Техника цифровой безопасности

инструктаж по цифровой безопасности · обязателен к прочтению

Войти
Мой любимый язык:

инструктаж · 24 мин

2. Двухфакторная аутентификация

Второй замок на двери: пароль утёк, а войти всё равно не получилось.

Пароль от почты может утечь не потому, что вы сделали что-то не так, а потому что где-то далеко слили базу чужого сервиса — и дальше тот же пароль на автомате прогонят по всем крупным сайтам: вдруг сработает и у вас.1 Пароль тут работает как код на домофоне: подсмотреть, подобрать, узнать у знакомого соседа — дело нехитрое, а вот в квартиру с ним всё равно не попадёшь, пока на двери есть замок под ключ. Второй фактор и есть тот самый ключ: пароль у посторонних уже есть, а войти по нему одному не получится — если только вы сами не отдадите им и код.

Сделай это прямо сейчас

Установить приложение для кодов

Приложение-генератор показывает числовой код и меняет его каждые 30 секунд (у части сервисов число цифр и шаг другие);2 в настройках сервисов такой код обычно подписан словом TOTP. Считает его сам телефон — интернет для этого не нужен вовсе.

Берите 2FAS: код приложения открыт (лицензия GPLv3),3 оно бесплатное, а из трёх сравниваемых приложений (2FAS, Aegis, Ente Auth) оно самое распространённое по числу установок.4 Русского интерфейса у 2FAS нет,5 поэтому его кнопки ниже названы по-английски.

Android: 2FAS, из Google Play
  1. Поставьте 2FAS из Google Play и откройте его. Пролистайте вводные экраны до главного экрана: на нём внизу справа кнопка «+».
  2. Включите PIN: «Settings» → «Security» → «Enable PIN Code», выберите 6 цифр (случайные, не дату рождения и не номер телефона). Забытый PIN не восстановить.6
  3. Сразу сохраните PIN в KeePassXC: Создать запись… -> Название (2FAS — PIN) -> Пароль (эти 6 цифр) -> ОК -> Сохранить.
  4. Включите резервную копию: «Settings» → «2FAS Backup», включите синхронизацию с Google Drive, выберите свой аккаунт Google и разрешите доступ.7 ( синхронизация с облаком ).
  5. Задайте копии пароль. В KeePassXC нажмите Создать запись…, назовите её 2FAS — пароль копии, в поле Пароль нажмите значок кубика, выключите кнопку «/ * + & …» (подсказка «Спецсимволы»: 2FAS принимает не все спецсимволы),8 поставьте Длина 24, нажмите Использовать пароль, затем ОК и Сохранить. После этого в «2FAS Backup» → «Synchronisation Settings» задайте этот пароль для копии. Пароль копии не потеряйте: 2FAS в справке просит его запомнить.9 ( файл копии с паролем ).
  6. Нажмите Заблокировать базу. Список кодов в 2FAS пока пустой — так и надо: первая запись появится на следующем шаге, вместе с почтой.
iPhone: 2FAS, из App Store
  1. Поставьте 2FAS из App Store и откройте его. Пролистайте вводные экраны до главного экрана: на нём вверху справа кнопка «+».
  2. Включите PIN: «Settings» → «Security» → «Enable PIN Code», выберите 6 цифр (случайные, не дату рождения и не номер телефона). Забытый PIN не восстановить.10
  3. Сразу сохраните PIN в KeePassXC: Создать запись… -> Название (2FAS — PIN) -> Пароль (эти 6 цифр) -> ОК -> Сохранить.
  4. Включите резервную копию: «Settings» → «2FAS Backup» и проверьте, что синхронизация iCloud включена (по справке 2FAS она включается сама, если вы вошли в iCloud).11 ( синхронизация с облаком ).
  5. Задайте копии пароль. В KeePassXC нажмите Создать запись…, назовите её 2FAS — пароль копии, в поле Пароль нажмите значок кубика, выключите кнопку «/ * + & …» (подсказка «Спецсимволы»: 2FAS принимает не все спецсимволы),12 поставьте Длина 24, нажмите Использовать пароль, затем ОК и Сохранить. После этого в «2FAS Backup» → «Manage Backup» задайте этот пароль для копии. Потерянный пароль копии не вернуть, а без него копия бесполезна.13 ( файл копии с паролем ).
  6. Нажмите Заблокировать базу. Список кодов в 2FAS пока пустой — так и надо: первая запись появится на следующем шаге, вместе с почтой.
Видеоподсказка / Video guide: 2FAS — 2FA backup, or how to restore an account with lost 2FA?

