устройстве» должен восстанавливаться официальным путём. Если «Если есть синхронизация, восстановите её на новом устройстве» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Если есть синхронизация, восстановите её на новом устройстве» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Если есть синхронизация, восстановите её на новом устройстве» откройте Security-раздел ещё раз. В состоянии «Если есть синхронизация, восстановите её на новом устройстве» новый фактор должен быть виден серверу. Для «Если есть синхронизация, восстановите её на новом устройстве» старый метод удаляйте только после теста. Локальное удаление записи «Если есть синхронизация, восстановите её на новом устройстве» само по себе не меняет серверную настройку. Финальная проверка «Если есть синхронизация, восстановите её на новом устройстве» должна подтверждать и вход, и аварийный recovery.

При отсутствии backup потребуется recovery конкретного сервиса

Если старого устройства нет, экспорт не выполнялся, синхронизация отключена и backup codes отсутствуют, TOTP-секрет может быть фактически утрачен. Тогда единственный корректный путь — официальный recovery защищаемого аккаунта: второй фактор, подтверждение почты, passkey, security key или проверка личности согласно правилам сервиса.

Не верьте предложениям «восстановить Google Authenticator по номеру телефона» без доступа к исходным данным. Приложение не содержит универсальной базы ваших TOTP-секретов, которую сторонний мастер может запросить по имени.

После восстановления не возвращайтесь к прежней схеме. Настройте минимум два независимых пути и сохраните резерв до того, как снова возникнет авария.

Для «При отсутствии backup потребуется recovery конкретного сервиса» сначала назовите активный фактор и резерв. Затем «При отсутствии backup потребуется recovery конкретного сервиса» проверьте реальным тестовым входом. После теста «При отсутствии backup потребуется recovery конкретного сервиса» сопоставьте со списком устройств и методов. Если «При отсутствии backup потребуется recovery конкретного сервиса» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «При отсутствии backup потребуется recovery конкретного сервиса» должен восстанавливаться официальным путём. Если «При отсутствии backup потребуется recovery конкретного сервиса» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «При отсутствии backup потребуется recovery конкретного сервиса» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «При отсутствии backup потребуется recovery конкретного сервиса» откройте Security-раздел ещё раз. В состоянии «При отсутствии backup потребуется recovery конкретного сервиса» новый фактор должен быть виден серверу. Для «При отсутствии backup потребуется recovery конкретного сервиса» старый метод удаляйте только после теста. Локальное удаление записи «При отсутствии backup потребуется recovery конкретного сервиса» само по себе не меняет серверную настройку. Финальная проверка «При отсутствии backup потребуется recovery конкретного сервиса» должна подтверждать и вход, и аварийный recovery.

Если телефон украден, оцените компрометацию, а не только доступность

Потерянный выключенный телефон и разблокированный телефон в руках злоумышленника — разные инциденты. Во втором случае нужно предполагать, что TOTP-коды могли быть доступны вместе с почтой и браузерными сессиями. Даже без знания пароля уже авторизованные приложения могут дать атакующему много информации.

Используйте удалённую блокировку или стирание устройства, если это уместно, завершите сессии и замените факторы. Но сначала убедитесь, что у вас есть путь входа с нового устройства, чтобы не заблокировать себя одновременно с атакующим.

Хороший recovery-план всегда отвечает на два вопроса: как вернуть себе доступ и как сделать старый фактор бесполезным для постороннего.

Для «Если телефон украден, оцените компрометацию, а не только доступность» сначала назовите активный фактор и резерв. Затем «Если телефон украден, оцените компрометацию, а не только доступность» проверьте реальным тестовым входом. После теста «Если телефон украден, оцените компрометацию, а не только доступность» сопоставьте со списком устройств и методов. Если «Если телефон украден, оцените компрометацию, а не только доступность» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Если телефон украден, оцените компрометацию, а не только доступность» должен восстанавливаться официальным путём. Если «Если телефон украден, оцените компрометацию, а не только доступность» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Если телефон украден, оцените компрометацию, а не только доступность» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Если телефон украден, оцените компрометацию, а не только доступность» откройте Security-раздел ещё раз. В состоянии «Если телефон украден, оцените компрометацию, а не только доступность» новый фактор должен быть виден серверу. Для «Если телефон украден, оцените компрометацию, а не только доступность» старый метод удаляйте только после теста. Локальное удаление записи «Если телефон украден, оцените компрометацию, а не только доступность» само по себе не меняет серверную настройку. Финальная проверка «Если телефон украден, оцените компрометацию, а не только доступность» должна подтверждать и вход, и аварийный recovery.

