Менеджер паролей и 2FA: советы Cyber Centre

30.10.2026

Коротко: Canadian Centre for Cyber Security советует для каждого аккаунта отдельную парольную фразу минимум из четырёх слов и 15 знаков и двухфакторную защиту везде, где она есть. Запомнить десятки таких фраз нельзя, поэтому для обычных аккаунтов подходит менеджер паролей. Банковские входы центр советует хранить отдельно.

Один пароль на всё работает ровно до первой утечки: тогда злоумышленник пробует его на почте, в банке и в соцсетях. Про банковские настройки и публичный Wi-Fi мы писали в материале об онлайн-банкинге, а здесь разберём сам порядок: как строить пароли, где их хранить и какой вид второго фактора выбрать.

Какой пароль считается хорошим

Cyber Centre рекомендует парольную фразу из минимум четырёх слов длиной не менее 15 знаков либо пароль не короче 12 знаков. Главное правило: для каждого устройства и аккаунта свой пароль, фраза или PIN. Если сайт не принимает фразу, берите самый сложный вариант из разрешённых. Особенно важно не повторять пароль там, где хранятся чувствительные данные.

Менеджер паролей: что учесть

Менеджер генерирует и хранит уникальные пароли, поэтому помнить нужно только главный. Cyber Centre отмечает условия: закрывайте сам менеджер сильным паролем и многофакторной защитой, берите сервис с защищённого сайта и обновляйте его. Выбирать стоит, сравнив нескольких поставщиков, с шифрованием, при котором данные видите только вы.

Отдельная оговорка из руководства центра: менеджер подходит для аккаунтов с низкой чувствительностью. Учётные записи с административными правами и банковские входы в нём лучше не держать, а защищать самой сильной парольной фразой. Решение остаётся за вами, но об этом правиле полезно знать. Про вход в кабинет налоговой службы читайте в материале о CRA My Account.

Какой вид второго фактора выбрать

Вид	Что говорит Cyber Centre	Источник, дата
Аппаратный ключ стандарта FIDO	Основная рекомендация для онлайн-аккаунтов, устойчив к фишингу	Cyber Centre, ITSAP.30.030, на 30.10.2026
Приложение-аутентификатор	Относится к программным токенам; при push-запросах включайте сопоставление номера	там же
SMS-код	Тоже программный токен; атаки «человек посередине» часто идут через поддельные тексты	там же
Отпечаток или лицо	Фактор «кто вы», годится как дополнение	там же

Любой второй фактор лучше его отсутствия. Если сервис разрешает выбор, ставьте ключ или приложение, а SMS оставляйте запасным вариантом. Сразу после включения защиты сохраните резервные коды и убедитесь, что к ним есть доступ без телефона. Что делать, если телефон потерян, разобрано в материале о разблокировке и правилах оператора.

С чего начать за вечер

Сначала смените пароли основной почты и банка: через почту восстанавливаются все остальные аккаунты.
Включите многофакторную защиту в почте, соцсетях и облачном хранилище.
Не входите на другие сайты через аккаунт соцсети, если можно создать отдельный вход.
Установите менеджер и переносите аккаунты постепенно, по несколько в день.

Частые вопросы

Безопасно ли хранить пароли в браузере?

Office of the Privacy Commissioner не советует использовать функцию «запомнить пароль» на общих компьютерах и рекомендует надёжный менеджер с сильным главным паролем. На личном устройстве браузер удобен, но тогда его профиль нужно закрыть паролем и включить двухфакторную защиту.

Что делать, если забыл главный пароль менеджера?

Обычно восстановить его невозможно, поскольку сервис не знает ваших данных. Поэтому запишите главную фразу на бумаге и храните дома в надёжном месте. Многие менеджеры дают аварийный код для восстановления, сохраните его при настройке. Условия смотрите в справке самого сервиса.

Нужна ли двухфакторная защита, если пароль сильный?

Да. Руководство Cyber Centre советует включать многофакторную аутентификацию везде, где она доступна, потому что она защищает аккаунт даже при утечке пароля. Особенно важно включить её в почте, банке, облачном хранилище и налоговом кабинете.

Можно ли доверять SMS-кодам?

Они лучше, чем ничего, но слабее аппаратного ключа и приложения: Cyber Centre предупреждает об атаках через поддельные тексты. Никому не называйте код из сообщения, даже «сотруднику банка». Настоящий сервис код у вас по телефону не спрашивает.

Актуально на 30 октября 2026 года.

Источники

Материал справочный и не заменяет консультацию специалиста.