Второй шаг — код из аутентификатора. Он обязателен для технической части и необязателен для личного кабинета: требовать его от каждого значит получить одну учётную запись на всех.