Por que ativar o 2FA?
Mesmo com senhas fortes, vazamentos acontecem. O segundo fator oferece uma camada extra essencial, reduzindo drasticamente o risco de acesso indevido.
Métodos mais usados
SMS (menos seguro)
Fácil de implementar, porém vulnerável a clonagem de chip, ataques SS7 e phishing em tempo real. Evite quando houver alternativas.
Aplicativos de mensagens
Receber códigos via WhatsApp ou Telegram é melhor que SMS, mas ainda depende da conta de telefone e pode ser comprometido.
Aplicativos autenticadores (TOTP)
Geram códigos temporários localmente. São a alternativa recomendada. Exemplos: Google Authenticator, Microsoft Authenticator, Authy, Aegis, 2FAS ou os geradores embutidos em gestores.
Notificações push
Solução prática usada por Duo, Okta e Microsoft. Fique atento a solicitações insistentes e negue as que não reconhecer.
Chaves físicas (FIDO2/WebAuthn)
Dispositivos como YubiKey, Feitian ou SoloKeys oferecem resistência a phishing e exigem contato físico para autenticar.
Passkeys e biometria
Tecnologias como Windows Hello, Touch ID, Face ID e passkeys integram o dispositivo como autenticador seguro e simples de usar.
Comparativo de métodos
| Método | Segurança | Facilidade | Riscos |
|---|---|---|---|
| SMS | Baixa | Muito alta | Clone de chip, interceptação |
| App TOTP | Alta | Média | Perda do aparelho, falta de backup |
| Push | Alta | Alta | Fraudes por bombardear solicitações |
| Chave física | Muito alta | Média | Investimento, chave reserva |
| Passkeys/biometria | Muito alta | Muito alta | Dependência da compatibilidade do serviço |
Boas práticas
- Prefira apps autenticadores ou chaves físicas ao SMS.
- Cadastre múltiplos fatores (backup, códigos de recuperação).
- Armazene os códigos de recuperação offline e com proteção.
- Exija chaves físicas para contas administrativas.
- Ative passkeys à medida que os serviços disponibilizarem o recurso.
Perguntas frequentes
O que fazer se perder a chave física?
Utilize a chave reserva ou os códigos de recuperação. Tenha sempre pelo menos duas chaves cadastradas.
Como migrar códigos TOTP para outro celular?
Authy disponibiliza backup em nuvem; outros apps permitem exportar as chaves. Conclua a migração antes de descartar o aparelho antigo.
Códigos TOTP podem ser roubados?
Sim, com ataques de phishing em tempo real. Claves físicas e passkeys eliminam esse risco, validando o domínio antes de autorizar.
Checklist 2FA
- Ative MFA nos serviços essenciais (e-mail, banco, trabalho).
- Use senhas únicas geradas pelo password.es e armazene-as com segurança.
- Implemente chaves físicas para usuários privilegiados.
- Treine sua equipe contra phishing, smishing e vishing.
- Atualize periodicamente suas chaves e códigos de backup.
Limitação de garantias
password.es é fornecido «tal como está». Não garantimos a disponibilidade ou a segurança absoluta das senhas geradas. O usuário é responsável por combinar 2FA com outros cuidados de segurança.