Пароль и код из приложения-аутентификатора. Сессия живёт 12 часов.
Пять неверных попыток подряд закрывают вход на 15 минут. Оператора заводят на сервере: npm run operator -- add <логин>.