O que é 2FA e por que sua conta precisa dele

2FA é a sigla de autenticação em dois fatores (do inglês two-factor authentication). Na prática, significa que entrar na conta exige duas provas de que é você: algo que você sabe (a senha) e algo que você tem (um código temporário gerado no seu celular a partir de um segredo guardado por você). Neste guia, você entende como o 2FA funciona por dentro, quais são os tipos que existem e como configurar do jeito certo nas contas que você usa ou compra.

Por que a senha sozinha não basta?

Senhas vazam. Elas são reutilizadas entre serviços, anotadas em lugares inseguros, capturadas por sites falsos e expostas em vazamentos de bancos de dados de terceiros. Quando só a senha protege a conta, quem a descobre entra direto, de qualquer lugar do mundo, sem deixar rastro óbvio.

Com o 2FA ativo, a senha vazada não serve de nada sem o segundo fator: o invasor precisaria também do seu celular ou do seu segredo de autenticação. É a diferença entre uma porta com uma fechadura só e uma porta com duas chaves diferentes, guardadas em lugares diferentes.

Como o código funciona: o TOTP por dentro

O formato mais comum de 2FA é o TOTP (time-based one-time password): um código de 6 dígitos que muda a cada 30 segundos. Ele nasce de uma conta matemática simples: o serviço e o seu aplicativo autenticador compartilham um segredo (aquela sequência longa de letras e números, ou o QR code que você escaneia no cadastro). Os dois lados combinam esse segredo com o relógio — a janela de 30 segundos atual — e geram o mesmo código, sem precisar se falar.

Três consequências práticas desse desenho:

• O código funciona offline: depois de cadastrado, o autenticador gera códigos sem internet, porque só depende do segredo e do relógio;
• O segredo é a chave mestra: quem tem o segredo gera códigos para sempre — ele equivale à senha e deve ser guardado com o mesmo cuidado;
• O relógio precisa estar certo: celular com hora automática errada gera códigos que o serviço recusa; se um código válido for rejeitado, confira a sincronização de horário do aparelho.

Os tipos de segundo fator (do mais fraco ao mais forte)

Código por SMS ou e-mail

O mais comum e o mais frágil: depende da operadora e pode ser interceptado em golpes de troca de chip. Melhor do que nada, pior do que aplicativo.

Aplicativo autenticador (TOTP)

Google Authenticator, Microsoft Authenticator, Authy e similares. É o padrão das contas vendidas com "2FA ativo" nesta loja: o formato de entrega inclui o segredo, e você o cadastra no seu aplicativo. Nossa ferramenta de código 2FA também gera os códigos direto no navegador a partir do segredo, quando você precisar de um acesso rápido.

Chaves de segurança físicas e biometria

O nível mais alto de proteção, comum em ambientes corporativos. Para contas pessoais e de projeto, o TOTP bem guardado já resolve a imensa maioria dos cenários.

2FA nas contas que você compra: o que conferir

Ao comprar uma conta com 2FA nesta loja, o formato de entrega — sempre escrito nas especificações do produto antes do pagamento — indica o segredo 2FA. Ao recebê-la:

• Cadastre o segredo no seu aplicativo autenticador imediatamente, antes de qualquer outra alteração na conta;
• Gere um código e teste o login completo (senha + código) para confirmar que o segredo corresponde à conta;
• Troque a senha por uma forte e exclusiva — o passo a passo completo está no checklist de primeiros passos;
• Confira o e-mail de recuperação e, quando o formato incluir um, confirme que você controla esse endereço;
• Nunca compartilhe o segredo 2FA com terceiros, nem em capturas de tela ou planilhas abertas.

E se eu perder o celular com o autenticador?

Quem guarda o segredo, não perde a conta: basta cadastrar o mesmo segredo em outro aplicativo para voltar a gerar os códigos. É por isso que recomendamos salvar o segredo (não só o QR code) no seu gerenciador de senhas, junto da senha da conta. Perder o aparelho sem ter o segredo guardado, ao contrário, pode significar depender do processo de recuperação do provedor — lento e nem sempre bem-sucedido.

Leva menos de dois minutos para configurar e é a diferença entre uma conta descartável e uma conta realmente sua. Se um produto tiver a marcação "2FA ativo" no nome, o segredo acompanha a entrega; se não tiver, considere ativar a proteção manualmente no seu primeiro acesso. Para aprofundar os termos, veja também a definição de autenticação 2FA no glossário.

Três mitos sobre 2FA que vale abandonar

"2FA é só para contas importantes"

A conta "sem importância" de hoje é a porta de recuperação das importantes de amanhã. Se um e-mail seu serve para redefinir senhas de outros serviços, ele é importante por definição — e é justamente o tipo de conta que esta loja vende e que você deveria proteger primeiro.

"Código por SMS é a mesma coisa que aplicativo"

Não é. O SMS depende da linha telefônica e já foi explorado em golpes de clonagem de chip; o código TOTP nasce de um segredo guardado no seu aparelho e não trafega por nenhuma rede. Quando você puder escolher, escolha o aplicativo.

"Ativar 2FA trava minha conta se eu trocar de celular"

Só trava quem não guardou o segredo. Com o segredo salvo no gerenciador de senhas, trocar de aparelho é recadastrar e seguir — dois minutos, como explicamos na seção sobre perda do celular.

Como saber se um produto já vem com 2FA

Olhe o nome e as especificações na página do produto: as linhas com 2FA o exibem no título ("2FA Ativo") e o segredo consta do formato de entrega. Linhas sem a marcação podem não incluir segredo pronto — nelas, o caminho é ativar a verificação em duas etapas da sua conta logo no primeiro acesso, seguindo as telas do próprio provedor. Na dúvida entre dois modelos, o que já entrega o 2FA configurado economiza o passo mais chato da configuração manual.