Безпека акаунта: обовʼязковий двофакторний вхід і довірені мережі (IP)

Клікніть на своє імʼя у шапці (на ноутбуці — кружок з ініціалами) → «Обліковий запис» → «Адміністрування бізнес-акаунта» → вкладка «Безпека». Там чотири блоки:

Безпека акаунта: обовʼязковий двофакторний вхід і довірені мережі

Де це в системі

Клікніть на своє імʼя у шапці (на ноутбуці — кружок з ініціалами) → «Обліковий запис» → «Адміністрування бізнес-акаунта» → вкладка «Безпека». Там чотири блоки:

  1. Двофакторний вхід — галочка «Вимагати двофакторний вхід від усіх користувачів акаунта — і від власника» і список тих, хто ще без двофакторного входу (з кнопкою «надіслати нагадування»).
  2. Довірені мережі (IP) — галочка «Працювати лише з довірених мереж — усі користувачі, крім власника», ваша поточна адреса, форма «додати мережу» і список мереж.
  3. Користувачі — хто налаштував двофакторний вхід, і дві галочки для кожного: «Вимагати 2FA» і «Лише довірені мережі». Тут же видно, скільки в людини особистих мереж.
  4. Журнал заблокованих спроб — останні 100 відмов.

Змінювати ці налаштування може лише власник акаунта. Адміністратор бачить вкладку, але всі перемикачі в нього неактивні.

Ще один шлях — при запрошенні нового користувача: власник бачить у вікні запрошення дві галочки «вимагати двофакторний вхід» і «працювати лише з довірених мереж (IP)». Мережі додаються вже на вкладці «Безпека».

Обовʼязковий двофакторний вхід

Що це дає. Навіть якщо пароль бухгалтера викрадуть чи підглянуть, без коду з його телефона до даних акаунта не дістатися.

Для всіх або для окремих.

  • Галочка «Вимагати… від усіх» — діє на всіх, включно з власником.
  • Галочка «Вимагати 2FA» у таблиці «Користувачі» — лише для цієї людини. Власника ця галочка не стосується (для нього — лише загальна вимога).

Як увімкнути вимогу для всіх. Оскільки вона діє і на власника, система дозволяє її ввімкнути, лише коли:

  1. у самого власника двофакторний вхід уже налаштовано («Обліковий запис» → «Облікові дані»);
  2. поточний вхід власника підтверджено кодом. Якщо власник увійшов ще до того, як налаштував двофакторний вхід, система попросить ввести код прямо на вкладці — без повторного входу.

Перед увімкненням система попереджає, скільки людей ще без двофакторного входу. Їм можна надіслати нагадування (лист і повідомлення в Telegram, якщо підключено) — кнопка поруч зі списком. Повторно надіслати можна через 10 хвилин.

Що бачить користувач без двофакторного входу. Він входить у систему з паролем, але до даних акаунта не потрапляє: відкривається сторінка «Акаунт «…» вимагає двофакторний вхід», і там же можна все налаштувати:

  • Google Authenticator — кнопка «налаштувати», QR-код для сканування телефоном (або ключ для ручного вводу), поле для 6-значного коду → «увімкнути і продовжити». Після цього людина одразу працює — входити знову не потрібно.
  • Код у Telegram — «підключити Telegram» (відкриється наш бот, у ньому натиснути «Start»), далі «увімкнути вхід з кодом у Telegram», і ввести код, який надішле бот.

Що бачить людина, у якої двофакторний вхід уже є, але поточний вхід без коду. Наприклад, вона налаштувала його сьогодні, а увійшла вчора, або вимогу щойно ввімкнули. Система попросить підтвердити вхід кодом (із застосунку або з Telegram) — повторно вводити пароль не треба. Невірний код можна повторити до 5 разів, потім — почати підтвердження знову.

Вимкнути двофакторний вхід.

