Двухфакторная аутентификация: как включить и подключить по QR-коду

Двухфакторная аутентификация — это вход, где одного пароля мало: сервис просит ещё одно подтверждение из другой «категории». Пароль вы знаете, телефон лежит у вас в руке, отпечаток пальца — часть вас. Украденный пароль сам по себе вход уже не открывает.

Типичная ситуация: вы включаете защиту на Госуслугах, в Google или во ВКонтакте и упираетесь в экран «отсканируйте QR-код приложением». Ниже — что на самом деле лежит в этом QR, чем SMS слабее приложения, где включить второй фактор и как не остаться без доступа вместе с утонувшим телефоном. Абсолютной защиты не бывает, но разница заметная.

Что такое двухфакторная аутентификация: два фактора, а не два пароля

Фактором называют способ доказать, что вы — это вы. Их три вида: знание (пароль, PIN, кодовое слово), владение (телефон, SIM-карта, аппаратный ключ) и свойство (отпечаток, лицо, голос). Каждый вид ломают по-своему: пароль подсматривают и выманивают фишинговой формой, телефон крадут, SIM перевыпускают, а лицо после утечки не сменишь.

Суть 2FA — два шага из разных категорий. Карта и PIN в банкомате — классика: картой вы владеете, код знаете. Пароль и одноразовый код из приложения — то же самое: знание плюс владение телефоном.

А вот «пароль и кодовое слово» или «пароль и ответ на секретный вопрос» — два шага, но один фактор. Оба лежат у вас в голове, и поддельная страница спросит их разом. Отсюда путаница: два разных пароля — это не двухфакторная защита, сколько бы окон ни было на входе.

Что 2FA даёт: если пароль утёк из чужой базы или вы ввели его на фальшивом сайте, одного его для входа недостаточно. Чего не даёт: защиты от вашей же ошибки. Если вы сами продиктовали код из SMS «сотруднику банка», второй фактор сработает как положено — и пустит мошенника. Правило без исключений: код подтверждения не называют никому, даже «службе безопасности».

Аутентификация или авторизация: в чём разница

Аутентификация отвечает на вопрос «кто вы», авторизация — «что вам разрешено». Вы ввели пароль и код, система убедилась, что вы владелец аккаунта, — это аутентификация. Дальше она решает, какие письма, файлы и настройки вам открыть, — это авторизация.

Пример из офиса. Вы вошли в корпоративную почту (аутентификация), но общий ящик бухгалтерии не открывается: у вашей роли нет прав (авторизация). Второй фактор относится к первому этапу — проверке личности.

В разговоре слова путают, и в поиске пишут «двухфакторная авторизация», имея в виду то же самое. Вреда от этого нет, но в самих сервисах шаг называется иначе: «вход с подтверждением» на Госуслугах, «двухэтапная аутентификация» у Google, «облачный пароль» в Telegram, «пароль + одноразовый пароль» в Яндексе. Ищите по этим названиям.

Способы второго фактора: SMS, приложение, ключ безопасности

По надёжности способы не равны. Грубая лестница такая: SMS слабее приложения, приложение слабее аппаратного ключа и ключа доступа (passkey). Непробиваемого звена в ней нет.

Способ	Как работает	Сильная сторона	Слабое место
SMS или голосовой код	Код приходит на номер телефона	Не нужно ставить приложение	Перевыпуск SIM на мошенника, перехват, выманивание кода разговором
Приложение-аутентификатор	Шесть цифр, меняются каждые 30 секунд, считаются на телефоне	Работает без сети, код не идёт через оператора	Секрет живёт на телефоне; поддельный сайт может выманить текущий код
Ключ безопасности и passkey	Подтверждение привязано к адресу сайта	На копии сайта не сработает	Ключ надо купить, поддерживают не все сервисы

Про SMS скажу прямо. Код идёт через оператора, и добраться до него можно разными путями: перевыпустить SIM-карту на себя, перехватить сообщение или выманить код разговором. Национальный институт стандартов и технологий США (NIST) в рекомендациях по цифровой идентификации (SP 800-63B, редакция 2017 года) отнёс передачу кодов через телефонную сеть к «ограниченным» способам (RESTRICTED); в сменившей её редакции SP 800-63B-4 этот статус сохранён. Google в справке предупреждает, что коды в SMS и голосовых вызовах могут быть уязвимы для атак на номер телефона. Но лучше SMS, чем ничего: от подбора пароля и утёкшей базы она защищает. Тот же принцип у кода, который банк присылает при оплате картой, — подтверждение 3-D Secure: реквизиты карты вы знаете, а код приходит на телефон, который у вас.