Фишинг, malware и ошибки, против которых TOTP не всесилен

Фальшивая страница может украсть код в реальном времени

Классический phishing proxy показывает копию формы входа, принимает пароль и текущий TOTP, а затем сразу отправляет их настоящему сервису. Пользователь может даже получить ошибку и решить, что просто опечатался. Короткий срок кода здесь не помогает, потому что relay занимает секунды.

Поэтому проверка домена должна происходить до ввода пароля и кода. Полезно использовать менеджер паролей, который не автозаполняет учётные данные на чужом origin, и переходить к важным аккаунтам через закладки или вручную набранный адрес.

Если ввели TOTP на подозрительной странице, смените пароль с чистого устройства, завершите сессии и проверьте методы восстановления. Один код скоро истечёт, но злоумышленник мог успеть создать собственную сессию.

Для «Фальшивая страница может украсть код в реальном времени» сначала назовите активный фактор и резерв. Затем «Фальшивая страница может украсть код в реальном времени» проверьте реальным тестовым входом. После теста «Фальшивая страница может украсть код в реальном времени» сопоставьте со списком устройств и методов. Если «Фальшивая страница может украсть код в реальном времени» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Фальшивая страница может украсть код в реальном времени» должен восстанавливаться официальным путём. Если «Фальшивая страница может украсть код в реальном времени» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Фальшивая страница может украсть код в реальном времени» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Фальшивая страница может украсть код в реальном времени» откройте Security-раздел ещё раз. В состоянии «Фальшивая страница может украсть код в реальном времени» новый фактор должен быть виден серверу. Для «Фальшивая страница может украсть код в реальном времени» старый метод удаляйте только после теста. Локальное удаление записи «Фальшивая страница может украсть код в реальном времени» само по себе не меняет серверную настройку. Финальная проверка «Фальшивая страница может украсть код в реальном времени» должна подтверждать и вход, и аварийный recovery.

Удалённый доступ позволяет увидеть код вместе с вами

Мошенник может убедить установить программу удалённого управления и затем наблюдать экран Authenticator или ввод кода. В этом случае протокол TOTP работает правильно, но секретность вывода нарушена самим каналом наблюдения. Особенно опасно, когда оператор по телефону диктует, что нажимать, и объясняет каждое предупреждение как «техническую процедуру».

Для диагностики аккаунта никому не нужен визуальный контроль вашего Authenticator. Остановите сеанс удалённого доступа, если разговор касается секретов, финансовых операций или recovery.

После подозрительного сеанса проверьте установленные приложения, права accessibility/screen capture и активные сессии. При серьёзных сомнениях безопаснее перенастроить факторы с чистого устройства.

Для «Удалённый доступ позволяет увидеть код вместе с вами» сначала назовите активный фактор и резерв. Затем «Удалённый доступ позволяет увидеть код вместе с вами» проверьте реальным тестовым входом. После теста «Удалённый доступ позволяет увидеть код вместе с вами» сопоставьте со списком устройств и методов. Если «Удалённый доступ позволяет увидеть код вместе с вами» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Удалённый доступ позволяет увидеть код вместе с вами» должен восстанавливаться официальным путём. Если «Удалённый доступ позволяет увидеть код вместе с вами» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Удалённый доступ позволяет увидеть код вместе с вами» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Удалённый доступ позволяет увидеть код вместе с вами» откройте Security-раздел ещё раз. В состоянии «Удалённый доступ позволяет увидеть код вместе с вами» новый фактор должен быть виден серверу. Для «Удалённый доступ позволяет увидеть код вместе с вами» старый метод удаляйте только после теста. Локальное удаление записи «Удалённый доступ позволяет увидеть код вместе с вами» само по себе не меняет серверную настройку. Финальная проверка «Удалённый доступ позволяет увидеть код вместе с вами» должна подтверждать и вход, и аварийный recovery.

Скриншот QR раскрывает не один код, а источник будущих кодов

Перехват обычного TOTP даёт короткое окно. Копия setup QR или ручного secret key гораздо опаснее: злоумышленник может генерировать правильные коды в будущем, пока фактор не будет ротирован. Поэтому enrolment-данные нужно защищать сильнее, чем один экран с шестизначными цифрами.

Если QR попал в публичный чат, облачную папку с чужим доступом или запись экрана, считайте фактор скомпрометированным. Удаление картинки не доказывает, что копия не была сделана.

