2FA-сейф клиента

База знаний описывает не весь продукт. Статьи появляются по мере вопросов, поэтому часть возможностей здесь ещё не описана или описана короче, чем работает на самом деле. Не нашли нужного — напишите нам.

Модуль хранит ключи двухфакторной аутентификации клиента и показывает по ним одноразовые коды — сотруднику в карточке Bitrix24 и самому клиенту в его кабинете.

Какую задачу решает

Юрист заходит в личный кабинет клиента на стороннем сервисе — с его ведома и по доверенности. Второй фактор приходит на телефон клиента, и каждый вход превращается в звонок «продиктуйте код». Ключ, сохранённый один раз, снимает эту переписку: код считается прямо в карточке.

Вторая половина замысла — тот же ключ доступен клиенту. Он пользуется своим кодом сам, не запрашивая ничего у сотрудника, а сотрудник работает по делу вечером и без звонков.

Как устроено: одна запись, несколько точек входа

Ключ привязан к контакту, а не к сотруднику и не к компании. Запись одна, и кто бы её ни завёл, код видят обе стороны.

В карточке сделки и контакта

В карточке сделки или контакта откройте вкладку «Поток24». Блок «2FA-доступы клиента» стоит в ней первым — выше подключения к открытой линии.

Кнопка «Показать код» выводит шесть цифр и кольцевой таймер: он показывает, сколько секунд коду осталось жить. Новый код приходит каждые 30 секунд сам, нажимать ничего не нужно. «Копировать» кладёт код в буфер обмена.

Через пять минут показ останавливается сам — с надписью «Показ остановлен через 5 минут». Если код ещё нужен, нажмите «Показать снова». В карточке одновременно показывается только один код: при переходе к другой записи предыдущая гаснет.

В карточке сделки блок берёт ключи основного контакта сделки — того, что стоит в ней первым. Если контакта у сделки нет, блок так и пишет — «У сделки нет контакта» — и формы не показывает.

Как добавить ключ

Пока ключей у контакта нет, форма открыта сразу. Когда записи уже есть, нажмите «+ Добавить». В форме два поля:

1. Сервис — название, по которому запись узнают в списке. «Госуслуги» подставлены заранее: их заводят чаще всего. Поле можно стереть или заменить.
2. Ключ — секретный ключ, который сервис выдаёт при включении входа через приложение-аутентификатор. Подходит и сам ключ (пробелы и дефисы можно не убирать), и ссылка вида otpauth://….

После «Сохранить» запись сразу показывает первый код — по нему удобно проверить, что ключ введён верно. Если в ссылке otpauth:// указан другой формат кода (восемь цифр, другой период или алгоритм), он подхватится сам.

Крестик справа от записи удаляет её после подтверждения. Запись пропадает из списков у всех, а сам ключ стирается из базы безвозвратно — восстановить его нельзя, только завести заново. В журнале просмотров остаются название записи и история того, кто её смотрел.

В кабинете клиента

В меню кабинета клиента раздел называется «Доступы», на самой странице — «2FA-доступы». В нём только собственные ключи клиента — и те, что он завёл сам, и те, что завели сотрудники из карточки.

Список виден сразу, а код — только после подтверждения пароля от кабинета. Подтверждение действует пять минут: пока раздел открыт, коды в это время открываются без повторного вопроса. Если уйти из раздела или обновить страницу, пароль спросят снова.

Дальше всё как в карточке: код, кольцевой таймер, автообновление и «Копировать».

Клиент может сам добавлять и удалять ключи — той же формой, что и в карточке, в том числе ключи, которые завели сотрудники. Как и в карточке, сразу после сохранения ключа показывается первый код — без пароля, чтобы клиент мог проверить ключ. Под формой он видит предупреждение, что этим доступом будут пользоваться и сотрудники, которые ведут его дело.

Если клиент ещё не привязан к контакту в Bitrix24, вместо списка он увидит «Доступы появятся после оформления договора».

Раздел «2FA-доступы» в приложении

В приложении Bitrix24 модуль добавляет раздел «2FA-доступы» в группу меню «Безопасность». Раздел видят только сотрудники с ролью «Администратор» или «Суперадмин» в приложении. Администратор портала Bitrix24 без такой роли раздела не увидит. У остальных сотрудников, даже с доступом к кодам, этого пункта в меню нет. Кодов в разделе нет — коды показываются только в карточке и в кабинете клиента.

У раздела три вкладки.

Доступы

Ключи компании: к какому контакту привязан, название, сервис, формат кода, кто завёл — клиент или сотрудник — и когда. Номер контакта открывает его карточку в Bitrix24. На вкладке последние 200 записей, а поиск по названию или ID контакта идёт по всем.

