O que é
Normalmente, para entrar numa conta, basta a senha. Com a verificação em duas etapas, o site pede também uma segunda prova de que é você, quase sempre um código de 6 dígitos que aparece no seu celular.
É como o cartão do banco: não basta saber a senha, é preciso ter o cartão na mão. Na internet, a senha é o que você sabe, e o celular é o que você tem.
Em uma frase
Mesmo que alguém descubra a sua senha, não entra na sua conta sem o seu celular.
Por que vale a pena
- A senha deixa de ser a única proteção: para entrar, também é preciso o código do seu celular.
- Você continua protegido mesmo se digitar a senha numa página que imita o site de verdade.
- O site pede o código sempre que alguém tenta entrar num aparelho novo.
- Leva poucos minutos para ligar, e no dia a dia quase nada muda.
Os tipos de segunda etapa
Cada site oferece um ou mais destes. Do mais comum ao mais forte:
| Tipo | Como funciona | Vale a pena? |
|---|---|---|
| Código por SMS | O site manda um código por mensagem de texto. | Melhor que nada, mas o número pode ser desviado para outro chip. |
| Código por e-mail | O código chega na sua caixa de entrada. | Só protege se o seu e-mail também estiver bem protegido. |
| App autenticador | Um app no celular, como o TKI Pass, mostra um código novo a cada 30 segundos. | Recomendado. Funciona sem sinal e não depende do chip. |
| Aviso no celular | O app do próprio serviço pergunta se é você tentando entrar. | Bom. Recuse qualquer aviso que você não esperava. |
| Chave de segurança | Um pequeno aparelho que você encosta ou conecta. | O mais forte, mas é preciso comprar e levar junto. |
Se o site deixar escolher, fique com o app autenticador. Veja como ele funciona no TKI Pass em Autenticador.
Onde ligar nos sites mais usados
Em quase todo site, a opção fica nas configurações de segurança da conta, com nomes como “Verificação em duas etapas”, “Autenticação de dois fatores” ou “Login em duas etapas”. Os menus mudam de tempos em tempos, então use os caminhos abaixo como ponto de partida.
| Serviço | Onde fica | Aceita app autenticador? |
|---|---|---|
| Google e Gmail | Conta do Google, Segurança, Verificação em duas etapas | Sim |
| Microsoft e Outlook | Conta Microsoft, Segurança, Opções avançadas de segurança | Sim |
| Instagram e Facebook | Central de Contas, Senha e segurança, Autenticação de dois fatores | Sim |
| Amazon | Sua conta, Login e segurança, Verificação em duas etapas | Sim |
| GitHub | Settings, Password and authentication | Sim |
| Configurações, Conta, Confirmação em duas etapas | Não. Ele usa um PIN de 6 dígitos que você mesmo cria | |
| Conta Apple | Já vem ligada nos aparelhos Apple | Não. Os códigos aparecem nos seus aparelhos Apple |
Na hora de escolher o método, o caminho é quase sempre o mesmo:
- 1Escolha “app autenticador”. Alguns sites chamam de “Google Authenticator” ou “aplicativo de autenticação”, mas qualquer autenticador serve.
- 2O site mostra um QR. Leia com o TKI Pass.
- 3Digite no site o código de 6 dígitos que apareceu no app.
- 4Guarde os códigos reserva que o site oferecer.
Por onde começar
Não precisa ligar em tudo no mesmo dia. Comece pelas contas que mais fariam falta:
- 1E-mail. Quem entra no seu e-mail consegue trocar a senha de quase todo o resto.
- 2WhatsApp e redes sociais. Guardam as suas conversas e falam em seu nome com os seus contatos.
- 3Bancos, lojas e carteiras digitais. Onde há dinheiro ou cartão salvo.
- 4O gerenciador de senhas. Se você usa um, ele também merece a segunda etapa.
Códigos reserva
Ao ligar a verificação, a maioria dos sites entrega uma lista de códigos reserva, que funcionam uma vez cada. Eles são a sua saída se você perder o celular. Guarde num lugar seguro, fora do celular: impressos, por exemplo, ou numa nota segura do gerenciador de senhas.
O código é só seu
Nunca passe o código para ninguém
O código serve só para você entrar na sua conta. Nenhuma empresa séria pede esse código por telefone, mensagem ou e-mail, nem em nome do banco ou de um conhecido. Se alguém pedir, não responda.
O mesmo vale para avisos do tipo “é você tentando entrar?”. Se você não estava entrando em nada, recuse.
Perguntas
Para quem usa, sim. São nomes diferentes para a mesma ideia: além da senha, o site pede uma segunda prova de que é você. 2FA é a sigla em inglês para “dois fatores de autenticação”.
É bem melhor que nada. Mas o SMS pode ser desviado, por exemplo quando o número é transferido para outro chip sem você saber. Quando o site oferecer, prefira um app autenticador.
Use os códigos reserva que o site entregou quando você ligou a verificação. Se o seu autenticador sincroniza, como o TKI Pass, basta entrar na sua conta num aparelho novo e os códigos voltam.
Normalmente não. A maioria dos sites pede o código ao entrar num aparelho ou navegador novo e depois lembra daquele aparelho por um tempo.
Não. O código é calculado no próprio celular, a partir da hora. Funciona sem sinal e sem internet, por exemplo em viagem.