Отключите старый TOTP в настоящем сервисе, создайте новый секрет и завершите чужие сессии. Не ограничивайтесь сменой локального PIN в приложении-аутентификаторе.

Для «Скриншот QR раскрывает не один код, а источник будущих кодов» сначала назовите активный фактор и резерв. Затем «Скриншот QR раскрывает не один код, а источник будущих кодов» проверьте реальным тестовым входом. После теста «Скриншот QR раскрывает не один код, а источник будущих кодов» сопоставьте со списком устройств и методов. Если «Скриншот QR раскрывает не один код, а источник будущих кодов» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Скриншот QR раскрывает не один код, а источник будущих кодов» должен восстанавливаться официальным путём. Если «Скриншот QR раскрывает не один код, а источник будущих кодов» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Скриншот QR раскрывает не один код, а источник будущих кодов» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Скриншот QR раскрывает не один код, а источник будущих кодов» откройте Security-раздел ещё раз. В состоянии «Скриншот QR раскрывает не один код, а источник будущих кодов» новый фактор должен быть виден серверу. Для «Скриншот QR раскрывает не один код, а источник будущих кодов» старый метод удаляйте только после теста. Локальное удаление записи «Скриншот QR раскрывает не один код, а источник будущих кодов» само по себе не меняет серверную настройку. Финальная проверка «Скриншот QR раскрывает не один код, а источник будущих кодов» должна подтверждать и вход, и аварийный recovery.

Вредоносное ПО может атаковать устройство, а не алгоритм

TOTP математически прост и хорошо изучен, но код всё равно отображается на пользовательском устройстве. Malware с доступом к экрану, accessibility или резервным данным может получить фактор без взлома HMAC. Поэтому обновления ОС, контроль приложений и блокировка телефона остаются частью защиты.

Если устройство рутовано, заражено или долго не обновляется, не держите на нём единственный фактор для критичных аккаунтов. Разделение через аппаратный ключ или отдельное доверенное устройство уменьшает максимальный ущерб одной компрометации.

OneMagic отдельно разбирает проверку поддельного приложения; тот же принцип происхождения программы применим и к средствам аутентификации.

Для «Вредоносное ПО может атаковать устройство, а не алгоритм» сначала назовите активный фактор и резерв. Затем «Вредоносное ПО может атаковать устройство, а не алгоритм» проверьте реальным тестовым входом. После теста «Вредоносное ПО может атаковать устройство, а не алгоритм» сопоставьте со списком устройств и методов. Если «Вредоносное ПО может атаковать устройство, а не алгоритм» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Вредоносное ПО может атаковать устройство, а не алгоритм» должен восстанавливаться официальным путём. Если «Вредоносное ПО может атаковать устройство, а не алгоритм» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Вредоносное ПО может атаковать устройство, а не алгоритм» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Вредоносное ПО может атаковать устройство, а не алгоритм» откройте Security-раздел ещё раз. В состоянии «Вредоносное ПО может атаковать устройство, а не алгоритм» новый фактор должен быть виден серверу. Для «Вредоносное ПО может атаковать устройство, а не алгоритм» старый метод удаляйте только после теста. Локальное удаление записи «Вредоносное ПО может атаковать устройство, а не алгоритм» само по себе не меняет серверную настройку. Финальная проверка «Вредоносное ПО может атаковать устройство, а не алгоритм» должна подтверждать и вход, и аварийный recovery.

Неожиданный запрос кода — это сигнал, а не формальность

Если вы не инициировали вход, но получили письмо с кодом, push или запрос подтверждения, не помогайте системе «закрыть операцию» вводом второго фактора. Злоумышленник может уже знать пароль и ждать только вашей последней реакции.

Проверьте историю входов через официальный интерфейс, смените пароль при подозрении на компрометацию и убедитесь, что recovery-email и телефон не изменены. Особенно внимательно смотрите на вновь добавленные passkeys, устройства и API-токены.

Никогда не используйте код для отмены транзакции по просьбе человека из чата. OTP подтверждает вход или действие; сам по себе он не является универсальной командой «отменить».

