Como obter o seu código 2FA

O que você precisa antes de começar

Acesso à conta, evidentemente — você já deve estar com a sessão iniciada no serviço que quer proteger. Além disso, duas coisas importam. Primeiro, o serviço precisa oferecer a opção de aplicativo autenticador como segundo fator; isso cobre Google, Microsoft, GitHub, Discord, Steam, AWS, Coinbase, Kraken, Binance, X e a maior parte dos bancos e exchanges. Segundo, você precisa de um lugar para executar o autenticador: um aplicativo de telefone, ou — o propósito deste site — esta ferramenta no navegador, que calcula exatamente os mesmos códigos sem instalar nada.

Uma nota sobre nomes: os serviços chamam esse segundo fator de “autenticação de dois fatores”, “2FA”, “verificação em duas etapas”, “TOTP” ou “aplicativo autenticador”. Por trás dos rótulos é a mesma coisa — um código de uso único baseado em tempo, derivado de um segredo compartilhado. Se você quer o mecanismo explicado, e não apenas usado, leia O que é 2FA? Como funciona o TOTP.

Passo 1: ative a 2FA e revele a chave de configuração

Abra as configurações de segurança da sua conta e localize a seção de autenticação de dois fatores. Escolha a opção aplicativo autenticador. O serviço exibe um QR Code para você escanear com um telefone — e essa tela quase sempre traz uma alternativa: um link com o texto “não consegue escanear?”, “digitar o código manualmente” ou “chave de configuração”. Seguindo esse link, revela-se o segredo em si: uma string Base32 como JBSWY3DPEHPK3PXP, ocasionalmente embalada em um URI otpauth:// completo que também carrega o rótulo da conta, a quantidade de dígitos, o período de renovação e o algoritmo de hash.

Essa chave é a credencial — é o equivalente portátil da sua senha para o segundo fator. Trate a tela como uma tela de recuperação: ninguém legítimo jamais vai pedir que você cole uma chave de configuração em um e-mail ou chat. Copie-a, conclua a ativação da 2FA (a maioria dos serviços pede um código funcional para confirmar) e guarde o original em algum lugar criptografado, como um gerenciador de senhas.

Passo 2: cole a chave no gerador

No gerador no topo da nossa página inicial, cole o que você copiou — a string Base32 pura ou o link otpauth:// completo, ambos funcionam. Um código de 6 dígitos ao vivo aparece em segundos e se renova a cada 30 segundos. Você também pode importar a chave a partir de uma imagem: cole uma captura de tela do QR Code diretamente na página com Ctrl+V, arraste um arquivo de imagem até ela ou escaneie o QR Code com a câmera — a decodificação acontece localmente, e nada é enviado. Se o serviço usar uma configuração fora do padrão (códigos de 8 dígitos, períodos de 15/30/60 segundos, SHA-256 ou HOTP baseado em contador), um URI otpauth:// completo carrega todos esses parâmetros e o gerador os respeita automaticamente.

Passo 3: copie o código ao vivo e conclua o login

Digite o código atual na verificação antes de ele se renovar. Cada código é válido por uma janela de 30 segundos (menor ou maior em serviços com períodos personalizados), então, se o contador estiver nos últimos segundos, espere o próximo código em vez de se apressar com um vencido. De agora em diante, todo login nesse serviço repete o mesmo ciclo: abrir o gerador → copiar o código → colar. A última chave é lembrada apenas no armazenamento local do seu próprio navegador, então a próxima visita fica a um clique de distância.

Onde encontrar a chave de configuração nos serviços populares

Cada serviço esconde a opção de autenticador em um lugar um pouco diferente, então publicamos guias de configuração passo a passo que combinam com este gerador — terminando com você colando a chave aqui e concluindo a configuração. Os mais pedidos: Google, Microsoft, Discord, GitHub, Steam, AWS, Coinbase, Kraken e Binance.

Solução de problemas: o que fazer quando não funciona

O código é rejeitado. Na prática, isso quase sempre é desvio de relógio no dispositivo que roda o gerador. O TOTP compara o seu código com um código derivado do relógio do serviço; se a hora do sistema estiver atrasada ou adiantada até mesmo meio minuto, os dois divergem. Configure o sistema operacional para sincronizar a hora automaticamente (Windows: “Sincronizar agora” nas configurações de data e hora; macOS: “Definir data e hora automaticamente”) e tente o próximo código.

O QR Code não escaneia. Use o link “não consegue escanear?”para revelar a chave de configuração em texto — a chave em texto é sempre mais confiável do que fotografar uma tela. Se você tiver apenas uma captura de tela, recorte-a ao redor do QR Code; imagens muito comprimidas ou em ângulo costumam falhar na decodificação.

Você perdeu o telefone em que estava a chave. Essa é exatamente a situação para a qual esta ferramenta foi criada: se você guardou o segredo original no seu gerenciador de senhas — ou colou-o aqui enquanto o telefone ainda funcionava —, é possível gerar os códigos novamente em qualquer computador. Sem telefone, sem restauração, sem chamado de suporte.

Dois hábitos que valem a pena

Salve os códigos de recuperação do serviço offline quando ativar a 2FA; eles são o plano B caso você perca o dispositivo que guarda o segredo. E nunca trate um código 2FA ao vivo como algo para compartilhar: nenhum agente de suporte, banco ou exchange precisa do seu código atual sem que você o tenha solicitado. Um código só é útil dentro da sua janela de 30 segundos, na tela de login que você escolheu.