Резервные коды 2FA: как хранить безопасно

Что такое recovery codes и почему они опасны при утечке

Резервный код позволяет войти или восстановить доступ, когда основной второй фактор недоступен. В зависимости от сервиса набор состоит из нескольких одноразовых строк либо одного специального recovery key. NIST рассматривает сохранённые recovery codes как секреты, которые пользователь держит на случай потери или неисправности другого аутентификатора. Это значит, что код не должен быть «удобной заметкой», доступной любому, кто получил телефон или почту. Если злоумышленник узнает действующий recovery code вместе с логином и паролем, он может использовать резервный путь вместо вашего обычного приложения-аутентификатора. Поэтому ценность кода определяется не частотой использования, а тем, что он способен обойти потерянный основной фактор.

Важно: Резервный код — не пароль-подсказка и не справочная информация. Относитесь к нему как к ключу восстановления, который может открыть аккаунт без привычного второго фактора.

Как сохранить резервные коды после включения 2FA

1. Сгенерируйте коды только внутри официальных настроек безопасности сервиса. Не переходите по ссылке из письма с предложением «обновить backup codes» и не вводите текущие коды на сторонних страницах.
2. Сохраните основной набор в защищённом хранилище, к которому у вас будет доступ после потери телефона. Подойдёт менеджер паролей с отдельной защищённой учётной записью или физическая бумажная копия в контролируемом месте.
3. Если делаете бумажную копию, подпишите сервис и дату генерации, но не добавляйте лишние данные, которые упрощают сопоставление с логином. Храните лист не в кошельке рядом с телефоном и не фотографируйте его без необходимости.
4. Проверьте, что вы знаете, где найти recovery codes, но не используйте рабочий код просто для теста, если сервис делает его одноразовым. Лучше изучить официальную процедуру восстановления заранее.
5. После регенерации набора уничтожьте старые копии. Если сервис сообщает, что предыдущие коды стали недействительными, убедитесь, что в облачных заметках, распечатках и резервных папках не осталось старого набора, который будет вводить в заблуждение.

Совет: Главная цель — разделить риски: потеря одного телефона не должна одновременно лишить вас MFA и единственной копии recovery codes.

Где хранить резервные коды

• Менеджер паролей. Шифрованное централизованное хранение и поиск. Если это тот же аккаунт, который вы пытаетесь восстановить, нужен независимый путь доступа
• Бумажная копия дома. Не зависит от телефона и облака. Физическая кража, пожар, потеря; место должно быть контролируемым
• Зашифрованный офлайн-файл. Можно хранить отдельно от основного устройства. Нужно помнить, как расшифровать и где находится носитель
• Обычная заметка, чат или письмо. Удобно. Слабая изоляция; не рекомендуется как единственная или открытая копия

Предупреждение: Не храните резервные коды открытым текстом в общей папке, семейном чате или заметке, к которой имеют доступ сторонние приложения.

Нужно ли держать коды отдельно от пароля

Чем сильнее разделены секреты, тем меньше вероятность, что одна компрометация даст злоумышленнику всё сразу. Если пароль и recovery codes лежат в одном незашифрованном документе, кража файла превращается в полный комплект для захвата аккаунта. Менеджер паролей может безопасно хранить оба типа данных при корректной настройке, но для его собственного аккаунта нужен отдельный план восстановления: нельзя полагаться на recovery code, который доступен только после входа в тот же менеджер. Для критичных сервисов полезно иметь хотя бы одну независимую копию — например бумажную в защищённом месте. Это не требование хранить секреты «как можно дальше», а принцип отказоустойчивости: один сбой или потеря устройства не должны уничтожать все способы вернуть доступ.

Что проверить раз в несколько месяцев

• Вы всё ещё знаете, где лежит актуальный набор кодов.
• Старые наборы после регенерации уничтожены или явно помечены недействительными.
• Коды не попали в общие облачные папки, незашифрованные заметки или резервные копии без контроля доступа.
• Телефон с приложением-аутентификатором не является единственным местом, где лежат и сами recovery codes.
• Контактные данные восстановления — почта и номер — актуальны и принадлежат вам.
• Для критичных аккаунтов есть второй независимый сильный фактор, если сервис его поддерживает.

Совет: Полезно проверять не сами коды, а маршрут восстановления: знаете ли вы адрес страницы безопасности, где лежит резервная копия и какие факторы останутся при потере телефона.

Что делать после использования одного кода

NIST описывает look-up secrets как одноразовые секреты: успешно использованный код не должен применяться повторно. Конкретный сервис может автоматически помечать его использованным, показывать оставшиеся коды или предлагать сгенерировать новый набор. После аварийного входа сначала восстановите основной фактор: зарегистрируйте новый телефон, новый аппаратный ключ или другой допустимый аутентификатор. Затем проверьте активные сессии и историю безопасности, особенно если старое устройство было потеряно или украдено. Если есть сомнение, что бумажный или цифровой набор мог попасть к посторонним, регенерируйте коды через официальный интерфейс. Старый набор после этого следует считать скомпрометированным и не хранить «на всякий случай».

Почему скриншот recovery codes на телефоне — слабая резервная стратегия

Скриншот кажется удобным, но часто попадает в автоматическую синхронизацию фотографий и остаётся на том же устройстве, потеря которого как раз и должна компенсироваться резервным кодом. Кроме того, галерея может быть доступна приложениям с разрешением на фотографии, а изображение легко случайно переслать. Если вы всё же сделали снимок только для переноса, переместите коды в выбранное защищённое хранилище и удалите временный файл, включая корзину и лишние облачные копии. Гораздо важнее обеспечить независимость копии, чем выбрать «самый технологичный» формат. Бумага в защищённом месте может быть надёжнее открытого скриншота, а зашифрованное хранилище — удобнее бумаги для регулярного контроля.

Когда лучше добавить второй аппаратный фактор

Recovery code нужен для аварии, но частые входы через него означают, что основной план восстановления неудобен. Для важного аккаунта рассмотрите два зарегистрированных аппаратных ключа, несколько passkey на разных доверенных устройствах или другой резервный фактор, который поддерживает сервис. Один ключ используется ежедневно, второй хранится отдельно. Тогда recovery codes остаются последней линией, а не привычным обходом MFA. Не добавляйте новый фактор через ссылку или QR-код, присланный незнакомым человеком: настройка должна начинаться в официальном разделе Security уже аутентифицированного аккаунта. Чем больше факторов вы добавляете, тем важнее регулярно удалять старые устройства и не забывать, кто имеет доступ к резервным способам.

Что учитывать

Резервный код позволяет войти или восстановить доступ, когда основной второй фактор недоступен. В зависимости от сервиса набор состоит из нескольких одноразовых строк либо одного специального recovery key. NIST рассматривает сохранённые recovery codes как секреты, которые пользователь держит на случай потери или неисправности другого аутентификатора. Это значит, что код не должен быть «удобной заметкой», доступной любому, кто получил телефон или почту. Если злоумышленник узнает действующий…

Источники и проверка

Фактическая часть сверена по первичным источникам (в т.ч. SP 800-63B: Authentication and Authenticator Management). Пример и формулировки — редакция N1RO на 2026-09-21.

• SP 800-63B: Authentication and Authenticator Management