Двухфакторная аутентификация (2FA) — это вход в два шага: после пароля сервис просит второе подтверждение — код из приложения, нажатие на уведомление или ключ доступа. Даже если пароль утечёт, без второго фактора посторонний в аккаунт не войдёт.
Ниже — какой способ надёжнее SMS, пошаговая настройка в Google, Apple, Microsoft, Instagram, Facebook, WhatsApp и Telegram и что делать, если телефон потерян. Пункты меню сверены со справкой сервисов на 7 октября 2026 года.
Что такое двухфакторная аутентификация
Сервис проверяет вас двумя способами из разных категорий: что вы знаете (пароль или PIN-код), что у вас есть (телефон, аппаратный ключ) и что присуще только вам (отпечаток пальца, лицо). Так это определяет американское агентство кибербезопасности CISA. Украденный пароль открывает только первый шаг — второй остаётся у вас.
Названия различаются, суть одна: у Google это «двухэтапная аутентификация», у Apple, Instagram и Facebook — «двухфакторная аутентификация», в WhatsApp — «двухшаговая проверка», в Telegram — «облачный пароль». Британский центр кибербезопасности NCSC прямо пишет, что двухэтапная проверка, 2FA и MFA — разные названия одного и того же.
Второй шаг спрашивают не при каждом входе, а на новом устройстве или в браузере и при важных действиях, например при смене пароля. Свой телефон или компьютер можно запомнить — у Google для этого есть флажок «Больше не спрашивать на этом компьютере». Ставьте его только на устройствах, которыми пользуетесь вы одни.
Пароль
Вы вводите логин и пароль, как обычно
Второй фактор
Сервис просит код, нажатие на уведомление или ключ доступа
Вход
Без второго фактора вход по одному паролю не пройдёт
SMS, приложение или ключ доступа: что надёжнее
Вторые факторы защищают по-разному. CISA расставляет их от сильных к слабым: ключи стандарта FIDO (ключи доступа и аппаратные ключи), затем коды из приложения и push-уведомления со сверкой чисел, после них — обычные push-уведомления, а SMS и звонки — крайний вариант. При этом и CISA, и NCSC подчёркивают: любая двухфакторная аутентификация лучше, чем никакой.
| Способ | Как работает | Слабое место |
|---|---|---|
| Ключ доступа (passkey) | Вход отпечатком, лицом или PIN телефона | Не все сервисы его поддерживают |
| Аппаратный ключ | USB- или NFC-ключ стандарта FIDO2 | Нужно купить, лучше сразу два |
| Приложение-аутентификатор | Одноразовый код, обычно на 30 секунд | Код можно выманить на поддельном сайте |
| Push-уведомление | Нажать «Да» на своём телефоне | Атака усталостью: поток запросов |
| SMS или звонок | Код приходит на номер телефона | Подмена SIM-карты, перехват SMS |
| Код на почту | Код приходит в письме | Нужен отдельный защищённый ящик |
Ключи доступа и аппаратные ключи защищают и от фишинга: они привязаны к адресу настоящего сайта и на поддельной странице не сработают. Код из SMS или приложения человек может сам ввести на фальшивом сайте, а SMS к тому же перехватывают через уязвимости сети SS7 или подмену SIM-карты.
Британский NCSC с 23 апреля 2026 года советует частным пользователям входить по ключам доступа везде, где их поддерживают, а там, где нет, — пользоваться менеджером паролей и двухэтапной проверкой. Госспецсвязи Украины в августе 2026 года тоже призвала переводить почту, соцсети, мессенджеры и банкинг на ключи FIDO2, passkeys или биометрию устройства и по возможности отказаться от кодов в SMS.
Что такое ключ доступа (passkey)
Ключ доступа — это вход без пароля по стандарту FIDO: его подтверждают так же, как разблокируют телефон или компьютер, — отпечатком, лицом, PIN-кодом или графическим ключом. Ключ хранится на устройстве или в аппаратном ключе либо синхронизируется через менеджер паролей, а биометрия не покидает устройство, поясняет FIDO Alliance.