Для «Неожиданный запрос кода — это сигнал, а не формальность» сначала назовите активный фактор и резерв. Затем «Неожиданный запрос кода — это сигнал, а не формальность» проверьте реальным тестовым входом. После теста «Неожиданный запрос кода — это сигнал, а не формальность» сопоставьте со списком устройств и методов. Если «Неожиданный запрос кода — это сигнал, а не формальность» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Неожиданный запрос кода — это сигнал, а не формальность» должен восстанавливаться официальным путём. Если «Неожиданный запрос кода — это сигнал, а не формальность» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Неожиданный запрос кода — это сигнал, а не формальность» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Неожиданный запрос кода — это сигнал, а не формальность» откройте Security-раздел ещё раз. В состоянии «Неожиданный запрос кода — это сигнал, а не формальность» новый фактор должен быть виден серверу. Для «Неожиданный запрос кода — это сигнал, а не формальность» старый метод удаляйте только после теста. Локальное удаление записи «Неожиданный запрос кода — это сигнал, а не формальность» само по себе не меняет серверную настройку. Финальная проверка «Неожиданный запрос кода — это сигнал, а не формальность» должна подтверждать и вход, и аварийный recovery.

Как Authenticator связан с криптокошельками и цифровыми активами

Self-custody кошелёк обычно не может быть защищён TOTP на уровне блокчейна

Блокчейн проверяет цифровую подпись, созданную приватным ключом, а не шестизначный код из телефона. Поэтому обычный TOTP, включённый в интерфейсе какого-либо сервиса, не добавляет вторую подпись к уже существующему self-custody адресу. Исключения требуют специальной архитектуры: smart account, multisig или серверная политика, но это уже другой механизм.

Пользователь иногда считает, что PIN и Authenticator «запрещают вывод» при утечке seed. Это опасная ошибка. Если посторонний восстановил тот же private key в другом приложении, он обходит локальные настройки первого телефона.

Для защиты self-custody начните с гайда по защите криптокошелька и храните seed независимо от аккаунтных факторов.

Для «Self-custody кошелёк обычно не может быть защищён TOTP на уровне блокчейна» сначала назовите активный фактор и резерв. Затем «Self-custody кошелёк обычно не может быть защищён TOTP на уровне блокчейна» проверьте реальным тестовым входом. После теста «Self-custody кошелёк обычно не может быть защищён TOTP на уровне блокчейна» сопоставьте со списком устройств и методов. Если «Self-custody кошелёк обычно не может быть защищён TOTP на уровне блокчейна» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Self-custody кошелёк обычно не может быть защищён TOTP на уровне блокчейна» должен восстанавливаться официальным путём. Если «Self-custody кошелёк обычно не может быть защищён TOTP на уровне блокчейна» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Self-custody кошелёк обычно не может быть защищён TOTP на уровне блокчейна» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Self-custody кошелёк обычно не может быть защищён TOTP на уровне блокчейна» откройте Security-раздел ещё раз. В состоянии «Self-custody кошелёк обычно не может быть защищён TOTP на уровне блокчейна» новый фактор должен быть виден серверу. Для «Self-custody кошелёк обычно не может быть защищён TOTP на уровне блокчейна» старый метод удаляйте только после теста. Локальное удаление записи «Self-custody кошелёк обычно не может быть защищён TOTP на уровне блокчейна» само по себе не меняет серверную настройку. Финальная проверка «Self-custody кошелёк обычно не может быть защищён TOTP на уровне блокчейна» должна подтверждать и вход, и аварийный recovery.

TOTP особенно важен для почты и облака, связанных с recovery

Даже если активы хранятся self-custody, электронная почта часто управляет доменами, покупками аппаратных устройств, уведомлениями и резервными аккаунтами. Облачное хранилище может содержать документы или резервные копии. Захват этих сервисов помогает социальной инженерии и может раскрыть цифровые копии секретов.

Поэтому сильный второй фактор на почте часто важнее, чем кажется. Но не храните seed-фразу в обычном письме только потому, что email защищён TOTP: аккаунтный 2FA не превращает облачный ящик в специализированное хранилище криптографических секретов.

Разделяйте recovery: парольный менеджер, Authenticator, seed и backup codes не должны зависеть от одной папки или одного устройства.

Для «TOTP особенно важен для почты и облака, связанных с recovery» сначала назовите активный фактор и резерв. Затем «TOTP особенно важен для почты и облака, связанных с recovery» проверьте реальным тестовым входом. После теста «TOTP особенно важен для почты и облака, связанных с recovery» сопоставьте со списком устройств и методов. Если «TOTP особенно важен для почты и облака, связанных с recovery» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «TOTP особенно важен для почты и облака, связанных с recovery» должен восстанавливаться официальным путём. Если «TOTP особенно важен для почты и облака, связанных с recovery» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «TOTP особенно важен для почты и облака, связанных с recovery» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «TOTP особенно важен для почты и облака, связанных с recovery» откройте Security-раздел ещё раз. В состоянии «TOTP особенно важен для почты и облака, связанных с recovery» новый фактор должен быть виден серверу. Для «TOTP особенно важен для почты и облака, связанных с recovery» старый метод удаляйте только после теста. Локальное удаление записи «TOTP особенно важен для почты и облака, связанных с recovery» само по себе не меняет серверную настройку. Финальная проверка «TOTP особенно важен для почты и облака, связанных с recovery» должна подтверждать и вход, и аварийный recovery.

