Verificação em duas etapas: comparação entre SMS, app e passkey

Verificação em duas etapas significa que, para fazer login, é preciso uma segunda prova além da sua senha. Mas "verificação em duas etapas" não é um único método: códigos por SMS, apps autenticadores e chaves de segurança ou passkeys oferecem níveis de segurança e comodidade bem diferentes. Neste artigo, comparamos os métodos de verificação em duas etapas e explicamos qual faz sentido para cada conta.

Por que a verificação em duas etapas é importante?

Senhas podem ser expostas por vazamentos de dados, páginas de phishing ou pelo reúso em vários sites. Uma segunda etapa dificulta abrir sua conta apenas com uma senha roubada. Por isso, qualquer verificação em duas etapas é melhor do que nenhuma. A pergunta real não é "devo ativar?", e sim "qual método devo escolher?".

Ao avaliar um método, observe três coisas: quão bem ele resiste a falsificação de identidade e phishing, quão fácil é de usar no dia a dia e como você recupera o acesso à conta se perder o celular.

Método 1: códigos por SMS

Um código de seis dígitos chega ao número do seu celular e você o digita. É o método mais fácil de configurar, não precisa de app extra, e todo mundo entende como funciona.

Prós: muito simples de configurar, disponível em quase todos os serviços, não exige conhecimento técnico.

Contras: a segurança depende de quem controla o seu número. Transferir o número para outro chip na operadora (uma troca de SIM, ou SIM swap), mensagens que tentam pescar códigos e ser convencido a ler um código para outra pessoa são os principais riscos. Você também pode deixar de receber códigos no exterior ou sem sinal.

O SMS é muito melhor do que nada e, às vezes, é a única opção. Mas não deve ser a sua primeira escolha para contas valiosas.

Método 2: apps autenticadores (TOTP)

Um app no seu celular gera códigos de curta duração que mudam a cada 30 segundos. Os códigos são produzidos no seu dispositivo, então não é preciso SMS nem conexão com a rede.

Prós: mesmo que alguém assuma o controle do seu número de telefone, os códigos não chegam ao invasor. Funciona offline. Muitos serviços oferecem suporte.

Contras: se o celular for perdido ou redefinido, o acesso aos códigos vai junto, por isso códigos de backup ou o recurso de backup do app são essenciais. Se você digitar um código em uma página de login falsa, ainda há risco, então ele não é totalmente imune a phishing.

Para a maioria das pessoas, esse é o melhor equilíbrio entre segurança e comodidade.

Método 3: chaves de segurança e passkeys

Uma chave de segurança (um dispositivo físico que funciona por USB ou NFC) e uma passkey (uma credencial guardada no seu celular, computador ou gerenciador de senhas e desbloqueada com impressão digital ou rosto) pertencem à mesma família. Você não digita código; o dispositivo se comunica com o endereço real em que você está entrando.

Prós: é o método mais resistente a phishing, porque não funciona em um site falso. Sem código para digitar, é rápido e confortável.

Contras: nem todo serviço oferece suporte. Se você perder a chave física ou o acesso à conta onde a sua passkey está guardada, precisará de um plano de recuperação. Uma chave física tem custo, e é recomendável comprar uma reserva.

Tabela comparativa

| Método | Resistência a phishing | Risco de troca de SIM | Comodidade | Se você perder o dispositivo |
|---|---|---|---|---|
| Código por SMS | Baixa | Sim | Muito alta | Recuperável ao recuperar o número |
| App autenticador | Média | Não | Alta | Precisa de códigos de backup ou backup do app |
| Chave de segurança | Muito alta | Não | Média-alta | Uma chave reserva é essencial |
| Passkey | Muito alta | Não | Muito alta | Depende da conta com a qual ela sincroniza |

As avaliações mostram tendências gerais; os detalhes de implementação podem variar de um serviço para outro.

Qual método para qual conta?

• E-mail, banco, cripto, gerenciador de senhas: uma passkey ou chave de segurança, se possível; caso contrário, um app autenticador. Seu e-mail é a chave de recuperação de todo o resto, por isso deve ser sua conta mais bem protegida.
• Redes sociais e mensagens: um app autenticador ou passkey. SMS apenas quando nenhuma outra opção for oferecida.
• Compras, assinaturas, jogos: um app autenticador basta; use uma passkey se ela for oferecida.
• Contas descartáveis ou pontuais: SMS é aceitável, desde que você não reutilize a mesma senha em outros lugares.

Se uma conta permitir cadastrar mais de um método, defina um como principal e outro como backup.

Números virtuais e verificação em duas etapas

Números virtuais de uso único usados para receber códigos de verificação não dão propriedade permanente. Isso torna o número inadequado como base da verificação em duas etapas por SMS da sua conta, porque você não poderá reutilizá-lo depois. Se abriu uma conta com um número virtual, adicione um app autenticador ou uma passkey logo após a configuração e defina um e-mail de recuperação.

Algumas plataformas podem não aceitar números virtuais; nesse caso, respeite os termos do serviço. Se um código não chegar, leia por que o seu código SMS não está chegando. Para serviços e países atuais, veja a página de preços.

Um checklist curto de configuração

1. Ative primeiro o método mais forte no seu e-mail.
2. Depois, ative-o no banco, nas redes sociais e no gerenciador de senhas.
3. Cadastre pelo menos um método de backup para cada conta.
4. Guarde os códigos de backup offline, em local seguro; não deixe uma captura de tela na nuvem.
5. Ao trocar de celular, não apague o antigo até ter certeza de que o app autenticador foi transferido para o novo aparelho.
6. Verifique de vez em quando as listas de "dispositivos confiáveis" e "sessões ativas" nas configurações da sua conta.

Erros comuns

Mesmo um bom método pode ser enfraquecido por alguns hábitos:

• Não ter plano de backup: ficar sem acesso à conta para sempre depois de perder o celular é o problema mais comum.
• Deixar os códigos de backup como captura de tela na nuvem: se a conta for invadida, os códigos vão junto.
• Passar um código para outra pessoa: qualquer que seja o método, compartilhar um código elimina a proteção.
• Usar a mesma senha em todo lugar: a segunda etapa ajuda, mas não substitui bons hábitos com senhas.
• Dizer "sim" a pedidos de aprovação por hábito: nunca aceite uma notificação de aprovação que chegue quando você não fez login.

Perguntas frequentes

A verificação em duas etapas por SMS nunca deve ser usada?

Não. O SMS é muito mais seguro do que não ter uma segunda etapa. Ative-o quando for a única opção e migre para um método mais forte quando ele estiver disponível.

Uma passkey substitui a senha?

Em muitos serviços, a passkey permite entrar no lugar da senha e também funciona como segunda etapa. Dependendo do serviço, a senha pode continuar existindo ao lado dela, então verifique as configurações.

Como entro na minha conta se perder o celular?

Com os códigos de backup salvos anteriormente, um segundo dispositivo cadastrado ou uma chave de segurança reserva. Preparar isso durante a configuração é o passo mais importante.

Um app autenticador e o SMS podem ficar ativos juntos?

Na maioria dos serviços, sim. Mas, enquanto a opção de SMS estiver ativa, invasores podem tentar esse caminho; por isso, se puder, deixe o SMS apenas como último recurso.