Пассворк может автоматически завершать сессию, при неактивности в течение заданного времени. Период до выхода настраивается в аккаунте, а максимально допустимое значение определяется вашей ролью.
Как изменить время автоматического выхода
Откройте Настройки и пользователи → Сессии.
В блоке Настройки автоматического выхода выберите подходящий период неактивности.
Например, если доступно не более 60 минут, а вам нужен более длительный период, сначала потребуется увеличить ограничение в настройках роли.
Что делать, если нужное время недоступно
Изменить ограничение может администратор или пользователь с правами на управление ролями:
Открыть Настройки и пользователи → Управление пользователями → Роли.
Выбрать роль, назначенную пользователю.
В блоке Аутентификация увеличить максимальное время жизни веб-сессии при неактивности. Например, 1440 минут соответствует 24 часам.
Изменение применяется ко всем пользователям роли.
После этого пользователь сможет выбрать время в пределах нового ограничения в разделе Сессии → Настройки автоматического выхода.
Двухфакторная аутентификация (2ФА) добавляет дополнительное подтверждение при входе в Пассворк. Можно использовать приложение с одноразовыми кодами, подтверждение через Пассворк 2ФА, биометрию или физический ключ безопасности.
Как настроить 2ФА на этапе входа
Если для вашей учётной записи обязательно использование 2ФА, при входе появится экран Настройка 2ФА. Выберите один из предложенных способов:
Пассворк 2ФА — подтверждение входа одним касанием. Установите приложение Пассворк 2ФА на телефон, отсканируйте в нём QR-код на экране и завершите подключение. Серверу Пассворка необходим доступ к интернету.
Одноразовый пароль (TOTP) — подтверждение временным кодом. Отсканируйте QR-код в приложении Пассворк 2ФА или другом приложении с поддержкой TOTP. Введите сгенерированный код в Пассворке, чтобы завершить настройку. Для генерации кодов интернет на телефоне не требуется.
Биометрия или ключ безопасности — подтверждение с помощью биометрии устройства или физического ключа.
После завершения настройки продолжите вход в Пассворк.
Как подключить 2ФА в настройках аккаунта
Откройте Настройки и пользователи → Аутентификация. Для изменения настроек нажмите значок замка в правом верхнем углу страницы.
В блоке Пассворк 2ФА и TOTP нажмите Подключить и выберите способ подтверждения:
Одноразовый пароль (TOTP) — подтверждение временным кодом. Отсканируйте QR-код в приложении Пассворк 2ФА или другом приложении с поддержкой TOTP. Введите сгенерированный код в Пассворке, чтобы завершить настройку. Для генерации кодов интернет на телефоне не требуется.
Пассворк 2ФА — подтверждение входа одним касанием. Установите приложение Пассворк 2ФА на телефон, отсканируйте в нём QR-код на экране и завершите подключение. Серверу Пассворка необходим доступ к интернету.
Биометрия или ключ безопасности — подтверждение с помощью биометрии устройства или физического ключа.
Что делать, если утеряно устройство или удалено приложение
Если при входе доступен другой ранее настроенный способ подтверждения, воспользуйтесь им. Затем откройте настройки аутентификации и замените подключение потерянного устройства.
Если подтвердить вход невозможно, потребуется сброс 2ФА. Его выполняет администратор или пользователь с правами на управление вашей учётной записью:
Открыть Настройки и пользователи → Управление пользователями → Пользователи.
Выбрать нужного пользователя и нажать Аутентификация в панели справа.
Нажать Сбросить в строке Двухфакторная аутентификация.
После сброса войдите в Пассворк и подключите 2ФА на новом устройстве. Сбрасывать Пароль аутентификации или Мастер-пароль для этого не требуется.
Если для вашей роли включено обязательное использование 2ФА, сброс не отменяет это требование. Двухфакторную аутентификацию потребуется настроить заново.
Что делать, если одноразовый код не подходит
Проверьте следующее:
Выбрана нужная запись в приложении. Код должен относиться к вашей учётной записи именно на том сервере Пассворка, куда вы входите.
Код ещё действует. Дождитесь появления нового кода и введите его до следующего обновления.
На телефоне установлено точное время. Включите автоматическую установку даты и времени в настройках устройства, затем попробуйте новый код.