Если звук не включился автоматически, нажмите кнопку.

2FAS — 2FA backup, or how to restore an account with lost 2FA? — ролик на английском от разработчиков 2FAS, подсказка к резервной копии кодов; интерфейс может отличаться от текущей версии.

Если код потом не принимается, проверьте время на телефоне: Android — «Часы» → «Ещё» → «Настройки» → «Изменить дату и время» → «Автоматическое определение даты и времени»;14 iPhone — «Настройки» → «Основные» → «Дата и время» и включите автоматическую установку времени.15 Код считается по времени, и сбитые часы дают код, который сервис отвергает; допустимое расхождение обычно — не больше одного шага, около 30 секунд.16

Если на iPhone выключена «Связка ключей iCloud», копия 2FAS не восстановится: ключи шифрования копии хранятся в ней, а при выключенной связке 2FAS просит экспортировать ключи вручную («Manage Backup»).17

Если у сервиса варианта с приложением нет вовсе — включайте смс и не думайте: смс-код слабее приложения, но заметно лучше, чем ничего: в исследовании Google он остановил 100% автоматических атак, 96% массового фишинга и 76% целевых атак.18 Номер иногда удаётся увести на чужую сим-карту, поэтому при возможности берите приложение.

Получилось — когда 2FAS открывается с PIN-кодом, в «2FAS Backup» синхронизация включена, а список кодов пуст. Так и должно быть: первый код появится на следующем шаге, когда вы добавите туда почту.

Максимум

Дополнительно (на выбор): другое приложение вместо 2FAS. Выбирайте по критерию, а не по вкусу:

  • Aegis Authenticator (только Android) — если нужен русский интерфейс и хранилище, закрытое паролем. Бесплатный и открытый:19 из Google Play или из F-Droid, если на телефоне нет Google Play. При первом запуске на экране Безопасность выберите Пароль (вариант Нет не выбирайте), пароль сгенерируйте в KeePassXC и сохраните в базу. Забытый пароль навсегда закроет коды.20 Копия: Настройки -> Резервные копии.21
  • Ente Auth (iPhone и Android) — если нужны одни и те же коды на нескольких устройствах: в аккаунте Ente они хранятся со сквозным шифрованием, а без аккаунта работает кнопка «Use without backups».22 Приложение открытое, в App Store бесплатное: Ente Auth.
  • Google Authenticator — приложение Google, его код закрыт;23 выбирайте, если хотите хранить коды в аккаунте Google.24

Максимум

Дополнительно: аппаратный ключ. Выбирайте, если боитесь поддельных сайтов больше всего. Есть вариант понадёжнее приложения — аппаратный ключ: физическая флешка размером с обычный USB-накопитель (YubiKey — самый узнаваемый пример), которую подключают к порту или подносят к телефону по NFC и один раз касаются пальцем. От фишинга он защищает не потому, что код сложнее подделать, а потому что ключ вообще не выдаёт код: он сам проверяет адрес сайта, на который вы заходите, и на поддельном домене просто отказывается срабатывать — даже если вы сами не заметили подмену в адресной строке (ключ привязан к адресу сайта).25 Для большинства аккаунтов это уже не первый шаг, а следующий — после того как приложение-генератор уже стоит и работает.

Посмотреть в настройках безопасности почты, поддерживает ли она аппаратный ключ.

