Требование второго подтверждения личности помимо пароля: кода из приложения-аутентификатора, аппаратного ключа или одноразового кода, отправленного пользователю. SMS — самый слабый из этих вариантов.
Пароли утекают массово с других сервисов и повсюду переиспользуются. 2FA — самая действенная мера против угона аккаунта, и важнее всего она для административных учёток и всего, что связано с деньгами.
Мы делаем 2FA обязательной для административного доступа, предлагаем коды из приложения и passkeys вместо SMS там, где возможно, и аккуратно реализуем восстановление: слабый сброс пароля тихо обнуляет всю защиту.