Включение второго фактора занимает пять минут, а выбор метода определяет две вещи: что случится при потере телефона и что случится, если вы попадёте на поддельную страницу входа. Порядок один для всех сервисов: сначала приложение-генератор или аппаратный ключ, затем резервные коды на бумагу, затем проверка входа с другого устройства — и только последним шагом отключение подтверждения по SMS.

Разберу, чем методы отличаются по устойчивости, куда положить ключ настройки, как поменять телефон и не потерять доступ, и от чего второй фактор не спасает вовсе.

Три метода и что каждый закрывает

Разница между строками качественная, а не количественная. Первые два метода передают секрет через ваши руки, а значит, его можно выманить или перехватить. Третий не передаёт ничего. Подпись привязана к адресу сайта криптографически и на копии не сработает, а сам переход я разбирал в материале о входе по ключу доступа.

Отсюда рекомендация. Ключ доступа там, где он есть; приложение-генератор везде остальном; SMS — только если других вариантов сервис не даёт, и тогда с оглядкой на риск перевыпуска SIM-карты.

Как устроен код в приложении

Механика несложная. При настройке сервис показывает квадратный код или строку — это общий секрет. Приложение сохраняет его и считает шестизначное число из двух величин — секрета и текущего времени, которое известно обеим сторонам без всякого обмена данными. Каждые тридцать секунд число меняется.

Ничего никуда не передаётся: код рассчитывается на устройстве, интернет для этого не нужен, а сервис считает то же самое число у себя и сравнивает результаты. Отсюда два следствия.

• Время имеет значение. Если часы на телефоне ушли, коды перестанут подходить. Лечится включением автоматической синхронизации времени.
• Секрет — это и есть доступ. Кто получил ту самую строку с настройки, тот генерирует ваши коды у себя. Скриншот в галерее телефона — плохая идея.

Порядок включения

Третий шаг пропускают почти все, а он и есть страховка. Секрет показывается один раз; после завершения настройки сервис его больше не покажет, и восстановить генерацию кодов без него нельзя.

Что писать в поле «название записи»

Мелочь, которая однажды экономит час. Приложение подписывает каждую запись именем сервиса и адресом почты, но при десятке счетов подписи становятся одинаковыми, а при переносе на новое устройство порядок записей меняется.

Полезно сразу переименовать записи так, чтобы различать их без раздумий: название площадки, назначение счёта, последние цифры привязанной почты. Тогда в спешке вы не станете вводить код от одного счёта в форму другого и не удалите нужную запись, разбирая старые.

Куда положить секрет и резервные коды

Правило одно. Не туда, куда попадёт тот, кто взломает ваш основной ящик. Секрет и резервные коды не хранят в почте, в заметках телефона и в облачной галерее.

Вариантов два. Первый — менеджер паролей с собственным вторым фактором, отдельным от этого. Второй — бумага в месте, где лежит фраза восстановления кошелька. Второй надёжнее, но требует дисциплины.

Облачная синхронизация: удобство против риска

Современные приложения умеют сохранять коды в облаке и переносить их на новое устройство сами. Функция необязательная и включается отдельно; разработчики подчёркивают, что привязывать генератор к общей учётной записи никто не обязывает.

Взвешивать тут приходится две вещи. С синхронизацией потеря телефона перестаёт быть катастрофой: коды восстанавливаются на новом устройстве за минуту. Без неё каждая смена телефона — отдельная операция, зато компрометация вашей учётной записи в экосистеме не даёт злоумышленнику доступа к генератору.

Мой ответ зависит от суммы. Для повседневных сервисов синхронизация оправдана: риск забыть перенести коды выше риска взлома платформенного аккаунта. Для биржевых счетов лучше держать генератор без синхронизации, а страховкой сделать резервные коды на бумаге.

Смена телефона

Ошибка почти всегда одна. Старый телефон сбрасывают до проверки нового. Дальше начинается восстановление доступа через поддержку с документами и ожиданием, и на биржевом счёте это недели без операций.

Push-подтверждение и уведомления

Четвёртый метод стоит особняком. Сервис присылает уведомление в своё приложение, а вы нажимаете «это я». Кода нет вовсе.

Устойчивость такого подтверждения средняя. Против перевыпуска SIM-карты оно работает, против поддельной страницы — в зависимости от реализации: если в уведомлении показаны устройство, город и совпадающие с экраном цифры, подмену видно, а если там одна кнопка — нет.

Отдельная беда — усталость от запросов. Злоумышленник с вашим паролем отправляет запросы подряд, ночью, десятками, пока измученный человек не нажмёт подтверждение, чтобы это прекратилось. Приём отработанный, а правило короткое. Неожиданный запрос — отказ и смена пароля.

Чего второй фактор не закрывает

Здесь придётся быть точным. Код из приложения не защищает от поддельной страницы. Схема с посредником работает в реальном времени: копия сайта принимает ваш логин и код, передаёт их на настоящий сервис, получает готовую сессию и оставляет её себе. Такие кампании в 2026 году шли массово, и второй фактор в них проходил сам пользователь.

Не закрывает он и вредонос на устройстве, и разговор, в котором у вас вежливо попросят продиктовать код. Формулировки бывают убедительными.

Второй фактор на действия, а не только на вход

Вход — половина дела. Вторая половина в том, что можно сделать, уже войдя, и здесь у площадок есть отдельные настройки, которые включают реже.

1. Подтверждение на вывод. Отдельный код или ключ на каждую операцию вывода, а не только на вход в кабинет.
2. Белый список адресов. Вывод разрешён только на заранее внесённые адреса, добавление нового — с выдержкой по времени.
3. Подтверждение на смену настроек. Изменение почты, телефона и способа подтверждения требует второго фактора.
4. Ограничения для программных ключей. Если пользуетесь торговым интерфейсом, запретите вывод по ключу и привяжите его к адресу.

Эти четыре пункта закрывают сценарий, где злоумышленник всё-таки оказался внутри кабинета: пароль подобран, второй фактор пройден, а вывести средства всё равно не получается. Пересматривайте их раз в год. Остальные настройки собраны в чек-листе безопасности криптокошелька.

Сколько факторов на самом деле нужно

Ответ зависит от суммы. Для биржевого счёта я советую три независимых элемента, ни один из которых не зависит от двух других.

1. Основной фактор. Аппаратный ключ или ключ доступа на самом устройстве.
2. Запасной фактор. Приложение-генератор на другом устройстве или второй ключ.
3. Аварийный выход. Резервные коды на бумаге, вне дома и вне почты.

Проверка независимости занимает минуту. Телефон утонул — остаются второй и третий. Взломали почту — те же двое. Сгорели бумаги? Остаются первый и второй.

Если в каком-то из трёх сценариев не остаётся ничего — схема собрана неверно, и чинить её надо сегодня, а не в тот день, когда сценарий случится.

Если доступ всё же потерян

Сначала — резервные коды. Один код одноразовый, после использования он сгорает, поэтому сразу после входа подключите второй фактор заново и скачайте новый набор.

Кодов нет — остаётся восстановление через поддержку. Готовьтесь к проверке личности и к ожиданию: площадки намеренно притормаживают вывод после смены способа подтверждения, потому что именно этим путём заходят злоумышленники, и несколько дней паузы здесь — норма, а не придирка. Второй фактор давно стал базовым уровнем цифровой гигиены, и восстановление доступа сервисы проверяют тем строже, чем важнее счёт.