Максимум

Дополнительно (на выбор): коды в KeePassXC вместо приложения. Берите, если хотите держать коды на компьютере. KeePassXC умеет хранить секрет TOTP и показывать одноразовые коды. Но чтобы сохранить смысл двух факторов, создайте для них отдельную базу, например two-factor-tokens.kdbx. Не кладите TOTP в тот же .kdbx, где лежат пароли. Основную базу паролей и TOTP-базу храните раздельно, на разных защищённых носителях. Это не превращает один секрет в два независимых фактора: TOTP-секрет всё равно остаётся чувствительным и тот, кто его получил, сможет генерировать коды.

KeePassXC 2.7.x: добавить TOTP в отдельную базу
  1. Откройте отдельную базу two-factor-tokens.kdbx в KeePassXC. Создайте или выберите запись нужного сервиса.
  2. Откройте контекстное меню TOTP -> Настроить TOTP. ( настроить TOTP ).
  3. В поле Секретный ключ вставьте только Base32-секрет. Не вставляйте целиком otpauth:// URI.
  4. Оставьте Параметры по умолчанию (RFC 6238), если сервис не сообщил другие параметры. При нестандартных настройках проверьте Алгоритм, Временной шаг и Размер кода по инструкции сервиса.
  5. Нажмите OK, затем Сохранить.
  6. Для входа откройте контекстное меню записи -> Показать TOTP или скопируйте TOTP. После вставки кода в форму входа дождитесь автоочистки буфера обмена. ( показать TOTP ).

Системные часы компьютера и телефона должны быть точными: TOTP зависит от времени, и если часы устройства заметно сбились (допустимое расхождение обычно — не больше одного шага, около 30 секунд), код не примут.26

Видеоподсказка / Video guide: TroubleChute — KeePassXC TOTP (2-Factor Autofill) | Complete Crash Course

Если звук не включился автоматически, нажмите кнопку.

TroubleChute — KeePassXC TOTP (2-Factor Autofill) | Complete Crash Course — ролик на английском, подсказка только к пунктам меню: он показывает, как настроить и показать TOTP в KeePassXC. Делайте это в отдельном файле базы, как описано выше.

Инварианты безопасности:

  • TOTP-база KeePassXC хранится в отдельном файле, не рядом и не на том же устройстве или носителе, где находится основная парольная база.
  • Резервный экспорт приложения для кодов хранится в отдельном зашифрованном файле и в отдельном месте: не в публичном чате, обычной почте, незашифрованной папке или рядом с .kdbx.
  • Не удаляйте единственную рабочую копию до проверки импорта, совпадения кода и успешного входа в сервис.
  • Экспорт TOTP-секретов по чувствительности равен ключу для генерации кодов. Доступ к нему компрометирует TOTP. Если одна и та же запись остаётся и в приложении, и в KeePassXC, это две копии одного секрета, а не два независимых фактора.
  • Для постоянного резервирования держите минимум две зашифрованные копии в разных местах. Это отдельное требование к резервированию, а не замена требованию хранить основную TOTP-базу отдельно от парольной.

Максимум

Дополнительно: перенести одну запись из Aegis в KeePassXC. Берите, если вы выбрали Aegis, а коды нужны ещё и в KeePassXC. В KeePassXC нет готового импорта из Aegis. Перенос делают через экспорт, а затем вручную переносят секрет конкретной записи.

Aegis: перенести одну запись в KeePassXC
  1. В Aegis откройте Настройки -> Импорт и экспорт -> Экспорт в файл.
  2. Выберите формат Text file (.TXT): в нём лежат otpauth:// ссылки без шифрования, поэтому обращайтесь с файлом как с паролем. Зашифрованный JSON для ручного копирования секрета не подходит.27
  3. Найдите в файле нужную запись и возьмите из её otpauth:// ссылки только Base32-значение после secret=. QR-код и всю ссылку в KeePassXC не переносите и нигде не публикуйте. Файл с экспортом удалите после проверки, описанной под шагами.
  4. В отдельной TOTP-базе KeePassXC настройте запись по шагам выше, вставив только это значение secret=.
  5. Если понадобится восстановить Aegis, используйте Настройки -> Импорт и экспорт -> Импорт из файла.

