Двухфакторная аутентификация: как включить в 8 сервисах и выбрать второй фактор

Чтобы включить двухфакторную аутентификацию, откройте настройки безопасности аккаунта и найдите пункт со словами «двухфакторная», «двухэтапная» или «вход с подтверждением». Дальше выберите второй фактор, подтвердите его кодом и сразу сохраните резервные коды. Второй фактор ставьте из приложения-аутентификатора: код считается на самом телефоне, его нельзя перехватить в сети, и он работает без связи.

Ниже пошаговые пути для восьми сервисов: Госуслуги, Telegram, ВКонтакте, Яндекс ID, Почта Mail, аккаунт Google, Apple ID и GitHub. В конце разберём, как устроен шестизначный код и что делать, если телефон потерян.

CheckroiПодборка курсов по информационной безопасности287 курсов • 41 школаСравните цены, школы, программу и найдите выгодные предложения по обучениюСравнить→

Что такое двухфакторная аутентификация простыми словами

Двухфакторная аутентификация (2FA) — это вход в аккаунт, при котором сервис просит два доказательства разного типа. Пароль идёт первым. Второе вы получаете на устройстве, которое у вас в руках, или подтверждаете отпечатком пальца.

Факторы делят на три группы:

• знание: пароль, ПИН-код, ответ на секретный вопрос;
• владение: телефон с SMS или приложением, аппаратный ключ;
• свойство: отпечаток пальца, лицо, голос.

Двухфакторной защиту делают два фактора из разных групп. Пароль и секретный вопрос относятся к «знанию», и украсть их можно одним письмом. Пароль плюс код с телефона уже требует, чтобы злоумышленник получил и вашу тайну, и ваше устройство.

Насколько это помогает, Microsoft в 2019 году сформулировала коротко: многофакторная аутентификация блокирует больше 99,9 % атак на взлом аккаунтов. Цифра относится к массовым атакам с подобранными и утёкшими паролями. От мошенника, который уговорил вас продиктовать код, она не спасает. Как с этим работают специалисты по информационной безопасности, расскажем в последнем разделе.

«Двухэтапная проверка», «подтверждение входа», «облачный пароль» и «вход с подтверждением» называют одну и ту же функцию в разных сервисах, так что ищите любое из этих названий.

Какой второй фактор выбрать

Большинство сервисов предлагают несколько вариантов сразу. Разница между ними в том, от чего каждый защищает и где у него слабое место.

Практический выбор: основным фактором поставьте приложение-аутентификатор, а запасным резервные коды. SMS оставьте как способ восстановления, а не как единственную защиту.

Аппаратный ключ имеет смысл для почты и аккаунтов, через которые восстанавливаются все остальные. Взломанная почта открывает сброс паролей по всей цепочке, поэтому её защищают первой.

Ключи доступа (passkey) стоит включить там, где сервис их предлагает. Google в справке называет их простой и безопасной альтернативой паролям: вход подтверждается отпечатком пальца, лицом или PIN-кодом экрана блокировки, а сам ключ хранится в телефоне или компьютере.

Их главный плюс в защите от фишинга. Шестизначный код можно по ошибке ввести на поддельной странице, а ключи доступа, как пишет Google, защищают аккаунт от фишинговых атак. Как устроена такая криптография и почему она устойчива к подделке, разбирают на курсах по кибербезопасности.

Общий порядок включения в любом сервисе

Интерфейсы разные, но последовательность почти всегда одна и та же. Если вашего сервиса нет в списке ниже, пройдите эти шаги.

1. Проверьте, что к аккаунту привязаны актуальный телефон и резервная почта. Без них восстановить доступ после ошибки будет сложнее.
2. Установите приложение-аутентификатор, если планируете входить по кодам из него.
3. Откройте в аккаунте раздел безопасности: он называется «Безопасность», «Вход и безопасность» или похоже.
4. Выберите двухфакторную аутентификацию и способ получения кода.
5. Отсканируйте QR-код приложением или введите секретный ключ вручную, затем введите код, который приложение покажет.
6. Сохраните резервные коды на бумаге или в менеджере паролей.
7. Выйдите из аккаунта и войдите снова, чтобы убедиться, что всё работает.

