Код 2FA не подходит? Почему сайт отклоняет код аутентификатора и как это исправить

На этом при настройке спотыкается больше всего людей. Сайт создаёт новый секрет — и новый QR-код — каждый раз, когда страницу настройки 2FA обновляют, открывают заново или начинают настройку сначала. Справочный центр Remote описывает именно это: любой QR-код, отсканированный раньше, перестаёт работать. Аутентификатор всё ещё показывает коды для первого QR-кода, сайт теперь ждёт коды для нового, и ничто на экране не подсказывает, что они больше не совпадают.

Решение: начните настройку 2FA на сайте заново и не уходите с этой страницы. Добавьте QR-код, который на экране сейчас, — в нашем расширении это «Добавить аккаунт» → «QR-код» → «Сканировать QR с экрана», — и сразу введите показанный код на сайте, не обновляя страницу и не уходя с неё. Затем сохраните резервные коды, которые предложит сайт.

То же самое происходит, если отключить и снова включить 2FA или нажать что-то вроде «сменить приложение-аутентификатор»: старая запись в приложении перестаёт работать, и действует только новый QR-код.

После повторной попытки настройки один и тот же сайт часто оказывается в списке дважды, под одним и тем же названием. Работает только запись из QR-кода, добавленного последним, — старая относится к QR-коду, который сайт уже выбросил. Во время настройки сайт всегда ждёт код того аккаунта, который вы только что добавили.

Та же путаница бывает с двумя аккаунтами на одном сайте — скажем, личным и рабочим аккаунтом Google. Сама Google при неверном коде советует проверить, что код относится к нужному сервису и нужному аккаунту. Смотрите на имя под кодом, а не только на логотип.

Решение: берите код из самой новой записи. Когда код из неё приняли, старую можно удалить — но сначала экспортируйте резервную копию («Настройки» → «Экспорт») на случай, если удалите не ту.

Аутентификатор показывает коды только для аккаунтов, добавленных в него. Если вы включили 2FA на сайте несколько месяцев назад с Google Authenticator, Microsoft Authenticator или на старом телефоне, коды этого сайта там — запись, добавленная позже в другом месте, не совпадёт, если только её не создали из того же самого QR-кода.

Решение: берите код из приложения, которым пользовались при настройке. Чтобы перенести аккаунт, либо экспортируйте его из того приложения — QR-код экспорта Google Authenticator импортируется прямо в наше расширение, см. импорт из Google Authenticator, — либо войдите на сайт, откройте настройки 2FA и настройте аутентификатор заново, на этот раз в новом приложении. Не удаляйте старое приложение, пока код из нового не приняли. Подробнее — в статье о переносе 2FA на новый телефон.

Не каждое поле для шести цифр ждёт код из аутентификатора. Многие сайты присылают код в SMS или на почту — при входе или чтобы подтвердить адрес ещё до включения 2FA, — и там подходит только этот код. Справочный центр Remote говорит о том же: код, отправленный на почту, — это не код 2FA из приложения-аутентификатора. Если на странице написано «мы отправили код на…», ищите его в сообщениях или во входящих, а не в приложении.

Некоторые страницы входа вместо этого просят резервный код (его ещё называют кодом восстановления) — один из одноразовых кодов, которые сайт выдал списком при настройке 2FA. Они на бумаге или в файле, куда вы их сохранили, а не в аутентификаторе — и это не секретные ключи: если добавить такой код в аутентификатор как аккаунт, получатся коды, которые не примет ни один сайт. Потеряли их? Google, например, позволяет получить новые резервные коды в настройках двухэтапной аутентификации, пока вы ещё вошли в аккаунт.

Решение: прочитайте текст над полем. «Приложение-аутентификатор», «приложение для проверки» или «код из приложения» означают аутентификатор; всё остальное — SMS, письмо или список резервных кодов.

Большинство кодов аутентификатора меняются каждые 30 секунд — то же сказано в FAQ Microsoft о собственном приложении. Код, введённый в последние пару секунд, может дойти до сайта, когда он уже сменился.

Решение: если таймер почти на нуле, дождитесь следующего кода и сразу введите его. В нашем расширении код копируется по клику, так что его можно вставить, а не набирать.

Если вы добавили аккаунт, набрав секретный ключ вручную, а не отсканировав QR-код, один неверный символ даёт другой ключ. Его коды выглядят совершенно нормально — и просто отклоняются.

Решение: на странице настройки сайта — той же самой, не обновлённой — скопируйте ключ ещё раз и вставьте его в наш генератор TOTP-кодов, который работает в браузере и ничего не сохраняет. Сравните его код с кодом в аутентификаторе. Если они разные, ключ в аутентификаторе неверный: удалите эту запись и добавьте её заново, вставив ключ или отсканировав QR-код. Если совпадают, а сайт всё равно их отклоняет, вернитесь к первой причине.

Некоторые сервисы используют восемь цифр, SHA256 или период 60 секунд вместо обычных шести цифр, SHA1 и 30 секунд. QR-код передаёт эти настройки, а ключ, набранный вручную, — нет, поэтому выставьте их так, как указывает сайт, — см. алгоритм, число цифр и период.

Код вычисляется из секретного ключа и текущего времени, поэтому приложение на устройстве с неправильными часами выдаёт коды, которые отклоняются. В приложении на телефоне включите автоматическую установку даты и времени в настройках телефона. Google Authenticator полагается на часы самого телефона — отдельную настройку коррекции времени Google убрала в версии 7.0.

В расширении Аутентификатор 2FA ничего менять не нужно: оно само сверяет время с несколькими источниками и подстраивает коды, если часы компьютера сбиты. Предупреждение о времени оно показывает, только если сделать это не удалось, — тогда выполните шаги из FAQ.

Войдите другим способом — резервным кодом, кодом из SMS или письма, тем, что предлагает сайт, — затем откройте настройки 2FA, отключите и снова включите аутентификатор и добавьте новый QR-код. В наших инструкциях по настройке показано, где эта настройка, для 108 сервисов.

Не удаляйте записи и не переустанавливайте аутентификатор в надежде исправить код: коды от этого не изменятся, а единственную рабочую запись можно потерять. При удалении нашего расширения удаляются и его автоматические копии — если вы уже удалили аккаунт, лучше восстановите его из автоматической копии.