Перед удалением чего-либо сравните текущий код KeePassXC и Aegis в одном временном окне и выполните вход в сервис. Только после успешной проверки удаляйте файл экспорта, корзину и временные копии.

Включить 2FA в почте

Начинать стоит с почты: через неё обычно приходят письма для восстановления пароля к другим сервисам, поэтому тот, кто получил доступ к почте, часто может захватить и их — и тогда другие замки уже мало что значат. вывод автора Ниже шаги для Gmail и Google-аккаунта; другая почта — в блоке «Дополнительно» после списка.

Почта: Gmail и Google-аккаунт, с компьютера
  1. Откройте myaccount.google.com — в браузере, где уже открыта почта; заново входить не придётся.
  2. Нажмите «Безопасность и вход в аккаунт».28
  3. В разделе «Вход в Google» выберите «Включить двухэтапную аутентификацию» и пройдите шаги Google, указав свой номер телефона: смс-код станет запасным способом. Если двухэтапная аутентификация уже включена, этот пункт называется «Двухэтапная аутентификация» — откройте его.29
  4. На странице «Двухэтапная аутентификация» нажмите «Настроить Authenticator» (на некоторых устройствах сначала «Начать»).30
  5. Когда Google покажет QR-код, откройте 2FAS, нажмите «+» → «Scan a QR Code» и наведите камеру на экран.31 Введите на странице Google код, который показывает 2FAS.
  6. На странице «Двухэтапная аутентификация» найдите «Резервные коды», нажмите стрелку справа и выберите «Получить резервные коды». Их десять, каждый восьмизначный и срабатывает ровно один раз.32 Вкладку не закрывайте: коды понадобятся на последнем шаге чек-листа.

Официально: как включить двухэтапную аутентификацию и про резервные коды.

Если Google не показывает «Настроить Authenticator», вернитесь на шаг 3 и убедитесь, что двухэтапная аутентификация действительно включена. вывод автора

Получилось — когда в разделе «Двухэтапная аутентификация» статус показывает, что она включена, а при следующем входе с нового устройства почта спрашивает не только пароль.

Максимум

Дополнительно (на выбор): другие способы подтверждения в Google. Вместо кода из приложения или в дополнение к нему:

  • Уведомления от Google — если не хотите вводить код: на телефоне нажимаете «Да». Google советует их, если у вас нет ключа доступа: так проще, чем вводить код, и они защищают от подмены сим-карты.33
  • Ключ доступа — если хотите входить отпечатком, лицом или PIN-кодом экрана; при входе с ключом второй этап пропускается.34

Максимум

Дополнительно: другая почта. В других почтовых сервисах обычно есть раздел «Безопасность» или «Вход и безопасность»; если не нашли — введите в поиске по настройкам «безопасность» или «двухфакторная». Дальше те же шаги: сначала приложение, смс запасным, затем резервные коды. вывод автора

Включить 2FA в Telegram

У Telegram второй фактор устроен не так, как везде: это не одноразовый код из приложения, а обычный дополнительный пароль, который мессенджер спросит при входе с нового устройства — вдобавок к смс-коду.35 Поэтому в русском интерфейсе он и называется «Облачным паролем»: искать его в настройках стоит по слову «пароль», а не «фактор».36 Мессенджер идёт сразу после почты: там завязаны переписка и контакты. ( настройка облачного пароля ). Правила выбора канала и запрет на отправку секретов разобраны в разделе «Выбрать защищённую связь».

