Autenticação em dois fatores: aplicativo, SMS ou chave física?

Autenticação em dois fatores adiciona uma segunda prova ao login. Mesmo que alguém descubra sua senha, ainda precisará do aplicativo autenticador, do celular, de uma chave física ou de outro método configurado. Entre aplicativo, SMS e chave de segurança, a melhor opção depende do risco da conta e do que você consegue usar sem se trancar para fora.

Para a maioria das pessoas, eu começaria com um aplicativo autenticador e guardaria os códigos de recuperação. Para contas especialmente importantes ou expostas, como e-mail principal, painel de trabalho e gerenciador de senhas, uma chave física compatível oferece proteção ainda maior. SMS é mais fraco, mas continua sendo melhor que deixar apenas a senha quando a plataforma não oferece alternativa.

O que o segundo fator realmente protege

Senha é algo que você sabe. O segundo fator pode ser algo que possui, como telefone ou chave, ou uma característica biométrica. A ideia é impedir que uma credencial vazada seja suficiente. Isso ajuda contra reutilização de senhas, vazamentos e várias tentativas automatizadas.

Não é uma blindagem absoluta. Uma página falsa pode pedir senha e código em tempo real, malware pode roubar sessão e engenharia social pode convencer a vítima a aprovar um acesso. Por isso o método escolhido e a atenção ao endereço ainda importam.

SMS: simples, disponível e com limitações

O SMS é fácil porque não exige outro aplicativo. O problema é que o número pode sofrer troca indevida de chip, portabilidade fraudulenta, interceptação ou falhas da operadora. Mensagens também podem não chegar durante viagem ou falta de sinal. Além disso, um golpe bem montado consegue pedir o código e usá-lo imediatamente.

Se SMS for a única opção, ative-o. Proteja a conta da operadora, configure senha de atendimento quando existir e nunca informe códigos a terceiros. Banco, suporte ou funcionário sério não precisa que você dite o número recebido para “cancelar uma fraude”.

Aplicativo autenticador: bom equilíbrio para o dia a dia

Aplicativos autenticadores geram códigos temporários no próprio aparelho e funcionam mesmo sem rede. Eles evitam parte dos riscos ligados ao chip. A configuração normalmente envolve escanear um QR Code fornecido pelo serviço e confirmar um código.

Instale um autenticador conhecido pela loja oficial. Confira se ele oferece backup criptografado ou exportação e entenda como recuperar as contas ao trocar de celular. Não fotografe o QR Code nem o deixe perdido na galeria, pois quem obtiver aquela chave poderá gerar códigos.

Notificação de aprovação: prática, mas leia antes de aceitar

Alguns serviços enviam uma pergunta para o aparelho: “Você está tentando entrar?”. É conveniente e pode mostrar localização ou número para comparação. O risco aparece quando o usuário aprova no automático depois de receber várias notificações.

Se você não iniciou o acesso, recuse. Revise sessões e troque a senha. Ataques de fadiga contam com o cansaço da vítima, não com uma falha técnica sofisticada.

Chave física: proteção forte contra phishing

Chaves de segurança usam padrões como FIDO2 e WebAuthn para comprovar presença e verificar o domínio correto. Isso dificulta muito que uma página falsa roube um código reutilizável. Algumas pessoas usam uma chave USB ou NFC; celulares e computadores modernos também podem atuar como passkeys.

O custo e a necessidade de carregar ou guardar a chave são as desvantagens. Para não depender de uma peça única, configure duas chaves quando possível: uma de uso e outra guardada. Confirme compatibilidade com seus aparelhos e serviços antes de comprar.

Passkeys entram onde nessa conversa?

Passkeys substituem a senha em serviços compatíveis usando criptografia e desbloqueio do dispositivo. Elas podem ser sincronizadas pelo ecossistema ou armazenadas em gerenciadores. Como são vinculadas ao domínio, resistem melhor a phishing que senhas e códigos digitados.

A adoção ainda varia. Entenda onde a passkey está salva e como recuperá-la ao trocar de aparelho. Não remova todas as alternativas até testar o acesso em seus dispositivos principais.

Proteja primeiro a conta que recupera as outras

O e-mail principal é a chave mestra informal da vida digital. Ele recebe redefinições de senha e alertas. Depois dele, proteja gerenciador de senhas, banco, nuvem, redes sociais e contas de trabalho. Uma conta de jogo também pode ter dinheiro e itens, mas o e-mail costuma abrir o caminho para várias outras.

Use senha exclusiva e segundo fator forte no e-mail. Revise endereços e telefones de recuperação. Remova dispositivos antigos e regras de encaminhamento que você não reconhece.

Códigos de recuperação não são enfeite

Ao ativar a proteção, muitos serviços exibem códigos de uso único. Salve-os fora do celular que gera os códigos. Pode ser em um cofre do gerenciador, cópia impressa guardada ou outro local seguro. Não mande para você mesmo em conversa desprotegida.

Se usar todos ou suspeitar de exposição, gere novos. Os códigos antigos normalmente são invalidados. Esse cuidado evita que um aparelho quebrado transforme segurança em perda definitiva da conta.

Troca e roubo de celular

Antes de trocar, transfira o autenticador seguindo o procedimento oficial e confirme os acessos no novo aparelho. Não apague o antigo até testar. Em caso de roubo, use outro dispositivo para encerrar sessões, bloquear o chip e alterar senhas críticas.

Biometria protege o acesso local, mas mantenha um PIN forte. Evite padrões fáceis e esconda prévias de códigos na tela bloqueada.

Qual método escolher?

• SMS: use quando for a única opção ou como recuperação cuidadosamente protegida.
• Aplicativo autenticador: ótimo equilíbrio para a maioria das contas.
• Notificação: prática, desde que você confira cada solicitação.
• Chave física ou passkey: melhor escolha para contas críticas e maior resistência a phishing.

Eu não deixaria de ativar o segundo fator porque o método perfeito não está disponível. Comece com a melhor opção oferecida, guarde recuperação e melhore depois. Segurança útil é aquela que continua funcionando num dia corrido e também quando seu celular deixa de funcionar.

Cuidado com computadores compartilhados

O segundo fator não compensa uma sessão deixada aberta. Em computador público ou de outra pessoa, evite marcar “confiar neste dispositivo”, saia da conta ao terminar e não salve senha no navegador. Se precisou acessar algo importante, revise depois a lista de aparelhos conectados.

Também não aprove login porque a localização mostrada parece próxima. Serviços podem estimar cidade de forma imprecisa. O que realmente importa é saber se você iniciou aquela tentativa naquele momento.