TOTP может защищать аккаунт сервиса, через который вы управляете средствами

Когда финансовый сервис ведёт учётную запись пользователя, второй фактор способен остановить вход после утечки пароля и подтвердить чувствительные изменения. Но конкретное действие зависит от политики сервиса: один требует TOTP для входа, другой — для изменения настроек, третий дополняет его passkey или отдельным подтверждением.

Не переносите вывод из одного продукта на другой. Если интерфейс показывает шестизначный код, выясните, что именно он подтверждает. Успешный TOTP не доказывает корректность адреса, сети или суммы будущей операции.

Перед крупным действием проверяйте реквизиты отдельно. OneMagic показывает, как проверить адрес криптокошелька перед переводом.

Для «TOTP может защищать аккаунт сервиса, через который вы управляете средствами» сначала назовите активный фактор и резерв. Затем «TOTP может защищать аккаунт сервиса, через который вы управляете средствами» проверьте реальным тестовым входом. После теста «TOTP может защищать аккаунт сервиса, через который вы управляете средствами» сопоставьте со списком устройств и методов. Если «TOTP может защищать аккаунт сервиса, через который вы управляете средствами» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «TOTP может защищать аккаунт сервиса, через который вы управляете средствами» должен восстанавливаться официальным путём. Если «TOTP может защищать аккаунт сервиса, через который вы управляете средствами» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «TOTP может защищать аккаунт сервиса, через который вы управляете средствами» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «TOTP может защищать аккаунт сервиса, через который вы управляете средствами» откройте Security-раздел ещё раз. В состоянии «TOTP может защищать аккаунт сервиса, через который вы управляете средствами» новый фактор должен быть виден серверу. Для «TOTP может защищать аккаунт сервиса, через который вы управляете средствами» старый метод удаляйте только после теста. Локальное удаление записи «TOTP может защищать аккаунт сервиса, через который вы управляете средствами» само по себе не меняет серверную настройку. Финальная проверка «TOTP может защищать аккаунт сервиса, через который вы управляете средствами» должна подтверждать и вход, и аварийный recovery.

Seed-фраза и TOTP-secret — разные секреты

Оба значения могут быть представлены словами, строкой или QR, но назначение различается. Seed-фраза обычно является источником ключей кошелька; TOTP-secret служит для генерации одноразовых кодов конкретного аккаунта. Нельзя восстановить одно из другого и нельзя заменять одно другим в форме ввода.

Фишинговая страница может просить оба секрета подряд, создавая видимость сложной проверки. Настоящий TOTP enrolment не требует seed криптокошелька, а обычное восстановление кошелька не требует одноразового кода от чужого аккаунта, если архитектура прямо этого не предусматривает.

Если запутались, остановитесь и определите объект: вы восстанавливаете криптографический кошелёк или авторизуетесь в аккаунте? Для восстановления кошелька используйте отдельную инструкцию OneMagic по seed-фразе криптокошелька.

Для «Seed-фраза и TOTP-secret — разные секреты» сначала назовите активный фактор и резерв. Затем «Seed-фраза и TOTP-secret — разные секреты» проверьте реальным тестовым входом. После теста «Seed-фраза и TOTP-secret — разные секреты» сопоставьте со списком устройств и методов. Если «Seed-фраза и TOTP-secret — разные секреты» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Seed-фраза и TOTP-secret — разные секреты» должен восстанавливаться официальным путём. Если «Seed-фраза и TOTP-secret — разные секреты» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Seed-фраза и TOTP-secret — разные секреты» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Seed-фраза и TOTP-secret — разные секреты» откройте Security-раздел ещё раз. В состоянии «Seed-фраза и TOTP-secret — разные секреты» новый фактор должен быть виден серверу. Для «Seed-фраза и TOTP-secret — разные секреты» старый метод удаляйте только после теста. Локальное удаление записи «Seed-фраза и TOTP-secret — разные секреты» само по себе не меняет серверную настройку. Финальная проверка «Seed-фраза и TOTP-secret — разные секреты» должна подтверждать и вход, и аварийный recovery.