При входе с ключом доступа Google пропускает второй этап: владение устройством уже подтверждено. Ключи работают на Android 9, iOS 16, Windows 10, macOS Ventura и новее. Создавайте их только на своих устройствах: Google предупреждает, что войти в аккаунт сможет любой, кто разблокирует такое устройство.
Где включить двухфакторную аутентификацию
Начните с почты: через неё сбрасывают пароли от других аккаунтов, поэтому NCSC отдельно советует включить 2FA для почты. Дальше — аккаунт телефона, мессенджеры и соцсети. Где искать настройку в популярных сервисах:
| Сервис | Где включить | Что выбрать |
|---|---|---|
| Раздел «Вход в Google» | Ключ доступа, уведомления Google | |
| Аккаунт Apple | Ваше имя → «Вход и безопасность» | Доверенные устройства, ключи FIDO |
| Microsoft | account.microsoft.com/security | Ключ доступа или Authenticator |
| Instagram, Facebook | «Центр аккаунтов» | Приложение-аутентификатор |
| «Аккаунт» → «Двухшаговая проверка» | Пароль, почта и ключ доступа | |
| Telegram | «Конфиденциальность» → «Облачный пароль» | Пароль, почта и ключ доступа |
Включите двухэтапную аутентификацию в Google
- Откройте Аккаунт Google и перейдите в раздел безопасности.
- В блоке «Вход в Google» выберите «Включить двухэтапную аутентификацию». Прямой адрес — myaccount.google.com/signinoptions/two-step-verification.
- Следуйте подсказкам на экране и добавьте способ второго этапа.
Удобнее всего уведомления от Google: запрос придёт на Android-телефон или в Gmail, Google Фото, YouTube или приложение Google на iPhone, и достаточно нажать «Да». Google советует их вместо SMS, потому что они защищают и от подмены SIM-карты. Для кодов без интернета подключите Google Authenticator, а на случай потери телефона сохраните резервные коды — о них ниже.
Ключ доступа создают на странице myaccount.google.com/signinoptions/passkeys кнопкой «Создать ключ доступа». Новый номер для второго этапа, Google Authenticator или ключ доступа Google может проверять до 7 дней — так у вас будет время заметить, если способ добавил взломщик.
Результат: При входе на новом устройстве Google попросит ключ доступа или второй этап.
Проверьте двухфакторную аутентификацию Apple
У большинства аккаунтов Apple она включена по умолчанию, а Apple Pay и «Вход с Apple» без неё не работают. Проверьте на iPhone или iPad: «Настройки» → ваше имя → «Вход и безопасность», на Mac — то же в «Системных настройках». Если защиты нет, включите её там же или на account.apple.com кнопкой «Обновить безопасность Аккаунта».
При входе на новом устройстве или в браузере Apple показывает шестизначный код на доверенных устройствах или присылает его на доверенный номер — так, например, проходит вход в iCloud с компьютера. Если у вас есть второй номер, не связанный с iPhone, добавьте его: «Двухфакторная аутентификация» → «Добавить доверенный номер телефона». Когда iPhone — единственное доверенное устройство, без второго номера коды пропадут вместе с ним.
Для большей защиты есть «Ключ восстановления» — код из 28 символов в разделе «Вход и безопасность». Он отключает обычное восстановление аккаунта: потеряете ключ — можете лишиться доступа навсегда, поэтому распечатайте его и не храните в «Паролях» или «Заметках». Ещё строже «Ключи безопасности»: минимум два физических ключа FIDO и iOS 16.3 или новее на всех устройствах.
Результат: Коды проверки приходят на ваши доверенные устройства и номера.
Защитите аккаунт Microsoft
- Войдите на account.microsoft.com/security.
- Откройте управление способами входа.
- В разделе дополнительной безопасности включите двухэтапную проверку и следуйте подсказкам. Для Microsoft Authenticator сайт покажет QR-код.