Используется актуальное подключение. Если 2ФА сбрасывали и подключали заново, коды из старой записи приложения больше не подходят.
Если проверки не помогли и другого способа подтверждения нет, обратитесь к администратору для сброса 2ФА и повторного подключения по инструкции выше.
Вход может быть недоступен даже при правильном пароле — например, если для пользователя отключён выбранный способ аутентификации, заблокирована учётная запись или требуется дополнительное подтверждение.
Начните с определения этапа, на котором возникает ошибка. Проверки в настройках организации выполняет администратор или пользователь с соответствующими правами.
Проверьте состояние учётной записи
В карточке пользователя убедитесь, что учётная запись не заблокирована. Для недавно зарегистрированного пользователя также проверьте, завершено ли подтверждение регистрации, если оно требуется настройками организации.
Отдельно учитывайте автоматическую блокировку после неудачных попыток входа. Параметры находятся в Системные настройки → Политики блокировки локальной авторизации: количество попыток, период их отслеживания и продолжительность блокировки.
Блокировка администратором и временное ограничение после неверных паролей требуют разных действий. Установите причину, затем восстанавливайте доступ. Подробнее о политиках блокировки.
Проверьте доступный способ входа
Откройте Настройки и пользователи → Управление пользователями → Пользователи и найдите нужную учётную запись. Справа от имени отображаются разрешённые типы аутентификации:
L — локальный пароль Пассворка;
A — учётные данные Active Directory / LDAP;
S — вход через SSO.
Пользователь должен входить разрешённым для него способом. Например, если доступен только SSO, ввод локального пароля не решит проблему. Наличие учётной записи в Пассворке само по себе не означает, что ей разрешены все способы входа. Подробнее о типах аутентификации.
Если пользователь вводит адрес электронной почты вместо логина, проверьте, включена ли опция «Разрешить вход с помощью имейла» в системных настройках.
Дальнейшие действия зависят от способа аутентификации:
Локальный пароль. Если он утрачен, администратор может открыть карточку пользователя → Аутентификация и сбросить именно локальный пароль. Пользователь получит временный пароль, который потребуется заменить при входе.
AD/LDAP. Проверьте состояние доменной учётной записи и выполните тест авторизации в настройках LDAP Пассворка. Он позволяет получить подробные сведения об ошибке. Загрузка пользователя из каталога и успешная проверка пароля — отдельные проверки.
SSO. Определите, где появляется ошибка: на странице провайдера входа или после возвращения в Пассворк. В первом случае проверяют учётную запись и доступ к приложению у провайдера, во втором — разрешение SSO для пользователя и настройки интеграции.
Если вход останавливается на двухфакторной аутентификации
Определить, какой способ подключён к аккаунту: одноразовые коды, подтверждение в приложении, биометрия или физический ключ.
При потере устройства администратор с соответствующими правами может сбросить 2ФА в карточке пользователя → Аутентификация. При этом отдельно проверьте требования роли в Управление пользователями → Роли → нужная роль → Аутентификация: сброс подключённого способа 2ФА не отменяет требование её обязательного использования.
Если не принимается мастер-пароль
Мастер-пароль отвечает за доступ к зашифрованным данным. Смена локального или доменного пароля не заменяет его. При сбросе пользователь отключается от всех сейфов, приватные сейфы будут удалены. Подробнее о сбросе паролей.
Способ восстановления зависит от того, какой пароль вы забыли: локальный пароль Пассворка, мастер-пароль, пароль учётной записи AD/LDAP или пароль для входа через SSO. Эти пароли могут различаться, а сброс одного не изменяет остальные.
Если забыт локальный пароль Пассворка
Локальный пароль может сбросить администратор или пользователь с правом управления вашей учётной записью. В окне Аутентификация этот пароль обозначен как «Пароль аутентификации».
Для сброса необходимо:
Открыть Настройки и пользователи → Управление пользователями → Пользователи.
Выбрать нужного пользователя и открыть Аутентификация.
Нажать Сбросить в строке Пароль аутентификации.
Передать пользователю временный пароль из появившегося окна по принятому в организации защищённому каналу.
При следующем входе пользователь вводит свой логин и временный пароль, затем устанавливает новый постоянный пароль.
