Двухфакторное подтверждение: какой способ выбрать

Второй фактор — самая полезная настройка безопасности из существующих. Но способы отличаются по надёжности сильнее, чем принято думать.

СМС — лучше, чем ничего

Самый распространённый и самый слабый способ. Номер можно перевыпустить по поддельным документам, и код придёт постороннему. Тем не менее СМС надёжнее, чем один пароль. Если другого варианта сервис не даёт — включайте.

Приложение-аутентификатор

Коды генерируются на устройстве и никуда не передаются, поэтому перехватить их по пути невозможно. Но локальная генерация не спасает, если ввести код на поддельной странице: одноразовый код так же можно выманить обманом, как пароль, — проверяйте адрес сайта перед вводом. Сохраните резервные коды: при потере телефона это один из путей назад, не обязательно единственный — во многих сервисах есть и другие способы восстановления.

Ключ безопасности и аппаратный генератор кодов — это разное

Ключ безопасности (FIDO2 или WebAuthn) привязан к адресу сайта и потому устойчив к фишингу: подтвердить вход на поддельной странице им не получится. Аппаратный генератор одноразовых кодов лишь показывает код, который вы вводите руками, — его по-прежнему можно выманить обманом, поэтому фишингоустойчивым ключом он не является. Самый надёжный вариант — именно ключ безопасности; он оправдан для почты, к которой привязано всё остальное.

С чего начать

Включите второй фактор сначала на почте — через неё восстанавливают доступ ко всему остальному. Потом банк, потом соцсети. И сразу сохраните резервные коды в надёжном месте, отдельно от телефона.

Читайте также: Резервные коды: зачем нужны и где хранить. Все инструкции — в каталоге гайдов.