Облачный пароль спрашивается на новом устройстве — и при входе по коду, и после того, как вы отсканировали QR-код своим телефоном. Ещё мошенники встраивают QR в «голосования» и «проверки»: отсканировав такой код, вы сами подтверждаете вход на устройстве мошенника.37 Сканируйте QR, только когда сами входите в Telegram на своём компьютере, и вводите облачный пароль только там.вывод автора

Telegram на Android и iPhone: «Облачный пароль»
  1. Откройте Telegram: Настройки → «Конфиденциальность» → «Облачный пароль».38
  2. Нажмите «Установить дополнительный пароль» (на iPhone — «Установить пароль»).39
  3. Сгенерируйте пароль в KeePassXC по короткому сценарию записи (оценка не ниже 128 bit): новый, не тот же, что от почты. Запись назовите Telegram — облачный пароль, затем нажмите ОК, Сохранить и Заблокировать базу. Введите пароль в Telegram и повторите его.
  4. Подсказку к паролю не вписывайте — пропустите этот шаг: подсказка видна тому, кто вводит пароль, и помогает подобрать его.вывод автора
  5. Укажите резервную почту — свою, ту, где вы только что включили второй фактор: если облачный пароль забудется, вернуть доступ поможет именно она.40
  6. Подтвердите почту: Telegram пришлёт письмо (проверьте и папку «Спам»), затем нажмите «Готово».41

Официально: FAQ Telegram про 2-Step Verification — страница только на английском, русской версии у неё нет.

Если Telegram не принял сгенерированный пароль, уберите из него спецсимволы (кнопка «/ * + & …» в генераторе) и сгенерируйте заново. вывод автора

Видеоподсказка / Video guide: Tech Talk — Как обезопасить Telegram | Полный Гайд

Если звук не включился автоматически, нажмите кнопку.

Tech Talk — Как обезопасить Telegram | Полный Гайд — подсказка именно к Telegram и его «Облачному паролю», не к Aegis или TOTP.

Раз в месяц и сразу после каждой смены телефона открывайте «Настройки» → «Устройства» и завершайте незнакомые сеансы;42 ( где открыть список сеансов ). вывод автора

Получилось — когда в настройках напротив «Облачного пароля» значится, что он включён, а на резервную почту пришло подтверждение.

Максимум

Дополнительно: код-пароль на само приложение. Берите, если телефон иногда остаётся в чужих руках разблокированным. Откройте «Настройки» → «Конфиденциальность» → «Код-пароль» (на iPhone — «Код-пароль и Face ID» или «Код-пароль и Touch ID»), включите код-пароль («Включить код-пароль») и поставьте автоблокировку через 1 час.43

Включить 2FA в WhatsApp

В WhatsApp это отдельный секрет (раньше PIN, в августе 2026 года WhatsApp сообщил, что заменил его полноценным паролем),44 который защищает перенос аккаунта на новый телефон. Он не заменяет код из SMS, а добавляет к нему ещё один секрет, который мошеннику придётся узнать отдельно.

WhatsApp на Android и iPhone: двухшаговая проверка
  1. Откройте WhatsApp: Android — три точки → «Настройки» → «Аккаунт» → «Двухшаговая проверка»; iPhone — «Настройки» → «Аккаунт» → «Двухшаговая проверка».45
  2. Нажмите кнопку включения (по описанию до 25.08.2026 — «Enable» на Android, «Turn on» на iPhone; после перехода с PIN на пароль подпись могла измениться) и задайте пароль.46
  3. Сгенерируйте пароль в KeePassXC по короткому сценарию записи (оценка не ниже 128 bit), запись назовите WhatsApp — двухшаговая проверка, затем нажмите ОК, Сохранить и Заблокировать базу. Введите пароль в WhatsApp и повторите его. Не храните его рядом с паролем от самого аккаунта.
  4. Почту для восстановления добавьте — ту же, где включён второй фактор — и подтвердите её кодом из письма.47 WhatsApp считает этот шаг необязательным; совет добавить её — вывод автора

Если WhatsApp не принял сгенерированный пароль, уберите из него спецсимволы и сгенерируйте заново; если не принял и этого — сократите длину, но не меньше 12 символов. вывод автора

Получилось — когда в разделе «Двухшаговая проверка» написано, что она включена.

