Aprender

O que é 2FA? E como funcionam, de verdade, aqueles códigos de 30 segundos?

Um guia completo em linguagem plana: o que é a verificação em duas etapas, a criptografia por trás dos códigos TOTP de seis dígitos, qual fator ativar em cada conta e como nunca perder o acesso.

Por que as senhas sozinhas falham

Todo login precisa de uma senha, e as senhas têm três problemas estruturais: elas são reutilizadas, são adivinhadas por ataques de credential stuffing sobre bancos de dados vazados e são furtadas de pessoas por phishing. A autenticação de dois fatores (2FA) aceita uma verdade simples — o ser humano é o elo mais fraco — e acrescenta uma segunda coisa, independente, que o atacante também precisa possuir. Com a 2FA, uma senha vazada, por si só, já não basta para entrar na sua conta.

A maioria dos grandes serviços hoje oferece ou exige 2FA: o GitHub a aplica desde 2023, as exchanges de criptomoedas (Binance, Coinbase, Kraken) reforçam-na a cada crise do mercado, e Microsoft, Google e Apple a incorporaram à segurança das contas como padrão.

Os três fatores

Os fatores de autenticação se dividem em três categorias:

Algo que você sabe — senhas, PINs. Baratos de implantar e fáceis de furtar por phishing.
Algo que você tem — um autenticador que produz códigos, uma chave de segurança física ou passkey, um telefone que recebe SMS. É aqui que a 2FA vive.
Algo que você é — impressões digitais, reconhecimento facial. Convenientes, mas registrados no próprio dispositivo, e não o fator remoto principal.

Uma verificação verdadeiramente de dois fatores combina técnicas de duas categorias diferentes. Uma senha mais o padrão de desbloqueio do seu telefone não é 2FA; uma senha mais um código rotativo de autenticador é.

Como funciona o TOTP, passo a passo

Registro. Quando você ativa o recurso em um serviço, ele gera um segredo aleatório e o compartilha com você uma única vez — desenhado como um QR Code ou exibido como uma chave de configuração Base32. Em termos de segurança, esse único momento concentra todo o risco, e é por isso que a chave só deve ser revelada onde você confia nela.
O tempo corre. O horário atual é dividido em “passos” de 30 segundos:step = floor(unixTime / 30). O número 30 não tem nada de especial; a RFC 6238 permite que o serviço aceite 15, 30 ou 60 segundos.
HMAC. O seu autenticador calcula um hash HMAC (SHA-1 na maioria dos serviços, às vezes SHA-256/512) sobre o valor do passo, usando o segredo como chave. O HMAC é uma construção de mão única: ver o resultado não revela nada sobre o segredo.
Extração dos dígitos. Quatro bytes da saída do HMAC são selecionados pelo último nibble, o bit mais significativo é zerado e o resultado módulo 10ⁿ vira o seu código — geralmente n = 6, ocasionalmente 7 ou 8.
Janela de verificação. O servidor recalcula o mesmo valor para o passo atual e o anterior (para tolerar pequenas diferenças de relógio). Prova coincidente, login aceito.

Tudo o que está acima roda em microssegundos, inteiramente no dispositivo. É por isso que uma ferramenta do lado do cliente como a 2FA COUNTERexecuta todo o trabalho localmente — carregue a página, desconecte da internet e os códigos continuam saindo a cada 30 segundos, para sempre.

O segredo e o QR Code

A string Base32 não é um formato intermediário qualquer — são os bytes puros do segredo codificados em um alfabeto amigável para telefones (A–Z mais 2–7, excluindo de propósito 0/1, que se confundem facilmente, e seguro em qualquer teclado). Quando uma plataforma oferece “não consegue escanear?”, a string resultante contém o mesmo material privado que o QR codifica. Você pode guardar qualquer uma das formas; a semântica é idêntica:

otpauth://totp/GitHub:you%40example.com?secret=JBSWY3DPEHPK3PXP&issuer=GitHub
otpauth://totp/Binance:me?secret=JBSWY3DPEHPK3PXP&digits=6&period=30&algorithm=SHA1
otpauth://hotp/Steam:sda?secret=...&counter=5   ← variante baseada em contador (HOTP)

Um gerador moderno respeita cada parâmetro: quantidade de dígitos, período, algoritmo de hash e contador do HOTP — porque um serviço que exige SHA-256 segue rejeitando um código no padrão SHA-1. Uma chave Base32 pura usa 6 dígitos, 30 s e SHA-1 por padrão, que é o que a maioria dos serviços utiliza.