Ключ безопасности — устройство размером с флешку, которое подтверждает вход касанием. Passkey делает то же без железки: его хранит телефон или компьютер, а открывается он отпечатком, лицом или PIN. Google прямо пишет, что ключи доступа и аппаратные ключи защищают от фишинга. Как passkey устроен внутри, здесь опускаю; для выбора хватает итога: из перечисленного это самый устойчивый к фишингу вариант.

Откуда берётся код и есть ли у 2FA отдельный пароль

Фраза «пароль двухфакторной аутентификации» сбивает с толку: отдельного пароля у 2FA нет. Так называют одну из трёх разных вещей.

• Одноразовый код (одноразовый пароль, OTP) — шесть цифр из SMS, уведомления или приложения. Действует один раз и недолго.
• Облачный пароль Telegram — постоянный пароль, который вы придумываете сами и вводите после кода входа.
• Пароль приложения — отдельный пароль для программы, не умеющей показывать второй шаг. В Яндексе он нужен почтовым клиентам вроде Outlook или The Bat!, показывается один раз и начинает работать через 2–3 часа.

Откуда берётся одноразовый код, зависит от выбранного способа: приходит SMS, появляется в уведомлении, показывается в приложении-аутентификаторе или лежит в списке резервных кодов, выданном при включении защиты. Код из приложения вводят, пока он на экране; не успели — подождите следующий, сохранять его не нужно. Если код считается по времени, его называют TOTP (time-based one-time password), если по счётчику — HOTP.

Как приложение-аутентификатор получает секрет из QR-кода

QR здесь — просто удобная упаковка для длинной строки. Когда вы выбираете способ «приложение», сервис создаёт случайный секрет и показывает его один раз. Приложение запоминает секрет. Дальше сервис и телефон считают код каждый у себя: код — результат вычисления из секрета и текущего времени. По сети в этот момент ничего не уходит, поэтому аутентификатор работает в самолёте и в подвале без связи.

Если отсканировать такой QR обычным сканером, вы увидите не сайт, а строку формата «ключевой URI», описанного в документации Google Authenticator:

otpauth://totp/Example:demo@example.com?secret=JBSWY3DPEHPK3PXP&issuer=Example&period=30&digits=6

Поле	Что означает
totp	тип: код зависит от времени (второй тип, hotp, — от счётчика)
Example:demo@example.com	метка: сервис и аккаунт, так запись подпишется в приложении
secret	общий секрет в кодировке Base32 (буквы A–Z и цифры 2–7)
issuer	название сервиса
period, digits	сколько секунд живёт код (по умолчанию 30) и сколько в нём цифр (по умолчанию 6)
algorithm, counter	хэш-функция (по умолчанию SHA1) и начальный счётчик, нужный только для hotp

Это образец из описания формата, не подключайте его. Секрет JBSWY3DPEHPK3PXP публично известен: по документации, он декодируется в слово «Hello!» и ещё четыре байта (0xDE 0xAD 0xBE 0xEF). Любой, кто читал описание, посчитает те же коды. К тому же он короткий: 16 символов Base32, то есть 80 бит, а RFC 4226 требует не меньше 128 бит и рекомендует 160 — это 26 и 32 символа.

Основа — стандарты IETF RFC 4226 (HOTP, декабрь 2005 года) и RFC 6238 (TOTP, май 2011 года), шаг по умолчанию — 30 секунд. Как именно считается код, я опускаю: для практики хватает формулы «секрет плюс время — шесть цифр».

Не все приложения читают все поля. По документации формата, Google Authenticator игнорирует algorithm и period, а версии для Android и BlackBerry — ещё и digits. Документ старый, и в актуальных версиях приложения поведение может отличаться. На практике в таких QR обычно оставляют значения по умолчанию, и один и тот же код открывается в любом приложении. Исключение — Steam: у него свой формат кодов.