  • Власник акаунта, де діє вимога для всіх, вимкнути його собі не може — інакше замкнув би себе. Спершу треба зняти вимогу на вкладці «Безпека». Так само не можна відключити Telegram чи застосунок, якими він входить.
  • Інші користувачі можуть вимкнути, але система попередить, що в акаунтах з вимогою вони працювати не зможуть, доки не ввімкнуть його знову.

Зміни двофакторного входу — лише з паролем. Коли двофакторний вхід уже діє, вимкнути його, налаштувати інший застосунок, підключити чи відключити Telegram можна лише ввівши пароль (поле «Пароль для змін двофакторного входу» на сторінці «Облікові дані») і з входу, підтвердженого кодом. Так чужа відкрита вкладка чи викрадена сесія без коду не зніме захист. Поки новий застосунок не підтверджено кодом, старий продовжує працювати.

Після підтвердження нового застосунку, зміни Telegram або зміни пароля всі інші сесії завершуються — на інших пристроях доведеться увійти заново (з кодом). Це навмисно: пристрій, який не проходив другий крок, не має лишатися в системі.

Захист від перебору. Після 10 невірних паролів поспіль вхід для цього email зупиняється на 15 хвилин; так само — 10 невірних кодів. Це не блокування облікового запису: почекайте і спробуйте знову.

Довірені мережі (IP)

Що таке адреса і мережа. Кожне підключення до інтернету має IP-адресу, наприклад 91.200.10.15. Мережа — діапазон адрес, наприклад 91.200.10.0/24 — це всі адреси від 91.200.10.0 до 91.200.10.255. У список можна додати і окрему адресу, і мережу; підтримуються також IPv6-адреси. Кілька адрес за раз — через кому: 91.200.10.15, 91.200.11.0/24, 2001:db8::1. Система перевірить усі: якщо хоч одна не розпізнана — нічого не додасть і покаже, які саме; ті, що вже є в списку, пропустить і скаже про це. Назва й «Для кого» застосовуються до всіх введених адрес.

Для кого діє обмеження.

  • Галочка «Працювати лише з довірених мереж — усі користувачі, крім власника» — для всіх, крім власника.
  • Галочка «Лише довірені мережі» у таблиці «Користувачі» — для однієї людини.
  • Власника мережами не обмежуємо ніколи — щоб він не міг випадково замкнути себе з власного акаунта.

Спільні і особисті мережі. Додаючи мережу, оберіть «Для кого»:

  • усі користувачі з обмеженням — спільна мережа (офіс, VPN компанії);
  • лише конкретна людина — особиста мережа (наприклад, домашня адреса бухгалтера). Особиста мережа не відкриває доступ іншим.

Людина з обмеженням працює, якщо її адреса входить у спільну мережу або в її особисту.

Як дізнатися адресу. На вкладці «Безпека» написано «Ваша поточна адреса» — кнопка «моя адреса» підставить її у форму. Щоб дізнатися адресу співробітника, попросіть його спробувати увійти: на сторінці відмови система покаже його поточну адресу, а в журналі заблокованих спроб вона теж буде.

Що бачить користувач поза довіреною мережею. Сторінку «Вхід в акаунт «…» обмежено мережею» з його поточною адресою і порадою: підключитися з дозволеної мережі або попросити власника додати адресу. Кнопка «перевірити знову» — після того як власник додав адресу.

Перевірка — на кожній дії. Якщо людина вийшла з офісу з відкритою вкладкою і продовжила роботу з дому, наступна ж дія покаже сторінку відмови.

Коли обмеження мережами може заважати.

  • Домашній і мобільний інтернет часто змінює адресу (після перезапуску роутера, у дорозі). Для таких людей краще статична IP-адреса у провайдера або VPN компанії — тоді в список досить додати одну адресу.
  • При відключеннях світла люди працюють з укриттів, коворкингів, мобільного інтернету — це інші адреси. Або тимчасово додайте їх, або зніміть галочку з людини, або покладіться на двофакторний вхід.
  • Якщо обмеження ввімкнули, а список мереж порожній, ніхто з обмеженням не зможе працювати. Вкладка попереджає про це окремо.

Схожі статті