Три варианта по возрастанию стойкости
- SMS-код. Лучше, чем ничего, но перехватывается подменой SIM и атаками на канал. Для банка сойдёт как принудительный вариант, для почты — слабо.
- Приложение-генератор (TOTP). Коды рождаются на устройстве и не ходят по сети — перехватывать нечего. Стандарт разумного человека.
- Аппаратный ключ (FIDO2/passkey). Не вводится руками — значит, не фишится вообще. Для самых ценных аккаунтов.
Порядок включения
Сначала почта (она восстанавливает всё остальное), затем менеджер паролей, банк, Telegram, соцсети. Резервные коды — распечатать и убрать, а не хранить в заметках.
Связка с остальной гигиеной
2FA не отменяет длинных паролей и не защищает канал связи — в открытых сетях это работа туннеля.