Безопасность аккаунта

Эта страница — о том, как защитить вход в аккаунт Notifly и что происходит с сессиями при смене пароля. Ключи для программ описаны отдельно — на странице API-токены.

Регистрация и подтверждение email

Для регистрации нужны email и пароль. Зарегистрироваться можно в веб-админке или с экрана входа Android-приложения.
Пароль — от 8 символов и не длиннее 72 байт (это ограничение bcrypt: около 36 символов кириллицей). Требований к составу нет — выбирайте длинную фразу.
После регистрации на почту приходит ссылка подтверждения, она действует 24 часа. Пока адрес не подтверждён, войти нельзя. Повторная регистрация на тот же неподтверждённый адрес просто присылает ссылку заново.

Вход и сессии

Каждый вход создаёт устройство — сессию браузера или приложения со своим токеном (C…). Все устройства аккаунта видны в админке в разделе «Устройства»: название, платформа, время и IP последнего подключения.

Повторный вход из того же браузера не плодит устройства, а обновляет токен существующего.
При входе с нового устройства на email приходит письмо «новый вход» — с устройством, IP и временем и ссылками на восстановление пароля и список устройств.
Выход сразу делает токен устройства недействительным и прекращает доставку на него сообщений в реальном времени. Android-приложение при выходе удаляет своё устройство целиком.
Подбор пароля ограничен: не больше 20 попыток входа за 5 минут с одного IP и не больше 10 неудачных паролей для аккаунта за 15 минут — дальше сервер отвечает 429.

Устройства и лимит тарифа

Число активных устройств ограничено тарифом (Free — 3, Pro — 15, Business — без ограничений; см. Квоты и тарифы). Если лимит исчерпан, при входе с нового устройства самое старое активное устройство приостанавливается.

В разделе «Устройства» можно:

удалить устройство — его токен перестаёт работать, приложение на нём выйдет из аккаунта (можно удалить и текущее — тогда вы сразу выйдете);
«Удалить все» — удалить все устройства, кроме текущего;
приостановить устройство, чтобы освободить слот лимита. Это не блокировка: при следующем обращении с этого устройства оно снова станет активным. Чтобы закрыть доступ, устройство нужно удалить;
настроить «Уведомления от каналов» — заглушить отдельные каналы на конкретном устройстве, не теряя к ним доступа.

Двухфакторная аутентификация (2FA)

2FA включается в Профиле — карточка «Двухфакторная аутентификация». В ней три строки: приложение-аутентификатор, «Notifly mobile» и коды восстановления.

Приложение-аутентификатор (TOTP)

Нажмите «Включить 2FA» и отсканируйте QR-код в любом приложении-аутентификаторе (Google Authenticator, 1Password, Aegis и т. п.) — или введите секрет вручную.
Введите первый шестизначный код — 2FA включится.
Сохраните коды восстановления, которые покажутся сразу после включения.

Коды — стандартные TOTP (RFC 6238): 6 цифр, шаг 30 секунд. Один и тот же код дважды не принимается.

Коды восстановления

Выдаётся 10 кодов вида XXXX-XXXX-XXXX-XXXX; они показываются один раз — сохраните их в менеджере паролей.
Каждый код одноразовый. Им можно войти вместо кода из приложения, если телефон потерян. Об использовании кода приходит письмо с числом оставшихся.
Когда кодов остаётся 3 или меньше, счётчик в профиле подсвечивается. «Новые коды восстановления» выпускает новый набор — старые сразу перестают действовать.

Подтверждение входа с телефона («Notifly mobile»)

Дополнительный метод поверх TOTP: вместо ввода кода вы подтверждаете вход в мобильном приложении Notifly (Android или iOS), где уже вошли в аккаунт.

Подключение. В карточке 2FA нажмите «Включить» у «Notifly mobile» — админка покажет двузначный код. Откройте приложение на телефоне (меню → «Подтвердить вход») и введите этот код. Подключить можно несколько телефонов («Добавить устройство»); о каждом приходит письмо.
Вход. На экране входа крупно показывается двузначный код, а телефон получает уведомление «Подтвердите вход». Введите код с экрана входа на телефоне — и вход завершится. Код вводится на телефоне, а не нажимается кнопка «Разрешить», поэтому случайно подтвердить чужой вход нельзя. Если входили не вы — просто закройте экран на телефоне.
Три неверных кода на телефоне отменяют эту попытку входа.
Удалённое или приостановленное устройство автоматически перестаёт подтверждать входы. Отдельный телефон убирается крестиком в карточке 2FA, метод целиком — кнопкой «Отключить».

Как выглядит вход с 2FA

После верного пароля появляется второй шаг: код из аутентификатора, подтверждение с телефона (если подключено — предлагается первым) или код восстановления. На второй шаг даётся 5 минут; после 5 неверных кодов попытка аннулируется, а после 10 неудачных попыток за 15 минут сервер временно отвечает «Слишком много попыток». О каждом неверном коде владельцу приходит письмо: раз пароль подошёл, его знает кто-то ещё — смените его.

Android-приложение при входе спрашивает код из аутентификатора или код восстановления.

Если потеряны и телефон, и коды

Сбросить 2FA может администратор сервиса — напишите на support@notifly.ru. О сбросе 2FA владельцу аккаунта всегда приходит письмо.

Выключение 2FA

«Выключить» в карточке 2FA удаляет секрет, коды восстановления и подключённые телефоны; вход снова защищён только паролем. Об этом приходит письмо.

Подтверждение для чувствительных действий

Даже в открытой сессии некоторые действия требуют ещё раз подтвердить, что это вы: смена пароля, любые изменения 2FA (включение, выключение, новые коды, подключение и удаление телефонов), а для администраторов — управление пользователями и тарифами.

Без 2FA спрашивается пароль, с 2FA — код из аутентификатора или код восстановления.
Подтверждения хватает на 15 минут на этом устройстве — повторно в это время не спросят.
Все такие окна закрываются при смене или сбросе пароля и при включении или выключении 2FA.

API-токены такое подтверждение получить не могут, поэтому сменить пароль, настроить 2FA или управлять пользователями ими нельзя.

Смена пароля

Профиль → «Смена пароля»: текущий пароль и новый.

Текущее устройство остаётся в аккаунте, а все остальные устройства разлогиниваются — им нужно войти заново; доставка на них в реальном времени прекращается сразу.
API-токены и токены каналов продолжают работать.
На email приходит письмо о смене пароля со ссылкой на восстановление — на случай, если это были не вы.

Сброс пароля

Если пароль забыт — «Забыли пароль?» на экране входа (страница «Восстановление доступа»). Ссылка из письма действует 24 часа и срабатывает один раз.

Сброс рассчитан на восстановление после угона аккаунта, поэтому он жёстче обычной смены пароля:

разлогиниваются все устройства, включая то, с которого делается сброс;
все API-токены удаляются — выпустите новые;
токены каналов сохраняются, чтобы интеграции не сломались;
2FA остаётся включённой: следующий вход всё равно попросит второй фактор.

См. также

API-токены — ключи для скриптов, SDK, CLI и MCP с ограниченными правами.
Делегирование каналов — доступ к одному каналу без доступа к аккаунту.
Android-приложение и iOS-приложение — подтверждение входа с телефона.