Если аккаунтов много, включайте защиту по порядку важности, а не по алфавиту:

1. Основная почта. Через неё сбрасываются пароли всех остальных сервисов, поэтому её взлом открывает всю цепочку.
2. Госуслуги и банковские приложения. Здесь живут документы, налоги и деньги.
3. Мессенджеры. Угнанный Telegram используют, чтобы просить деньги у ваших знакомых от вашего имени.
4. Аккаунт телефона (Apple ID или Google). Через него находят, блокируют и стирают устройство.
5. Рабочие сервисы и соцсети: GitHub, облачные диски, ВКонтакте.

На первые три пункта уходит минут двадцать, и это закрывает большую часть риска.

Седьмой шаг часто пропускают. Зря: ошибку лучше найти сейчас, пока вы ещё авторизованы и можете всё переделать. Заодно убедитесь, что резервные коды лежат там, где вы найдёте их без этого телефона, например в распечатке или в менеджере паролей.

Как пройти проверку при входе

После включения вход выглядит так:

1. Введите логин и пароль как обычно.
2. Сервис попросит код или пришлёт запрос на телефон.
3. Откройте приложение-аутентификатор или SMS и введите код. В приложении он меняется каждые 30 секунд: если до смены осталось пара секунд, спокойнее дождаться нового.
4. На своём компьютере можно отметить, что устройство доверенное. В Почте Mail это галочка «Не спрашивать для этого устройства», у других сервисов формулировки похожие.

На чужом или рабочем компьютере доверие устройству не включайте и после работы выходите из аккаунта. Иначе следующий человек за этим компьютером войдёт без кода.

Как включить двухфакторную аутентификацию в 8 сервисах

Названия пунктов иногда меняются, поэтому рядом с каждым сервисом стоит ссылка на его справку.

Как мы отбирали сервисы

В список попали аккаунты, взлом которых обходится дороже всего, по четырём признакам:

• Госуслуги: второй фактор там обязателен, а через аккаунт доступны документы и заявления;
• почта и аккаунт телефона (Яндекс ID, Почта Mail, Google, Apple ID): через них сбрасываются пароли остальных сервисов;
• мессенджер и соцсеть (Telegram и ВКонтакте): от имени угнанного профиля просят деньги у знакомых;
• GitHub: для тех, кто пишет код, через угнанный аккаунт можно подменить код в ваших репозиториях.

Банковские приложения в список не вошли: у каждого банка свой порядок входа и подтверждения операций, и описывает его справка конкретного банка. Игровые платформы тоже не вошли, хотя защиту в них стоит включить по тому же общему порядку.

Госуслуги

На Госуслугах второй фактор обязателен для всех пользователей с 28 октября 2023 года. Если вы его так и не выбрали, портал предложит это при входе.

1. Войдите на gosuslugi.ru и откройте профиль.
2. Перейдите в раздел «Безопасность» → «Вход с подтверждением».
3. Выберите способ: одноразовый код из приложения, биометрию или SMS.
4. Для кода из приложения введите пароль, отсканируйте QR-код или введите секретный ключ. В приложении появится запись gosuslugi с обновляющимся кодом.
5. Введите текущий код из приложения на портале.

С декабря 2025 года Минцифры постепенно отказывается от SMS при входе с мобильных устройств. На телефоне доступны код в мессенджере MAX, код из приложения и биометрия, SMS осталась только для входа с компьютера. Схемы с выманиванием кодов в банках и на порталах отслеживают антифрод-аналитики. В мобильном приложении «Госуслуги» сессия длится 6 месяцев, вводить код при каждом запуске не нужно.

Telegram

В Telegram второй фактор называется облачным паролем. После включения при входе с нового устройства понадобятся и код, и этот пароль.

1. Откройте настройки приложения.
2. Откройте раздел «Конфиденциальность», а в нём пункт «Облачный пароль».
3. Придумайте пароль, который не используете больше нигде, и подсказку к нему.
4. Укажите почту для восстановления и подтвердите её кодом из письма.

Если забудете облачный пароль, доступ вернёт почта для восстановления, поэтому защитите и её надёжным паролем и двухфакторной аутентификацией. Основы мессенджера собраны в инструкции по Telegram для новичков.

ВКонтакте и VK ID

Настройка живёт не в самой соцсети, а в личном кабинете VK ID на id.vk.com.

1. Откройте id.vk.com.
2. Перейдите в «Безопасность и вход» → «Способы входа» → «Двухфакторная аутентификация».
3. Выберите «Телефон» для кодов в SMS или «Приложение для генерации кодов» для кодов из аутентификатора.
4. Там же откройте «Дополнительные варианты входа» → «Резервные коды» и сохраните список.

