Двухэтапная проверка Telegram: пароль и что будет, если он потерян

Вы входите в систему, вводите код из сообщения, а затем на втором экране запрашивают пароль, о котором вам никто не подсказал. Это двухэтапная проверка Telegram, и стоит понимать, что это такое, потому что она работает иначе, чем любой другой второй фактор, с которым вы сталкивались.

Это не приложение-аутентификатор

Достаточно распространённое предположение, которое всплывает в подсказках поиска: люди ищут Telegram плюс Google Authenticator. Такого сочетания не существует.

Второй фактор Telegram — это облачный пароль. Это фиксированная строка, которую вы выбрали, хранящаяся на сервере и запрашиваемая при входе с нового устройства. Она не меняется каждые тридцать секунд, здесь нет QR-кода для сканирования, и никакое приложение-аутентификатор не задействовано ни на одном этапе. Модель здесь — второй замок на двери, а не меняющийся код.

Одно следствие, которое удивляет людей: поскольку пароль не меняется, его можно записать, а так как он хранится на сервере, его изменение вступает в силу сразу везде.

Формат не из цифр

Ещё один вопрос, который задают в поиске: сколько цифр в пароле. Это не цифры. Это пароль по вашему выбору с обычной свободой в символах и длине. Если вы пытаетесь его вспомнить, не сужайте догадки до чисел, и если вы его задаёте, вы тоже не ограничены ими.

Если вы его забыли

Именно об этом большинство англоязычных запросов по теме, так что вот развилка, которая на самом деле определяет ваш результат:

• Вы указали резервную почту и можете её прочитать. Запросите сброс, перейдите по ссылке, задайте новый пароль. Всё просто, и именно поэтому резервный адрес — самое важное поле здесь.
• Вы её не указали или не можете прочитать. Восстановления нет. Вместо этого существует разрушительный сброс: вы можете запросить удаление аккаунта после периода ожидания, а затем заново зарегистрировать тот же номер как пустой аккаунт. Ваши сообщения, группы и владение каналами этого не переживут.

Стоит говорить прямо о втором случае, потому что многие советы вокруг него — нет. Никто не может восстановить забытый облачный пароль без резервного адреса; это задумано, а не пробел в поддержке. Тот, кто предлагает сделать это за вас, предлагает то, чего не существует.

Что означает «2FA включена» в объявлении

Чуть менее шестидесяти процентов объявлений о Telegram уже имеют настроенный второй фактор, и они находятся по средней цене на полке, а не выше неё. Рынок ничего за это не берёт, что уже намёк на то, сколько это стоит для вас. На практике это означает две вещи:

• Продавец должен передать вам пароль вместе с аккаунтом, и без него вы не сможете завершить вход на новом устройстве.
• Какой бы резервный адрес ни был привязан, он чей-то ещё, пока вы его не смените, и это самое важное.

Объявление без настроенного второго фактора — не худший аккаунт. Это значит, что вход держится только на коде, и вы можете сами добавить замок на своих условиях, со своим резервным адресом.

Что делать с купленным аккаунтом и в каком порядке

Гарантийное окно здесь в среднем двенадцать часов, и более пятой части объявлений приходят с менее чем часом, так что порядок имеет значение. Он важнее, чем кажется, потому что один из шагов недоступен, когда он вам нужен.

1. Войдите с полученным паролем и убедитесь, что он работает. Если нет, сразу поднимайте вопрос, а не пробуйте варианты, потому что повторные неудачи привлекают дополнительные проверки, которые вам не нужны.
2. Посмотрите, какой резервный адрес установлен. Это вопрос, который решает, действительно ли аккаунт ваш. Если он указывает туда, куда вы не можете зайти, вы держите аккаунт, который кто-то другой может забрать.
3. Прочитайте список авторизованных устройств и запишите, что в нём есть. Количество, типы устройств, регионы, время последней активности. Прочитайте, но пока не пытайтесь действовать по нему — по причине ниже.
4. Смените пароль и задайте свой резервный адрес прямо сейчас, в первый же день. Здесь нет периода ожидания, и это единственный защитный шаг, доступный немедленно.
5. Вернитесь через двадцать четыре часа и завершите сеансы, которые вы не узнаёте.

Шаги с первого по четвёртый укладываются в гарантийное окно. Пятый — нет, и это не вопрос предпочтений.

Telegram не позволяет сеансу выйти из другого сеанса, пока сам сеанс, отдающий команду, не был активен полный день, и возвращает ошибку с именно таким объяснением. Ограничение не сводится к очевидной кнопке: завершение одного устройства, завершение всех остальных устройств и установка срока жизни сеанса — всё это отклоняется в тот же период. Последнее закрывает обходной путь, к которому вы могли бы потянуться, — установить короткий срок и дать устройствам предыдущего владельца истечь самим.

Поставьте это рядом с медианной гарантией в двенадцать часов, и напрашивается неудобный вывод: на большинстве объявлений шаг, который на самом деле убирает предыдущего владельца, происходит после того, как ваше окно для жалобы закрылось. Поэтому шаг три говорит «прочитайте и запишите», а не «действуйте». Список — это доказательство, которое может понадобиться, пока окно открыто, а действия по нему — задача на следующий день.

В более ранней версии этой страницы шаги три и четыре были в обратном порядке, и советовалось отложить смену пароля на несколько дней. Это было ошибкой в обе стороны. Смена пароля — единственное, что работает в первую минуту, и стоит понимать, что она даёт: она не убирает тех, кто уже вошёл, но останавливает рост списка, потому что новый вход с номером телефона теперь потребует пароль, который знаете только вы.

Чего двухэтапная проверка не делает

Она мешает кому-то войти только с кодом. Это всё, и это действительно ценно, потому что код, отправленный на номер, которым вы больше не управляете, иначе — весь замок.

Она не влияет на то, ограничивает ли платформа аккаунт или проверяет его. Эти решения принимаются на основе поведения аккаунта, и второй фактор не является для них входным параметром. Относиться к нему как к общей защите — самая частая ошибка, когда его переоценивают.

Она также никого не разлогинивает. Смена пароля оставляет каждый уже запущенный сеанс ровно там, где он был, и никакое количество смен не уберёт их. Это удивляет тех, кто предполагает, что смена пароля — это сброс, а на купленном аккаунте это разница между «закрыл дверь» и «очистил комнату». Вы закрыли дверь.

Объявления с фильтром по состоянию 2FA — на полке аккаунтов Telegram.