Короткий ответ
Двухфакторная аутентификация включается в личном профиле: фото в правом верхнем углу → Безопасность → Включить. Дальше QR-код, мобильное приложение Битрикс24, подтверждение телефона и почты.
Обязательность для всей компании включается в другом месте: шестерёнка настроек портала → Безопасность → Двухфакторная аутентификация → переключатель «Включить для всей компании».
Официальное описание есть в документации Битрикс24 — ниже практический путеводитель по обоим сценариям, собранный на её основе и на опыте включения 2FA у наших клиентов.
Почему стоит держать эту инструкцию под рукой
В портал приходит уведомление от бота: нужно подключить двухфакторную аутентификацию. Что нужно — понятно. Уведомление короткое и не описывает оба сценария подробно, поэтому администратору, который настраивает это редко — раз в год или впервые, — удобнее иметь пошаговый путеводитель перед глазами, а не искать каждый экран заново.
Дальше — путь по шагам для обоих сценариев: для своего аккаунта и для всей компании.
Как включить 2FA для своего аккаунта: пошагово
Сначала установите мобильное приложение Битрикс24 и авторизуйтесь в нём. Оно понадобится в процессе, и если начать без него, придётся прерываться.
- Нажмите на своё фото в правом верхнем углу портала на компьютере.
- Выберите Безопасность.
- Нажмите Включить.
- Наведите камеру смартфона на QR-код и перейдите по ссылке. Если код не сканируется камерой, используйте отдельное приложение для сканирования.
- В мобильном приложении нажмите Отлично — защита включена.
- На компьютере нажмите Продолжить.
- Укажите номер телефона — он нужен для входа по СМС, если телефона с приложением под рукой не окажется.
- Нажмите Продолжить.
- Введите код из СМС.
- Подтвердите адрес электронной почты — второй запасной способ входа.
- Нажмите Подтвердить.
QR-код никому не показывайте: в нём данные для входа в ваш аккаунт.
Устройство, с которого вы подтвердили вход, становится доверенным. Список доверенных устройств можно менять.
Где найти и как сохранить резервные коды
Шаг, который пропускают чаще всего, а вспоминают в худший момент — когда телефон потерян или разряжен, а войти нужно сейчас.
- Фото в правом верхнем углу.
- Безопасность.
- Двухфакторная аутентификация.
- Стрелка в блоке Резервные коды.
- Распечатайте или сохраните.
Каждый код одноразовый. Хранить их на том же телефоне, где стоит приложение, бессмысленно: если телефон недоступен, коды тоже.
Как сделать 2FA обязательной для всех сотрудников
Это второй, отдельный сценарий. Настройка для компании находится не там, где для себя.
Сначала условие: администратор должен включить 2FA для собственного аккаунта. Пока не включил — опция для компании недоступна.
Дальше:
- Настройки портала — шестерёнка.
- Безопасность → Двухфакторная аутентификация.
- Переключатель «Включить для всей компании».
- Задайте срок, в течение которого сотрудники должны подключиться.
- Сохраните.
Про срок стоит подумать отдельно: сотрудники, которые не включат защиту в указанный период, не смогут войти в портал. Если поставить два дня и уйти в отпуск, в понедельник половина отдела продаж окажется за дверью.
Разумно дать две недели, предупредить людей заранее и приложить эту инструкцию сотрудникам вместе с уведомлением от бота.
Что предусмотреть до массового включения 2FA
Включить себе — пять минут. Включить сорока сотрудникам — история, в которой всплывают ситуации, о которых заранее не думают.
У сотрудника нет корпоративного телефона. Приложение ставится на личный, и это отдельный разговор с человеком, а не техническая настройка. Альтернатива — подтверждение по СМС и почте, они настраиваются в том же процессе. Решить, что вы предлагаете людям, лучше до рассылки, а не в переписке с каждым.
Сотрудник потерял телефон или сменил номер. Ровно для этого при настройке подтверждаются и телефон, и почта, и сохраняются резервные коды. Если человек пропустил шаг с кодами — а его пропускают чаще всего, — восстановление превращается в задачу для администратора. Проще один раз проследить, что коды сохранены у всех.
Увольнение. Второй фактор привязан к устройству и номеру уволенного. Отключение учётной записи при увольнении и так должно быть в регламенте, но с 2FA цена пропуска выше: доступ остаётся у человека, которого нет в компании.
Отпуска и удалёнка. Если задать срок в два-три дня, часть людей его физически не застанет. Две недели — разумный минимум.
Что делать, если была подключена старая 2FA
Механизм обновился. Раньше подтверждение работало только через сторонние приложения с кодами — вроде тех, куда добавляют аккаунты по QR. Теперь доступны мобильное приложение Битрикс24, СМС и почта.
Если старая защита включена, вендор рекомендует перейти на новую. Путь: Настройки → Безопасность → Двухфакторная аутентификация → Включить. После перехода станет доступна и настройка обязательности для всей компании.
Практический смысл перехода не в самой технологии, а в поддержке: со сторонним приложением сотрудник, потерявший телефон, остаётся один на один с проблемой. С новым механизмом у него есть СМС, почта и резервные коды — то есть три пути вместо одного.
Для кого 2FA обязательна, а для кого нет
Новая 2FA обязательна на облачных тарифах «Профессиональный» и «Энтерпрайз». На Бесплатном, Базовом и Стандартном она пока добровольная.
И вот здесь главное, ради чего стоит читать дальше.
Зачем подключать 2FA, если тариф не обязывает
Обязательность тарифа — это требование вендора. Безопасность данных компании — ваша задача, и она не зависит от того, за какой тариф вы платите.
Что защищает пароль сотрудника без второго фактора: вся база клиентов, переписка с ними, суммы сделок, условия договоров, персональные данные коллег. Пароль при этом обычно один и тот же для десятка сервисов, записан в заметках телефона и не менялся с момента приёма на работу.
Утечка одного пароля менеджера — это доступ ко всей воронке. Не к его сделкам, а ко всему, что видит его роль. А если роль настроена широко — а это отдельная типовая проблема — то и ко всей базе.
Второй фактор ломает эту цепочку целиком: знание пароля перестаёт быть достаточным.
Поэтому правильная позиция не «нам пока не обязательно», а «подключаем всем, потому что данные наши». Тариф здесь ни при чём.
Что сделать на этой неделе
- Включить 2FA себе — по шагам выше.
- Сохранить резервные коды и убрать их не в телефон.
- Проверить, у скольких сотрудников она уже включена.
- Разослать инструкцию и назначить реалистичный срок.
- Заодно проверить список администраторов портала: у них доступ шире всех, и второй фактор им нужнее всех.
Если портал у вас сопровождаем, такие изменения платформы отслеживает подрядчик — это часть работы по сопровождению, а не отдельная услуга. Если сопровождения нет, эту инструкцию удобно держать под рукой и разослать вместе с уведомлением от бота.
Если некому держать это в порядке — смотрите сопровождение Битрикс24.