Autenticação de dois fatores: adicione um segundo cadeado às suas contas

Resumo: A autenticação de dois fatores (2FA) significa que, mesmo que alguém roube a sua senha, ainda não conseguirá entrar na sua conta. Leva cerca de 30 segundos para configurar e é uma das coisas mais eficazes que você pode fazer para se proteger online. Ative primeiro no seu e-mail e no seu gerenciador de senhas.

O que é autenticação de dois fatores?

Uma senha é algo que você sabe. A autenticação de dois fatores adiciona uma segunda verificação — algo que você tem — antes de deixá-lo entrar.

Pense nisso como um cofre de banco. O banco tem uma chave e você tem outra. Nenhuma chave funciona sozinha — as duas precisam estar presentes. Mesmo que alguém roube a sua chave, ele não consegue abrir o cofre sem a chave do banco.

Com a 2FA ativada, fazer login requer:

1. Sua senha (algo que você sabe)
2. Uma segunda confirmação — geralmente um código do seu celular (algo que você tem)

Então, mesmo que um hacker roube a sua senha em uma violação de dados, ele fica travado. Ele não tem o seu celular.

Por que isso importa tanto

Senhas são roubadas o tempo todo — não porque você fez algo errado, mas porque sites são hackeados. Quando isso acontece, o seu e-mail e senha acabam em listas que criminosos compram e testam automaticamente em outros sites.

🔍 O endereço de e-mail da maioria das pessoas apareceu em pelo menos uma violação de dados. Você pode verificar isso em segundos em Have I Been Pwned, ou ler nosso guia sobre quais informações sobre você já estão disponíveis na internet. Independentemente de você ter verificado ou não, agir como se sua senha já tivesse vazado — e usar a 2FA — é o hábito certo.

A 2FA quebra essa corrente completamente. A senha roubada é inútil por si só.

A sua conta de e-mail em particular é a chave mestra para tudo mais online. Se alguém entrar no seu e-mail, pode usar "esqueci minha senha" para redefinir qualquer outra conta que desejar. Proteger o seu e-mail com 2FA é a coisa mais impactante que a maioria das pessoas pode fazer.

💡 Se você fizer apenas uma coisa depois de ler esta página, ative a 2FA na sua conta de e-mail. Todo o resto vem daí.

Os tipos de 2FA (do mais fraco ao mais forte)

Nem toda 2FA é igual. Veja como os métodos mais comuns se comparam:

📱 Mensagem de texto SMS — Conveniente, mas o mais fraco

Quando você faz login, um código de 6 dígitos é enviado para o seu celular por mensagem de texto.

Vantagens:

• Já funciona com o seu número de telefone existente — nada para instalar
• Amplamente suportado

Desvantagens:

• Ataques de troca de SIM: um criminoso pode ligar para a sua operadora, fingir ser você e transferir o seu número para o celular dele — passando a receber os seus códigos
• Não funciona se você não tiver sinal ou estiver viajando sem o seu SIM local
• Códigos enviados por SMS podem ser interceptados em redes mal protegidas

Conclusão: Muito melhor do que nada — mas se um site oferecer uma opção melhor, use-a.

🔑 Aplicativo autenticador — O método recomendado

Um aplicativo autenticador no seu celular gera um novo código de 6 dígitos a cada 30 segundos — completamente offline, sem necessidade de SMS. O código é calculado matematicamente a partir de um segredo compartilhado durante a configuração.

Vantagens:

• Não vulnerável a ataques de troca de SIM
• Funciona offline — sem necessidade de sinal
• Suportado por quase todos os principais sites e serviços
• Gratuito

Desvantagens:

• Requer a instalação de um aplicativo
• Se você perder o celular sem um backup, a recuperação exige algum esforço

Conclusão: Este é o ponto ideal — segurança forte, fácil de usar no dia a dia e gratuito.

🔐 Chaves de acesso (Passkeys) — O futuro (e já está aqui)

Uma chave de acesso substitui sua senha e a 2FA em uma única etapa. Seu dispositivo (celular ou laptop) armazena uma chave secreta exclusiva sua, e você confirma com seu rosto ou impressão digital. Não há nada para digitar, nada para roubar e nada que possa vazar em uma violação de dados.

Vantagens:

• A opção mais segura disponível
• Sem códigos para digitar — apenas seu rosto ou impressão digital
• Impossível de usar em phishing (você não pode ser enganado para inseri-la em um site falso)
• Já suportado por Google, Apple, Microsoft, Amazon, PayPal, GitHub e mais

Desvantagens:

• Relativamente novo — ainda não suportado em todos os lugares
• Requer um dispositivo que suporte biometria (a maioria dos celulares e laptops modernos suporta)

Conclusão: Use chaves de acesso sempre que disponíveis — elas são o melhor de todos os mundos. Tanto o Apple Keychain quanto o 1Password já as suportam.