Ещё удобнее ключ доступа: на странице account.live.com/proofs/manage добавьте новый способ входа и выберите вариант с лицом, отпечатком, PIN-кодом или ключом безопасности. С мая 2025 года новые аккаунты Microsoft по умолчанию создаются без пароля, а от SMS для входа и восстановления личных аккаунтов компания собирается постепенно отказаться.
Учтите предупреждение Microsoft: с включённой двухэтапной проверкой одного пароля для восстановления мало, и без доступа к способам связи на это может уйти 30 дней, а то и вовсе не получится вернуть аккаунт. Поэтому компания советует привязать три способа, например запасную почту, телефон и приложение-аутентификатор.
Результат: При входе на недоверенном устройстве Microsoft запросит код или подтверждение.
Включите 2FA в Instagram и Facebook
Обе соцсети управляют безопасностью через «Центр аккаунтов», который Meta постепенно переименовывает в «Аккаунт Meta».
- В Instagram нажмите на фото профиля внизу справа, затем на «Меню» вверху справа.
- Откройте «Центр аккаунтов» → «Пароль и безопасность» → «Двухфакторная аутентификация» и выберите аккаунт.
- Выберите способ проверки и следуйте инструкциям.
В Facebook на компьютере путь начинается так: фото профиля → «Настройки и конфиденциальность» → «Настройки» → «Центр аккаунтов», дальше — как в Instagram.
Instagram рекомендует приложение-аутентификатор, например Google Authenticator или Duo Mobile; подключить его можно только в мобильном приложении. Есть и коды в SMS, а после них — в WhatsApp. Facebook вдобавок поддерживает физические ключи безопасности и выдаёт 10 кодов восстановления на случай, если телефона нет под рукой.
Результат: При входе с незнакомого устройства Meta попросит код или подтверждение входа.
Включите двухшаговую проверку в WhatsApp
- На Android нажмите ⋮ → «Настройки» → «Аккаунт» → «Двухшаговая проверка», на iPhone — «Вы» → «Аккаунт» → «Двухшаговая проверка».
- Включите переключатель «Включить двухшаговую проверку».
- Придумайте надёжный пароль и подтвердите его.
- Укажите почту, к которой у вас есть доступ, и нажмите «Далее».
- Нажмите «Доверять этому устройству» или «Пропустить».
Раньше WhatsApp просил шестизначный PIN-код, а 25 августа 2026 года объявил, что заменяет его полноценным паролем: минимум 8 символов, хотя бы одна буква и одна цифра. Если у вас ещё старый PIN, создайте пароль в настройках аккаунта, в разделе пароля. Почта пригодится, чтобы восстановить вход без SMS и звонка.
Ещё быстрее входить с ключом доступа: «Аккаунт» → «Ключи доступа» → «Создать ключ доступа». На Android для него нужна версия 9 или новее, а вместо кода из SMS вход подтверждают отпечатком, лицом или блокировкой экрана.
Результат: При регистрации номера на новом телефоне WhatsApp спросит не только код из SMS, но и пароль.
Задайте облачный пароль в Telegram
- Откройте «Настройки» → «Конфиденциальность» → «Облачный пароль».
- Придумайте пароль и следуйте подсказкам.
- Добавьте почту для восстановления — она поможет вернуть доступ, если пароль забудется.
Telegram просит защитить и саму почту для восстановления — надёжным паролем и двухфакторной аутентификацией. Если вы уже вошли на другом устройстве, код входа приходит в служебный чат «Telegram», и пересылать его нельзя никому.
С 12 декабря 2025 года в Telegram есть ключи доступа: «Настройки» → «Конфиденциальность» → «Ключи доступа». Они позволяют входить без SMS, а их копию можно хранить в менеджере паролей iCloud, Google или другом. Номер телефона в аккаунте всё равно держите актуальным: войти по коду из SMS можно и при наличии ключа.
Результат: Для входа на новом устройстве понадобятся код и облачный пароль.
