Existem três formas de fazer autenticação em dois fatores, e elas não valem a mesma coisa: o código que chega por SMS, o código gerado por aplicativo e a chave física. A maioria das pessoas ativa o SMS porque é o que o serviço oferece primeiro, e fica com a sensação de estar resolvida. Está mais protegida do que sem nada, isso é verdade. Só que o SMS é o único dos três que pode ser interceptado sem ninguém encostar no seu celular.
A troca leva cinco minutos por conta e não custa nada. O que segue é a diferença real entre os métodos, a ordem em que ativar e a parte que quase todo mundo pula e depois se arrepende.
Os três métodos, lado a lado
O quadro abaixo resume os três métodos, do mais frágil ao mais forte.
| Método | Segurança | Praticidade | Indicado para |
|---|---|---|---|
| SMS | Baixa | Alta | Último recurso, quando não há outra opção |
| Aplicativo autenticador | Alta | Alta | A escolha padrão para a maioria das contas |
| Chave física | Máxima | Média | Contas críticas: e-mail principal, banco, trabalho |
Todos servem ao mesmo propósito, exigir uma segunda prova além da senha. A diferença está em onde cada um quebra. O SMS depende de um número de telefone, e número é transferível. O aplicativo autenticador gera o código dentro do próprio aparelho, sem depender de operadora nem de internet. A chave física é um objeto que você conecta ou aproxima, e é a única que confere o endereço do site antes de responder. Para a maior parte de quem trabalha em casa, o aplicativo é o ponto de equilíbrio: resolve a falha grave do SMS sem exigir compra nenhuma.
Por que o SMS é o elo fraco
O problema não é o SMS em si, é o fato de o código estar amarrado a um número de telefone. Existe um golpe conhecido no qual o criminoso reúne dados seus que circulam em vazamentos antigos, procura a operadora se passando por você e solicita a transferência da linha para um chip novo. A partir do momento em que a portabilidade acontece, o seu celular perde o sinal e os códigos passam a chegar no aparelho dele. A senha ele já tem, porque veio de vazamento ou de página falsa, e o primeiro alvo costuma ser o e-mail, que redefine a senha de quase todo o resto. É o encadeamento que a Cartilha de Segurança do CERT.br descreve em detalhe, e a razão de o SMS ser o elo mais frágil da corrente.
Uma ressalva importante, porque muita gente exagera na conclusão: SMS ativado continua sendo melhor do que nada. Ele barra o ataque mais comum de todos, que é alguém tentando entrar só com a senha vazada. Não desative o SMS antes de colocar outro método no lugar.
O aplicativo autenticador, sem mistério
O aplicativo gera um código de seis dígitos que muda a cada trinta segundos. Ele não depende de sinal de operadora nem de internet, porque o cálculo acontece dentro do próprio aparelho a partir de uma chave secreta e do relógio. Ativar leva quatro toques: no serviço, escolha autenticação por aplicativo, aponte a câmera para o código na tela, confirme o número de seis dígitos e pronto. Um cuidado prático: se os códigos começarem a ser recusados, quase sempre é o relógio do aparelho desregulado, e ativar a hora automática resolve.
A chave física, para quem precisa do máximo
A chave física é um pequeno dispositivo que você conecta na entrada do aparelho ou aproxima por aproximação. A vantagem que só ela tem é verificar o endereço do site antes de responder, o que a torna imune à página falsa que engana os outros métodos. Vale a compra para quem administra dinheiro de terceiros, guarda dados sensíveis no home office ou já foi alvo de tentativa de invasão. Para a maioria, o aplicativo cobre o essencial, e a chave entra como camada extra nas contas mais críticas.
Os códigos de recuperação, a parte que todo mundo pula
Ao ativar o segundo fator, o serviço mostra uma lista de oito a dez códigos de uso único. Eles existem para um cenário específico: você perdeu, quebrou ou trocou o celular e não consegue mais gerar o código normal. A maioria fecha essa tela sem salvar nada, e o prejuízo só aparece meses depois, no pior momento possível. Sem esses códigos, recuperar a conta passa a depender do suporte do serviço, o que pode levar dias ou simplesmente não acontecer.
Guarde de duas formas ao mesmo tempo: dentro do seu gerenciador de senhas, num campo de anotação, e uma cópia impressa em local físico seguro. E atenção ao erro clássico: não guarde o código de recuperação do seu e-mail dentro do próprio e-mail, porque se você perder o acesso, perde os dois juntos.
A ordem certa de ativar nas suas contas
Fazer tudo num dia só leva ao abandono no meio do caminho. Ative na sequência que segue o valor real de cada conta, não a facilidade: primeiro o e-mail principal, porque é ele que redefine o resto; depois o gerenciador de senhas; em seguida o banco e os meios de pagamento; e por fim as contas de trabalho. Serviços que não guardam dado seu nem meio de pagamento podem esperar e ir sendo ativados conforme você usa cada um. Encaixar essa revisão na rotina de manutenção do home office, junto das checagens periódicas, evita que ela vire projeto eterno.
Onde o segundo fator não é suficiente
Reconhecer os limites evita falsa sensação de segurança. Contra uma página falsa em tempo real, que repassa o que você digita para o site verdadeiro e usa o código antes de expirar, só a chave física resolve, porque ela não responde a domínio falso. A aprovação por cansaço, aquele aviso de “foi você?” disparado dezenas de vezes até você tocar em aprovar, se combate recusando e trocando a senha na hora. E aparelho comprometido torna o segundo fator um detalhe, o que conecta com a higiene do ambiente, incluindo a segurança da sua rede doméstica. Uma regra fecha o assunto sem exceção: nenhuma empresa séria liga pedindo o seu código, e quem pede está aplicando golpe.