До включения проверьте, что в профиле есть и телефон, и почта. Служба безопасности VK предупреждает: если указан только номер, восстановить доступ через форму сброса пароля не получится, придётся подавать заявку и подтверждать личность по фото.

Яндекс ID

Яндекс включает вход по паролю и одноразовому коду из приложения Яндекс ID (Ключ). Подойдёт и любое другое приложение с поддержкой TOTP.

1. Откройте Яндекс ID и вкладку «Безопасность».
2. В разделе «Способ входа» нажмите «Текущий способ» и выберите «Пароль + Одноразовый пароль».
3. Нажмите «Начать настройку» и подтвердите номер телефона кодом из SMS.
4. В приложении нажмите «+» → «Сканировать QR-код». Если камера не считывает код, нажмите «Добавить вручную».
5. Введите на сайте одноразовый пароль из приложения.

По справке Яндекс ID одноразовый пароль действует 30 секунд. Не успели ввести, дождитесь следующего.

Почта Mail

В Почте Mail двухфакторная аутентификация работает через код в SMS. Включается она только в веб-версии: в приложении на телефоне такой возможности нет.

1. Откройте почту на сайте.
2. В левом нижнем углу перейдите в «Настройки» → «Все настройки» → «Безопасность» → «Двухфакторная аутентификация».
3. Нажмите «Подключить», выберите номер и введите код из SMS и пароль.
4. Нажмите «Продолжить».
5. В том же разделе выберите «Резервные коды» и сохраните их.

Резервные коды Mail показывает только один раз, при следующем заходе можно лишь создать новые. Если читаете почту в Outlook или The Bat!, для программы нужно создать специальный пароль и ввести его вместо обычного пароля и кода. Как такие программы подключаются к ящику, разобрано в статье про протоколы SMTP, IMAP и POP3.

Google

Google называет функцию двухэтапной аутентификацией и предлагает несколько вариантов второго фактора: уведомления на телефон, ключи доступа, коды из приложения, SMS и резервные коды.

1. Откройте страницу «Аккаунт Google».
2. Нажмите «Безопасность и вход».
3. В разделе «Вход в Google» выберите «Включить двухэтапную аутентификацию».
4. Следуйте подсказкам на экране и добавьте второй способ входа.

Резервный код Google состоит из восьми цифр и выручает, если телефон потерян. Список можно распечатать или скачать.

Apple ID

У Apple функция называется двухфакторной аутентификацией и включается в настройках устройства.

1. На iPhone или iPad откройте «Настройки», нажмите на своё имя и выберите «Вход и безопасность».
2. Включите двухфакторную аутентификацию и следуйте подсказкам.
3. На Mac путь тот же через «Системные настройки» → ваше имя → «Вход и безопасность».

Учтите: по справке Apple для аккаунтов, созданных с двухфакторной аутентификацией, эту защиту нельзя отменить. Если вы включили её недавно, снизить уровень защиты можно в течение двух недель.

GitHub

Интерфейс GitHub английский, поэтому названия кнопок ниже даны в оригинале. Двухфакторную защиту здесь стоит включить каждому, у кого есть репозитории: через аккаунт разработчика злоумышленник может подменить код. О базовой работе с репозиториями есть статья про форк на GitHub.

1. Нажмите на аватар в правом верхнем углу и откройте «Settings».
2. В разделе «Access» выберите «Password and authentication».
3. Нажмите «Enable two-factor authentication».
4. Отсканируйте QR-код приложением или нажмите «setup key», чтобы ввести ключ вручную.
5. Введите код из приложения в поле «Verify the code from the app».
6. Скачайте коды восстановления кнопкой «Download» и подтвердите «I have saved my recovery codes».

Подробности есть в документации GitHub.

Приложения-аутентификаторы и как устроен код

Все приложения ниже считают коды по одному открытому алгоритму, поэтому для большинства сервисов подходит любое. Выбирайте по тому, как приложение переносит коды на новый телефон.

Какое приложение поставить

• Яндекс ID (Ключ): работает с Яндексом и с любым сервисом, где есть QR-код для TOTP.
• Google Authenticator: генерирует коды для сайтов и приложений, которые поддерживают двухэтапную аутентификацию.
• Aegis Authenticator: бесплатное приложение с открытым кодом для Android: коды лежат в зашифрованном хранилище, их можно экспортировать и перенести.

