Включите 2FA, но до завершения настройки добавьте резервный способ восстановления и сохраните recovery codes вне основного устройства. Не храните единственную копию кодов в аккаунте, который этими кодами защищается.
Что проверить в первую очередь
- Проверить актуальность резервной почты и телефона
- Настроить приложение-аутентификатор или passkey, если сервис поддерживает
- Сохранить recovery codes в отдельном защищённом месте
- Проверить вход и восстановление до потери старого устройства
Второй фактор должен быть независимым
Смысл 2FA в том, что одного украденного пароля недостаточно. Поэтому второй фактор не должен сводиться к ещё одному секрету, который хранится рядом с паролем в том же файле.
Приложение-аутентификатор, passkey или аппаратный ключ обычно создают более независимую защиту, чем повторное использование одной почты для всех восстановлений.
Резервный способ нужен до аварии
Добавьте актуальный способ восстановления, пока вход работает. Если сервис предлагает несколько вариантов, убедитесь, что хотя бы один не зависит от единственного телефона.
Microsoft прямо предупреждает, что при двухэтапной проверке потеря способа подтверждения может существенно усложнить восстановление. Поэтому резервирование — часть настройки, а не необязательная опция.
Recovery codes храните отдельно
Резервные коды предназначены для аварийного входа, когда обычный второй фактор недоступен. Храните их вне телефона и компьютера, потеря которых может произойти одновременно.
Не отправляйте recovery codes себе в открытую переписку и не делайте их доступными тем же людям, от которых защищаете аккаунт. Бумажная копия в безопасном месте иногда практичнее облачной заметки.
При смене телефона порядок важен
Сначала настройте новый фактор и проверьте, что он работает, затем удаляйте старый. Если приложение поддерживает перенос, следуйте инструкции конкретного сервиса, а не универсальному совету из случайного ролика.
После потери устройства зайдите в список активных сессий и завершите недоступный аппарат. Для важных аккаунтов также смените пароль, если устройство могло быть разблокировано.
2FA не отменяет защиту от фишинга
Злоумышленник может попытаться выманить одноразовый код в реальном времени или заставить подтвердить вход. Читайте текст уведомления и не подтверждайте запрос, который не инициировали.
Для сервисов с passkey или фишинг-устойчивым MFA риск ниже, но правило остаётся прежним: неожиданный запрос на вход требует проверки, а не автоматического подтверждения.
Официальные материалы
Для системных инструментов, учётных записей, браузеров, сетей, накопителей и аппаратной диагностики сверяйтесь с актуальной документацией разработчика, производителя устройства или профильного стандарта.
Частые вопросы
SMS — это тоже 2FA?
Да, но у SMS есть риски, связанные с номером и оператором. Если сервис поддерживает приложение-аутентификатор, passkey или ключ безопасности, их стоит рассмотреть.
Где хранить recovery codes?
В отдельном защищённом месте, не зависящем от единственного телефона или аккаунта. Можно использовать защищённый менеджер и/или бумажную копию.
Можно ли отключить 2FA после потери телефона?
Это зависит от сервиса и доступных резервных способов. Поэтому их важно настроить заранее.