Сохранить резервные коды

Резервные коды сохраняем только для почты Google: для Telegram и WhatsApp вы уже указали резервную почту, через неё возвращают доступ. вывод автора Число и вид кодов у разных сервисов разные; у Google их десять, а новый набор выпускают в разделе «Резервные коды»48 — если доступ уже потерян, перевыпускать будет нечем. Поэтому кладите их туда же, где лежат пароли, — в базу KeePassXC из темы про пароли, отдельной записью.

Резервные коды: отдельная запись в KeePassXC
  1. На экране Google откройте «Двухэтапная аутентификация» -> «Резервные коды» -> «Получить резервные коды». Не закрывайте экран, пока запись не проверена. ( резервные коды от сервиса ).
  2. Откройте базу KeePassXC и откройте меню «Группы» и нажмите Создать группу…, задайте имя группы Двухфакторная аутентификация.
  3. В этой группе нажмите Создать запись… (откроется окно «Добавить запись») и создайте отдельную запись, не смешивая её с записью пароля аккаунта.
  4. Заполните поля: Название: Google — резервные коды — личная почта; Логин: email аккаунта; Пароль: оставить пустым, потому что кодов несколько; Заметки: каждый код на отдельной строке, ровно как показал сервис, без склеивания и без лишней нумерации.
  5. Нажмите Сохранить, перепроверьте число и содержимое кодов с экраном сервиса и только после этого закройте экран сервиса.
  6. При использовании кода дождитесь, пока KeePassXC сам очистит буфер обмена, а после завершения работы нажмите Заблокировать базу.
  7. Результат: коды находятся в отдельной группе и записи, а не в названии, чате или скриншоте. Пустое поле Password здесь относится только к набору резервных кодов, а не ко всем записям KeePassXC.

Используйте один код за раз: скопируйте его, вставьте в форму входа и после этого дождитесь автоочистки буфера обмена. После успешного входа удалите только использованный код из Заметки, нажмите Сохранить и заблокируйте базу через Заблокировать базу. Не удаляйте остальные коды.

Резервные коды не заменяют TOTP: TOTP — это короткий код из приложения- генератора, а резервный код используется один раз, когда генератор недоступен. Получив резервные коды заново, откройте существующую запись, замените старый набор в Заметки, нажмите ОК при закрытии редактора, затем Сохранить. Снова сверьте с сервисом число и содержимое кодов, дождитесь автоочистки буфера обмена и заблокируйте базу через Заблокировать базу.

Получилось — когда запись сохранена, лишние копии кодов закрыты, использованный код удалён, а база заблокирована.

Цена второго фактора — несколько секунд на новом устройстве или после выхода из аккаунта: открыть приложение, подсмотреть код, ввести; на уже вошедшем устройстве код обычно не спрашивают, пока сессия активна. вывод автора

Если сводить тему к одной мысли: это тот самый ключ, который не разбросаешь по подъезду вместе с паролем, — и стоит он ровно те пять секунд, за которые чужая утечка пароля перестаёт быть вашей проблемой. В следующей теме — про обновления: самая скучная и самая недооценённая привычка, которая закрывает дыры, о существовании которых вы могли вообще не знать.

  1. Credential stuffing — OWASP Community, на англ. Проверено: 2026-10-13.↩︎

  2. RFC 6238: TOTP, одноразовые пароли по времени, на англ. Проверено: 2026-10-13.↩︎

  3. 2FAS Auth для Android: лицензия GPLv3 и 2FAS Auth для iOS: лицензия GPLv3, на англ. Проверено: 2026-10-13.↩︎

  4. 2FAS в Google Play (5 млн+ установок против 1 млн+ у Aegis и 100 тыс.+ у Ente Auth) и 2FAS в App Store (цена 0; около 35 тыс. оценок против менее 300 у Ente Auth), на англ. Проверено: 2026-10-13 (числа даны на эту дату).↩︎

  5. 2FAS: языки приложения: в списке готовых переводов русского нет, на англ. Проверено: 2026-10-13.↩︎

