QR-код аутентификатора — не просто картинка

Не передавайте код посторонним

Не прикладывайте экспортные QR и скриншоты настройки к публичным сообщениям, техническим вопросам и случайным онлайн-декодерам. Даже после успешного импорта изображение может содержать рабочее ключевое значение.

Сканируйте изображения на собственном устройстве

При импорте 2FASync обрабатывает предоставленные пользователем изображения и камеру в браузере. Приложению не требуется отправлять экспорт в сторонний сервис ИИ или распознавания картинок. После считывания проверьте предварительный список.

Различайте ссылку и секретный экспорт

Обычный QR может вести на веб-сайт, но otpauth:// и формат миграции служат передаче ключей. По незнакомому QR нельзя делать вывод о безопасности только по внешнему виду — сначала выясните, зачем он показан.

После случайной публикации QR стоит действовать у источника

Оказавшееся в открытом чате изображение настроечного QR может позволить другому человеку получать будущие коды для вашего аккаунта. Даже если вы удалите фотографию со своего телефона, копия могла остаться у получателей, в облачном альбоме или в предпросмотре мессенджера. Откройте официальный сайт соответствующей учётной записи и оцените необходимость повторно включить TOTP с новым секретом.

Не путайте настройку аутентификатора со ссылкой на обычный сайт: внешне QR выглядят одинаково, а содержание совершенно разное. При локальном импорте 2FASync читает данные из камеры или допустимого изображения в браузере. Не нужно вставлять секрет в публичные декодеры, онлайн-боты и тикеты; для диагностики обычно достаточно описать формат ошибки без самого изображения.

Станет ли экспортный QR безопасным после переноса?

Нет. QR может содержать действующий секрет и позже. Не размещайте его в открытых чатах и при утечке проверьте перевыпуск TOTP у исходного сайта.