Рядом с QR сервис показывает тот же секрет текстом — «ключ настройки» или «секретный ключ». Он нужен, если камера не читает экран или приложение стоит на том же телефоне, где открыт сайт. Относитесь к нему как к паролю: у кого есть секрет, у того есть и ваши коды. Поэтому не делайте такие QR для личных аккаунтов в онлайн-генераторах, включая наш: строка с секретом окажется на чужом сервере.

Как подключить двухфакторную аутентификацию по QR-коду: пошагово

Порядок почти одинаков на Госуслугах, в Google, ВКонтакте и Яндексе. Различаются только названия пунктов меню.

1. Поставьте приложение заранее из официального магазина: RuStore, Google Play или App Store. Проверьте разработчика.
2. Откройте раздел безопасности сервиса и выберите подтверждение входа через приложение. Пункт называется «Одноразовый код», «Приложение-аутентификатор» или похоже.
3. Подтвердите действие паролем или кодом из SMS: сервис проверяет, что настройку делает владелец.
4. Сервис покажет QR и под ним ключ настройки. Не делайте скриншот.
5. В приложении нажмите «+» и «Сканировать QR-код» и наведите камеру на экран. В списке появится запись с шестью цифрами.
6. Введите текущий код на сайте. Так сервис проверяет, что секрет у вас совпал; пока вы этого не сделали, защита не включена.
7. Сохраните резервные коды, если сервис их выдал: распечатайте или перепишите на бумагу.
8. Проверьте на деле. Откройте сайт в другом браузере или в режиме инкогнито и войдите заново, пока основной вход ещё открыт.

Если камера не берёт QR, введите ключ настройки вручную: название сервиса, логин и сам ключ, как советует справка Яндекса. Если код не подходит, проверьте время на телефоне: включите автоматическую дату и часовой пояс. Код считается от времени, поэтому сильно спешащие или отстающие часы дают цифры, которые сервер не примет.

Какое приложение выбрать

Любое приложение со стандартными кодами TOTP подойдёт для Госуслуг, Google, ВКонтакте и Яндекса. Выбирают по другому признаку: как коды переезжают на новый телефон.

Приложение	Где взять	Перенос и хранение кодов
Google Authenticator	Google Play, App Store	Синхронизация с аккаунтом Google (с апреля 2023 года) или перенос через QR: «Перенести аккаунты» — «Экспорт аккаунтов». При синхронизации коды хранятся в вашем аккаунте Google, поэтому защитите и его вторым фактором
Яндекс ID (Ключ)	Android, iOS; встроен в «Яндекс — с Алисой» и «Яндекс Старт»	Облачная копия с отдельным паролем; без него копию не расшифровать. Принимает сервисы с 6- и 8-значными одноразовыми паролями
«Пароли» на iPhone	Встроено в iOS 18 и новее	Хранит пароли, ключи доступа и коды проверки вместе; синхронизируется через iCloud, если включена синхронизация паролей
Приложения независимых разработчиков	RuStore	Проверьте, есть ли экспорт зашифрованной копии и что разработчик пишет о хранении ключей

Посмотрите, как приложение переносит коды, до подключения первого сервиса: перенос «потом» превращается в проблему в день, когда телефон падает в воду.

Если подключаете сотрудников

Администратору небольшой команды проще всего дать единую памятку, а не пересказывать одно и то же каждому: какое приложение поставить, где в корпоративной почте или CRM включается подтверждение входа, к кому идти при потере телефона. Её удобно собрать как страницу на мини-сайте: шаги, блок вопросов и ответов, контакты ответственного. Ключи настройки сотрудников вы не собираете и не храните: каждый сканирует свой QR сам. Сам сервис не хранит ни пароли, ни секреты, ни коды второго фактора и не должен: для этого есть приложения-аутентификаторы.

Где включить: Госуслуги, Telegram, ВКонтакте, Яндекс, Google, Steam

Названия пунктов меняются, при расхождении смотрите справку сервиса.