Сброс пароля аутентификации не изменяет мастер-пароль, не удаляет сейфы и не сбрасывает права доступа. Если включена двухфакторная аутентификация, её по-прежнему необходимо пройти.
Если забыт мастер-пароль
Мастер-пароль используется для доступа к зашифрованным данным при включённом клиентском шифровании. Он не передаётся на сервер, поэтому администратор не может посмотреть его или сообщить прежнее значение.
Сначала проверьте, сохранился ли доступ к Пассворку на устройстве, где использовалась функция «Запомнить мастер-пароль». Если доступ сохранился, до сброса обсудите с администратором сохранение необходимых данных и передачу доступа к сейфам.
Если восстановить доступ не удалось, администратор с соответствующими правами может открыть Управление пользователями → нужный пользователь → Аутентификация и нажать Сбросить в строке Мастер-пароль.
При сбросе мастер-пароля пользователь отключается от всех сейфов и теряет прежние криптографические ключи.
Данные приватных сейфов, доступ к которым был только у этого пользователя, становятся недоступны. Новый мастер-пароль не позволяет расшифровать их.
Доступ к общим сейфам потребуется предоставить повторно. Это может сделать другой пользователь, сохранивший доступ и имеющий право подключать пользователей.
Если доступ к сейфу был только у пользователя, которому сбросили мастер-пароль, обычное повторное предоставление доступа невозможно.
Обратитесь к системному администратору вашей организации. Например, для доменной учётной записи Active Directory пароль сбрасывается в Active Directory, после чего новый доменный пароль используется для входа в Пассворк через LDAP.
Сброс пароля аутентификации в Пассворке не изменит пароль AD/LDAP. Мастер-пароль также останется прежним.
Если не получается войти через SSO
При SSO проверка учётных данных выполняется на стороне поставщика удостоверений, например Keycloak, AD FS или Microsoft Entra ID. Используйте доступное на его странице восстановление пароля либо обратитесь к администратору, который управляет единым входом.
Если SSO использует вашу доменную учётную запись, восстанавливать нужно её пароль.
После восстановления входа через SSO при включённом клиентском шифровании по-прежнему потребуется прежний мастер-пароль Пассворка.
Локальный пароль используется для авторизации под учётной записью Пассворка. Мастер-пароль обеспечивает доступ к зашифрованным данным при включённом клиентском шифровании. Эти пароли выполняют разные задачи и изменяются независимо друг от друга.
Локальный пароль
При локальной авторизации Пассворк проверяет логин и пароль вашей учётной записи. Если в организации настроена интеграция с AD/LDAP, для входа может использоваться пароль учётной записи AD/LDAP — например, доменный пароль Active Directory. При SSO авторизация выполняется через настроенного поставщика удостоверений.
Локальный пароль можно изменить в Аккаунт → Аутентификация → Пароль. Для этого потребуется ввести текущий пароль и задать новый. Если вы входите с доменной учётной записью, пароль изменяется в Active Directory. Порядок его изменения можно уточнить у системного администратора вашей организации.
Мастер-пароль
Мастер-пароль создаётся пользователем при первоначальной настройке аккаунта. На его основе на устройстве вычисляется криптографический ключ, позволяющий расшифровать защищённые ключи пользователя и получить доступ к секретным данным.
Сам мастер-пароль не передаётся на сервер. Администратор не может посмотреть его в настройках или сообщить пользователю забытое значение. Подробнее о механизме — в разделе «Аутентификация и мастер-ключ».
Для изменения мастер-пароля откройте Аккаунт → Мастер-пароль, введите текущий мастер-пароль и задайте новый.
Как связан локальный и мастер пароль
Смена локального пароля или пароля учётной записи AD/LDAP не изменяет мастер-пароль. Например, после смены доменного пароля в Active Directory для авторизации через LDAP используется новый доменный пароль, а для доступа к зашифрованным данным — прежний мастер-пароль.
Успешная авторизация через SSO также не заменяет проверку мастер-пароля при включённом клиентском шифровании.
Что делать, если пароль забыт
Если забыт локальный пароль, администратор с соответствующими правами может сбросить его в Управление пользователями → нужный пользователь → Аутентификация. Пользователь получит временный пароль, который потребуется заменить при входе. Мастер-пароль при этом остаётся прежним.
Если забыт пароль учётной записи AD/LDAP, обратитесь к системному администратору вашей организации.