Не храните все факторы в одной заметке рядом с seed

Удобная заметка «все доступы» часто содержит пароль, backup code, TOTP setup key и seed-фразу. Такое хранение уничтожает смысл независимых факторов: один взлом файла открывает и аккаунты, и self-custody. Чем ценнее активы, тем важнее разделение физических и цифровых каналов резервирования.

Храните recovery codes отдельно от основного телефона, а seed — в модели, подходящей для криптографического секрета. Если кошелёк ещё открыт, но резервная копия потеряна, не ждите аварии: OneMagic разбирает безопасный перенос в сценарии потеряли seed, но кошелёк ещё открыт.

Цель резервирования — пережить потерю одного элемента без одновременной выдачи всех секретов тому, кто этот элемент нашёл.

Для «Не храните все факторы в одной заметке рядом с seed» сначала назовите активный фактор и резерв. Затем «Не храните все факторы в одной заметке рядом с seed» проверьте реальным тестовым входом. После теста «Не храните все факторы в одной заметке рядом с seed» сопоставьте со списком устройств и методов. Если «Не храните все факторы в одной заметке рядом с seed» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Не храните все факторы в одной заметке рядом с seed» должен восстанавливаться официальным путём. Если «Не храните все факторы в одной заметке рядом с seed» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Не храните все факторы в одной заметке рядом с seed» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Не храните все факторы в одной заметке рядом с seed» откройте Security-раздел ещё раз. В состоянии «Не храните все факторы в одной заметке рядом с seed» новый фактор должен быть виден серверу. Для «Не храните все факторы в одной заметке рядом с seed» старый метод удаляйте только после теста. Локальное удаление записи «Не храните все факторы в одной заметке рядом с seed» само по себе не меняет серверную настройку. Финальная проверка «Не храните все факторы в одной заметке рядом с seed» должна подтверждать и вход, и аварийный recovery.

Практический выбор Authenticator и финальный чек-лист

Сначала определите, нужен ли вам TOTP или более сильный фактор

Если сервис поддерживает только TOTP, качественное приложение-аутентификатор остаётся разумным выбором. Если доступен passkey или FIDO2, для особенно важных аккаунтов стоит оценить phishing-resistant вариант. Иногда оптимальна комбинация: passkey как основной вход, TOTP как резерв и отдельные backup codes для аварии.

Не выбирайте метод только по привычке. Смотрите на сценарий потери телефона, фишинг, возможность аппаратного разделения и правила recovery. Сильный фактор, который невозможно восстановить без рискованных обходов, может привести к самоблокировке.

Перед изменением Security Settings сохраните действующий резерв и протестируйте новый метод в отдельной сессии.

Для «Сначала определите, нужен ли вам TOTP или более сильный фактор» сначала назовите активный фактор и резерв. Затем «Сначала определите, нужен ли вам TOTP или более сильный фактор» проверьте реальным тестовым входом. После теста «Сначала определите, нужен ли вам TOTP или более сильный фактор» сопоставьте со списком устройств и методов. Если «Сначала определите, нужен ли вам TOTP или более сильный фактор» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Сначала определите, нужен ли вам TOTP или более сильный фактор» должен восстанавливаться официальным путём. Если «Сначала определите, нужен ли вам TOTP или более сильный фактор» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Сначала определите, нужен ли вам TOTP или более сильный фактор» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Сначала определите, нужен ли вам TOTP или более сильный фактор» откройте Security-раздел ещё раз. В состоянии «Сначала определите, нужен ли вам TOTP или более сильный фактор» новый фактор должен быть виден серверу. Для «Сначала определите, нужен ли вам TOTP или более сильный фактор» старый метод удаляйте только после теста. Локальное удаление записи «Сначала определите, нужен ли вам TOTP или более сильный фактор» само по себе не меняет серверную настройку. Финальная проверка «Сначала определите, нужен ли вам TOTP или более сильный фактор» должна подтверждать и вход, и аварийный recovery.

У Authenticator должна быть понятная модель backup

Одни приложения хранят записи только локально, другие умеют encrypted export, третьи синхронизируются через аккаунт. Нет универсально лучшего варианта: локальная модель уменьшает облачную поверхность, но требует собственной дисциплины резервирования; sync облегчает миграцию, но добавляет зависимость от облачного recovery.

Прежде чем выбрать приложение, ответьте: что произойдёт, если телефон утонет сегодня? Если ответ — «я не знаю, попробую войти как-нибудь», backup не спроектирован.

Проверьте экспорт на тестовых записях и храните инструкцию восстановления без секретов. В реальной аварии она поможет не экспериментировать с основными аккаунтами.

