Приложение-аутентификатор для одноразовых кодов: какое выбрать
Приложение-аутентификатор выдаёт шестизначный код, который меняется каждые 30 секунд. Работает без интернета и без SMS — для Госуслуг, Яндекса, почты, рабочего облака. Сравнили четыре приложения и рассказываем, как не потерять доступ, если потеряется телефон.
Что поставить
- Яндекс Ключ — если уже есть Яндекс ID
- Aegis — Android, открытый код, копия файлом
- Google Authenticator — если уже стоит
- KeePassXC — на компьютер, для админов
- любое из них подходит для Госуслуг и Nextcloud
Четыре приложения-аутентификатора
Коды у всех одинаковые — это открытый стандарт TOTP. Разница в том, где лежит резервная копия и что будет, если потерять телефон.
| Яндекс Ключ | Aegis | Google Authenticator | KeePassXC | |
|---|---|---|---|---|
| Где работает | Android, iPhone | Android: RuStore, F-Droid, Google Play | Android, iPhone | Windows, macOS, Linux |
| Резервная копия | в облаке Яндекса по номеру телефона, под паролем копии; пароль не восстанавливается | зашифрованный файл, сохраняется сам, куда скажете | синхронизация через аккаунт Google без сквозного шифрования; перенос QR-кодом | в файле базы паролей |
| Кому | всем, у кого есть Яндекс ID | кому важны независимость и открытый код | у кого уже стоит | админам и тем, кто работает без телефона |
| Минус | привязка к номеру и Яндексу | только Android | коды хранятся у Google | пароль и второй фактор в одном файле |
Наш выбор для сотрудников компании: Яндекс Ключ — знаком всем, копия восстанавливается на новом телефоне. Для админов — Aegis или KeePassXC: копия у вас, а не у сервиса. Microsoft Authenticator и другие TOTP-приложения тоже подходят — стандарт общий.
Какая двухфакторная аутентификация лучше
SMS — лучше, чем ничего
Код приходит на номер, а номер можно перевыпустить по поддельной доверенности или перехватить. Без связи код не придёт вовсе, а в поездке — с задержкой.
Приложение — надёжнее
Код считается на самом телефоне, по сети не передаётся, работает в самолёте и за границей. Украсть его можно, только выманив: никому не называйте код, даже «службе безопасности».
Аппаратный ключ — ещё надёжнее
USB-ключ или ключ доступа (passkey) нельзя выманить по телефону. Но поддерживают его не все сервисы, поэтому приложение остаётся основным вариантом.
Как подключить за две минуты
1. Включите 2FA на сайте
В настройках безопасности сервиса выберите вход с одноразовым кодом из приложения. Сайт покажет QR-код.
2. Отсканируйте QR-код
В приложении нажмите «Добавить» и наведите камеру. Не распознаётся — выберите «Ввести ключ вручную» и перепишите строку под QR-кодом.
3. Введите код и сохраните резервные
Сайт попросит шестизначный код из приложения, а потом покажет резервные коды. Их сразу распечатать или переписать — ниже как.
Код не подходит?
Почти всегда виновато время на телефоне. Включите «Дата и время сети» — коды считаются от точного времени.
Аутентификатор для Госуслуг
На Госуслугах можно входить с одноразовым кодом из приложения вместо SMS. Подходит любое из четырёх приложений выше: включите вход с подтверждением в настройках безопасности профиля, выберите приложение для одноразовых кодов и отсканируйте QR-код.
Резервные коды — сразу
Госуслуги покажут их после подключения. Без них, потеряв телефон, доступ придётся восстанавливать с подтверждением личности — долго.
Одно приложение на всё
В одном аутентификаторе живут коды для Госуслуг, почты, облака и соцсетей. Второе приложение ради Госуслуг не нужно.
Код никому
Госуслуги, банк и «служба безопасности» никогда не спрашивают код по телефону. Спросили — это мошенники.
Как хранить резервные коды на бумаге
Резервные коды — одноразовые запасные ключи на случай, когда телефона нет. Их выдаёт сервис при включении 2FA, обычно 10 штук.
Печатайте коды, а не QR-код
Коды одноразовые, и видно, сколько осталось. QR-код или секретная строка на бумаге — это второй фактор навсегда: кто нашёл лист, тот и вошёл.
Две копии в разных местах
Дата печати на листе. Использовали код — зачеркните. Выпустили новые — старый лист уничтожьте.
Отдельно от пароля
Не фотографировать и не класть в ту же облачную папку, которую защищает 2FA. В компании — «конверт на крайний случай»: коды администратора у руководителя, в сейфе.
Потерял телефон или удалил приложение
Есть резервные коды
Войдите с резервным кодом, отключите 2FA и подключите заново на новом телефоне. Коды после этого выпустите новые.
Была резервная копия
Яндекс Ключ восстанавливается по номеру и паролю копии, Google Authenticator — входом в аккаунт Google, Aegis — из файла копии. Коды вернутся все сразу.
Нет ни кодов, ни копии
Только через поддержку каждого сервиса, с подтверждением личности. В рабочем облаке проще: администратор снимает 2FA за минуту, и вы подключаете её заново.
Перед сменой телефона
Сначала перенесите коды — перенос QR-кодом или из копии, — и только потом сбрасывайте старый телефон.
2FA для всех сотрудников на сервере компании
Облако, почта и рабочий чат на своём сервере — с обязательной 2FA для админов и отделов, инструкцией для сотрудников и планом на случай потерянного телефона. Без платного сервиса двухфакторной аутентификации: подходит любое из приложений выше.
Что спрашивают про аутентификаторы
Что такое двухфакторная аутентификация простыми словами?
Что такое TOTP?
Можно ли получать коды на компьютере?
Удалил Google Authenticator — коды пропали?
Приложение не распознаёт QR-код
Можно ли взломать двухфакторную аутентификацию?
Нужна 2FA для всей компании?
Поставим облако и почту на ваш сервер, включим 2FA и раздадим сотрудникам инструкцию.
Отвечаем в течение дня.