Сервис	Где включается	Что доступно
Госуслуги	Профиль — Безопасность — Вход в систему — «Вход с подтверждением»	SMS, одноразовый код из приложения, биометрия
Telegram	Настройки — Конфиденциальность — «Облачный пароль»	Пароль и почта восстановления; кодов из приложения-аутентификатора нет
ВКонтакте	Настройки — Безопасность — «Двухфакторная аутентификация»	Код из SMS или MAX, приложение-генератор, резервные коды
Яндекс ID	id.yandex.ru/security — «Пароль + одноразовый пароль»	Яндекс ID (Ключ) или любое TOTP-приложение
Google	Аккаунт Google — Безопасность и вход — «Двухэтапная аутентификация»	Уведомления, ключи доступа и аппаратные ключи, Authenticator, SMS, резервные коды
Steam	Мобильное приложение Steam — Steam Guard	Свои коды Steam Guard и подтверждение входа в приложении

Вход с подтверждением на Госуслугах

Вход с подтверждением обязателен для всех пользователей с 28 октября 2023 года: Минцифры объявило об этом в октябре 2023-го, и до выбора способа портал не пускал к услугам. Для приложения выберите «Одноразовый код»: сайт покажет QR и ключ настройки (последовательность символов под QR), вы отсканируете QR аутентификатором и введёте шесть цифр.

Набор способов меняется. В декабре 2025 года, по сообщениям СМИ, Минцифры сообщило, что постепенно отказывается от подтверждения входа по SMS на мобильных устройствах из-за мошенничества, когда люди сами называют коды. На мобильных вместо SMS предлагают мессенджер Max, биометрию или код из приложения; на компьютере SMS пока остаётся. Что доступно вам сегодня, видно в профиле, в разделе безопасности.

Особенности остальных сервисов

• Telegram. По FAQ мессенджера, после включения для входа нужны и код, и пароль. Привяжите почту восстановления: она помогает вернуть доступ, если пароль забыт, а сам ящик нужно защитить надёжным паролем.
• ВКонтакте. По описаниям на март 2026 года, вход можно подтверждать кодом из SMS или MAX либо кодом из приложения-генератора. Резервные коды, если сервис их выдал, храните отдельно от телефона.
• Яндекс ID. Сначала добавьте аккаунт в приложение, потом включайте вход «Пароль + одноразовый пароль». Коды берутся из приложения, поэтому до смены телефона создайте облачную копию и запишите пароль к ней.
• Steam. Разработчики сторонних аутентификаторов описывают коды Steam Guard как модификацию TOTP: пять символов, буквы и цифры. Поэтому Google Authenticator и Яндекс ID (Ключ) тут не подойдут; нужно официальное приложение Steam.

Вход по QR-коду и QR для подключения 2FA — это разные вещи

Внешне оба кода одинаковы: чёрно-белый квадрат на экране компьютера, на который просят навести телефон. Но делают они противоположное, и путать их опасно.

QR для входа. На экране компьютера — одноразовый идентификатор сессии. Он живёт недолго и обновляется сам. Телефон, где вы уже вошли в аккаунт, подтверждает: «этот вход разрешаю». Секрет по такому QR не передаётся. Так входят на Госуслуги, во ВКонтакте, в Telegram, Steam и WhatsApp Web, а в Яндексе — кнопкой «Войти по QR» в приложении Яндекс ID (Ключ). Пошаговый разбор для Госуслуг есть в материале про вход на Госуслуги по QR-коду, повторять его не буду.

QR для подключения 2FA. Внутри — общий секрет, из которого приложение считает коды. Он показывается при настройке; как правило, второй раз тот же секрет сервис не показывает, а при смене телефона выдаёт новый. Кто успел сфотографировать или заскринить такой QR, получает копию вашего генератора кодов — и ваш телефон ему для этого не нужен.

Секрет из QR для подключения — как пароль: не пересылать, не публиковать, не фотографировать «на память».

Следствие неприятное: телефон и подтверждает входы по QR, и считает коды второго фактора, так что его потеря бьёт по обоим сценариям.

Чужой QR и «подтверждение входа»: как не отдать доступ

Общую картину QR-мошенничества — подмену кодов на улице и ссылки на фальшивые сайты — мы разобрали в материале про то, как устроен QR-фишинг. Здесь только схемы, нацеленные на второй фактор.

• «Отсканируйте QR, чтобы подтвердить личность». «Сотрудник» или «оператор» присылает QR и просит навести на него приложение, чтобы «отменить заявку». Если это QR входа, вы сами разрешаете вход мошенника на его экране. Подтверждайте вход по QR, только когда сами только что нажали «Войти по QR».
• Просьба прислать скриншот QR или ключ настройки «для проверки». Настоящей поддержке секрет не нужен. Кто его увидел, тот считает ваши коды. То же с инструкциями: QR настройки в чате или соцсети — публичный секрет, в памятках берите образец из документации.
• Просьба продиктовать код из SMS, приложения или резервный. Кто бы ни просил, это признак мошенничества.
• Серия запросов «Это вы?» среди ночи. Нажимайте «Нет» и меняйте пароль: он, судя по всему, уже у злоумышленника.

