A autenticação de dois fatores (2FA) protege uma conta pedindo duas coisas diferentes na hora de entrar: algo que você sabe, como a sua senha, e algo que você tem, como um código de seis dígitos gerado por um app autenticador no celular. Mesmo que alguém roube a sua senha, não consegue entrar sem o segundo fator.
É uma das medidas de segurança mais eficazes que uma pessoa comum pode tomar, e normalmente leva só alguns minutos para configurar. Este guia explica como a 2FA funciona, quais métodos escolher e como evitar ficar trancado fora da própria conta.
Por que só a senha não basta
Senhas vazam de muitas formas. As pessoas repetem a mesma senha em vários sites, serviços sofrem vazamentos de dados e páginas de phishing enganam usuários para que digitem o login em um formulário falso. Quando uma senha é descoberta, qualquer um pode testá-la no seu e-mail, nas redes sociais ou na sua conta de compras online.
A 2FA acrescenta uma segunda fechadura. Uma senha roubada sozinha deixa de ser suficiente, porque o invasor também precisa do código do seu aparelho. Isso torna muito mais difíceis vários tipos comuns de invasão de conta, principalmente os que dependem de senhas repetidas ou vazadas.
Os principais tipos de segundo fator
Nem todo segundo fator tem a mesma força. As opções mais comuns são:
- Apps autenticadores. Apps como Google Authenticator, Microsoft Authenticator e outros compatíveis geram um novo código de seis dígitos a cada 30 segundos. Os códigos são criados no próprio celular, então não trafegam pela rede da operadora.
- Códigos por SMS. O código chega por mensagem de texto. É muito melhor do que não ter 2FA, mas o SMS pode ser interceptado ou desviado, por exemplo no golpe da troca de chip (SIM swap), em que o criminoso convence a operadora a transferir o seu número para um chip dele.
- Notificações push. Alguns serviços mandam um aviso para um app no celular perguntando "É você?". É prático, mas nunca aprove um aviso que você não esperava.
- Chaves de segurança e passkeys. Chaves físicas ou passkeys guardadas no aparelho estão entre as opções mais fortes, porque foram feitas para resistir ao phishing. O suporte varia de serviço para serviço.
Para a maioria das pessoas, o app autenticador é uma escolha forte e prática. Se um serviço só oferece SMS, ative mesmo assim. Ainda é um grande avanço em relação a usar apenas a senha.
Como funcionam os apps autenticadores
Quando você ativa a 2FA com um app autenticador, o site mostra um QR Code. Esse QR Code contém uma chave secreta. Você o escaneia uma única vez com o app autenticador e, a partir daí, o app e o site usam essa chave compartilhada e o horário atual para calcular o mesmo código de seis dígitos.
Como o código muda a cada 30 segundos, um código que alguém viu por cima do seu ombro perde a validade logo depois. E como os códigos são calculados no celular, o app funciona mesmo sem internet.
Um ponto importante: o QR Code de configuração é sensível. Quem escanear esse código consegue gerar os seus códigos. Não tire print, não compartilhe e não deixe na tela onde outras pessoas possam ver.
Como ativar a 2FA passo a passo
Os menus mudam de um serviço para outro, mas o processo costuma ser o mesmo:
- Instale um app autenticador no celular.
- Entre na conta que quer proteger e abra as configurações de segurança.
- Procure por "Autenticação de dois fatores", "Verificação em duas etapas" ou "Login em duas etapas" e escolha a opção de app autenticador.
- Escaneie com o app autenticador o QR Code que aparece na tela.
- Digite o código de seis dígitos do app para confirmar que está funcionando.
- Guarde os códigos de backup que o serviço fornecer (veja a próxima seção).
- Saia da conta e entre de novo para conferir se está tudo certo.
Comece pelas contas mais importantes: o seu e-mail principal (porque ele pode redefinir outras senhas), o banco, as redes sociais, o armazenamento em nuvem e qualquer conta que guarde dados de pagamento. No QR-TH você pode ativar o login em duas etapas com um app autenticador nas configurações da conta, o que impede que outra pessoa altere os seus QR Codes e links curtos.
Códigos de backup: o seu caminho de volta
O problema mais comum com a 2FA não é invasão. É perder o celular. Se o aparelho for perdido, roubado, quebrar ou for trocado, você precisa de outra forma de entrar.
É para isso que servem os códigos de backup. A maioria dos serviços entrega uma lista de códigos de uso único quando você ativa a 2FA. Cada código pode ser usado uma vez no lugar do código do app.
Guarde-os com segurança:
- Imprima e deixe o papel em um lugar seguro em casa, ou
- Salve em um gerenciador de senhas confiável, e
- Não deixe os códigos apenas no mesmo celular do app autenticador.
Cada código de backup funciona só uma vez. Quando usar um, risque da lista. Se estiverem acabando, a maioria dos serviços permite gerar uma nova lista, o que cancela a antiga.
Como trocar de celular sem perder o acesso
Antes de formatar, vender ou dar o celular antigo na troca, passe os seus códigos do autenticador para o novo aparelho. Alguns apps autenticadores oferecem transferência ou backup na nuvem; outros exigem que você configure a 2FA de novo em cada conta.
Um jeito seguro de fazer:
- Mantenha o celular antigo funcionando até confirmar todas as contas no novo.
- Nas contas que não dá para transferir, entre, desative a 2FA, ative de novo e escaneie o novo QR Code com o celular novo.
- Teste cada conta antes de apagar o aparelho antigo.
Erros comuns com a 2FA
- Compartilhar códigos. Nenhum banco, loja ou suporte de verdade vai pedir que você diga o seu código de 2FA. Quem pede quase certamente é golpista, como no conhecido golpe em que pedem "o código que chegou por SMS".
- Aprovar avisos inesperados. Se aparecer um pedido de login que você não iniciou, recuse e troque a senha.
- Digitar códigos em páginas abertas por um link de mensagem. Sites de phishing também podem pedir o seu código. Acesse o site diretamente.
- Ignorar os códigos de backup. Guardá-los leva um minuto e pode poupar dias de recuperação de conta.
Para mais proteção no dia a dia, leia nossas dicas de segurança para celular e aprenda a reconhecer golpes com QR Code que tentam roubar dados de login.
FAQ
A autenticação de dois fatores é mesmo necessária?
Para contas importantes, como e-mail, banco e redes sociais, sim. Ela bloqueia muitos ataques que dependem de senhas roubadas ou repetidas.
O app autenticador é mais seguro que o SMS?
Em geral, sim. Os códigos do autenticador são gerados no celular, enquanto os códigos por SMS podem ser interceptados ou desviados no golpe da troca de chip. Mesmo assim, SMS é melhor do que nenhuma 2FA.
O que acontece se eu perder o celular?
Use um dos seus códigos de backup para entrar e depois configure a 2FA de novo no celular novo. Sem os códigos de backup, você vai depender do processo de recuperação de conta do serviço.
Alguém pode invadir minha conta se tiver meu código de 2FA?
O código vale por pouco tempo, mas um golpista que convence você a passá-lo na hora pode usá-lo. Nunca compartilhe seus códigos com ninguém.
A autenticação de dois fatores leva poucos minutos e deixa suas contas muito mais difíceis de invadir. Ative hoje no seu e-mail e no banco e depois proteja a sua conta do QR-TH com o login em duas etapas. Saiba mais nas nossas perguntas frequentes.