Пароль и одноразовый код (Google Authenticator, Яндекс Ключ и подобные). При первом входе код не нужен — кабинет предложит подключить приложение. Клиент и наш администратор входят здесь же, права разные.