Журнал

Каждый показ кода записывается — и первый код сразу после сохранения ключа тоже: кто смотрел, какой ключ, где — в карточке сделки, в карточке контакта или в кабинете клиента, — когда и с какого IP-адреса. Сотрудник указан своим ID в Bitrix24, клиент — номером в Поток24.

Коды, которые человек смотрел подряд по одной записи из одного места, собраны в одну строку: колонка «Кодов» говорит, сколько их было, а «Начало» и «Последний код» — когда сессия началась и закончилась. На вкладке последние 200 сессий; отбор по тому, кто смотрел и где, и поиск по сервису, ID контакта или IP работают внутри них.

Журнал — единственный контроль за доступом к кодам, поэтому его видят только администраторы. Клиенту журнал не показывается.

Сотрудники

Кто из сотрудников может работать с кодами. «Выдать» открывает сотруднику блок в карточках, «Забрать» закрывает. Администраторам доступ выдавать не нужно — у них он есть по роли.

На вкладке перечислены сотрудники, которым уже назначена роль в приложении. Если нужного человека в списке нет, сначала назначьте ему роль в разделе «Администрирование».

Иногда вместо кнопки стоит «Права заданы вручную — правьте в «Администрировании»». Так бывает у сотрудника со своей ролью без сохранённого набора прав: собрать для него права, ничего не отняв, вкладка не может. В «Администрировании» доступ выдаётся галочкой «2FA-доступы» — см. ниже.

Кто получает доступ

Сотрудник — три условия одновременно:

1. работает во вкладке приложения Bitrix24 под своей сессией;
2. у компании подключён модуль;
3. сотруднику выдан доступ к кодам — либо у него роль «Администратор» или «Суперадмин» в приложении: им выдавать доступ не нужно.

Выдать доступ можно двумя способами:

• в разделе «Администрирование» — в форме «Назначить роль» отметьте галочку «2FA-доступы» в списке «Доступные разделы» и сохраните. Так можно выдать доступ и сотруднику, которому роль в приложении ещё не назначали. Галочка с тем же названием в списке «Страницы» доступа к кодам не даёт — она отвечает только за пункт меню;
• на вкладке «Сотрудники» раздела «2FA-доступы» — кнопкой «Выдать». В её списке только сотрудники, у которых роль в приложении уже есть.

Права CRM при этом не проверяются. Сотрудник с доступом получит код по любому контакту компании, включая те, которых не видит в CRM. Это осознанное решение: доступ выдаётся точечно, и контролем служат он сам и журнал просмотров. Выдавайте его так же аккуратно, как доступ к персональным данным.

Клиент — тоже три условия:

1. вошёл в свой кабинет;
2. у компании подключён модуль;
3. подтвердил пароль в последние пять минут.

Что можно и чего нельзя

Ключ вводится только руками — из карточки сотрудником или клиентом в кабинете. Распознавания QR-кода с картинки нет. Если сервис при включении входа через приложение показывает QR-код, ищите рядом сам ключ текстом: обычно его выводят под кодом или по ссылке для ручного ввода.

Ключи хранятся в зашифрованном виде. В карточку и в кабинет уходит только одноразовый код, сам ключ после сохранения больше нигде не показывается.

Не входит в модуль: резервные коды, экспорт ключей, действие для бизнес-процессов, показ журнала просмотров клиенту.

О чём стоит знать заранее

Пока ключ второго фактора хранится только на телефоне клиента, для входа в его кабинет на стороннем сервисе нужны пароль от того сервиса и телефон клиента. С модулем телефон перестаёт быть нужен: достаточно пароля стороннего сервиса и пароля от кабинета Поток24.

Это и есть смысл модуля — клиент перестаёт зависеть от телефона, а сотрудник от звонков. Но и цена понятна: пароль кабинета клиента становится значимее, чем был. Подтверждение пароля перед показом кода и пятиминутное окно смягчают это, но не отменяют.

Как подключить

На тарифе Река модуль входит в стоимость и включён сразу — покупать ничего не нужно. В Маркетплейсе его карточка помечена «Подключён» с пояснением «Входит в ваш тариф».

На остальных тарифах модуль — платный аддон в разделе Маркетплейс вашего кабинета, в двух вариантах: разовая покупка и помесячная подписка. Выберите вариант и нажмите «Отправить заявку». Актуальные цены — в самой карточке.

Подключение идёт через заявку: сама заявка ничего не подключает и не списывает, модуль подключает платформа и выставляет счёт. Мгновенной покупки в один клик у модулей пока нет.

Раздел «Доступы» в кабинете клиента появляется вместе с модулем, отдельно включать его не нужно.

После подключения выдайте доступ тем, кому он действительно нужен: в приложении Bitrix24 — галочкой «2FA-доступы» в разделе «Администрирование» или кнопкой «Выдать» на вкладке «Сотрудники» раздела «2FA-доступы».