Ativar a verificação em duas etapas

Por que vale a pena

Uma senha pode ser vista por cima do seu ombro, adivinhada a partir de um vazamento em outro site ou arrancada de você por uma mensagem parecida com as nossas. Tudo isso acontece também com pessoas cuidadosas e atentas — só que com menos frequência.

Um código do app vale por trinta segundos e nunca é transmitido: o app e o servidor o calculam, cada um por conta própria, a partir de um segredo compartilhado. Saber a sua senha deixa de ser suficiente — a pessoa também precisa ter o seu celular na mão.

Qual app instalar

Serve qualquer app que siga o padrão TOTP; existem dezenas, e eles são intercambiáveis. Os que já testamos:

1. Google Authenticator — simples, nas duas plataformas.
2. Microsoft Authenticator — consegue fazer backup na nuvem.
3. Aegis (Android) e Raivo (iOS) — de código aberto, guardam os códigos criptografados.
4. 2FAS — de código aberto, com backup e uma extensão para o navegador.
5. Bitwarden e 1Password — se você já guarda suas senhas em um deles, não precisa de mais nada.

Como ativar

1. Entre em Minha conta e abra a seção Segurança.
2. Clique em “Ativar a verificação” — aparece um código quadrado.
3. No app, escolha adicionar uma conta e aponte a câmera para o código. Sem câmera? Digite à mão a chave de trinta e dois caracteres.
4. O app mostra um número de seis dígitos — digite-o no campo da página. Ele muda a cada meio minuto; se não der tempo, espere o próximo.
5. Salve os códigos de backup que a página mostra em seguida. É a única vez em que eles ficam visíveis.

Códigos de backup: onde guardar

São oito códigos de uso único. Cada um funciona exatamente uma vez e substitui um código do app. Eles são o único jeito de voltar a entrar se o celular cair na água, quebrar ou ficar esquecido num táxi.

Bons lugares: impressos e guardados junto com seus documentos; anotados em um caderno de papel; salvos em um gerenciador de senhas — mas não no mesmo celular em que está o app.

Lugares ruins: uma captura de tela na galeria do celular, uma nota dentro desta mesma caixa de e-mail, um arquivo chamado “códigos” na área de trabalho.

O que muda depois

Entrar no site e no webmail passará a pedir um código. Já o seu aplicativo de e-mail no celular ou no computador vai deixar de conectar com a senha comum: o IMAP e o SMTP não têm como pedir uma segunda etapa.

Para eles, você cria uma senha de app separada — há um guia curto só sobre isso, e sem ela o e-mail no seu celular fica em silêncio.

Se você perdeu o celular e os códigos

Resta a recuperação de acesso pelo formulário de contato. Não é rápida: precisamos ter certeza de que a caixa de e-mail é sua, e perguntamos coisas que só o titular saberia. Enquanto a verificação acontece, a caixa continua funcionando, mas você não consegue entrar nela.

Por isso vale a pena salvar os códigos de backup antes de precisar deles, e não depois.