Сохраните резервные коды и запасной вход
Резервные коды — одноразовые пароли на случай, если телефона нет. Google выдаёт 10 кодов по 8 цифр: «Двухэтапная аутентификация» → «Резервные коды» → «Получить резервные коды», а новый набор отменяет старый. В Instagram они в «Двухфакторная аутентификация» → «Дополнительные способы» → «Резервные коды».
Храните коды отдельно от телефона: Google советует распечатать их и держать рядом с паспортом и другими важными документами. Добавьте и второй способ входа — ещё один номер, ключ доступа на другом устройстве или аппаратный ключ: NCSC советует иметь запасной вариант, например на случай, если разрядился телефон.
Коды 2FA и ключи доступа хранят и менеджеры паролей: например, приложение «Пароли» на iPhone с iOS 18 само создаёт коды проверки. Какие менеджеры это умеют и сколько они стоят, мы сравнили в рейтинге менеджеров паролей. Сам менеджер защитите длинным уникальным мастер-паролем и двухфакторной аутентификацией.
Результат: У вас есть способ войти, даже если телефона нет под рукой.
Завершите чужие сеансы
Двухфакторная аутентификация не выгоняет тех, кто уже вошёл: WhatsApp прямо предупреждает, что новая защита не удалит человека, который уже пользуется аккаунтом. Поэтому после настройки проверьте список устройств и завершите незнакомые сеансы.
- Google — страница google.com/devices.
- Telegram — «Настройки» → «Устройства».
- WhatsApp — «Связанные устройства» в меню ⋮ на Android.
- Instagram — после включения 2FA можно смотреть запросы на вход и удалять доверенные устройства.
Журнал входов есть и в других сервисах — например, историю безопасности недавно добавили в ChatGPT.
Результат: В аккаунтах остались только ваши устройства.
Как перенести коды 2FA на новый телефон
Проще всего с Google Authenticator: если вы вошли в приложение под аккаунтом Google, коды синхронизируются сами, и на новом телефоне достаточно установить Authenticator и войти в тот же аккаунт. Синхронизация работает в версиях 6.0 для Android и 4.0 для iOS и новее, а Google шифрует коды при передаче и хранении.
Если вы пользовались приложением без аккаунта, перенесите коды вручную, пока старый телефон у вас:
- Установите Google Authenticator на новый телефон и нажмите «Начать».
- На старом телефоне откройте меню → «Перенести аккаунты» → «Экспорт аккаунтов», разблокируйте телефон и отметьте аккаунты — появится QR-код, а если аккаунтов много, то несколько.
- На новом телефоне откройте меню → «Перенести аккаунты» → «Импорт аккаунтов» и отсканируйте QR-код.
Другие приложения и менеджеры паролей переносят коды по-своему — проверьте это в их справке до того, как сбросите старый телефон. Если телефон потерян, а коды не синхронизировались, Google советует отвязать старые коды на каждом сайте и подключить приложение заново.
Как мошенники обходят двухфакторную аутентификацию
2FA останавливает того, у кого есть только ваш пароль, поэтому мошенники охотятся за вторым фактором. CISA, NCSC и Госспецсвязи описывают такие приёмы:
- Просят продиктовать код. Пишут или звонят от имени поддержки, банка или знакомого. Google напоминает, что не звонит для проверки кода, а WhatsApp — что регистрационный код и пароль нельзя сообщать никому.
- Фишинг в реальном времени. Вы вводите пароль и код на копии сайта, а сервер мошенников тут же передаёт их настоящему, пока код действует. Так обходят SMS и коды из приложений, но не ключи доступа.
- Атака усталостью. Зная пароль, злоумышленник раз за разом запускает вход, и на телефон сыплются запросы в расчёте, что вы нажмёте «Да». Не подтверждайте вход, который не начинали: в уведомлении Google «Это вы пытаетесь войти в аккаунт?» нажмите «Нет» и смените пароль.
- Подмена SIM-карты. Оператора уговаривают перевыпустить ваш номер на SIM-карту мошенника, и ваши SMS уходят к нему. CISA советует поставить PIN-код на аккаунт у мобильного оператора и выбирать вместо SMS приложение, уведомления или ключи доступа.