TOTP vs. SMS vs. chaves físicas

Códigos por SMS viajam pela rede de telecomunicações. Ataques de troca de SIM permitem a um adversário sequestrar o seu número de telefone e receber todos os códigos. O SMS está descartado para autenticação pelas normas dos EUA (NIST SP 800-63B).
TOTP nunca transmite nada — o código é calculado localmente e expira em 30 segundos. Gratuito, baseado em normas e aceito em toda parte. Elo mais fraco: pode ser furtado por phishing dentro da sua janela de validade.
Chaves físicas e passkeys (WebAuthn/FIDO2) são vinculadas criptograficamente ao domínio exato, então páginas falsas parecidas falham automaticamente. A opção mais forte; tem suporte menos difundido e custa uma chave.

A escada prática: use SMS apenas se for inevitável, TOTP por padrão, chaves físicas ou passkeys para as contas que mais importam.

Aprofundamentos sobre essas escolhas: TOTP vs. passkeys — qual fator cabe em qual lugar, como os ataques de troca de SIM derrotam os códigos por SMS e o que a sincronização na nuvem faz com as suas chaves secretas.

O que a 2FA não resolve

A verificação em duas etapas resolve o roubo de senha. Ela não impede o furto de cookies de sessão (malware já rodando na sua máquina), extensões de navegador com permissões excessivamente amplas, um e-mail de recuperação do qual você perdeu o controle ou a engenharia social em que um atacante pressiona você a ler um código novo dentro da sua janela de 30 segundos. Mantenha os seus navegadores atualizados, elimine extensões sem piedade e trate qualquer pedido urgente de um código como o sinal de alerta que ele é.

Como nunca perder o acesso

Salve os códigos de backup. Todo serviço exibe um conjunto de códigos de recuperação de uso único quando você ativa a 2FA. Imprima-os ou guarde-os criptografados e offline.
Guarde o segredo, não só a ferramenta. A chave Base32 no cofre do seu gerenciador de senhas permite gerar os códigos novamente com qualquer autenticador — um aplicativo de telefone, ou o gerador no navegador — no dispositivo que você realmente tiver no dia.
Registre dois dispositivos, não um. Uma chave pode viver com segurança em dois dispositivos de confiança ao mesmo tempo. O TOTP é determinístico: mesmo segredo, mesmos códigos.
Fique de olho no relógio. Se os códigos falham com frequência, corrija primeiro a sincronização de hora do dispositivo — é a causa mais comum de erros de “código inválido”, e nenhuma ferramenta contorna isso.

FAQ

O que é 2FA?

A 2FA (autenticação de dois fatores) significa provar quem você é com dois tipos diferentes de evidência: algo que você sabe (a sua senha) mais algo que você tem (um código que muda a cada 30 segundos, uma chave de segurança física ou o seu telefone). Uma senha sozinha pode vazar ou ser adivinhada; o segundo fator torna uma senha vazada inútil por si só.

Por que a 2FA é tão importante?

Porque as senhas continuam falhando. Bilhões de senhas reais já são públicas por causa de vazamentos, e atacantes as usam para entrar nas contas de outras pessoas dia e noite (credential stuffing). A Microsoft informa que a 2FA bloqueia mais de 99,9% dos ataques automatizados de tomada de conta — ela protege o seu e-mail, banco, redes sociais, jogos e cripto exatamente contra as ameaças que realmente acontecem.

Para que serve a 2FA?

Ela protege qualquer login que alguém possa querer invadir: e-mail e suites de nuvem (Google, Microsoft, Apple), bancos e finanças, exchanges de criptomoedas (Binance, Coinbase, Kraken), plataformas de desenvolvimento (GitHub, AWS), jogos (Steam, Discord, Twitch) e redes sociais (X, Instagram). Empresas também a usam para VPNs, e-mail e consoles administrativos. Onde quer que um serviço ofereça a opção “aplicativo autenticador”, a 2FA é a ferramenta certa.

Como funciona a 2FA?

Depois de você digitar a senha, o serviço pede uma segunda prova. Com o método mais comum (TOTP), o seu autenticador deriva um código de 6 dígitos a partir de um segredo compartilhado e do horário atual (a norma RFC 6238), enquanto o servidor executa o cálculo idêntico e compara os resultados. O código é renovado a cada 30 segundos e nunca pode ser reutilizado, então um atacante que tenha apenas a sua senha ainda assim não consegue entrar.

Como um código TOTP é gerado?

O site entrega a você uma chave secreta (normalmente como um QR Code ou uma string Base32). O seu autenticador calcula o HMAC (com SHA-1, SHA-256 ou SHA-512) sobre a janela de tempo atual de 30 segundos usando o segredo e, do resultado, extrai 6 dígitos. O site executa o cálculo idêntico e compara. Nenhuma rede é necessária, porque os dois lados já compartilham o segredo.

Como obter a 2FA?