При выборе смотрите на три вещи:

• можно ли перенести коды на новый телефон без повторной настройки каждого сервиса;
• закрывается ли само приложение PIN-кодом или отпечатком, ведь коды в нём открывают ваши аккаунты;
• нужен ли для работы аккаунт производителя или приложение хранит коды только на устройстве.

Перед сменой телефона перенесите коды в новое приложение или заранее сохраните резервные коды каждого сервиса. Сброшенный старый телефон без этого шага превращает вход в долгую процедуру восстановления.

Откуда берётся шестизначный код

При настройке сервис и приложение договариваются об общем секретном ключе: он зашит в QR-код. Дальше приложение берёт текущее время, делит его на окна по 30 секунд и считает хеш от ключа и номера окна. Алгоритм описан в стандарте RFC 6238, его называют TOTP.

Вот этот расчёт целиком на Python, без сторонних библиотек:

import hmac, hashlib, struct, time

def totp(secret: bytes, t: int, step: int = 30, digits: int = 6) -> str:
    counter = t // step                       # номер 30-секундного окна
    msg = struct.pack(">Q", counter)          # 8 байт, старший байт первым
    h = hmac.new(secret, msg, hashlib.sha1).digest()
    offset = h[-1] & 0x0F                     # динамическое усечение
    code = struct.unpack(">I", h[offset:offset + 4])[0] & 0x7FFFFFFF
    return str(code % 10 ** digits).zfill(digits)

secret = b"12345678901234567890"              # тестовый ключ из RFC 6238
print(totp(secret, 59, digits=8))             # момент 59 с от 1970 года
print(totp(secret, 1111111109, digits=8))
print(totp(secret, 59))                       # шесть цифр, как в приложениях

Вывод:

94287082
07081804
287082

Первые две строки совпадают с контрольными значениями из приложения B стандарта. Из кода видны три практических следствия:

• интернет не нужен: код зависит только от ключа и времени, поэтому приложение работает в самолёте;
• время на телефоне должно быть точным: если часы ушли на минуту, телефон считает код для другого окна, и сервис его отвергнет;
• секретный ключ и есть ваш второй фактор: кто получил QR-код или ключ, тот сгенерирует те же коды.

Отсюда правило: скриншот QR-кода не отправляйте никому и не храните в общей галерее. Так же коды проверяются и на стороне сервиса, и ошибки в этой проверке ищут AppSec-инженеры.

Резервные коды, перенос и отключение

Двухфакторная защита работает в обе стороны: она не пускает чужих, но может не пустить и вас, если телефон потерян. Резервные коды на этот случай и придуманы.

Как их хранить:

• распечатать и положить к документам;
• сохранить в менеджере паролей, который защищён своим мастер-паролем;
• не хранить в заметках того же телефона, где стоит аутентификатор.

Если резервных кодов нет, остаётся процедура восстановления конкретного сервиса. Она может растянуться на дни и почти всегда требует доступа к привязанному номеру или почте. Поэтому актуальные контакты в профиле важнее любого приложения.

Отдельно о блокировке самого телефона: если забыли его код, сначала понадобится разблокировать телефон, и только потом можно добраться до аутентификатора.

Как перенести коды на новый телефон

Старый телефон не сбрасывайте, пока коды не заработают на новом. Порядок такой:

1. Установите аутентификатор на новый телефон.
2. Перенесите коды средствами приложения. В Google Authenticator это меню «Перенести аккаунты» → «Экспорт аккаунтов»: старый телефон покажет QR-код, новый его отсканирует. Если вы вошли в приложение с аккаунтом Google, коды синхронизируются сами.
3. Если у приложения нет переноса, зайдите в каждый сервис и привяжите аутентификатор заново.
4. Проверьте вход в каждый важный аккаунт с новым кодом и только после этого сбрасывайте старый телефон.

Как отключить двухфакторную аутентификацию

Обычно функцию выключают там же, где включали, и сервис просит подтвердить это кодом. В Почте Mail путь такой: «Настройки» → «Все настройки» → «Безопасность» → «Двухфакторная аутентификация» → «Отключить двухфакторную аутентификацию», затем код из SMS и пароль.

Отключать защиту насовсем не стоит: аккаунт возвращается к одному паролю. На Госуслугах выключить второй фактор нельзя, он обязателен, можно только сменить способ. У Apple для аккаунтов, созданных с двухфакторной аутентификацией, её тоже нельзя отменить.

