Por que uma senha não é suficiente
Uma senha forte ainda pode ser roubada. Uma página de login falsa pode capturá-la, e uma violação de dados pode expor uma senha que você reutilizou em outro lugar. Os invasores podem então tentar essa senha em outras contas. A autenticação de dois fatores coloca outra verificação entre uma senha roubada e a sua conta. O Centro Nacional de Cibersegurança do Reino Unido (NCSC) recomenda ativar a verificação em duas etapas em contas importantes, mesmo quando elas têm senhas fortes.
Comece pelo seu e-mail principal: ele frequentemente recebe links de redefinição de senha para suas outras contas. Em seguida, proteja contas financeiras, ferramentas de trabalho, armazenamento em nuvem e contas em redes sociais. A invasão de uma conta pode expor documentos privados, interromper seu trabalho ou permitir que alguém entre em contato com amigos e clientes em seu nome.
Como funcionam os códigos de verificação de dois fatores
A autenticação de dois fatores combina dois tipos diferentes de prova. Com uma senha e um código de verificação, estes são algo que você conhece — sua senha — e algo que você tem — o acesso ao autenticador que guarda a chave secreta da sua conta. A autenticação multifator (MFA) é o termo mais abrangente para o uso de mais de um fator.
Uma senha de uso único baseada em tempo, ou TOTP, é um código de curta duração calculado a partir de uma chave de configuração secreta e da hora atual. Quando você ativa a 2FA baseada em autenticador, o serviço fornece essa chave, geralmente em um QR code. O Sign In a utiliza para gerar códigos localmente; o serviço usa a própria cópia para verificá-los. Os códigos costumam mudar a cada 30 segundos, conforme descrito na especificação TOTP, RFC 6238.
A chave de configuração é mais importante do que um código isolado: alguém que a copie pode gerar códigos futuros. Mantenha as chaves de configuração e os QR codes em sigilo. Não os envie em mensagens de suporte, não compartilhe capturas de tela deles nem os cole em um chat.
Por que escolher o Sign In para seus códigos 2FA?
Para quem usa o iPhone no dia a dia, acreditamos que a abordagem mais segura para armazenar chaves secretas de autenticação começa por mantê-las sob o seu controle. Criamos o Sign In, nosso aplicativo autenticador, em torno desse princípio: geração local de códigos, nenhuma chave secreta de autenticação em nossos servidores e sincronização segura somente se você quiser.
- Seus códigos são gerados no seu dispositivo. Uma vez que uma conta é configurada, o Sign In pode gerar seus códigos sem conexão com a internet.
- Não guardamos seus dados de autenticação nos nossos servidores. Suas chaves de configuração, rótulos de conta e códigos gerados não são enviados para os servidores do Sign In nem armazenados neles. Não mantemos em nossos servidores um conjunto de chaves secretas de autenticação que um invasor possa roubar.
- Nenhuma conta Sign In é necessária. Você pode usar o aplicativo sem criar outra conta.
- O backup é uma escolha sua. Mantenha suas contas cadastradas no app em seus dispositivos ou ative a sincronização por meio das Chaves do iCloud da sua conta.
A vantagem para a segurança é clara: há menos lugares que guardam suas chaves secretas de autenticação. A segurança do seu dispositivo e a segurança dos serviços que você usa ainda importam. Cada serviço retém as informações necessárias para verificar seus próprios códigos. Nossa Política de Privacidade explica o armazenamento e o tratamento de dados do Sign In, incluindo solicitações opcionais de logotipos de serviços.
Sincronização segura opcional com as Chaves do iCloud da Apple
Se você quiser que suas contas cadastradas no app estejam disponíveis em mais de um dispositivo, ative o backup opcional das contas do Sign In. Ele usa as Chaves do iCloud da sua conta, o sistema seguro de sincronização de chaves da Apple, para mantê-las sincronizadas em seus dispositivos iOS conectados à mesma Conta Apple. O Sign In não envia uma cópia para os nossos próprios servidores.
A Apple documenta que senhas e dados das Chaves do iCloud são criptografados de ponta a ponta, inclusive sob a proteção de dados padrão do iCloud. Você não precisa da Proteção de Dados Avançada para essa proteção das Chaves do iCloud. A Apple também afirma que não pode ler as suas Chaves do iCloud.
A sincronização transfere as chaves secretas protegidas das contas necessárias para gerar códigos; cada dispositivo calcula os códigos válidos naquele momento. Isso oferece a conveniência de usar vários dispositivos sem entregar suas chaves secretas aos servidores do Sign In.
| Local | O que acontece lá |
|---|---|
| Seus dispositivos | Suas contas cadastradas no app são armazenadas aqui e os códigos são gerados localmente. |
| Suas Chaves do iCloud | Quando você ativa o backup das contas, suas contas cadastradas no app são sincronizadas usando a criptografia de ponta a ponta da Apple. |
| Os servidores do Sign In | Não armazenamos suas chaves secretas de autenticação, rótulos de conta ou códigos gerados. |
Você pode desativar o backup das contas a qualquer momento. Desativá-lo não exclui necessariamente uma cópia sincronizada existente; gerencie as cópias armazenadas separadamente por meio do aplicativo aplicável e dos ajustes do iCloud. A disponibilidade da sincronização e a recuperação dependem dos serviços da Apple e dos ajustes da sua conta.
