Как получить свой код 2FA

Что нужно перед началом

Доступ к аккаунту — это очевидно: вы уже должны быть вошли в сервис, который хотите защитить. Помимо этого важны две вещи. Первая: сервис должен предлагать вариант с приложением-аутентификатором в качестве второго фактора; это покрывает Google, Microsoft, GitHub, Discord, Steam, AWS, Coinbase, Kraken, Binance, X и большинство банков и бирж. Вторая: вам нужно место, где запускатьаутентификатор: мобильное приложение или — ради этого сайт и существует — этот браузерный инструмент, который вычисляет ровно те же коды без установки чего-либо.

Заметка о названиях: сервисы называют этот второй фактор «двухфакторной аутентификацией», «2FA», «двухэтапной проверкой», «TOTP» или «приложением-аутентификатором». За вывесками скрывается одно и то же — одноразовый код на основе времени, вычисленный из общего секрета. Если вы хотите понять механизм, а не просто пользоваться им, прочитайте Что такое 2FA? Как работает TOTP.

Шаг 1: включите 2FA и покажите ключ настройки

Откройте настройки безопасности своего аккаунта и найдите раздел двухфакторной аутентификации. Выберите вариант с приложением-аутентификатором. Сервис покажет QR-код, чтобы вы отсканировали его телефоном, — и на этом экране почти всегда есть альтернатива: ссылка с текстом «не удаётся отсканировать?», «ввести код вручную» или «ключ настройки». Перейдя по ней, вы увидите настоящий секрет: строку Base32 вроде JBSWY3DPEHPK3PXP, иногда завёрнутую в полный URI otpauth://, который вдобавок содержит метку аккаунта, количество цифр, период обновления и алгоритм хеширования.

Этот ключ и есть учётное данное — переносимый эквивалент вашего пароля для второго фактора. Обращайтесь с этим экраном как с экраном восстановления: ни один легитимный сотрудник никогда не попросит вас вставить ключ настройки в письмо или чат. Скопируйте его, завершите включение 2FA (большинство сервисов требуют работающий код для подтверждения) и сохраните оригинал в зашифрованном месте — например, в менеджере паролей.

Шаг 2: вставьте ключ в генератор

В генераторе в верхней части нашей главной страницы вставьте то, что скопировали, — голую строку Base32 или полную ссылку otpauth://; подходит и то и другое. Через секунды появится живой 6-значный код, обновляющийся каждые 30 секунд. Ключ можно импортировать и из изображения: вставьте снимок QR-кода прямо на страницу сочетанием Ctrl+V, перетащите файл изображения или отсканируйте QR-код камерой — декодирование происходит локально, и ничто не загружается в сеть. Если сервис использует нестандартную конфигурацию (коды из 8 цифр, периоды 15/30/60 секунд, SHA-256 или HOTP со счётчиком), полный URI otpauth:// содержит все эти параметры, и генератор учитывает их автоматически.

Шаг 3: скопируйте живой код и завершите вход

Введите текущий код на экране проверки до того, как он сменится. Каждый код действует в течение 30-секундного окна (короче или дольше у сервисов со своими периодами), поэтому, если обратный отсчёт подошёл к последним секундам, дождитесь следующего кода вместо того, чтобы в спешке вводить уже устаревший. Дальше каждый вход в этот сервис повторяет один и тот же цикл: открываете генератор → копируете код → вставляете его. Ваш последний ключ запоминается только в локальном хранилище вашего браузера, поэтому следующий визит — в одном нажатии.

Где найти ключ настройки в популярных сервисах

Каждый сервис прячет опцию аутентификатора в своём месте, поэтому мы публикуем пошаговые руководства по настройке, которые дополняют этот генератор, — и заканчиваются тем, что вы вставляете ключ здесь и завершаете настройку. Самые востребованные: Google, Microsoft, Discord, GitHub, Steam, AWS, Coinbase, Kraken и Binance.

Устранение неполадок: что делать, если не работает

Код не принимается. На практике почти всегда дело в расхождении часов на устройстве, где запущен генератор. TOTP сравнивает ваш код с кодом, вычисленным по часам сервиса; если ваши системные часы расходятся хотя бы на полминуты, они разойдутся. Включите автоматическую синхронизацию времени в операционной системе (в Windows — «Синхронизировать сейчас» в настройках даты и времени; в macOS — «Установить дату и время автоматически») и попробуйте следующий код.

QR-код не сканируется. Используйте ссылку «не удаётся отсканировать?», чтобы показать ключ настройки, — ключ в виде текста всегда надёжнее фотографии экрана. Если у вас только снимок, обрежьте его до самого QR-кода; сильно сжатые или снятые под углом изображения часто отказываются декодироваться.

Вы потеряли телефон, где был ключ. Это ровно та ситуация, ради которой создан этот инструмент: если вы сохранили оригинальный секрет в менеджере паролей — или вставили его сюда, пока телефон ещё работал, — вы можете заново генерировать коды на любом компьютере. Без телефона, без восстановления из резервных копий, без обращений в поддержку.

Две стоящие привычки

Сохраняйте коды восстановления сервиса офлайн при включении 2FA; это спасательный круг на случай, если вы когда-нибудь потеряете устройство с секретом. И никогда не относитесь к живому коду 2FA как к тому, чем можно делиться: вашему текущему коду не нужен ни один агент поддержки, ни один банк, ни одна биржа — если только вы сами его не запрашивали. Код действует только в своём 30-секундном окне и только на том экране входа, который выбрали вы.