Если вы отсканировали чужой QR или секрет увидели посторонние, порядок такой: смените пароль, завершите все сессии в настройках безопасности, затем отключите второй фактор и подключите заново, чтобы появился новый секрет. Одной смены пароля мало: старый секрет у злоумышленника остался.

Потеряли телефон: резервные коды, перенос и восстановление доступа

Главный риск второго фактора в приложении — не взлом, а потеря. Секрет живёт на телефоне; сломали, украли, сбросили до заводских — вместе с ним пропали коды. Всё, что спасает, готовится заранее.

До потери: четыре действия

1. Резервные коды храните отдельно от телефона: бумага в сейфе или менеджер паролей на другом устройстве. Не в заметке на том же телефоне.
2. Добавьте второй способ входа: второй номер, второе устройство или аппаратный ключ.
3. Настройте перенос сразу. В Google Authenticator включите синхронизацию или пользуйтесь экспортом по QR. В Яндекс ID (Ключ) создайте облачную копию и запишите пароль к ней: без пароля копию не расшифровать.
4. При смене телефона не очищайте старый сразу. Сначала проверьте коды на новом устройстве.

Экспорт по QR требует осторожности: такой код содержит секреты всех выбранных аккаунтов сразу, а при переносе нескольких аккаунтов может быть больше одного кода. Показывайте их только на своём экране.

Телефон уже потерян

• Есть открытая сессия на ноутбуке или планшете. Перенастройте второй фактор в безопасности, пока сессия не закрылась.
• Есть резервные коды. Войдите с одним из них, отвяжите старый секрет или пересоздайте его, подключите приложение на новом телефоне.
• Ни того, ни другого. Остаётся официальная процедура сервиса: форма поддержки, почта восстановления (в Telegram) или личное обращение. Для Госуслуг порядок восстановления смотрите в справке портала.
• Телефон украден. Сначала позвоните оператору и заблокируйте SIM, иначе коды из SMS уйдут вору. Затем с другого устройства отвяжите прежний второй фактор, завершите активные сеансы, проверьте журнал входов и при подозрениях смените пароль.

Как отключить второй фактор — и когда этого делать не стоит

Отключение снижает защиту аккаунта. Вернувшись к одному паролю, вы снова зависите от того, не утёк ли он и не выманят ли его фишингом.

Если решение твёрдое, откройте тот же раздел, где включали защиту, и выберите «Отключить». Сервис попросит подтвердить действие. По описаниям на 2026 год:

• Google — кнопка «Отключить» вверху страницы двухэтапной аутентификации и повторное подтверждение;
• Telegram — «Отключить пароль» и ввод текущего пароля;
• Яндекс — смена способа входа на «Пароль» и подтверждение кодом из SMS;
• ВКонтакте — подтверждение звонком и кодом из SMS или MAX.

Госуслуги стоят особняком: вход с подтверждением обязателен для пользователей с 28 октября 2023 года, поэтому обычно речь идёт не об отключении, а о смене способа, например с SMS на приложение.

Порядок важен: сначала отключите защиту в сервисе, потом удаляйте запись из приложения. Если сделать наоборот, вы останетесь без кодов при включённой защите и придётся проходить восстановление доступа.

Когда отключать не стоит. Если раздражает ввод кода, поменяйте способ — на уведомление «Это вы?» или passkey, — а не возвращайтесь к голому паролю. Не отключайте второй фактор на почте (через неё сбрасывают пароли остальных сервисов), в банке и в мессенджере, привязанном к номеру. Меняете телефон — переносите коды, а не выключайте защиту.

Что сделать сегодня

• Включите второй фактор на почте, Госуслугах и в мессенджере: через них сбрасывают доступ ко всему остальному.
• Выберите аутентификатор с понятным переносом кодов, распечатайте резервные коды и проверьте вход с другого устройства.

Если вы раздаёте инструкцию коллегам, клиентам или родителям, положите на памятку QR-код на страницу приложения в магазине: человеку не придётся искать нужный аутентификатор среди клонов в выдаче. Подключение самой двухфакторной аутентификации останется на телефоне каждого — так и должно быть.