Канал основателя Checkroi Вани БуявцаЗабирайте промпты и обучение по нейросетям в моём Телеграм-каналеБольше 3 800 человек уже применяют Claude Code, ChatGPT и другие нейросети в работе, учёбе, бизнесе и жизниПерейти в канал→

Частые ошибки и что с ними делать

Код из приложения не подходит

Чаще всего на телефоне неточное время, например выставлено вручную. Код считается от времени, и при расхождении больше чем на окно сервис его отвергнет.

Решение: включите в настройках телефона автоматическую установку даты и времени и подождите следующий код.

SMS с кодом не приходит

Причины обычно бытовые: телефон в авиарежиме, на балансе минус, SMS ушла в фильтр спама или оператор задерживает сообщения.

Решение: проверьте связь, перезагрузите телефон и запросите код повторно. Если сервис позволяет, переключитесь на приложение-аутентификатор: оно от оператора не зависит.

Сменили телефон и потеряли коды

Старое приложение удалено, новое пустое, а сервис просит код. Это самая частая ситуация, ради которой нужны резервные коды.

Решение: войдите по резервному коду и заново привяжите аутентификатор. Если кодов нет, запускайте восстановление в справке сервиса.

Продиктовали код «службе безопасности»

Звонок от «службы безопасности» с просьбой назвать код используют мошенники. Справка Google прямо предупреждает: Google не звонит для проверки кода. Минцифры объясняло отказ от SMS на мобильных устройствах ростом случаев, когда пользователи сами передают коды для входа.

Решение: сразу смените пароль, завершите все сеансы в разделе безопасности и проверьте способы входа. Злоумышленник часто добавляет туда своё устройство или номер.

Пришёл запрос на вход, а вы ничего не делали

Push-уведомление «Это вы входите?» без вашего действия означает, что пароль уже у кого-то есть. Злоумышленник надеется, что вы нажмёте «Да» по привычке или чтобы уведомления прекратились.

Решение: отклоните запрос и сразу смените пароль. Второй фактор свою работу сделал, но первый уже скомпрометирован.

Почтовая программа перестала входить

После включения 2FA в Почте Mail программы вроде Outlook не могут ввести SMS-код и пишут об ошибке пароля.

Решение: создайте для программы специальный пароль по справке Почты Mail и введите его вместо обычного.

Где освоить информационную безопасность системно

Включить двухфакторную защиту в личных аккаунтах можно за вечер. Настроить её для сотрудников компании, разобрать фишинговую атаку или найти уязвимость в форме входа уже требует профессии. С чего в неё зайти, мы разобрали в статьях о специалисте по кибербезопасности и о том, как им стать с нуля.

Программы обучения собраны в каталоге курсов по информационной безопасности. Ниже пять из них с ценами и длительностью.

Курс	Школа	Стоимость со скидкой	В рассрочку	Длитель­ность	Обзор курса от Checkroi
ДО Профессия Специалист по кибербезопасности 2.0 Перейти на сайт курса	GeekBrains	141 563 ₽	3933 ₽/мес.	12 месяцев	Обзор курса
Кибербезопасность Перейти на сайт курса	Нетология	200 000 ₽	-	24 месяца	Обзор курса
Специалист по кибербезопасности Перейти на сайт курса	Эдюсон	145 900 ₽	6079 ₽/мес.	5 месяцев	Обзор курса
Онлайн-магистратура МИФИ "Информационная безопасность" Перейти на сайт курса	SkillFactory	225 000 ₽	-	24 месяца	Обзор курса
Магистратура «Кибербезопасность» с НИУ ВШЭ Перейти на сайт курса	Нетология	310 000 ₽	-	23 месяца	Обзор курса

• 

  ДО Профессия Специалист по кибербезопасности 2.0

  GeekBrains141 563 ₽3933 ₽/мес12 месяцев
  Перейти на сайт курсаОбзор
• 

  Кибербезопасность

  Нетология200 000 ₽24 месяца
  Перейти на сайт курсаОбзор
• 

  Специалист по кибербезопасности

  Эдюсон145 900 ₽6079 ₽/мес5 месяцев
  Перейти на сайт курсаОбзор
• 

  Онлайн-магистратура МИФИ "Информационная безопасность"

  SkillFactory225 000 ₽24 месяца
  Перейти на сайт курсаОбзор
• 

  Магистратура «Кибербезопасность» с НИУ ВШЭ

  Нетология310 000 ₽23 месяца
  Перейти на сайт курсаОбзор

Больше программ — в полном каталоге курсов по информационной безопасности