4.4.2. Двоетапна аутентифікація для пошти

Увага!

Тільки для корпоративної пошти.

Двоетапна аутентифікація дозволяє підвищити рівень безпеки при доступі до поштової скриньки через WebMail.Online.

При використанні двоетапної аутентифікації

flowchart LR user([👤 Користувач]) wo(📧 WebMail.Online) wc(✉️ WebMail classic) mc(📱 Сторонні
поштові клієнти) scr(#️⃣ Скрипти) lp[/Логін + основний пароль/] ga[🔢 Код GAuth] wa[🔑 Ключ доступу WebAuthn] cp[Вхід без логіна і пароля
через панель керування] ap[/Логін + пароль застосунку/] mb([📬 Поштова скринька]) user-->wo wo-->lp lp-->ga & wa wo-->|Якщо увімкнений вхід без пароля|wa ga & wa-->mb wo-.-xcp cp-.-xmb user-->wc wc-.-xcp wc-->ap ap--->mb user-->mc mc-->ap scr-->ap

Налаштування

GAuth

Важливі моменти:

  • Для коректної роботи двоетапної аутентифікації через застосунок-аутентифікатор час на мобільному пристрої з застосунком має в точності збігатися з поточним часом сервера. Якщо він не збігається, потрібно в застосунку перейти в розділ «Ще → Налаштування → Корекція часу для кодів» і натиснути «Синхронізувати».
  • При увімкненні двоетапної аутентифікації скидаються всі активні сесії з основним паролем.
  1. Увійдіть у поштову скриньку за допомогою WebMail.Online.
  2. Відкрийте розділ «Налаштування → Безпека».
  3. У блоці «GAuth» натисніть «Увімкнути».
  4. Встановіть на мобільний пристрій застосунок-аутентифікатор:
  5. У застосунку відскануйте QR-код або введіть розташований під ним секретний ключ вручну.
  6. Введіть код двоетапної аутентифікації, який буде згенерований застосунком, і натисніть «Підтвердити».

WebAuthn

Важливі моменти:

  • WebAuthn можна використовувати як для двоетапної аутентифікації, так і для входу без пароля.
  • Деякі пристрої можуть не підтримувати WebAuthn, наприклад пристрої із застарілими версіями операційних систем, окремі моделі смартфонів Xiaomi, OnePlus тощо.
  • Для кожної поштової скриньки на одному пристрої (або в одному сховищі) може зберігатися тільки один ключ доступу.
  • У Windows для локального зберігання ключів доступу для облікового запису на пристрої має бути обов'язково налаштований ПІН-код (одного пароля недостатньо), за наявності відповідного обладнання також можна використовувати сканер відбитків пальців або розпізнавання облич.
  • На Android ключі безпеки зберігаються в менеджері паролів Google і синхронізуються між пристроями. Переглянути список збережених ключів доступу, відредагувати їх або видалити можна в менеджері паролів: на Android — «Налаштування → Google → Автозаповнення → Автозаповнення від Google → Паролі», у браузері — «Google Акаунт → Безпека → Збережені паролі → Менеджер паролів».
  • На iPhone ключі безпеки зберігаються у «Зв'язці ключів iCloud» і синхронізуються між пристроями. Переглянути список збережених ключів доступу, відредагувати їх або видалити можна в розділі «Налаштування → Паролі».
  • Пристрої на Android і iPhone можуть виступати посередниками — зберігати і зчитувати ключі доступу з підключених апаратних USB- або NFC-ключів.
  • У менеджері паролів Bitwarden збереження та використання ключів доступу можливе тільки через браузерне розширення.
  1. Увійдіть у поштову скриньку за допомогою WebMail.Online.
  2. Відкрийте розділ «Налаштування → Безпека».
  3. У блоці «WebAuthn» натисніть «Налаштувати».
  4. Введіть довільну назву пристрою, на якому будете зберігати ключ доступу, і натисніть «Додати». ⚠️ Назва пристрою вказується тільки під час додавання і після цього не змінюється. Єдиний спосіб її змінити — видалити пристрій і налаштувати повторно.
  5. Зареєструйте новий ключ доступу:
    ПІН-код (має бути попередньо налаштований у системі):
    1. У вікні «Підтвердження вашої особи» виберіть «ПІН-код» (або «Цей пристрій з Windows → ПІН-код»).
    2. Введіть встановлений у системі ПІН-код і натисніть Enter
    3. У разі успіху з'явиться вікно «Ключ доступу збережено».

