Почему аккаунт разработчика нужно защищать особенно
Аккаунт GitHub — это не только профиль. К нему привязаны репозитории, токены доступа, секреты автоматизации и права на чужие проекты. Если пароль утёк из другого сервиса, злоумышленник получает шанс войти именно сюда, а через токены добраться до серверов и публикаций. Второй фактор превращает один украденный пароль в недостаточное условие для входа.
Перед началом подготовьте телефон с приложением-аутентификатором и место, где будете хранить коды восстановления: пустая заметка на экране не подойдёт. Разберитесь и с почтой аккаунта: если доступ к ней потерян, восстановление будет мучительным.
Порядок включения по шагам
Откройте настройки профиля и найдите раздел о безопасности и паролях. В нём есть пункт про двухфакторную аутентификацию, рядом кнопка включения. Сервис попросит подтвердить действие текущим паролем, а затем предложит выбрать основной способ.
Самый практичный вариант — приложение-аутентификатор. Отсканируйте показанный QR-код камерой приложения, после чего введите шестизначный код, который оно покажет. Код меняется примерно каждые тридцать секунд, поэтому вводить его нужно сразу. Если камера не читает QR, используйте текстовый ключ настройки, который сервис показывает рядом.
Сообщение по SMS тоже возможно там, где сервис его предлагает, но это слабее: номер могут перевыпустить на чужую SIM-карту. Приложению или ключу стоит отдавать предпочтение.
Коды восстановления: сохраните до завершения настройки
После подтверждения первого кода GitHub покажет набор одноразовых кодов восстановления. Это единственный запасной путь, если телефон потерян или приложение стёрто. Сохраните их сразу: скачайте файл и положите в менеджер паролей либо распечатайте и уберите в надёжное место дома.
Каждый код срабатывает один раз. Не оставляйте их в переписке, в облачном блокноте без защиты и в скриншотах в галерее телефона. Если вы подозреваете, что коды видел кто-то посторонний, в тех же настройках можно создать новый набор, старый при этом перестанет действовать.
Ключи доступа и физические ключи как более сильный вариант
Помимо кодов, GitHub поддерживает вход с ключами доступа (passkeys) и физическими ключами безопасности. Их плюс в том, что ответ привязан к настоящему адресу сайта, поэтому подделанная страница входа ничего не получит. Добавьте ключ в тех же настройках безопасности: сервис предложит приложить ключ или подтвердить вход отпечатком либо PIN-кодом устройства.
Лучше зарегистрировать минимум два способа: например, приложение и ключ, либо два ключа. Так потеря одного устройства не превратится в потерю аккаунта.
Проверка результата и типичные ошибки
Проверьте настройку честно: откройте приватное окно браузера, выйдите из аккаунта и войдите заново. Сервис должен запросить второй фактор. Затем убедитесь, что в настройках 2FA отображается статус «включено» и указаны все добавленные методы.
Чаще всего ломаются три вещи. Первая — неверное время на телефоне: коды рассчитываются по часам, и расхождение в минуту-две приводит к отказам; включите автоматическую установку времени. Вторая — коды восстановления не сохранены, а телефон сброшен. Третья — для командной строки и Git по HTTPS вместо пароля теперь нужен персональный токен доступа или SSH-ключ; обычный пароль перестанет подходить, и это не сбой, а ожидаемое поведение.
Работа с токенами и доверенными устройствами
После включения второго фактора полезно навести порядок вокруг аккаунта. Откройте список персональных токенов доступа и удалите те, которыми давно не пользуетесь: токен заменяет ввод второго фактора при работе из командной строки, поэтому забытый токен с широкими правами — самое слабое звено. Для новых токенов выбирайте минимально необходимые права и ограниченный срок действия.
Просмотрите также список SSH-ключей и авторизованных приложений. Ключи со старых компьютеров лучше удалить. Если вы работаете в организации, уточните у администратора, требует ли она обязательную двухфакторную защиту для участников: в таком случае без неё доступ к проектам будет закрыт.
Наконец, проверьте адрес электронной почты аккаунта и включите проверку входа в самой почте: сброс пароля GitHub проходит именно через неё, и слабый ящик обесценит любые настройки. Сделайте эти проверки привычкой раз в квартал, вместе с просмотром журнала безопасности, где видны последние входы и изменения.
Краткий порядок на бумаге: включить второй фактор, сохранить коды восстановления, добавить резервный ключ или второе приложение, удалить старые токены, проверить вход в приватном окне. Пять действий занимают около получаса, а защищают аккаунт и все проекты, к которым он имеет отношение. Если вы работаете в команде, расскажите коллегам, как вы это настроили: единая практика снижает риск слабого звена.