Guia de Configuração de Autenticação de Dois Fatores: Proteja as Suas Contas

As palavras-passe sozinhas não são suficientes. Mesmo uma palavra-passe forte e única pode ser comprometida através de phishing, violações de dados ou malware. A autenticação de dois fatores (2FA) adiciona um segundo passo de verificação que torna a apropriação de contas dramaticamente mais difícil. Este guia abrange tudo o que precisa para a configurar corretamente.

O Que É o 2FA?

A autenticação de dois fatores exige dois tipos diferentes de evidência para provar a sua identidade:

Algo que sabe: Palavra-passe
Algo que tem: Telemóvel, chave de segurança ou aplicação de autenticação
Algo que é: Impressão digital, reconhecimento facial

O 2FA padrão combina uma palavra-passe (fator 1) com um código do seu telemóvel ou chave de segurança (fator 2). Mesmo que um atacante roube a sua palavra-passe, não consegue aceder à sua conta sem o segundo fator.

Tipos de 2FA

TOTP (Time-Based One-Time Password) — Recomendado

Uma aplicação de autenticação gera um novo código de 6 dígitos a cada 30 segundos:

Code: 847 293 (expires in 18 seconds)

Como funciona: Durante a configuração, o serviço partilha uma chave secreta com a sua aplicação de autenticação (geralmente via código QR). Tanto o serviço como a sua aplicação utilizam esta chave mais a hora atual para gerar independentemente o mesmo código.

Aplicações: Google Authenticator, Authy, Microsoft Authenticator, 1Password, Bitwarden.

Prós: Funciona offline, não necessita de número de telefone, resistente a SIM swapping. Contras: Perder o telemóvel significa perder o acesso (sem códigos de recuperação).

Chaves de Segurança (WebAuthn/FIDO2) — Mais Seguro

Dispositivos de hardware físicos que autenticam via USB, NFC ou Bluetooth:

Marcas: YubiKey, Google Titan, SoloKeys.

Prós: À prova de phishing (vinculado a domínios específicos), sem códigos para introduzir, funciona instantaneamente. Contras: Dispositivo físico para transportar, custa dinheiro, opções limitadas de recuperação em caso de perda.

Códigos SMS — Evitar Se Possível

Uma mensagem de texto com um código de verificação:

Prós: Não necessita de aplicação, simples de configurar. Contras: Vulnerável a SIM swapping (atacante convence a operadora a transferir o seu número), interceção de SMS, necessita de rede móvel.

Recomendação: Utilize 2FA por SMS apenas se TOTP ou chaves de segurança não estiverem disponíveis. É ainda significativamente melhor do que não ter 2FA.

Notificações Push

O serviço envia um pedido para uma aplicação no seu telemóvel — toque em "Aprovar" para autenticar.

Prós: Conveniente, mostra contexto de início de sessão (localização, dispositivo). Contras: Vulnerável a ataques de "fadiga de push" (atacante aciona muitos pedidos até o utilizador aprovar acidentalmente).

Configurar o TOTP

Passo 1: Instalar uma Aplicação de Autenticação

Escolha uma aplicação que suporte cópia de segurança/sincronização:

Authy: Cópia de segurança na nuvem, sincronização multi-dispositivo
1Password / Bitwarden: Integrado com gestor de palavras-passe
Google Authenticator: Simples, agora suporta cópia de segurança na nuvem

Passo 2: Ativar o 2FA na Sua Conta

Na maioria dos serviços: Definições → Segurança → Autenticação de Dois Fatores → Ativar.

Passo 3: Ler o Código QR

O serviço apresenta um código QR. Leia-o com a sua aplicação de autenticação. A aplicação começa a gerar códigos.

Passo 4: Introduzir o Código de Verificação

Introduza o código de 6 dígitos atual para confirmar a configuração.

Passo 5: Guardar os Códigos de Recuperação

Este é o passo mais crítico. O serviço fornece 8-10 códigos de recuperação de utilização única. Estes são o seu método de recuperação se perder o dispositivo de autenticação.

Guarde os códigos de recuperação em:

O seu gestor de palavras-passe (encriptado)
Uma cópia impressa num local seguro (cofre, cofre bancário)
Nunca num ficheiro de texto não encriptado ou email

Contas Prioritárias para 2FA

Ative o 2FA nestas contas primeiro (por ordem de impacto se comprometidas):

Email — A reposição de palavra-passe de todas as outras contas passa pelo email
Gestor de palavras-passe — Contém todas as suas credenciais
Financeiras — Contas bancárias, investimentos, criptomoedas
Armazenamento na nuvem — Google Drive, Dropbox, iCloud
Redes sociais — Podem ser utilizadas para engenharia social
Contas de programador — GitHub, npm, AWS, registos de domínios
Compras — Amazon, serviços de pagamento (cartões de crédito guardados)

Estratégias de Recuperação

Se Perder o Telemóvel

Utilize um código de recuperação guardado para iniciar sessão
Transfira o autenticador para um novo dispositivo (Authy sincroniza automaticamente)
Contacte o suporte com verificação de identidade (último recurso)

Boas Práticas de Cópia de Segurança

Guardar segredos TOTP: Algumas aplicações permitem exportar códigos QR ou chaves secretas. Guarde-os de forma segura.
Registar múltiplas chaves de segurança: Se utilizar chaves de hardware, registe pelo menos duas. Mantenha uma como cópia de segurança.
Imprimir códigos de recuperação: Cópias físicas sobrevivem a falhas de dispositivos.
Testar a recuperação: Verifique periodicamente que o seu método de cópia de segurança funciona realmente.

Erros Comuns

Não guardar códigos de recuperação: A causa mais comum de bloqueio de 2FA
Utilizar apenas SMS: Vulnerável a SIM swapping — utilize TOTP em vez disso
Mesmo autenticador e gestor de palavras-passe no mesmo dispositivo: Se o dispositivo for comprometido, ambos os fatores também são
Não ativar 2FA no email: O seu email é o mecanismo de recuperação para tudo o resto
Aprovar notificações push sem verificar o contexto: Verifique sempre a localização e o dispositivo de início de sessão antes de aprovar

Para gerar palavras-passe fortes para complementar a sua configuração de 2FA, utilize o nosso Gerador de Palavras-passe.

FAQ

O 2FA pode ser contornado?

O TOTP pode ser contornado por ataques de phishing em tempo real (o atacante encaminha o código antes de expirar) ou malware no dispositivo. As chaves de segurança (WebAuthn) são resistentes ao phishing porque verificam o domínio do sítio web. Nenhum método de 2FA é 100% infalível, mas todos os métodos reduzem dramaticamente a taxa de sucesso dos ataques.

Devo utilizar o TOTP integrado no gestor de palavras-passe?

Guardar códigos TOTP no seu gestor de palavras-passe é conveniente mas coloca ambos os fatores no mesmo local. Para a maioria das pessoas, a conveniência vale a contrapartida — um gestor de palavras-passe com 2FA é muito mais seguro do que contas sem 2FA. Para contas de alto valor, considere uma aplicação de autenticação separada ou chave de segurança de hardware.

Recursos Relacionados

Gerador de Palavras-passe — Gere palavras-passe fortes
Entropia de Palavras-passe Explicada — Compreender a força das palavras-passe
Guia de Ferramentas de Privacidade Online — Proteção abrangente de privacidade