    Ключ безпеки (апаратний USB-ключ, наприклад YubiKey):

    1. У вікні «Підтвердження вашої особи» виберіть «Використовувати інший пристрій → Ключ безпеки».
    2. У вікні «Налаштування ключа безпеки» натисніть «ОК».
    3. У вікні «Продовжити встановлення» натисніть «ОК».
    4. Вставте апаратний ключ і натисніть кнопку на ньому.
    5. У разі успіху з'явиться вікно «Ключ доступу збережено».

    Пристрій iPhone, iPad або Android:

    1. У вікні «Підтвердження вашої особи» виберіть «Використовувати інший пристрій → Пристрій iPhone, iPad або Android».
    2. Відскануйте пристроєм QR-код.
    3. На пристрої буде виведена пропозиція запам'ятати його, щоб кожного разу не сканувати QR-код, — виберіть потрібний вам варіант.
    4. Після підключення пристрою на ньому з'явиться інформація про те, для якого сайту і в якому акаунті буде збережено ключ доступу, — натисніть «Продовжити».
    5. Використовуйте на пристрої блокування екрана для підтвердження збереження ключа.
    6. У разі успіху з'явиться вікно «Ключ доступу збережено».
    1. На пристрої з'явиться інформація про те, для якого сайту і в якому акаунті буде збережено ключ доступу, — натисніть «Продовжити».
    2. Використовуйте на пристрої блокування екрана для підтвердження збереження ключа.
    3. У разі успіху з'явиться вікно «Ключ доступу збережено».
    1. У вікні розширення «Виберіть логін, для якого буде збережено ключ доступу» виберіть запис, для якого потрібно зберегти ключ доступу, і натисніть «Зберегти ключ доступу» (або створіть новий запис, якщо у сховищі немає збігів).
    2. Якщо для вибраного запису вже існує ключ доступу, підтвердіть його перезапис (обов'язково упевніться, що ви не перезаписуєте потрібний ключ доступу).
  6. (Необов'язково) Якщо ви хочете входити за ключем доступу без введення пароля, у блоці «WebAuthn» натисніть «Налаштувати» і в рядку з потрібним пристроєм увімкніть опцію «Вхід без пароля».

Вимкнення

Двоетапна аутентифікація може бути вимкнена користувачем поштової скриньки через інтерфейс WebMail.Online (за наявності доступу) або скинута адміністратором поштового домену через панель керування.

WebMail.Online

  1. Увійдіть у поштову скриньку за допомогою WebMail.Online.
  2. Відкрийте розділ «Налаштування → Безпека».
  3. Вимкніть двоетапну аутентифікацію:
    • Для GAuth — у блоці «GAuth» натисніть «Вимкнути» і підтвердіть операцію кнопкою у вікні.
    • Для WebAuthn — у блоці «WebAuthn» натисніть «Налаштувати» і видаліть пристрої зі списку.

Панель керування

Адміністратор поштового домену може скинути двоетапну аутентифікацію кнопкою в розділі «Поштові скриньки» (виводиться тільки для поштових скриньок з увімкненою двоетапною аутентифікацією). При скиданні для поштової скриньки вимикаються всі налаштовані методи двоетапної аутентифікації та в цю поштову скриньку надсилається лист про те, що двоетапна аутентифікація була скинута адміністратором поштового домену.

Зміст
    (1)