O que é autenticação de dois fatores? Um guia simples

A autenticação de dois fatores (2FA) é um login que pede dois tipos diferentes de prova de que você é quem diz ser — normalmente algo que você sabe, como uma senha, mais algo que você tem, como seu celular ou uma chave de segurança. Se um criminoso roubar ou adivinhar sua senha, ele ainda não consegue entrar sem o segundo fator. É uma das formas mais simples de proteger contas que importam.

Por que isso importa ao criar com IA

Quando você pede a um criador com IA um “login”, normalmente recebe e-mail e senha. É um bom começo, mas senhas são reutilizadas, alvo de phishing e vazadas. Se o seu app guarda algo valioso — registros de clientes, faturas, controles de administrador, configurações de pagamento —, uma única senha roubada pode expor tudo.

O 2FA também afeta decisões que você talvez não pense logo de início:

• Quem deve usar. Opcional para todos, obrigatório para administradores ou obrigatório para todos?
• Quais métodos você aceita. Códigos de um app, mensagens de texto, passkeys, chaves de segurança.
• O que acontece quando alguém fica sem acesso. Celular perdido é o pedido de suporte mais comum em qualquer app com 2FA.
• Onde é aplicado. A verificação precisa acontecer no servidor. Uma tela de 2FA que só esconde a página no navegador pode ser contornada.

Você não precisa construir a criptografia sozinho — bibliotecas bem testadas e provedores de autenticação cuidam disso. Mas precisa saber o que pedir.

Uma analogia do dia a dia

Pense em um cofre de banco. Para abri-lo, você precisa do seu documento (algo que o banco confere que você é ou sabe) e da chave física (algo que você tem). Um ladrão que copia sua assinatura ainda não tem a chave. Um ladrão que pega a chave no seu bolso ainda não passa pela checagem do documento.

O 2FA funciona da mesma forma. A senha é a assinatura; o celular ou a chave de segurança é a chave física. Cada um sozinho não basta.

Os três tipos de fatores

Padrões de segurança, como as diretrizes de identidade digital do NIST (Instituto Nacional de Padrões e Tecnologia dos EUA), agrupam os fatores em três tipos:

A palavra-chave é diferente. Uma senha mais uma pergunta de segurança são duas coisas que você sabe, então não é autenticação de dois fatores de verdade. Se um único vazamento pode revelar as duas, conta como um só.

Os métodos comuns de 2FA comparados

As diretrizes do NIST tratam métodos em que você digita um código (SMS, e-mail, apps autenticadores) como não resistentes a phishing, e classificam o envio de códigos pela rede telefônica como “restrito”. Passkeys e chaves de segurança físicas, baseadas nos padrões WebAuthn/FIDO2, são as que o NIST considera resistentes a phishing.

Uma conclusão prática: um app autenticador é um padrão forte e fácil para a maioria dos apps, e passkeys valem a pena se seus usuários se sentirem à vontade com elas.

Um exemplo prático: 2FA para um portal de clientes

Suponha que você criou um portal em que um pequeno escritório de contabilidade compartilha documentos fiscais com os clientes. Veja como uma configuração sensata de 2FA funciona, passo a passo.

Ativando (cadastro do fator). Priya, uma cliente, abre as Configurações e clica em “Ativar autenticação de dois fatores”. O app gera um segredo e o mostra como QR code. Ela o escaneia com seu app autenticador, que começa a mostrar códigos de 6 dígitos. Ela digita de volta o código atual no portal para provar que a configuração funcionou. O app mostra dez códigos de recuperação e pede que ela os guarde em um lugar seguro.

Entrando depois.

1. Priya digita seu e-mail e senha. O servidor os verifica.
2. Em vez de deixá-la entrar direto, o servidor marca a sessão como “senha OK, segundo fator pendente” e mostra a tela de código.
3. Ela digita o código do app. O servidor o confere com o segredo guardado, tolerando um pequeno desvio do relógio.
4. Só então o servidor cria uma sessão completa e permite que ela veja os documentos.

O que um atacante vê. Se a senha de Priya vazou de outro site, o atacante fica preso no passo 3. Cada tentativa de código errada é contada, e, após várias tentativas erradas, a conta é bloqueada temporariamente e Priya recebe um e-mail.

Perdendo o celular. Priya usa um de seus códigos de recuperação para entrar, desativa e reativa o 2FA com o novo celular e recebe códigos de recuperação novos. O código usado nunca pode ser usado de novo.

Para a equipe. Os contadores do escritório podem ver os arquivos de todos os clientes, então o portal exige 2FA para contas da equipe; eles não conseguem acessar o painel até concluírem o cadastro.

Termos comuns explicados

Erros comuns e equívocos

• “2FA torna uma conta impossível de invadir.” Torna muito mais difícil. Sites de phishing ainda podem capturar códigos digitados em tempo real, e é por isso que as passkeys existem.
• Verificar o código só no navegador. Se o servidor emite uma sessão completa depois da senha, a tela de código é decoração. O servidor precisa recusar o acesso até que o segundo fator seja validado.
• Nenhum limite para tentativas de código. Um código de seis dígitos tem um milhão de possibilidades. Sem limitação de taxa e bloqueios, um atacante pode simplesmente continuar tentando.
• Esquecer a recuperação. Sem códigos de recuperação, cada celular perdido vira um chamado de suporte ou um cliente bloqueado.
• Guardar o segredo TOTP de forma descuidada. O segredo compartilhado deve ser criptografado no banco de dados e nunca mostrado de novo após a configuração.
• Deixar o usuário desativar o 2FA sem nova verificação. Desativar o 2FA ou trocar o e-mail deve exigir a senha e um código atual.
• Senha mais pergunta de segurança contando como 2FA. Não conta — as duas são coisas que você sabe.

O que pedir ao seu criador com IA

• “Adicione autenticação de dois fatores opcional usando um app autenticador (TOTP), com QR code para configuração e um código de confirmação antes de ativá-la.”
• “Mostre dez códigos de recuperação de uso único quando o 2FA estiver ativado. Guarde-os com hash, como as senhas.”
• “Aplique o 2FA no servidor: nenhuma sessão completa até que o segundo fator seja validado.”
• “Limite as tentativas de código e bloqueie o login por 15 minutos após falhas repetidas. Envie um e-mail ao usuário quando isso acontecer.”
• “Exija 2FA para contas de administrador.”
• “Peça a senha e um código atual antes de desativar o 2FA ou trocar o e-mail da conta.”
• “Use uma biblioteca conhecida ou o 2FA integrado do nosso provedor de autenticação — não escreva a criptografia do zero.”
• “Explique qual método você usou e onde os segredos são guardados.”

Se você usa um provedor de autenticação hospedado, verifique se ele já oferece 2FA ou passkeys; ativar um recurso integrado costuma ser mais seguro do que código personalizado. A versão passo a passo está em como adicionar autenticação de dois fatores, e o que é autenticação explica os fundamentos do login por trás dela.

Autenticação de dois fatores no Mythex

O Mythex não inclui um sistema de login integrado para os usuários do seu app, então o 2FA faz parte da abordagem de autenticação que você escolher — um login próprio com e-mail e senha apoiado no banco de dados do projeto, ou um provedor hospedado que ofereça 2FA. Você pede ao agente para adicioná-lo no chat, e as chaves do provedor vão para os segredos do projeto, e não para o próprio chat. A receita da documentação sobre adicionar login ao seu app tem um prompt inicial para adaptar, e segurança para apps que você cria cobre os hábitos em torno das chaves. Antes do lançamento, percorra a lista de verificação de segurança para apps criados com IA.

Perguntas