# Лишняя отправка или чужой вход. Разрешения и двухфакторка для контроля Дата: 2026-08-30 Как настроить разрешения и двухфакторку в Grok Bot без паники: какие действия подтверждать, где хранить коды и как не превратить безопасность в ручной хаос. Разрешение раздражает, пока не случилась лишняя отправка. 2FA бесит, пока не случился чужой вход. Это не поломка автоматизации - две разные контрольные точки. Путать их опасно: «бот же вошёл» не значит «боту можно публиковать и платить». Grok Bot удобно держать в голове как айфон: Face ID не выдаёт каждому приложению право покупать и постить без вопроса - та же логика в [Grok Bot как айфон](/articles/grok-bot-kak-aifon). База: [что такое Grok Bot](/articles/chto-takoe-grok-bot), [первый час](/articles/pervyy-chas-s-grok-bot), официально [x.ai/bot](https://x.ai/bot) и [Grok Bot 101](https://x.ai/bot/guides/grok-bot-101). Ниже - чем 2FA отличается от разрешения, какие действия всегда ждут человека, спокойный сценарий подтверждения, что делать если запросов слишком много, и мини-чеклист команды. Без обходов и без «скинь код в чат». ## Что именно защищают 2FA и разрешение ## 2FA и вход Двухфакторная аутентификация подтверждает, что в аккаунт входит владелец (или тот, кому вы доверили устройство). Код, ключ, приложение-аутентификатор - это про личность. Код не предназначен боту, не кладётся в промпт и не пересылается в мессенджер «чтобы продолжил». ## Разрешение и конкретная операция Разрешение - пауза перед действием агента: отправить, опубликовать, удалить, списать, сменить права. Бот показывает намерение; человек говорит «да» или «нет» в официальном интерфейсе. ## Почему одно не заменяет другое Можно быть корректно залогиненным (2FA ок) и всё равно сделать вредное действие без разрешение. Можно требовать разрешение на каждый клик и при этом хранить пароль в общем чате - вход всё равно дырявый. Нужны оба слоя. Периметр дня 1 - в [безопасном старте](/articles/chto-mozhno-botu-v-den-1). ## Какие действия должны ждать человека Минимум для любого рабочего контура: * платежи, смена тарифа, привязка карт; * публикация постов, релизов, изменений на сайте; * удаление данных, force-push, дроп таблиц; * изменение прав доступа и шаринг секретов; * внешние сообщения клиентам и рассылки; * любые действия в проде; * работа с чувствительными персональными данными наружу. Перед подтверждением бот (или вы в мандате) должны явно сказать: что будет сделано, куда, с каким объектом/суммой/адресом и какой ожидаемый итог. «Сделай как вчера» - плохой текст для разрешение. ## Спокойный сценарий подтверждения Повторяемый ритуал без истерики: 1. Бот показывает план и область действия (файлы, сервис, получатель). 2. Владелец сверяет адрес, объект, сумму/объём и последствия. 3. Подтверждение только в официальном интерфейсе продукта - не «ок» в случайном чате. 4. Результат фиксируется в журнале или вашей заметке: кто подтвердил, что именно ушло. 5. Коды 2FA вводит только человек в форме входа/подтверждения аккаунта. В промпт, Routine и shared-тред - никогда. Если бот просит секрет или код - стоп. Перестройте доступ через официальный механизм, не через «вставь сюда». Обход капчи и 2FA не обсуждаем и не описываем. Для shared-среды отдельно осознайте риски общего компьютера: [shared computer - удобство и риск](/articles/shared-computer-udobstvo-i-risk). ## Если разрешение просит слишком часто Частые запросы - симптом широкого мандата, а не «злого UI». Что сделать: * разделить черновик и финальное действие (сначала файл, потом одна отправка); * сузить роль и разрешения до минимума на задачу; * запретить пачку внешних шагов в одном запуске; * вынести безопасные чтения без разрешение, опасные - с ним; * не отключать контроль вслепую «чтобы летало». Пароль «чтобы не мешал» боту не даём. Скорость без контроля дороже одной лишней кнопки. Если команда тонет в хаосе ролей - сузьте зоопарк; порядок есть в [команде из 5 ботов](/articles/playbook-komanda-5-botov), но разрешение на опасное остаётся. Ultra тут не «выключалка безопасности». Объём рук считайте как [ФОТ многорукого](/articles/cena-heavy-ne-podpiska), не как подписку на чат. ## Мини-чеклист команды * Кто владелец аккаунта бота (один ответственный) * Где резервный способ входа (без публикации в чатах) * Какие операции всегда требуют разрешение (список выше - база) * Кто имеет право подтверждать финал * Что делать при ошибочном действии (отзыв доступа, смена сессии, эскалация) * Как отозвать коннектор/доступ за 5 минут * Запрет: коды 2FA и пароли не в промптах * Инструкции сверены с актуальным UI на [x.ai/bot](https://x.ai/bot), не со старым скрином Роль и стопы удобно прописать в мандате при [создании бота](/articles/kak-sozdat-svoego-grok-bot); примеры - в [кейсах](/articles/keysy-grok-bot). Слой| Вопрос| Кто жмёт ---|---|--- 2FA| Это я вхожу?| Человек-владелец Разрешение| Это действие сейчас нужно?| Человек-владелец задачи Мандат| Бот вообще имеет право сюда лезть?| Автор ТЗ до запуска ## Практика: один финал вместо десяти пауз Команда часто злится на разрешение, потому что смешала десять мелких внешних шагов в одном запуске. Разделите: бот готовит пачку черновиков без отправки; человек одним проходом подтверждает одну отправку или одну публикацию. Пауз становится меньше, контроль остаётся. Отдельно договоритесь, кто дежурит по подтверждениям в рабочее время. Разрешение без владельца превращается в очередь «никто не нажал». Резервный вход и список опасных операций держите вне публичных чатов - только у владельцев аккаунта. Если кто-то предлагает «временно отключить, потом включим» на платёжном коннекторе - это красный флаг. Временное без срока окончания почти никогда не возвращается само. ## Частые вопросы **Можно ли отправить боту код 2FA?** Нет. Код для подтверждения владельцем в официальном интерфейсе. **Разрешение - это то же самое, что 2FA?** Нет. 2FA подтверждает вход, разрешение - конкретное действие агента. **Что всегда подтверждать вручную?** Платежи, публикации, удаления, изменения прав и действия в проде. **Как не получать десять запросов подряд?** Черновик отдельно, один финальный шаг, узкий мандат и минимальные разрешения. **Можно ли отключить разрешение ради скорости?** На опасных действиях для безопасного теста - нет. Скорость не важнее контроля. **Влияет ли разрешение на выбор Ultra?** Нет. Ultra оценивают как ФОТ многорукого: [Ultra как зарплата](/articles/heavy-kak-zarplata-mnogorukogo). ## Что сделать сейчас 1. Запустите одну безопасную задачу с разрешение на финальный шаг. 2. Коды 2FA вводите только сами. 3. Запишите список операций «только человек» и повесьте рядом с мандатом. 4. Официально: [x.ai/bot](https://x.ai/bot), [Grok Bot 101](https://x.ai/bot/guides/grok-bot-101). Старт - [/start](/start).