Двухфакторная аутентификация

Двухфакторная аутентификация (2FA) добавляет к паролю второй фактор — одноразовый код из приложения-аутентификатора на вашем телефоне. Даже если пароль будет скомпрометирован, без второго фактора войти в систему не получится. Пока второй фактор на платформе включён, для администраторов он обязателен, для остальных ролей (Пользователь, Аналитик, Аудитор) — по желанию. Включение 2FA и каждая проверка кода фиксируются в журнале аудита.

Кому обязательно

Когда второй фактор на платформе включён, для администраторов он обязателен. Пока администратор не подтвердит 2FA, система автоматически перенаправляет его на страницу настройки и не даёт работать с рабочими разделами. Для прочих ролей 2FA опциональна, но мы рекомендуем включить её всем.

Администратор может сделать второй фактор обязательным и для других ролей — в админ-панели, раздел «Настройки системы», вкладка «Безопасность». Там же есть общий выключатель «Двухфакторная аутентификация на платформе»; на новой установке он выключен, и второй фактор не обязателен никому, пока администратор его не включит. Выключенный, он снимает обязательность со всех ролей, включая администратора, и вход перестаёт спрашивать код даже у тех, кто его настроил. Настроенные ключи при этом сохраняются: после включения защита вернётся без повторной настройки. Каждое переключение записывается в журнал аудита.

Что подготовить

Установите на телефон приложение-аутентификатор, поддерживающее одноразовые коды по времени (TOTP): Google Authenticator, Microsoft Authenticator, Authy или аналогичное. Обычный менеджер паролей без поддержки TOTP не подойдёт.

Как включить 2FA

Шаг 1 — открыть настройку

Перейдите на страницу /settings/two-factor (раздел «Двухфакторная аутентификация» в настройках).

Шаг 2 — подключить приложение

Страница ведёт по трём пронумерованным шагам. Откройте приложение-аутентификатор и отсканируйте QR-код камерой (шаг 1 на странице). Если сканирование не получается, нажмите «Не получается отсканировать?» под QR-кодом — откроется ключ для ручного ввода: добавьте учётную запись в приложении вручную и введите его.

Шаг 3 — подтвердить

Введите 6-значный код из приложения в поле «Код из приложения» и нажмите «Подтвердить». Код должен состоять ровно из шести цифр. TOTP-код обновляется примерно каждые 30 секунд, поэтому вводите актуальный код, а не просроченный.

Шаг 4 — сохранить резервные коды

После подтверждения система один раз покажет список из 8 резервных кодов в формате XXXXX-XXXXX. Страница напоминает: «Остался последний шаг — сохраните резервные коды». Коды стоят выше кнопки перехода в кабинет; запишите или скопируйте их кнопкой «Скопировать коды» и храните в безопасном месте — повторно эти коды не показываются. Резервные коды нужны, если вы потеряете доступ к телефону.

Вход после включения 2FA

После ввода логина и пароля открывается экран «Подтверждение входа» (/two-factor-challenge). Введите текущий 6-значный код из приложения-аутентификатора в поле «Код из приложения». Если телефон недоступен, нажмите «Использовать резервный код» — поле сменит подпись на «Резервный код» — и введите один из резервных кодов — он расходуется и больше не действует.

Каждый одноразовый код принимается только один раз (защита от повторного использования, анти-replay). Уже использованный TOTP-код или резервный код будет отклонён.

Если 2FA уже включена

Страница показывает «Двухфакторная защита включена» — повторно сканировать QR-код не нужно. При входе достаточно вводить актуальный код из приложения.

Пауза после неверных кодов

Подбирать код бесполезно: после 10 неверных кодов подряд проверка второго фактора приостанавливается на 15 минут. Каждая следующая такая серия удваивает паузу — 30 минут, час и так далее, но не дольше суток. Пауза общая для сайта и мобильного приложения и действует и на резервные коды: пока она идёт, система не проверяет даже верный код и отвечает «Слишком много неверных кодов. Повторите через N мин.». Верный код после паузы обнуляет счёт.

О каждой паузе владельцу учётной записи приходит письмо «Проверка второго фактора приостановлена». Код вводят уже после верного пароля, поэтому, если это были не вы, ваш пароль знает посторонний. Смените пароль: на экране входа нажмите «Забыли пароль?» и задайте новый по ссылке из письма (кнопка «Сменить пароль» в письме о паузе ведёт туда же). Смена пароля сразу снимает паузу и останавливает подбор — ждать её окончания не нужно.

Если потерян телефон и резервные коды

Самостоятельно отключить 2FA или выпустить новые резервные коды из интерфейса нельзя. Если телефона нет, а резервные коды закончились или потеряны, обратитесь к администратору: в админ-панели, в разделе «Пользователи», в меню действий вашей строки есть «Сбросить второй фактор». Действие удаляет секрет и резервные коды, отзывает доверенные устройства и входы в мобильном приложении и завершает открытые сессии; при следующем входе вы настроите 2FA заново. Сброс фиксируется в журнале аудита.

Свой собственный второй фактор администратор этим действием сбросить не может — иначе оно стало бы обходом второго фактора для того, кто захватил его сессию. Администратору, потерявшему телефон и коды, второй фактор сбрасывает другой администратор. Если администратор в системе один, доступ ему восстанавливают служебной командой на сервере — это делает тот, кто обслуживает сервер платформы.

Куда дальше

• Управляйте активными входами: Сессии и устройства.
• Вернуться к настройкам учётной записи: Профиль и предпочтения.
• Какие требования к вашей роли: Роли и доступ.
• Не получается включить 2FA — напишите в Поддержку.

Частые ошибки

• Не сохраняют резервные коды. Они показываются один раз; при утере телефона без них восстановить доступ самостоятельно нельзя.
• Вводят код с задержкой. TOTP-код меняется примерно каждые 30 секунд — дождитесь нового кода, просроченный не подойдёт.
• Повторно вводят уже использованный код. Система отклоняет повторное использование как TOTP-кода, так и резервного кода.
• Администраторы игнорируют требование 2FA. Без подтверждённой 2FA администратора перенаправляет на страницу настройки вместо рабочих разделов.
• Сканируют QR не тем приложением. Нужен стандартный аутентификатор с поддержкой одноразовых кодов по времени (TOTP), а не произвольное приложение.
• Ждут кнопку «отключить 2FA» в профиле. Её нет — при потере телефона и резервных кодов второй фактор сбрасывает администратор («Сбросить второй фактор»).
• Ждут окончания паузы, хотя коды вводили не они. Письмо о паузе означает, что ваш пароль известен постороннему: сразу смените его через «Забыли пароль?» — пауза снимется, а подбор прекратится.