Você ativa a 2FA na conta que quer proteger: abra as configurações dela, procure “Segurança” ou “Login e segurança” e localize “Autenticação de dois fatores” ou “Verificação em duas etapas”. Escolha a opção de aplicativo autenticador, escaneie o QR Code (ou revele a chave de configuração) e digite o código exibido no seu autenticador para confirmar. O nosso passo a passo completo mostra como obter um código sem telefone: /pt/how-to-get-2fa-code/.

Como ativar a 2FA?

Quatro passos: 1) Abra as configurações de conta ou de segurança do serviço e selecione “Autenticação de dois fatores”. 2) Escolha “Usar um aplicativo autenticador” (evite SMS quando puder). 3) Escaneie o QR Code com o seu autenticador — ou clique em “não consegue escanear?” e salve a chave de configuração. 4) Digite o código ao vivo para concluir e, em seguida, baixe ou imprima os códigos de backup/recuperação que o serviço exibir. Publicamos guias de configuração por serviço para Google, GitHub, Discord, Binance e outros em /guides/.

Quão forte é a 2FA?

Depende de qual segundo fator você usa. Os códigos por SMS são os mais fracos — ataques de troca de SIM podem sequestrar um número de telefone e interceptá-los. Os códigos de autenticadores TOTP (os de 30 segundos) são computacionalmente fortes: um atacante offline não consegue derivá-los, e os códigos ao vivo expiram em segundos. Chaves de segurança físicas e passkeys são as mais fortes, porque resistem a phishing e são vinculadas criptograficamente ao site verdadeiro.

A 2FA é 100% segura?

Nenhum controle de segurança é 100% seguro, e guias honestos de 2FA admitem isso. A 2FA derrota senhas roubadas, mas o próprio código ainda pode ser capturado por phishing se você digitar um código ao vivo em um site falso dentro da janela de 30 segundos; malware já rodando no seu dispositivo pode furtar sessões; e, se o SMS for o seu segundo fator, a troca de SIM é uma ameaça real. Dito isso, ativar a 2FA torna você dramaticamente mais difícil de atacar do que contas protegidas apenas por senha.

A 2FA é obrigatória?

Não por lei, mas cada vez mais serviços a tornam obrigatória: o GitHub exige de colaboradores de código desde 2023, muitos bancos e exchanges de criptomoedas forçam a ativação, e empregadores costumam exigi-la para logins de trabalho. Nos demais casos, é opcional, mas fortemente recomendada. Na prática, trate a 2FA como obrigatória nas suas contas mais valiosas: o e-mail primeiro, porque uma caixa de entrada sequestrada permite redefinir tudo o mais.

Por que tudo usa 2FA agora?

Porque a era da senha pura falhou. Vazamentos em massa expuseram bilhões de credenciais, os ataques de credential stuffing se tornaram automatizados e baratos, e as plataformas passaram a arcar com o custo das contas sequestradas. Os reguladores também entraram em cena: o NIST descartou a autenticação por SMS nas normas dos EUA, e as regras PSD2 da UE exigem autenticação forte do cliente. Depois que alguns gigantes normalizaram a 2FA, todos os demais serviços seguiram o exemplo.

Qual é a diferença entre TOTP, HOTP e OTP?

OTP significa apenas “senha de uso único”. O TOTP (OTP baseado em tempo, RFC 6238) deriva o código do horário atual, por isso ele muda a cada 30 segundos. O HOTP (RFC 4226) é baseado em contador: cada código é usado uma vez e o contador avança. Praticamente todo serviço com “aplicativo autenticador” — Google, Microsoft, Discord, GitHub — usa TOTP.

Por que o TOTP é melhor que a 2FA por SMS?

Os códigos por SMS trafegam pela rede telefônica, onde podem ser interceptados ou furtados por ataques de troca de SIM — e a entrega de SMS simplesmente pode falhar. Os códigos TOTP são calculados no seu dispositivo, nunca transmitidos e expiram em segundos. Órgãos de segurança, incluindo o NIST, descartaram o SMS para autenticação.

Um site de phishing pode roubar códigos TOTP?

Sim — se você digitar um código novo em uma página falsa dentro da sua janela de validade de 30 segundos, o atacante obtém um login funcional. É por isso que os fatores resistentes a phishing (chaves de segurança físicas e passkeys, vinculadas criptograficamente ao domínio verdadeiro) são a opção mais forte onde estiverem disponíveis. O TOTP supera o SMS e as senhas, não as chaves físicas.

Onde devo guardar a minha chave secreta de 2FA?

No cofre de um gerenciador de senhas criptografado, como a sua cópia mestre. Assim você pode gerar os códigos novamente em qualquer dispositivo de confiança — inclusive em um navegador, com uma ferramenta como a 2facounter.com — se o seu telefone ficar indisponível. Guarde também os códigos de backup/recuperação que todo serviço exibe quando você ativa a 2FA; eles são o seu verdadeiro airbag.