  6. 2FAS Auth: учебник («Settings → Security → Enable PIN Code», 4 или 6 цифр; забытый PIN не восстановить), на англ. Проверено: 2026-10-13.↩︎

  7. 2FAS: как работает синхронизация Google Drive («2FAS Backup», только Android), на англ. Проверено: 2026-10-13.↩︎

  8. 2FAS для iOS, исходный код правил пароля копии (ExportFileRules.swift) (допустимы буквы, цифры и часть спецсимволов; минимум 3 символа) и KeePassXC, окно генератора паролей (PasswordGeneratorWidget.ui) (кнопка спецсимволов «/ * + & …»), на англ. Проверено: 2026-10-13.↩︎

  9. 2FAS: как работает синхронизация Google Drive («Synchronisation Settings», пароль копии как дополнительная защита), на англ. Проверено: 2026-10-13.↩︎

  10. 2FAS Auth: учебник («Settings → Security → Enable PIN Code», 4 или 6 цифр; забытый PIN не восстановить), на англ. Проверено: 2026-10-13.↩︎

  11. 2FAS: как работает синхронизация iCloud (включается сама при входе в iCloud; ручное включение — «Settings → 2FAS Backup»), на англ. Проверено: 2026-10-13.↩︎

  12. 2FAS для iOS, исходный код правил пароля копии (ExportFileRules.swift) (допустимы буквы, цифры и часть спецсимволов; минимум 3 символа) и KeePassXC, окно генератора паролей (PasswordGeneratorWidget.ui) (кнопка спецсимволов «/ * + & …»), на англ. Проверено: 2026-10-13.↩︎

  13. 2FAS: как работает синхронизация iCloud («Manage Backup», дополнительный пароль копии, без него копию не восстановить), на англ. Проверено: 2026-10-13.↩︎

  14. Справка Android: дата и время. Проверено: 2026-10-13.↩︎

  15. Руководство пользователя iPhone: изменение даты и времени. Проверено: 2026-10-13.↩︎

  16. RFC 6238: TOTP, одноразовые пароли по времени, на англ. Проверено: 2026-10-13.↩︎

  17. 2FAS для iOS, строки интерфейса (Localizable.strings): «iCloud Sync stores encryption keys in iCloud Keychain», на англ. Проверено: 2026-10-13.↩︎

  18. Google Security Blog: как эффективны базовые подсказки аккаунта (2019, Google, NYU, UCSD), на англ. Проверено: 2026-10-13.↩︎

  19. Aegis Authenticator, официальный сайт, на англ. Проверено: 2026-10-13.↩︎

  20. Тексты интерфейса Aegis, русский перевод (strings.xml) («Безопасность», «Нет», «Пароль», предупреждение о потере пароля). Проверено: 2026-10-13.↩︎

  21. Тексты интерфейса Aegis, русский перевод (strings.xml) («Резервные копии», «Автоматическое резервирование хранилища»). Проверено: 2026-10-13.↩︎

  22. Ente Auth: частые вопросы («Use without backups», сквозное шифрование кодов в аккаунте, открытый код приложений), на англ. Проверено: 2026-10-13.↩︎

  23. Google Authenticator для Android на GitHub: открыт только устаревший форк, официальная версия остаётся закрытой, на англ. Проверено: 2026-10-13.↩︎

  24. Справка Google: приложение Google Authenticator: коды можно сохранять в аккаунте Google. Проверено: 2026-10-13.↩︎

  25. Web Authentication Level 3, W3C (учётные данные доступны только сайтам своей организации-получателя; проверка адреса сайта: раздел «Validating the origin of a credential»), на англ. Проверено: 2026-10-13.↩︎

  26. RFC 6238: TOTP, одноразовые пароли по времени, на англ. Проверено: 2026-10-13.↩︎

  27. Aegis, тексты интерфейса (strings.xml) («Import & Export», «Export», «Import from file», формат «Text file (.TXT)») и Aegis, код экспорта (ImportExportPreferencesFragment.java) (для текстового формата шифрование выключено и требуется подтверждение), на англ. Проверено: 2026-10-13.↩︎

