Аккаунт: пароль, двухфакторная защита, API-токены

Профиль

Имя и почта — в первом блоке раздела «Аккаунт». Новая почта начинает действовать, когда вы перейдёте по ссылке из письма на неё, войдя в этот же аккаунт; ссылка действует сутки. До этого почта аккаунта прежняя, письма приходят на неё, а на прежний адрес сразу придёт уведомление о запросе смены — если меняли не вы, напишите в поддержку. Передумали — «Отменить смену» под полем почты.

Если почту при регистрации ввели с ошибкой и ещё ни разу не подтверждали, её можно исправить сразу: письмо с подтверждением уйдёт на новый адрес.

Пароль

Смена пароля требует текущий пароль. Не короче десяти символов, с буквами и цифрами; спецсимволы не обязательны — длина важнее. После смены или сброса пароля все остальные сессии завершаются: если сессию украли, она умирает вместе со старым паролем.

Перед действиями, которые нельзя отменить — удаление аккаунта, выпуск API-токена, передача сайта или выдача доступа к нему, — кабинет ещё раз спрашивает пароль, даже если вы уже вошли. При смене почты на прежний адрес уходит письмо: если менял не владелец, у него есть время написать в поддержку.

Вход по двум факторам

Блок «Вход по двум факторам». Нажмите «Включить», отсканируйте QR-код приложением (Google Authenticator, Яндекс Ключ, 1Password — любое, которое умеет TOTP) и введите код из приложения. Только после этого защита считается включённой: до подтверждения кода вход остаётся обычным, чтобы не запереть вас снаружи.

Сохраните коды восстановления — они показываются один раз. Без них при потере телефона понадобится обращение в поддержку с подтверждением владения почтой.

API-токены

Блок «Токены API» — для публичного API. У токена есть название и право: только чтение или чтение и запись. Значение показывается один раз при выпуске; в базе хранится хэш. Отозванный токен перестаёт работать немедленно.

Право записи нужно только для добавления адресов в списки. Для чтения статистики выпускайте токен без него — так утечка обойдётся дешевле.

Если что-то утекло

Секретный ключ сайта — перевыпустите на странице сайта (старый живёт ещё сутки). Токен API — отзовите и выпустите новый. Пароль — смените и включите двухфакторную защиту, если ещё не включена. О подозрительной активности напишите в поддержку: мы посмотрим журнал входов.

Выход

Кнопка со стрелкой рядом с именем внизу меню. Сессия на других устройствах при этом сохраняется; чтобы завершить их все разом, смените пароль. После выхода страницы кабинета в истории браузера не читаются: они хранятся там в зашифрованном виде, и ключ при выходе меняется.