🗝️ Chave de segurança física — Para contas de alto valor

Uma chave USB ou NFC física (como um YubiKey) que você conecta ou toca para confirmar um login.

Vantagens:

• Essencialmente impossível de atacar remotamente
• Resistente a phishing por design

Desvantagens:

• Custa dinheiro (~€25–€50)
• Excessivo para a maioria dos usuários do dia a dia
• Você precisa de uma chave de reserva caso perca a original

Conclusão: Não é necessário para a maioria das pessoas — chaves de acesso e aplicativos autenticadores cobrem as necessidades do dia a dia.

Aplicativos autenticadores recomendados

Esses aplicativos geram os códigos seguros para suas contas. Instale um no seu celular e ele cuida de tudo.

⭐ Recomendado: Integrado ao seu gerenciador de senhas

Se você usa o 1Password, ele pode armazenar seus códigos de autenticação ao lado das suas senhas — então quando você faz login em um site, ele preenche automaticamente tanto a senha quanto o código 2FA. Essa é a experiência mais fluida possível.

O mesmo se aplica ao Bitwarden Premium (requer um plano pago, ~€10/ano).

Se você já usa um desses, pode não precisar de um aplicativo separado.

📲 Aegis (Android) — Melhor aplicativo independente

Gratuito, de código aberto e armazena seus códigos com segurança usando criptografia. Você pode exportar um backup para não perder tudo ao trocar de celular.

Melhor para: usuários de Android que querem um aplicativo dedicado e confiável.

📲 Raivo (iPhone/iPad) — O melhor para iOS

Um autenticador limpo, gratuito e de código aberto para dispositivos Apple. Sincroniza com o iCloud para backup, então trocar de celular é simples.

Melhor para: usuários de iPhone e iPad que querem um aplicativo independente.

📲 Google Authenticator

Gratuito e amplamente suportado. Fácil de configurar, mas historicamente sem opções de backup (isso melhorou). Funciona bem se você já usa muito o ecossistema Google.

Melhor para: quem já usa muito o Google e quer a configuração mais simples.

⚠️ Evite: Authy

O Authy já foi recomendado, mas recentemente anunciou que será encerrado. Se você o usa atualmente, migre para uma das alternativas acima.

Onde ativar primeiro

Não tente fazer tudo de uma vez. Comece com essas contas — elas são as mais importantes:

Prioridade	Conta	Por quê
🔴 Primeiro	Seu e-mail (Gmail, Outlook, iCloud)	É a chave mestra para todas as outras contas
🔴 Primeiro	Seu gerenciador de senhas (1Password, Bitwarden)	Protege todas as suas outras senhas
🟠 Em breve	Seu Apple ID / Conta Google	Controla seu celular e compras vinculadas
🟠 Em breve	Suas contas bancárias e financeiras	Acesso direto ao dinheiro
🟡 Quando puder	Redes sociais (Facebook, Instagram)	Evita falsificação de identidade e roubo de conta
🟡 Quando puder	Contas de compras (Amazon, etc.)	Dados de pagamento salvos em risco

"E se eu perder meu celular?"

Essa é a preocupação mais comum — e é justa. Veja como se preparar:

• Faça backup dos seus códigos de autenticação. Tanto o Aegis quanto o Raivo suportam backups criptografados. Faça isso ao configurá-los.
• Salve seus códigos de recuperação. Quando você ativa a 2FA em um site, ele geralmente oferece um conjunto de códigos de backup de uso único. Salve-os em algum lugar seguro — seu gerenciador de senhas é um bom lugar.
• Se você usa o 1Password como seu autenticador, seus códigos são copiados como parte da sua conta do 1Password — nada mais é necessário.
• Se você perder o celular mesmo assim, a maioria dos serviços tem um processo de recuperação de conta, e é por isso que manter seu e-mail seguro (com 2FA) é tão importante — geralmente é o caminho de recuperação.

Como ativar

Cada site é um pouco diferente, mas o padrão é quase sempre o mesmo:

1. Vá para as Configurações da sua conta (ou Configurações de segurança).
2. Procure por Autenticação de dois fatores, Verificação em duas etapas ou Segurança de login.
3. Escolha Aplicativo autenticador (preferível ao SMS, se você tiver a escolha).
4. Abra seu aplicativo autenticador, toque no botão + e escaneie o código QR mostrado na tela.
5. Digite o código de 6 dígitos para confirmar que está funcionando.
6. Salve quaisquer códigos de backup fornecidos — armazene-os no seu gerenciador de senhas.

Pronto.

Próximos passos

Depois que seu e-mail e gerenciador de senhas estiverem protegidos, você já estará em uma posição muito melhor do que a maioria das pessoas online. A partir daí, siga a lista de prioridades no seu próprio ritmo.

👉 Veja também: Gerenciadores de senhas: pare de tentar lembrar de tudo