Двухфакторная аутентификация (2FA)

Двухфакторная аутентификация (2FA) добавляет второй шаг при входе: помимо пароля или входа через Google потребуется одноразовый 6-значный код из приложения-аутентификатора на телефоне. Даже если пароль скомпрометирован, без доступа к телефону войти не получится.

Функция добровольная. Если вы входите через Google и уже включили 2FA в самом Google-аккаунте, отдельная 2FA Skyforge вам скорее всего не нужна — но она полезна как дополнительный барьер и обязательна к рассмотрению для администраторов платформы. Пока вы её не включили, вход работает как обычно.

Что понадобится

Приложение-аутентификатор (TOTP) на смартфоне:

• Google Authenticator
• Authy
• 1Password, Microsoft Authenticator и любые другие, поддерживающие стандарт TOTP.

Как включить

1. Откройте Настройки → Безопасность (/settings/security).
2. Нажмите «Настроить приложение» — появится QR-код и текстовый ключ.
3. В приложении-аутентификаторе добавьте новый аккаунт: отсканируйте QR-код (или введите ключ вручную, если сканировать нельзя).
4. Приложение начнёт показывать 6-значный код, который меняется каждые 30 секунд. Введите текущий код в поле подтверждения и нажмите «Подтвердить и включить».

После включения Skyforge покажет коды восстановления — сохраните их.

Напоминание на дашборде

Пока 2FA не включена, на дашборде показывается ненавязчивый баннер «Ваш аккаунт без двухфакторной защиты» с кнопкой «Включить» (ведёт в Настройки → Безопасность) и ссылкой на эту инструкцию. Реакцию баннер запоминает за вашим аккаунтом:

• «Напомнить позже» — баннер скрывается на 14 дней, потом напомнит снова.
• «Уже есть 2FA в Google — не напоминать» — если вы входите через Google и включили двухфакторку в самом Google-аккаунте, отдельная 2FA Skyforge скорее всего не нужна; выберите эту опцию, и баннер больше не появится.

Как только вы включите 2FA в Skyforge, баннер исчезает автоматически.

Коды восстановления

Коды восстановления — это одноразовые коды на случай потери или недоступности телефона. Особенности:

• показываются только один раз при включении 2FA или при перевыпуске — сохраните их в надёжном месте (менеджер паролей, распечатка);
• каждый код работает один раз; после использования он сгорает;
• на странице «Безопасность» видно, сколько кодов осталось;
• закончились или скомпрометированы — нажмите «Перевыпустить коды» (старые коды при этом перестают работать).

Вход с включённой 2FA

1. Введите пароль или войдите через Google, как обычно.
2. Откроется промежуточный экран — введите текущий код из приложения.
3. Нет доступа к приложению? Нажмите «Ввести код восстановления» и используйте один из сохранённых кодов.

До ввода второго фактора сессия не выдаётся: защищённые страницы недоступны. На ввод кода отведено ограниченное время и число попыток — при переборе вход временно блокируется.

Перепривязать устройство

Сменили телефон? На странице «Безопасность» нажмите «Перепривязать» и настройте приложение заново по новому QR-коду. Старое устройство продолжает работать, пока вы не подтвердите новое — так вы не потеряете доступ, если что-то пойдёт не так.

Отключить 2FA

На странице «Безопасность» нажмите «Отключить 2FA» и подтвердите действие текущим кодом (из приложения или кодом восстановления). После отключения вход снова защищён только паролем/Google.

Безопасность

• Секрет 2FA хранится в базе в зашифрованном виде, а не открытым текстом.
• Коды восстановления хранятся в виде хэшей — восстановить сам код из базы нельзя.
• Включение, отключение и неудачные попытки ввода кода фиксируются в разделе «Моя активность» (/settings/activity).
• Подтверждение кодом на странице «Безопасность» (включение, отключение, перевыпуск кодов восстановления) так же ограничено по числу попыток в минуту, как и вход — при переборе форма временно откажет с сообщением «Слишком много попыток».