Зачем это нужно лично вам
Ваш аккаунт владельца — это доступ к деньгам, сотрудникам, документам и настройкам всей организации. Пароль один на этот доступ: если он утёк — через чужой ноутбук, повторное использование на сторонних сайтах, записку у кассы, — в кабинет войдут без вас.
Двухфакторная аутентификация (второй шаг входа: код, который живёт только в вашем телефоне) закрывает именно этот случай. Пароль сам по себе перестаёт быть достаточным.
Есть смысл включить её тем, у кого доступ к чувствительному: владелец, администратор, бухгалтер. Баристе на смене она не нужна — там цена ошибки другая, а лишний шаг каждое утро приведёт к одному общему телефону на всех.
Как включить
Настройка живёт в разделе «Настройки → Безопасность» — он открыт каждому сотруднику для своего аккаунта. Личные данные и фото профиля — в статье про профиль.
Откройте «Настройки → Безопасность» и нажмите «Включить 2FA».
Отсканируйте QR-код приложением-аутентификатором на телефоне.
Введите 6-значный код из приложения, чтобы подтвердить связку.
Сохраните 10 резервных кодов: распечатайте или положите в менеджер паролей — не в переписку с собой.
Выйдите и войдите снова, чтобы увидеть, как теперь выглядит вход.
Список резервных кодов показывается один раз — сразу при подтверждении. Каждый код одноразовый. Не сохранили — перевыпустите их в том же разделе: новые коды заменяют старые целиком.
Что будет, если пропустить сохранение кодов
Телефон теряют, разбивают и меняют. Приложение-аутентификатор при переустановке не восстанавливает коды само.
Если нет ни телефона, ни резервных кодов — войти нельзя ничем: выключение двухфакторной аутентификации само требует и пароль, и действующий код. Снять её в этом случае может только администратор сервиса командой на сервере, по обращению в поддержку, и это действие остаётся в журнале.
Поэтому порядок такой: включили — сразу сохранили коды в двух местах, одно из которых не в телефоне. Сколько кодов осталось, видно в том же разделе безопасности.
Кто ещё вошёл в ваш аккаунт
В разделе безопасности есть список активных сессий: браузер и операционная система, город по IP-адресу, когда устройство последний раз обращалось к системе. Свою текущую сессию видно отдельно.
Что с этим делать:
- увидели незнакомое устройство — завершите эту сессию;
- меняли телефон или отдавали ноутбук в ремонт — нажмите «Выйти на других устройствах», останется только текущее;
- завершение чужой сессии и выход со всех устройств требуют ввода вашего пароля заново — это защита от того, кто уже смог что-то украсть у вас в браузере.
Если список длинный, страница пишет, сколько записей показано из общего числа — не считайте, что показаны все.
О важных событиях — вход с нового устройства, смена пароля, включение или выключение 2FA, завершение сессий — приходит уведомление во вкладку «Тревоги» — так вы заметите чужой вход, даже когда пароль ещё работает.
Что защищает вход без вашего участия
Часть защиты работает всегда, её не нужно включать:
- Подбор пароля останавливается. После серии неудачных попыток по одному адресу вход блокируется на время, и с каждым разом пауза растёт: 15 минут, 30 минут, час, 6 часов, сутки. Насовсем аккаунт не блокируется никогда.
- Попытки с разных адресов замечаются. Если за час по одному email пришли попытки с пяти разных IP, блокировка включается раньше, а вам приходит «Тревога».
- Пароль проверяется на утечки. При регистрации и смене пароля он сверяется с базами утечек — сам пароль при этом наш сервер не покидает.
- Восстановление пароля идёт по почте. Ссылка на смену приходит на ваш адрес; успешная смена завершает все сессии. Что делать, если сотрудник всё равно не может войти, — в статье сотрудник не может войти.
Вход через корпоративный Google или GitHub
Сейчас такой вход отключён: сотрудники входят по email с паролем или по коду из письма, а второй слой — двухфакторная аутентификация. Если корпоративный вход нужен вашей организации, напишите в поддержку — это решается отдельно.
Что защищено помимо входа — изоляция организаций, журнал изменений, экспорт и удаление данных — в статье про приватность данных.