Códigos de verificação, chaves de acesso ou SMS?
Escolha um método compatível com o serviço e entenda o que ele protege:
- Códigos de verificação: O Sign In é a nossa escolha recomendada quando um serviço oferece suporte a TOTP. Os códigos funcionam offline e não dependem de recebimento de SMS ou controle do seu número de celular.
- Chaves de acesso e chaves de segurança FIDO: Elas fornecem um login resistente a phishing ao vincular a autenticação ao serviço real. Use-as quando o serviço oferecer suporte, especialmente para contas sensíveis. A FIDO Alliance explica como as chaves de acesso funcionam.
- SMS ou mensagens de texto: Uma etapa extra útil quando opções mais seguras não estão disponíveis, mas a tomada de controle de números de celular e a interceptação de mensagens criam riscos que os códigos gerados localmente evitam.
A 2FA baseada em códigos ainda pode ser alvo de phishing: um site falso pode pedir sua senha e seu código atual, e então usar ambos imediatamente. As diretrizes de autenticação do NIST distinguem códigos de uso único de métodos resistentes a phishing e descrevem riscos de redes telefônicas. Digite códigos apenas no site ou app legítimo do serviço em que você quer fazer login e nunca informe um código a alguém que ligue sem que você espere.
Proteja sua primeira conta com o Sign In
- Abra os ajustes de segurança do serviço. Encontre as configurações de autenticação de dois fatores ou verificação em duas etapas e escolha a opção de aplicativo autenticador, se oferecida.
- Adicione a chave de configuração do serviço ao Sign In. Para um QR code exibido em outra tela, use Add → Scan QR Code. No próprio celular, use a chave de configuração manual do serviço com Add → Enter Setup Key e, em seguida, Add Account.
- Conclua no site ou aplicativo do serviço. Digite um código atual do Sign In e confirme que a 2FA está ativada. Adicionar uma conta ao Sign In por si só não conclui a configuração do serviço.
- Salve os códigos de recuperação do serviço. Guarde-os em um lugar seguro que você possa acessar caso seu celular não esteja disponível.
Para ver o passo a passo de cada serviço, comece com nosso guia de 2FA do Google, guia de 2FA do Instagram ou navegue por todos os guias de configuração. Se você precisar de um autenticador para iPhone, baixe o Sign In na App Store.
Prepare-se para a perda do celular
A sincronização opcional das Chaves do iCloud pode ajudar você a manter o acesso em seus dispositivos, mas não substitui os métodos de recuperação fornecidos por cada serviço. Mantenha os códigos de recuperação separados da conta que eles desbloqueiam e verifique se você pode acessá-los sem o celular perdido.
Proteja seus dispositivos com um código de acesso forte, mantenha o software deles atualizado e mantenha suas opções de recuperação da Conta Apple atualizadas. Antes de apagar um celular antigo, verifique se suas contas e códigos funcionam no novo. Como não guardamos suas chaves secretas em nossos servidores, não podemos recuperá-las nem restaurar seu backup pessoal do iCloud para você.
Perguntas frequentes sobre a 2FA e o Sign In
Eu ainda preciso da 2FA com uma senha forte e única?
Sim, quando você faz login com uma senha e o serviço oferece 2FA. Usar uma senha diferente em cada conta impede que um vazamento coloque outras contas em risco, enquanto a 2FA adiciona uma verificação separada caso essa senha seja roubada. As chaves de acesso oferecem uma maneira diferente e resistente a phishing para fazer login onde estiverem disponíveis.
O Sign In armazena meus códigos 2FA?
O Sign In gera códigos localmente a partir de chaves secretas de autenticação armazenadas em seus dispositivos. Nós não armazenamos essas chaves secretas, seus rótulos de conta ou os códigos gerados em nossos servidores. Se você ativar o backup das contas, suas contas cadastradas no app também serão sincronizadas através das Chaves do iCloud da sua conta.
Posso usar o Sign In sem a sincronização do iCloud?
Sim. O backup das contas cadastradas no app é opcional. Você pode gerar códigos no seu dispositivo sem ativá-lo. Salve os códigos de recuperação dos serviços para ter outra forma de entrar caso esse dispositivo seja perdido.
Os códigos de verificação funcionam sem acesso à internet?
Sim. Após a configuração, o Sign In gera códigos TOTP usando a chave secreta armazenada e o relógio do seu dispositivo. O site ou serviço no qual você está fazendo login geralmente ainda precisa de uma conexão com a internet. Mantenha a data e a hora do dispositivo corretas.
Fontes e leituras adicionais
Este guia baseia-se em orientações do NCSC sobre verificação em duas etapas, RFC 6238 sobre TOTP, diretrizes de autenticação do NIST e visão geral de chaves de acesso da FIDO Alliance. A Apple descreve sua criptografia na visão geral de segurança de dados do iCloud e no aviso de privacidade das Chaves do iCloud. As práticas de tratamento de dados do Sign In são descritas em nossa Política de Privacidade.