Как пользоваться резервным кодом восстановления

Сохраните код заранее

После регистрации CMS показывает резервный код один раз. Он содержит случайное значение высокой энтропии; в базе хранится только его хеш. Администратор не должен извлекать исходный код из профиля пользователя или присылать его по обычному сообщению.

Сохраните код отдельно от открытой страницы, например в менеджере паролей. Если код остаётся только на экране и вкладка закрывается, повторное открытие кабинета не обязано показывать его снова. Не публикуйте снимок экрана с этим значением.

Восстановите доступ контролируемо

В форме восстановления по коду укажите свой логин, резервный код и новый пароль. Код связан с конкретным пользователем: знание чужого имени мессенджера не заменяет его. Успешное восстановление меняет пароль и выдаёт новый одноразовый код.

Например, повторное применение прежнего кода после смены пароля должно отклоняться. Также нельзя применить код первого аккаунта для второго. Попытки ограничиваются, чтобы процедура не превращалась в бесконечный перебор.

Обновляйте и защищайте запасной доступ

В кабинете можно перевыпустить код, подтвердив текущий пароль. Новый код следует сохранить, а старую запись пометить недействительной. Если вы подозреваете раскрытие кода, не ждите потери аккаунта: обновите пароль и резервный доступ предусмотренным способом.

Не передавайте код поддержке для «проверки личности». Он является средством восстановления, а не номером обращения. У пользователя с настроенной почтой может сохраняться отдельный механизм одноразовой ссылки; наличие одного способа не доказывает доставку или безопасность другого. Проверять такие сценарии лучше на контролируемой тестовой учётной записи.

Продолжить работу

Проверьте настройки своего кабинета и сохраните резервный код вне сайта. Сопоставьте задачу с возможностями ядра. Другой материал этого раздела: Как добавить свою публикацию на сайте.