Менеджер паролей для команды: как перестать слать пароли в Telegram

Пароль от общего аккаунта, отправленный в рабочий чат, живёт там вечно — и уходит вместе с каждым уволенным сотрудником, у которого осталась история переписки. Разберём, чем опасны пароли в Telegram и Google Docs и как командный менеджер паролей наводит порядок в доступах.

Почему чаты и таблицы — это риск

• Пароль в чате не отзывается: даже после смены пароля старое сообщение остаётся в истории и в бэкапах.
• Нет контроля доступа: переслать сообщение может кто угодно кому угодно.
• Нет аудита: невозможно ответить на вопрос «кто и когда видел этот пароль».
• Уволенный сотрудник уносит с собой всё, что когда-либо попадало в его переписку.

Google-таблица с паролями немногим лучше: доступ по ссылке расползается, версии хранят старые значения, а само хранение открытым текстом противоречит любой политике безопасности.

Как устроен общий доступ в менеджере паролей

Командный менеджер меняет саму модель: пароль лежит в общем хранилище (vault) в зашифрованном виде, а людям выдаётся доступ к хранилищу, а не сам пароль. Отозвали доступ — человек мгновенно потерял возможность видеть секрет, даже если раньше его открывал.

Аудит: кто и когда читал секрет

Главное отличие зрелого менеджера — audit-лог. Каждое раскрытие пароля, TOTP-кода или карты записывается: кто, когда, какой секрет. Это и про безопасность (видно аномалии), и про дисциплину (никто не «возьмёт по-тихому»). В Lockio лог хранится на вашем сервере и не редактируется задним числом.

Общие 2FA-коды без привязки к телефону

Отдельная боль команд — двухфакторка на общих аккаунтах. Если 2FA настроена на личный телефон сотрудника, код от общего сервиса оказывается заложником его доступности. Lockio хранит TOTP-секрет в общем хранилище и выдаёт код любому, у кого есть права, — подробнее в статье про 2FA и TOTP. Плюс перехват одноразовых кодов из писем по IMAP — общий ящик больше не нужно «расшаривать по SMS».

С чего начать

• Заведите хранилища по командам/проектам и перенесите туда пароли из чатов и таблиц.
• Раздайте роли: кому полный доступ, кому только нужные хранилища.
• Включите общий TOTP для критичных аккаунтов и привяжите IMAP для email-кодов.
• Проверяйте audit-лог и отзывайте доступы у тех, кто сменил роль или ушёл.

Цена для команды считается просто: база на несколько пользователей плюс доплата за каждое место сверх. Детали — на странице тарифов, а сравнение с аналогами — в разборе Lockio vs 1Password.