Частые вопросы

Что такое 2FA и чем она отличается от двух разных паролей?

Двухфакторная аутентификация — вход, где вы подтверждаете себя двумя факторами из разных категорий: тем, что знаете (пароль), и тем, чем владеете (телефон, ключ безопасности) или чем являетесь (отпечаток, лицо). Два разных пароля или пароль и секретный вопрос — два шага, но один фактор знания: фишинговая страница спросит оба сразу. Настоящий второй фактор добавляет то, что труднее украсть вместе с паролем, например шестизначный код, который считается на вашем телефоне.

Какой пароль нужно вводить, если включена 2FA?

Отдельного пароля у 2FA нет. Сначала вы вводите обычный пароль от аккаунта, потом одноразовый код: из SMS, приложения-аутентификатора или уведомления. Путаница идёт от названий: в Telegram «облачный пароль» — это постоянный пароль, который вы придумываете сами, а в Яндексе есть «пароль приложения» для почтовых клиентов без второго шага. Если «пароль» или код просят назвать по телефону или в чате, это признак мошенничества.

Где взять код для входа с подтверждением?

Код зависит от способа, выбранного при настройке второго фактора. Он приходит в SMS на привязанный номер, отображается в приложении-аутентификаторе (шесть цифр, обновляются каждые 30 секунд), показывается в уведомлении сервиса или лежит в списке резервных кодов, который выдали при включении защиты. Не помните, какой способ выбран, — откройте раздел «Безопасность» в настройках аккаунта. И никому не называйте код.

Какое приложение-аутентификатор выбрать?

Подойдёт любое со стандартными кодами TOTP: Госуслуги, Google, ВКонтакте и Яндекс принимают такие коды. Выбирайте по способу переноса на новый телефон: Google Authenticator синхронизирует коды с аккаунтом и умеет экспорт по QR, Яндекс ID (Ключ) делает облачную копию с паролем, на iPhone с iOS 18 и новее коды хранит приложение «Пароли». У приложений из RuStore проверьте экспорт зашифрованной копии. Для Steam нужно официальное приложение: у него свой формат кодов.

Как включить 2FA в Telegram, ВК и на Госуслугах?

Telegram: Настройки — Конфиденциальность — «Облачный пароль», затем придумайте пароль и привяжите почту восстановления. ВКонтакте: Настройки — Безопасность — «Двухфакторная аутентификация», затем код из SMS или MAX либо приложение-генератор. Госуслуги: Профиль — Безопасность — Вход в систему — «Вход с подтверждением»; там выбирают SMS, одноразовый код из приложения или биометрию. Названия пунктов меняются, при расхождении смотрите справку сервиса.

Чем аутентификация отличается от авторизации при входе с кодом?

Аутентификация проверяет, кто вы: пароль, код, отпечаток. Авторизация решает, что вам разрешено после входа: какие файлы и разделы открыть. Второй фактор относится к аутентификации. В быту и в поиске говорят «двухфакторная авторизация», имея в виду то же самое — подтверждение входа вторым шагом. В интерфейсах этот шаг называют по-разному: «вход с подтверждением», «двухэтапная аутентификация», «облачный пароль».

Как отключить 2FA, если нет доступа к телефону?

Сначала попробуйте резервные коды: с любым из них можно войти и отключить защиту или привязать новый телефон. Нет кодов — найдите открытую сессию на другом устройстве и поменяйте способ там. Если нет ни того, ни другого, остаётся официальное восстановление: форма поддержки сервиса, почта восстановления (в Telegram) или личное обращение. На Госуслугах вход с подтверждением обязателен, поэтому обычно меняют его способ, а не отключают. Лучше сразу подключить новый второй фактор.

Можно ли пользоваться 2FA онлайн, без телефона?

Можно, но с оговорками. Аутентификатор бывает и на компьютере: менеджеры паролей с поддержкой TOTP, например KeePassXC для Windows, macOS и Linux, умеют считать такие коды. Подойдёт и аппаратный ключ безопасности. А вот сайтам, которые обещают «онлайн-генератор кодов» и просят вставить секретный ключ, доверять нельзя: секрет достанется владельцу сайта. Хранить секрет на компьютере тоже рискованнее: при заражении он окажется там же, где пароль.