Como configurar autenticação em duas etapas

A autenticação em duas etapas (ou 2FA) pede mais uma prova além da senha: um código, uma chave física ou uma confirmação no seu celular. Se alguém descobrir sua senha, ainda vai travar nessa segunda etapa.

Por onde começar

Pelo e-mail principal. É por ele que se redefine a senha de quase todo o resto, então quem toma o seu e-mail toma o resto junto. Depois venha a conta Google ou Apple, o gerenciador de senhas, os bancos, as redes sociais e as contas do trabalho.

Entre nas configurações de segurança pelo app ou digitando o endereço do site, nunca por link que chegou numa mensagem. A opção costuma se chamar "verificação em duas etapas", "autenticação de dois fatores" ou "2FA".

Antes de ativar, aproveite para atualizar o telefone e o e-mail de recuperação e para remover aparelhos antigos e sessões que você não reconhece.

Qual método escolher

Do mais forte para o mais fraco:

Se o serviço só oferece SMS, ative assim mesmo. Já é muito melhor que só a senha, e você troca quando surgir opção melhor. O que não faz sentido é receber o código do e-mail no próprio e-mail que você quer proteger.

Ativando com um app autenticador

O serviço mostra um QR Code. No app autenticador, toque para adicionar uma conta e aponte a câmera para o código. O app passa a mostrar seis números que mudam o tempo todo. Digite os números que aparecem no momento para confirmar.

Faça isso sem ninguém por perto. O QR Code guarda o segredo que gera seus códigos: não tire print, não mande para ninguém e não deixe a tela aberta. Se o app oferece backup na nuvem, entenda como ele funciona e como recuperar tudo num celular novo.

Com notificação, a regra é uma só: apareceu um pedido de login que você não fez, toque em negar e troque a senha pelo site oficial. Nunca aprove só para a notificação parar de aparecer, porque é exatamente isso que o golpista espera.

Os códigos de recuperação

No fim da configuração, quase todo serviço oferece uma lista de códigos de uso único. Eles são a sua saída se o celular for roubado, quebrar ou for trocado. Baixe ou imprima e guarde fora do celular: no gerenciador de senhas, num arquivo protegido no computador ou num papel em lugar seguro de casa.

Guardar só como print na galeria do mesmo celular não adianta. E ninguém do suporte de verdade precisa que você conte um código desses. Risque os que já usou e gere uma lista nova se achar que alguém viu.

Se o serviço deixar, cadastre um segundo método, como uma segunda chave física guardada em outro lugar. Evite usar o celular de outra pessoa como segunda etapa.

Teste antes de dar por encerrado

Abra uma janela anônima no navegador e entre na conta de novo, para ver se senha e segunda etapa funcionam. Confira também se você sabe onde estão os códigos de recuperação. Só considere a tarefa pronta quando souber como entrar sem o seu celular.

Na troca de celular, passe o autenticador para o aparelho novo antes de apagar o antigo. Alguns apps transferem tudo de uma vez; outros exigem refazer conta por conta. Deixe o celular velho guardado até confirmar que todos os acessos funcionam no novo.

O que o 2FA não resolve

Um site falso pode pedir a senha e o código ao mesmo tempo e usar os dois na hora. Por isso, confira o endereço antes de digitar e, quando o serviço oferecer, prefira passkey ou chave física, que não funcionam em site falso.

Também não vale relaxar com a senha. Cada conta continua precisando de uma senha só dela, de preferência criada pelo gerenciador. E nunca passe código por telefone ou mensagem, nem para quem diz ser do banco.

A cada seis meses, gaste cinco minutos revisando os métodos ativos, os aparelhos autorizados, o telefone de recuperação e onde estão os códigos.

Perdi o celular

Entre pelo site oficial usando outro aparelho já conectado ou um código de recuperação. Remova o celular perdido da lista de aparelhos, troque a senha se houver risco e cadastre a segunda etapa de novo. Se precisar do suporte, use o contato que aparece no próprio site do serviço.

Se o chip foi junto, ligue para a operadora e bloqueie a linha antes de depender de SMS. Vá anotando quais contas já recuperou, para não esquecer aquela que você usa pouco. E não desligue o 2FA de tudo por causa do susto: cadastre de novo e gere códigos novos.

Fontes

• Fascículo Autenticação, Cartilha de Segurança para Internet (CERT.br)

• Ativar a verificação em duas etapas, Ajuda da Conta do Google