Что такое 2FA / MFA (многофакторная аутентификация)?
2FA / MFA (Two-Factor / Multi-Factor Authentication) — вход в аккаунт, при котором одного пароля недостаточно: система запрашивает второе подтверждение — код из приложения, нажатие в push, отпечаток пальца или физический ключ.
Расшифровывается просто: Two-Factor — два независимых доказательства «я — это я», Multi-Factor — два и более. Для бизнеса это не паранойя, а страховка: угнанный рекламный кабинет, домен или панель аналитики стоит дороже любого бюджета на безопасность, а восстановление доступов занимает недели.
Как работают 2FA и MFA
Все доказательства личности делятся на три группы: знание (пароль, PIN), владение (телефон, физический ключ, приложение-аутентификатор) и биометрия (отпечаток, Face ID). Вход становится двухфакторным только тогда, когда факторы берутся из разных групп. Пароль плюс код из приложения — это 2FA, а пароль плюс секретный вопрос — всё ещё один фактор, просто дважды.
Второй фактор обычно спрашивают не при каждом входе, а при входе с нового устройства, из новой страны или после смены пароля. Доверенное устройство система помнит 30–90 дней — поэтому в реальной работе MFA почти не мешает.
Какие вторые факторы используют в 2026 году
- TOTP — шестизначные коды, которые генерирует приложение (Google Authenticator, Яндекс Ключ, 1Password). Работают офлайн и не зависят от оператора связи.
- Push-подтверждение — уведомление «Это вы?» на смартфоне. Удобно, но уязвимо: уставший пользователь жмёт «Да» не глядя.
- Ключи FIDO2 и passkeys — главный стандарт: вход по физическому ключу или биометрии устройства, где хранится приватный ключ. Пароль не передаётся вовсе, поэтому фишинг и перехват кода теряют смысл. Крупные платформы делают passkeys выбором по умолчанию.
- SMS и звонок — самый слабый вариант: SIM-своп и перехват кода реальны. Как единственный второй фактор он устарел, как резервный — допустим.
Практический выбор 2026 года: passkeys там, где поддерживаются, TOTP — как универсальный запасной вариант, SMS — только вынужденно.
Зачем MFA бизнесу и SEO-команде
В интернет-маркетинге ценность аккаунтов выше среднего: здесь рекламные бюджеты, доступы к сайту, аналитике, домену и почте. Угон кабинета Google Ads — типовая схема: мошенники меняют платёжные данные или запускают кампании на свой сайт, а расходы списываются с вашей карты. Отдельная зона риска — подрядчики: пароли ходят по чатам, а уволившийся сотрудник сохраняет доступ.
Что стоит закрыть в первую очередь:
- рекламные кабинеты и системы аналитики;
- панель CMS и хостинг — их взлом означает подмену контента и редиректы;
- регистратор домена, где живёт NS-запись;
- корпоративную почту: с неё восстанавливают пароли от всего остального.
Типичные ошибки: MFA включили только на почту, оставив кабинет открытым; второй фактор привязан к личному телефону одного сотрудника; резервные коды не сохранены, и при потере устройства доступ не вернуть; для агентства и клиента не настроены отдельные аккаунты с ролевыми правами вместо одного общего логина.
Омоним: MFA как Made For Advertising
В разговоре про медийку та же аббревиатура означает другое — Made For Advertising, сайты, созданные ради показа рекламы, а не ради читателя. Признаки: десятки блоков на первом экране, «листалки» по клику, автовоспроизведение, контент из чужих лент. Такой трафик завышает показатели и раздувает стоимость заявки в платном поиске и в сетях.
Показы на MFA-площадках нередко разбавляются ботами и «случайными» кликами. Реакция рекламных платформ в 2026 году жёстче, чем раньше: MFA-инвентарь помечают в отчётах и исключают из закупки, а рекламодателю стоит смотреть отчёт по площадкам, а не только по ключевым словам. Если слышите «MFA» на созвоне с командой — уточните, о защите доступа речь или о качестве площадок.
Коротко
2FA и MFA — обязательный минимум для любого аккаунта, через который проходят деньги или контент. В 2026 году ориентируйтесь на passkeys и TOTP, а SMS оставляйте в резерве. И помните про омоним: тот же MFA в медийной рекламе означает не защиту, а мусорные площадки.