При сбросе мастер-пароля пользователь отключается от всех сейфов и теряет прежние ключи доступа к зашифрованным данным.
Данные приватных сейфов, доступ к которым был только у этого пользователя, становятся недоступны. Установка нового мастер-пароля не возвращает возможность их расшифровать.
Доступ к общим сейфам потребуется предоставить повторно. Для этого нужен другой пользователь, сохранивший доступ и имеющий право подключать пользователей к сейфу.
Если доступ к сейфу был только у пользователя, которому сбросили мастер-пароль, обычное повторное предоставление доступа невозможно.
Смена известного мастер-пароля и сброс забытого — разные операции. При обычной смене сохраняется возможность расшифровывать данные. При сбросе создаются новые криптографические данные пользователя, которые не восстанавливают доступ к прежним секретам автоматически.
Вход может быть недоступен даже при правильном пароле — например, если для пользователя отключён выбранный способ аутентификации, заблокирована учётная запись или требуется дополнительное подтверждение.
Начните с определения этапа, на котором возникает ошибка. Проверки в настройках организации выполняет администратор или пользователь с соответствующими правами.
1. Проверьте состояние учётной записи
В карточке пользователя убедитесь, что учётная запись не заблокирована. Для недавно зарегистрированного пользователя также проверьте, завершено ли подтверждение регистрации, если оно требуется настройками организации
Отдельно учитывайте автоматическую блокировку после неудачных попыток входа. Параметры находятся в Системные настройки → Политики блокировки локальной авторизации: количество попыток, период их отслеживания и продолжительность блокировки)
Блокировка администратором и временное ограничение после неверных паролей требуют разных действий. Установите причину, затем восстанавливайте доступ. Подробнее о политиках блокировки.
2. Проверьте доступный способ входа
Откройте Настройки и пользователи → Управление пользователями → Пользователи и найдите нужную учётную запись. Справа от имени отображаются разрешённые типы аутентификации:
L — локальный пароль Пассворка;
A — учётные данные Active Directory / LDAP;
S — вход через SSO.
Пользователь должен входить разрешённым для него способом. Например, если доступен только SSO, ввод локального пароля не решит проблему. Наличие учётной записи в Пассворке само по себе не означает, что ей разрешены все способы входа. Подробнее о типах аутентификации.
Если пользователь вводит адрес электронной почты вместо логина, проверьте, включена ли опция «Разрешить вход с помощью имейла» в системных настройках.
Дальнейшие действия зависят от способа аутентификации:
Локальный пароль. Если он утрачен, администратор может открыть карточку пользователя → Аутентификация и сбросить именно локальный пароль. Пользователь получит временный пароль, который потребуется заменить при входе.
AD/LDAP. Проверьте состояние доменной учётной записи и выполните тест авторизации в настройках LDAP Пассворка. Он позволяет получить подробные сведения об ошибке. Загрузка пользователя из каталога и успешная проверка пароля — отдельные проверки.
SSO. Определите, где появляется ошибка: на странице провайдера входа или после возвращения в Пассворк. В первом случае проверяют учётную запись и доступ к приложению у провайдера, во втором — разрешение SSO для пользователя и настройки интеграции.
3. Если вход останавливается на двухфакторной аутентификации
Определить, какой способ подключён к аккаунту: одноразовые коды, подтверждение в приложении, биометрия или физический ключ.
При потере устройства администратор с соответствующими правами может сбросить 2ФА в карточке пользователя → Аутентификация. При этом отдельно проверьте требования роли в Управление пользователями → Роли → нужная роль → Аутентификация: сброс подключённого способа 2ФА не отменяет требование её обязательного использования.
4. Если не принимается мастер-пароль
Мастер-пароль отвечает за доступ к зашифрованным данным. Смена локального или доменного пароля не заменяет его. При сбросе пользователь отключается от всех сейфов, приватные сейфы будут удалены. Подробнее о сбросе паролей.
Если причина не установлена
Зафиксируйте точный текст ошибки, способ входа и масштаб проблемы: один пользователь, пользователи определённого способа аутентификации или все сотрудники. Добавьте результаты выполненных проверок.
Если страница входа не открывается, сначала требуется проверить доступность сервера и сетевого подключения — до проверки настроек конкретного аккаунта.
