QR-код для 2FA може розкривати довготривалий ключ

Не публікуйте зображення налаштування

Знімок екрана, на якому є повний otpauth://-QR або експорт Google Authenticator, може стати джерелом компрометації. Не завантажуйте його на випадкові сайти для читання QR та не вставляйте до звернень у підтримку.

Використовуйте локальний процес імпорту

2FASync обробляє вибраний файл або кадр камери безпосередньо у браузері. Для звичайного імпорту не потрібна стороння система розпізнавання зображень чи зовнішній сервіс штучного інтелекту.

Після перенесення старий QR лишається чутливим

Те, що ви вже додали запис до зашифрованого сховища, не робить його експортне зображення безпечним для публікації. За підозри на витік перевірте можливість перевипуску TOTP у відповідному сервісі.

Що робити, коли фото з QR потрапило до сторонніх

Якщо налаштувальний або експортний QR опинився в чаті, спільному альбомі чи технічному зверненні, розглядайте це як можливе розкриття ключа. Людина, яка скопіювала такий секрет, здатна обчислювати нові коди й після завершення поточного таймера. Перейдіть безпосередньо на офіційний сайт відповідного облікового запису та оцініть потребу перевипустити його TOTP-налаштування.

Видалення фото з власної галереї зменшить подальший ризик, проте не прибере копії з чужих пристроїв або автоматичних хмарних резервів. Відрізняйте звичайний QR-код із посиланням від otpauth:// чи коду перенесення облікових записів. У 2FASync можна локально сканувати QR-код камерою або зчитати його з підтримуваного файлу; надсилати зображення сторонньому сервісу розпізнавання не потрібно.

Чи перестає QR бути секретом після імпорту?

Ні. Зображення може й надалі містити придатний ключ TOTP. Не поширюйте його та за потреби перевипустіть налаштування на вихідному сайті.