  28. Справка Google: резервные коды и Справка Google: изменить пароль: раздел назван «Безопасность и вход в аккаунт» (в английской справке — Security & sign-in; на русской странице про включение двухэтапной аутентификации он назван короче, «Безопасность и вход»). Проверено: 2026-10-13.↩︎

  29. Справка Google: включить двухэтапную аутентификацию («Вход в Google» → «Включить двухэтапную аутентификацию») и Справка Google: резервные коды («Вход в Google» → «Двухэтапная аутентификация»). Проверено: 2026-10-13.↩︎

  30. Справка Google: приложение Authenticator для двухэтапной аутентификации: «Настроить Authenticator», на некоторых устройствах «Начать». Проверено: 2026-10-13.↩︎

  31. 2FAS Auth: учебник (кнопка «+»: на Android внизу справа, на iOS вверху справа; «Scan a QR Code»), на англ. Проверено: 2026-10-13.↩︎

  32. Справка Google: резервные коды: набор из 10 кодов, 8 цифр, каждый одноразовый. Проверено: 2026-10-13.↩︎

  33. Справка Google: включить двухэтапную аутентификацию: уведомления от Google рекомендованы при отсутствии ключа доступа, проще ввода кода и защищают от подмены сим-карты. Проверено: 2026-10-13.↩︎

  34. Справка Google: включить двухэтапную аутентификацию: при входе с ключом доступа второй этап пропускается. Проверено: 2026-10-13.↩︎

  35. Telegram FAQ: двухэтапная проверка, на англ. Проверено: 2026-10-13.↩︎

  36. Русский перевод интерфейса Telegram для Android, translations.telegram.org. Проверено: 2026-10-13.↩︎

  37. Пересказ в Bitdefender: схема с QR-кодом Telegram (QR выдают за «голосование» или «проверку»; сканирование открывает сессию мошенника, пароль не запрашивается), на англ. Проверено: 2026-10-13.↩︎

  38. Telegram FAQ: двухэтапная проверка (Settings > Privacy and Security > 2-Step Verification) и русский перевод интерфейса Telegram для Android («Конфиденциальность», «Облачный пароль»), на англ. Проверено: 2026-10-13.↩︎

  39. Русский перевод интерфейса Telegram для Android («Установить дополнительный пароль») и для iOS («Установить пароль»). Проверено: 2026-10-13.↩︎

  40. Telegram FAQ: двухэтапная проверка, на англ. Проверено: 2026-10-13.↩︎

  41. Русский перевод интерфейса Telegram для Android, translations.telegram.org («проверьте почту (не забудьте о папке со спамом)», «Готово»). Проверено: 2026-10-13.↩︎

  42. Telegram FAQ: Settings > Devices, на англ. Проверено: 2026-10-13.↩︎

  43. Русский перевод интерфейса Telegram для Android («Код-пароль», «Включить код-пароль», «Автоблокировка») и для iOS («Код-пароль и Face ID», «Через один час»). Проверено: 2026-10-13.↩︎

  44. WhatsApp Blog: защита аккаунта, пароль вместо PIN (25.08.2026), на англ. Проверено: 2026-10-13.↩︎

  45. WhatsApp Help Center: о двухшаговой проверке (Settings > Account > Two-step verification; страница целиком не открылась, путь взят из выдачи поиска) и пересказ в Malwarebytes, на англ. Проверено: 2026-10-13.↩︎

  46. Пересказ в Malwarebytes: как включить двухшаговую проверку в WhatsApp («Enable» на Android, «Turn on» на iPhone; описание до замены PIN паролем), на англ. Проверено: 2026-10-13.↩︎

  47. Пересказ в Malwarebytes: как включить двухшаговую проверку в WhatsApp (почта для восстановления и код из письма), на англ. Проверено: 2026-10-13.↩︎

  48. Справка Google: резервные коды. Проверено: 2026-10-13.↩︎