Как перенести 2FA на новый телефон и что делать, если старый потерян

1. Проверьте, в каких приложениях лежат ваши коды. У многих часть кодов в Google Authenticator, а часть — в Microsoft Authenticator или Authy, и каждое приложение переносится отдельно.

2. Перенесите коды способом каждого приложения — см. ниже. Аккаунт, который не переносится, можно настроить заново, пока вы ещё можете в него войти: отключите и снова включите 2FA через приложение-аутентификатор или найдите пункт вроде «сменить приложение-аутентификатор». В наших инструкциях по настройке показано, где эта настройка, для 108 сервисов — среди них Google, Microsoft и GitHub.

3. На новом телефоне войдите в самые важные аккаунты с новыми кодами — первым делом в почту, потому что через неё восстанавливаются все остальные аккаунты.

4. Сохраните свежие коды восстановления для важных аккаунтов — где-нибудь не на телефоне.

5. Только после этого стирайте старый телефон. Неделя в ящике стола ничего не стоит и выручит, если какой-то аккаунт вы пропустили.

Google Authenticator. На старом телефоне откройте Menu → Transfer codes → Export codes (меню → перенос кодов → экспорт кодов) и выберите аккаунты — появится QR-код; на новом телефоне откройте Menu → Transfer codes → Import codes (меню → перенос кодов → импорт кодов) и отсканируйте его. Если включена синхронизация с аккаунтом Google, достаточно войти в тот же аккаунт Google на новом телефоне — коды перенесутся сами, есть у вас старый телефон или нет. Без синхронизации для QR-кода экспорта старый телефон должен быть у вас в руках.

Microsoft Authenticator. Включите облачное резервное копирование на старом телефоне — на Android оно использует личную учётную запись Майкрософт, на iPhone — iCloud, — а затем восстановите копию на новом. Копия восстанавливается только на телефон того же типа: с iPhone на iPhone, с Android на Android. Коды других сервисов, например Amazon или Facebook, возвращаются как были; от рабочих и учебных учётных записей возвращается только имя, и в каждую нужно войти заново. Если это невозможно, ИТ-поддержка вашей организации может сбросить ваши настройки, чтобы при следующем входе вы зарегистрировали новый телефон.

Authy. Аккаунт Authy привязан к номеру телефона. Установите Authy на новый телефон, введите номер и подтвердите новое устройство со старого, по SMS или звонком. Токены придут со старого устройства или из зашифрованных резервных копий Authy, если они были включены, — а для них нужен пароль резервной копии, который Twilio никогда не получает и восстановить не может. Экспорта в другое приложение у Authy нет, поэтому уйти из Authy — значит настроить каждый аккаунт заново.

2FAS Auth. Если включён 2FAS Backup, его синхронизация — Google Drive на Android, iCloud на iPhone — восстановит токены на новом телефоне того же типа, вошедшем в тот же аккаунт. Между Android и iPhone экспортируйте на старом телефоне файл резервной копии, защищённый паролем, и импортируйте его на новом. Если вы задали пароль резервной копии, 2FAS не сможет его восстановить.

Аутентификатор 2FA (наше). Его нет на телефоне, поэтому для него новый телефон ничего не меняет. Этим оно и полезно при переезде: пока коды в Chrome, можно войти в каждый сервис на компьютере и настроить 2FA на новом телефоне без старого. Перенести коды в приложение на телефоне за вас оно не может, но его экспорт в виде ссылок otpauth:// — формат, который читает почти любой другой аутентификатор (резервная копия). Чтобы перенести его на другой компьютер, используйте синхронизацию Chrome или файл экспорта — см. несколько устройств и восстановление.

Сначала честно. Код 2FA вычисляется из секретного ключа, который хранится в приложении. Если этот ключ был только на потерянном телефоне, его больше нет, и воссоздать его не может никто — ни разработчик приложения, ни сервисный центр, ни мы: Аутентификатор 2FA никогда не получает ничьих секретных ключей. Вернуть доступ может сервис, в который вы входите. Пройдите эти шаги по порядку.

1. Проверьте, не сохранилась ли копия. Google Authenticator с синхронизацией с аккаунтом Google: установите его на новый телефон и войдите. Microsoft Authenticator с облачной резервной копией: восстановите её на телефоне того же типа. Authy с резервными копиями: установите, введите номер, подтвердите по SMS или звонком, затем введите пароль резервной копии. 2FAS с синхронизацией: включите 2FAS Backup с тем же аккаунтом Google или iCloud. Если вы добавляли аккаунты и в расширение Аутентификатор 2FA, коды по-прежнему в Chrome на вашем компьютере.

2. Используйте коды восстановления сервиса. Большинство сервисов при включении 2FA выдают набор одноразовых кодов. Google даёт десять резервных кодов, каждый срабатывает один раз; GitHub называет их кодами восстановления (recovery codes). Введите такой код там, где сайт просит код 2FA.

3. Попробуйте другой способ входа. Ключ безопасности или ключ доступа, SMS на номер, который у вас остался, или запрос на другом устройстве, где вы всё ещё вошли в аккаунт. GitHub, например, принимает ключ доступа или ключ безопасности вместо потерянного приложения.

4. Запросите у сервиса восстановление аккаунта. Оно намеренно медленное. Google задаёт вопросы об аккаунте, и лучше всего это получается с устройства и из места, откуда вы обычно входите. Coinbase просит фото документа и рассматривает запрос до 24 часов (инструкция по 2FA в Coinbase). Рабочая или учебная учётная запись Майкрософт восстанавливается через ИТ-поддержку организации. Некоторые сервисы помочь не могут вовсе: GitHub пишет, что его поддержка не может вернуть доступ к аккаунту с 2FA, если потеряны и данные 2FA, и способы восстановления.

5. Закройте доступ потерянному телефону. Google советует удалённо стереть потерянный телефон и, если коды синхронизировались, удалить устройство из аккаунта Google; без синхронизации — зайти на каждый сайт и настроить коды заново. В Authy удалите старое устройство из списка устройств. Вернув доступ к аккаунту, настройте его 2FA заново и сохраните новые коды восстановления.

Держите вторую копию каждого кода. Проще всего — два приложения с одного QR-кода: когда сайт показывает QR-код настройки, отсканируйте его приложением на телефоне и расширением Аутентификатор 2FA — и оба будут показывать одни и те же коды (несколько устройств). Аккаунты, которые уже в Google Authenticator, переносятся один раз через его QR-код экспорта.

Храните коды восстановления не на телефоне. Распечатайте их или держите в менеджере паролей. Скриншот в галерее телефона пропадёт вместе с телефоном.

Включите резервное копирование в приложении, а пароль от него храните в другом месте. Пароли резервных копий Authy и 2FAS разработчик восстановить не может.

Время от времени экспортируйте файл резервной копии. В расширении Аутентификатор 2FA: «Настройки» → «Экспорт», с защитой паролем (резервная копия); «Импорт» на другом компьютере прочитает его обратно (восстановление). Ежедневные автоматические копии расширения живут внутри него — они защищают от случайного удаления аккаунта, а не от потери компьютера.

Добавьте второй способ входа везде, где сервис его предлагает, например ключ безопасности или ключ доступа.