Слабым местом бывает и восстановление доступа: NCSC отмечает, что взломщики целятся в него, потому что оно часто проще самого входа. Защитите почту для восстановления и уберите из аккаунтов номера, которыми больше не пользуетесь.
Если потеряли телефон или не приходит код
- Потеряли телефон с аккаунтом Google — войдите с другого телефона, второго номера, резервного кода, ключа доступа или аппаратного ключа, затем выйдите из аккаунта на пропавшем телефоне и смените пароль. Номер восстановит оператор на новой SIM-карте.
- Ни одного способа Google не осталось — пройдите восстановление аккаунта: с двухэтапной аутентификацией проверка может занять 3–5 рабочих дней.
- Потеряли iPhone — на экране кода нажмите «Не получили код?» или «Нет доступа к устройствам?» и получите код на доверенный номер. Без номера запускают восстановление аккаунта: оно длится несколько дней или дольше, и обращение в Apple его не ускорит.
- Нет доступа к способам связи Microsoft — восстановление может занять 30 дней, поэтому заранее привяжите три способа.
- Telegram открыт на другом устройстве — включите облачный пароль и в «Настройки» → «Устройства» завершите сеанс на потерянном телефоне, а номер восстановите у оператора.
- Забыли пароль WhatsApp — выберите подтверждение другим способом: код на почту, в SMS или звонком. Сбросить аккаунт можно через несколько дней, но сброс удалит сообщения, полученные с последнего входа, а если вы не заходили больше 30 дней, — и профиль.
- Не приходит SMS с кодом — возможно, Google прислал вместо него уведомление; из нескольких запрошенных кодов действует только последний. На iPhone проверьте фильтр «Неизвестные отправители» в «Сообщениях».
- Код из приложения не подходит — проверьте время и часовой пояс на телефоне: Google Authenticator с версии 7.0 берёт время из системы. Убедитесь, что вводите код нужного аккаунта и успеваете до его смены.
- Новый способ входа не появился — Google может проверять новый номер, Authenticator или ключ доступа до 7 дней.
Источники и методика
Анализ открытых источниковПроверено 7 октября 2026
- Google — Как защитить свой аккаунт с помощью двухэтапной аутентификации support.google.com
- Apple — Двухфакторная аутентификация для Аккаунта Apple support.apple.com
- CISA — Implementing Phishing-Resistant MFA cisa.gov
- NCSC — Leave passwords in the past: passkeys are the future ncsc.gov.uk
- Госспецсвязи Украины — Безопасность цифровой идентичности kmu.gov.ua
Частые вопросы
Что лучше для 2FA: SMS или приложение?
Приложение-аутентификатор или уведомления: SMS-коды уязвимы для подмены SIM-карты и перехвата, и CISA считает их крайним вариантом. Надёжнее всего ключ доступа или аппаратный ключ. Но и SMS лучше, чем вход по одному паролю, — это подчёркивает NCSC.
Нужна ли 2FA, если я вхожу по ключу доступа?
При входе с ключом доступа Google пропускает второй этап: ключ сам подтверждает, что устройство у вас. Но пароль у аккаунта остаётся, поэтому двухфакторную аутентификацию не отключайте — она защищает вход по паролю.
Как восстановить Google Authenticator без старого телефона?
Если коды синхронизировались с аккаунтом Google, установите приложение на новый телефон и войдите в тот же аккаунт — коды появятся сами. Если нет, войдите в каждый сервис резервным кодом или другим способом и подключите приложение заново.
Можно ли хранить коды 2FA в менеджере паролей?
Можно, если сам менеджер защищён длинным мастер-паролем и своей двухфакторной аутентификацией: CISA упоминает менеджеры, которые сами создают коды. Учтите, что пароль и код тогда лежат в одном месте, поэтому для почты и банка надёжнее ключ доступа или аппаратный ключ.
Добавить комментарий