Двухфакторная аутентификация

1. Поставьте Aegis — бесплатный и открытый: из Google Play или из F-Droid, если Play на телефоне не работает. Приложение одно и то же.
2. Откройте его. При первом запуске Aegis попросит выбрать, чем запирать хранилище: пароль, а если телефон умеет — ещё и разблокировку по отпечатку. Берите оба: отпечаток на каждый день, пароль как запасной вход.
3. Пароль придумайте новый и сразу сохраните в KeePassXC: Добавить запись -> Название (например, Aegis — хранилище) -> Пароль -> ОК при закрытии редактора -> Сохранить. После этого нажмите Очистить буфер обмена и Заблокировать базу. Забудется — хранилище не открыть ни здесь, ни на новом телефоне.
4. Внутри будет пустой список. Так и надо: первая запись появится на следующем шаге, вместе с почтой.

Официально: getaegis.app.

1. Поставьте Ente Auth из App Store — тоже бесплатное и открытое.
2. Откройте его. Аккаунт создавать не обязательно: на стартовом экране можно выбрать работу без резервной копии — тогда приложение целиком живёт в телефоне и обходится без интернета.
3. Резервную копию в облаке (зашифрованную, уже с аккаунтом) можно включить когда угодно потом, из настроек. На то, как считаются коды, это не влияет.
4. Список будет пустой. Так и надо: первая запись появится на следующем шаге, вместе с почтой.

Если Ente не приглянулся, из открытых и бесплатных есть ещё 2FAS — он тоже работает без регистрации.

Официально: ente.com/auth.

1. Откройте myaccount.google.com — в том же Chrome, где уже открыта почта; заново входить не придётся.
2. В меню слева — раздел «Безопасность и вход» (в части версий он подписан короче, просто «Безопасность»).
3. В блоке «Вход в Google» нажмите «Включить двухэтапную аутентификацию».
4. Дальше Google ведёт сам: подтвердить пароль и выбрать способ. Обычно он сразу предлагает уведомление на ваш Android-телефон или смс-код — любого из них уже достаточно, второй фактор с этого момента включён.
5. Приложение-генератор кодов, которое вы поставили на прошлом шаге, добавляется там же, в перечне способов входа внутри «Двухэтапной аутентификации». Смс при этом никуда не денется сама — но коды можно будет брать из приложения, а её оставить запасным вариантом.
6. Вернитесь в тот же раздел «Двухэтапная аутентификация», найдите строку «Резервные коды», а в ней — «Получить резервные коды». Их десять, каждый восьмизначный и срабатывает ровно один раз. Вкладку не закрывайте: коды понадобятся на последнем шаге чек-листа.

Официально: как включить двухэтапную аутентификацию и про резервные коды.

1. Откройте Telegram, дальше — Настройки.
2. Раздел Конфиденциальность и безопасность (в некоторых версиях название или расположение может отличаться).
3. Пункт «Облачный пароль». В английском интерфейсе — Two-Step Verification.
4. Придумайте пароль и повторите его. Новый, не тот же, что от почты, — и сразу сохраните в KeePassXC по короткому сценарию записи: Добавить запись, Название, Пароль, ОК, затем Сохранить, Очистить буфер обмена и Заблокировать базу.
5. Подсказку к паролю можно пропустить. А вот резервную почту укажите: если облачный пароль забудется, вернуть доступ поможет именно она.
6. На эту почту придёт код подтверждения — введите его, и всё.

Официально: FAQ Telegram про 2-Step Verification — страница только на английском, русской версии у неё нет.

1. Откройте WhatsApp → «Настройки» → «Аккаунт» → «Двухшаговая проверка».
2. Нажмите «Включить», придумайте новый шестизначный PIN и повторите его.
3. Добавьте почту для восстановления, если WhatsApp её предложит, и сохраните PIN в KeePassXC по короткому сценарию записи: Добавить запись, Название, Пароль, ОК, затем Сохранить, Очистить буфер обмена и Заблокировать базу. Не храните PIN рядом с паролем от самого аккаунта.

1. На экране сервиса откройте раздел резервных кодов: например, в Google это «Двухэтапная аутентификация» -> «Резервные коды» -> «Получить резервные коды». Не закрывайте экран, пока запись не проверена.
2. Откройте базу KeePassXC и нажмите Новая группа (или фактическое название этой команды в вашей версии), задайте имя группы Двухфакторная аутентификация / Two-factor authentication.
3. В этой группе нажмите Добавить запись и создайте отдельную запись, не смешивая её с записью пароля аккаунта.
4. Заполните поля: Название: Google — резервные коды — личная почта; Имя пользователя: email аккаунта; Пароль: оставить пустым, потому что кодов несколько; Заметки: каждый код на отдельной строке, ровно как показал сервис, без склеивания и без лишней нумерации.
5. Нажмите Сохранить, перепроверьте число и содержимое кодов с экраном сервиса и только после этого закройте экран сервиса.
6. При использовании кода нажмите Очистить буфер обмена, а после завершения работы нажмите Заблокировать базу.
7. Результат: коды находятся в отдельной группе и записи, а не в названии, чате или скриншоте. Пустое поле Password здесь относится только к набору резервных кодов, а не ко всем записям KeePassXC.

1. Откройте отдельную базу two-factor-tokens.kdbx в KeePassXC. Создайте или выберите запись нужного сервиса.
2. Откройте контекстное меню TOTP -> Настроить TOTP….
3. В поле Секретный ключ вставьте только Base32-секрет. Не вставляйте целиком otpauth:// URI.
4. Оставьте Настройки по умолчанию (RFC 6238), если сервис не сообщил другие параметры. При нестандартных настройках проверьте Алгоритм, Шаг времени и Размер кода по инструкции сервиса.
5. Нажмите OK, затем Сохранить.
6. Для входа откройте контекстное меню записи -> Показать TOTP или скопируйте TOTP. После вставки кода в форму входа очистите буфер обмена.

Системные часы компьютера и телефона должны быть точными: TOTP зависит от времени, и даже небольшой сдвиг может сделать код недействительным.

1. В Aegis откройте Настройки -> Импорт и экспорт -> Экспорт.
2. Выберите зашифрованный экспорт Aegis (.JSON) или другой формат, который предлагает установленная версия приложения. Если Aegis показывает Зашифровать хранилище, включите шифрование и задайте новый пароль экспорта.
3. Передайте файл только защищённым способом и откройте его локально. Найдите нужную запись и извлеките из её otpauth:// URI только Base32-значение после secret=. QR-код и весь URI в KeePassXC не переносите и нигде не публикуйте.
4. В отдельной TOTP-базе KeePassXC настройте запись по шагам выше, вставив только это значение secret=.
5. Если понадобится восстановить Aegis, используйте Настройки -> Импорт и экспорт -> Импортировать из файла.

Перед удалением чего-либо сравните текущий код KeePassXC и Aegis в одном временном окне и выполните вход в сервис. Только после успешной проверки удаляйте временный экспорт, корзину и временные копии.