Для «У Authenticator должна быть понятная модель backup» сначала назовите активный фактор и резерв. Затем «У Authenticator должна быть понятная модель backup» проверьте реальным тестовым входом. После теста «У Authenticator должна быть понятная модель backup» сопоставьте со списком устройств и методов. Если «У Authenticator должна быть понятная модель backup» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «У Authenticator должна быть понятная модель backup» должен восстанавливаться официальным путём. Если «У Authenticator должна быть понятная модель backup» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «У Authenticator должна быть понятная модель backup» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «У Authenticator должна быть понятная модель backup» откройте Security-раздел ещё раз. В состоянии «У Authenticator должна быть понятная модель backup» новый фактор должен быть виден серверу. Для «У Authenticator должна быть понятная модель backup» старый метод удаляйте только после теста. Локальное удаление записи «У Authenticator должна быть понятная модель backup» само по себе не меняет серверную настройку. Финальная проверка «У Authenticator должна быть понятная модель backup» должна подтверждать и вход, и аварийный recovery.

Labels должны помогать, а не раскрывать лишние данные

При десятках записей одинаковые названия создают ошибки. Добавляйте имя сервиса и логин в безопасной форме, но не помещайте в label пароль, recovery code или полный секрет. Если телефон увидит посторонний, список аккаунтов уже раскрывает часть цифрового профиля, поэтому не увеличивайте ущерб лишними данными.

После переноса проверьте дубликаты и удалите устаревшие записи только после подтверждения, что фактор отключён на стороне сервиса. Старый TOTP в приложении может продолжать показывать цифры даже после server-side удаления, что создаёт путаницу.

Раз в несколько месяцев полезно очистить список и сверить его с реально активными методами безопасности в ключевых аккаунтах.

Для «Labels должны помогать, а не раскрывать лишние данные» сначала назовите активный фактор и резерв. Затем «Labels должны помогать, а не раскрывать лишние данные» проверьте реальным тестовым входом. После теста «Labels должны помогать, а не раскрывать лишние данные» сопоставьте со списком устройств и методов. Если «Labels должны помогать, а не раскрывать лишние данные» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Labels должны помогать, а не раскрывать лишние данные» должен восстанавливаться официальным путём. Если «Labels должны помогать, а не раскрывать лишние данные» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Labels должны помогать, а не раскрывать лишние данные» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Labels должны помогать, а не раскрывать лишние данные» откройте Security-раздел ещё раз. В состоянии «Labels должны помогать, а не раскрывать лишние данные» новый фактор должен быть виден серверу. Для «Labels должны помогать, а не раскрывать лишние данные» старый метод удаляйте только после теста. Локальное удаление записи «Labels должны помогать, а не раскрывать лишние данные» само по себе не меняет серверную настройку. Финальная проверка «Labels должны помогать, а не раскрывать лишние данные» должна подтверждать и вход, и аварийный recovery.

Регулярно проверяйте recovery раньше, чем он понадобится

Backup codes могут быть использованы, облачная копия — удалена, старый телефон — потерян, а номер recovery — давно сменён. Без периодической проверки план постепенно устаревает. Достаточно короткого аудита: открыть Security Settings, убедиться в актуальности факторов и проверить, что резервный путь действительно доступен.

Не проводите такой аудит из письма с предупреждением «ваш 2FA истекает». Открывайте сервис самостоятельно. Это защищает от фишинга, маскирующегося под заботу о безопасности.

Если меняете телефон, используйте событие как повод обновить recovery codes и убрать устройства, которыми больше не владеете.

Для «Регулярно проверяйте recovery раньше, чем он понадобится» сначала назовите активный фактор и резерв. Затем «Регулярно проверяйте recovery раньше, чем он понадобится» проверьте реальным тестовым входом. После теста «Регулярно проверяйте recovery раньше, чем он понадобится» сопоставьте со списком устройств и методов. Если «Регулярно проверяйте recovery раньше, чем он понадобится» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Регулярно проверяйте recovery раньше, чем он понадобится» должен восстанавливаться официальным путём. Если «Регулярно проверяйте recovery раньше, чем он понадобится» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Регулярно проверяйте recovery раньше, чем он понадобится» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Регулярно проверяйте recovery раньше, чем он понадобится» откройте Security-раздел ещё раз. В состоянии «Регулярно проверяйте recovery раньше, чем он понадобится» новый фактор должен быть виден серверу. Для «Регулярно проверяйте recovery раньше, чем он понадобится» старый метод удаляйте только после теста. Локальное удаление записи «Регулярно проверяйте recovery раньше, чем он понадобится» само по себе не меняет серверную настройку. Финальная проверка «Регулярно проверяйте recovery раньше, чем он понадобится» должна подтверждать и вход, и аварийный recovery.

Финальный принцип: второй фактор должен переживать потерю устройства и не облегчать фишинг

Хорошая настройка Authenticator не сводится к включённому переключателю. Она должна выдержать потерю телефона, оставить владельцу независимый путь восстановления и не раскрывать все секреты в одном месте. При этом пользователь должен понимать, что TOTP можно выманить на поддельной странице, а значит проверка домена остаётся обязательной.

Для критичных аккаунтов добавьте phishing-resistant фактор, если он поддерживается, и не держите единственный recovery на том же устройстве. Если подозрительный сайт уже получил ваши данные, не продолжайте эксперимент: OneMagic собрал отдельный сценарий действий после подключения к подозрительному сайту.

Итоговая цель проста: при штатном входе второй фактор должен быть удобным, а при атаке — бесполезным без вашего осознанного действия. При аварии вы должны восстановиться по заранее подготовленному пути, а не искать человека, который обещает «вернуть коды» за доступ к вашим секретам.

Для «Финальный принцип: второй фактор должен переживать потерю устройства и не облегчать фишинг» сначала назовите активный фактор и резерв. Затем «Финальный принцип: второй фактор должен переживать потерю устройства и не облегчать фишинг» проверьте реальным тестовым входом. После теста «Финальный принцип: второй фактор должен переживать потерю устройства и не облегчать фишинг» сопоставьте со списком устройств и методов. Если «Финальный принцип: второй фактор должен переживать потерю устройства и не облегчать фишинг» зависит от единственного телефона, добавьте независимый recovery. При потере устройства «Финальный принцип: второй фактор должен переживать потерю устройства и не облегчать фишинг» должен восстанавливаться официальным путём. Если «Финальный принцип: второй фактор должен переживать потерю устройства и не облегчать фишинг» требует передачи кода человеку, процесс нужно остановить. Такой контроль завершает репетицию «Финальный принцип: второй фактор должен переживать потерю устройства и не облегчать фишинг» и показывает, существует ли реальный запасной путь без импровизации.

После изменения «Финальный принцип: второй фактор должен переживать потерю устройства и не облегчать фишинг» откройте Security-раздел ещё раз. В состоянии «Финальный принцип: второй фактор должен переживать потерю устройства и не облегчать фишинг» новый фактор должен быть виден серверу. Для «Финальный принцип: второй фактор должен переживать потерю устройства и не облегчать фишинг» старый метод удаляйте только после теста. Локальное удаление записи «Финальный принцип: второй фактор должен переживать потерю устройства и не облегчать фишинг» само по себе не меняет серверную настройку. Финальная проверка «Финальный принцип: второй фактор должен переживать потерю устройства и не облегчать фишинг» должна подтверждать и вход, и аварийный recovery.

Authenticator App полезен не потому, что создаёт «магические» цифры, а потому что добавляет независимый секрет и короткоживущий результат к обычному входу. TOTP хорошо работает без сети и широко совместим, но требует дисциплины вокруг setup key, резервных кодов и миграции. Сам код нельзя считать защитой от любой поддельной страницы: ручной ввод остаётся уязвимым для phishing relay.

Безопасная схема строится вокруг заранее подготовленного восстановления. Пока старый телефон работает, проверьте sync или export, зарегистрируйте резервный фактор и сохраните backup codes. После переноса выполните настоящий тест входа, а старое устройство удаляйте только после того, как убедились в работоспособности нового. При краже телефона дополнительно закрывайте сессии и меняйте факторы, а не ограничивайтесь установкой Authenticator на другом аппарате.

Для криптовалютных пользователей особенно важно не смешивать TOTP с seed-фразой. Приложение-аутентификатор защищает учётные записи, которые его проверяют; блокчейн проверяет подпись приватным ключом. Поэтому хорошая защита цифровых активов сочетает сильную аккаунтную аутентификацию для почты и сервисов с независимым хранением seed/private key и понятным планом действий после компрометации.

Если нужно одно правило, используйте такое: любой фактор должен быть проверяемым в штатном режиме, восстанавливаемым после потери устройства и бесполезным для человека, который просит секрет через чат или поддельную форму. Всё, что не выдерживает эти три проверки, нужно исправить до того, как аккаунт станет критичным.