---
title: "O que é autenticação de dois fatores (2FA) e como ativar?"
description: "A autenticação de dois fatores (2FA) pede uma segunda prova depois da senha, como um código ou um toque no celular. Como funciona e como ativar."
url: https://proxynet.io/pt-br/blog/what-is-two-factor-authentication
date: 2026-11-15
author: "Acar Diveroli"
category: "Proxy 101"
lang: pt-BR
---

# O que é autenticação de dois fatores (2FA) e como ativar?

Chega um e-mail: alguém entrou na sua conta a partir de um dispositivo que você nunca teve, em uma cidade que você nunca visitou. Se a senha era a única tranca, essa pessoa está lendo as suas mensagens agora. Com a autenticação de dois fatores ativada, a senha não basta: o estranho também precisaria do seu celular, da sua chave de segurança ou da sua impressão digital.

Este artigo explica o que é a autenticação de dois fatores (2FA), como funciona um login com 2FA, quais métodos existem e quanto cada um é seguro, e onde ativá-la no Google, na Apple, no Instagram, no Facebook e no WhatsApp. Ele também trata dos códigos de backup e da perda do celular; voltar a uma conta só é possível pelas etapas oficiais de recuperação da plataforma.

> **Nota: Resposta rápida**
>
> A autenticação de dois fatores (2FA) é uma verificação no login que pede duas provas de tipos diferentes: algo que você sabe, como uma senha, e algo que você tem ou é, como o seu celular, uma chave de segurança ou a sua impressão digital. Depois da senha, o site pede um código de uso único por SMS ou de um app autenticador, um toque em um aviso no celular ou uma chave de acesso (passkey), então uma senha roubada sozinha já não abre a conta. Ative-a nas configurações de segurança de cada conta (Google: Segurança e login; Apple: Início de Sessão e Segurança; Instagram e Facebook: Central de Contas), guarde os códigos de backup longe do celular e prefira um app, uma chave de acesso ou uma chave de segurança ao SMS.

## O que é autenticação de dois fatores?

A autenticação de dois fatores é uma forma de login que exige duas provas de tipos diferentes, para que um único segredo roubado ou adivinhado não baste para entrar na sua conta. Os padrões de segurança dividem essas provas em três fatores: algo que você sabe (uma senha ou um PIN), algo que você tem (um celular ou uma chave de segurança) e algo que você é (uma impressão digital ou o seu rosto).

O caixa eletrônico é o exemplo do dia a dia: ele pede o seu cartão do banco, que você tem, e o seu PIN, a senha numérica que você sabe. Um ladrão que vê o PIN ainda precisa do cartão. Na internet, a senha faz o papel do PIN, e o seu celular ou a sua chave de segurança fazem o papel do cartão.

As provas precisam ser de tipos diferentes: uma senha mais uma pergunta de segurança são duas coisas que você sabe. O NIST, o instituto de normas e tecnologia dos Estados Unidos, também só conta uma impressão digital junto com um dispositivo; as suas [diretrizes de identidade digital](https://pages.nist.gov/800-63-4/sp800-63b.html) afirmam que um dado biométrico não é um autenticador por si só. A sua impressão digital desbloqueia o celular, e o celular prova ao site que é você.

## Como funciona um login com 2FA?

Um login com 2FA acrescenta uma etapa depois da senha, e o site confere as duas respostas antes de deixar você entrar:

1. **Você digita o nome de usuário e a senha.** Esse é o primeiro fator, algo que você sabe.
1. **O site vê que a 2FA está ativada.** Em vez de abrir a conta, ele pede a segunda prova.
1. **O seu segundo fator gera uma resposta de uso único.** Um código chega por SMS, um app calcula um, aparece um aviso em um celular que já está conectado ou o seu dispositivo responde com uma chave de acesso.
1. **Você digita o código ou aprova o aviso.** Um código funciona uma única vez e por pouco tempo, então uma cópia encontrada depois não serve para nada.
1. **O site faz o seu login.** Ele pode oferecer lembrar o dispositivo, como o Google faz com **Não perguntar novamente neste computador**, para que ali, na próxima vez, a senha baste.
1. **Um dispositivo novo recomeça no passo 1.** A Apple, por exemplo, pede um código na primeira vez que você faz login em um dispositivo novo ou na web.

## Quais tipos de autenticação de dois fatores existem?

Cinco segundos fatores são comuns, e eles diferem principalmente na facilidade com que alguém pode interceptá-los ou enganar você para obtê-los:

| Método | Como funciona | Ponto fraco | Indicado para |
|---|---|---|---|
| Código por SMS ou voz | Um código de seis dígitos enviado ao seu número | Troca de chip (SIM swap), páginas de login falsas | Serviços que não oferecem outra opção |
| App autenticador | O celular calcula um código novo a cada 30 segundos | Páginas de login falsas | A maioria das contas |
| Notificação push | Você toca em Sim em um celular conectado | Aprovar um aviso que você não iniciou | Contas do Google, da Microsoft e similares |
| Chave de acesso | O dispositivo desbloqueia uma chave vinculada ao site | Perder todos os dispositivos que a guardam | Qualquer conta que a ofereça |
| Chave de segurança | Uma pequena chave que você conecta ao dispositivo | Perdê-la sem ter uma reserva | Contas de trabalho e de alto risco |

**Os códigos por SMS** são os mais fáceis de configurar e os mais fáceis de roubar. O Google avisa que códigos enviados por SMS ou ligação podem estar vulneráveis a ataques que usam números de telefone, e o NIST classifica a rede telefônica como um canal "restrito" para eles. Mesmo assim, eles são muito melhores do que só a senha.

**Os apps autenticadores** criam senhas de uso único baseadas em tempo (TOTP), definidas na [RFC 6238](https://www.rfc-editor.org/rfc/rfc6238). Na configuração, o site mostra um QR code com uma chave secreta; a partir daí, o app e o site combinam essa chave com a hora atual e chegam ao mesmo código, um novo a cada 30 segundos. Nada é enviado ao seu celular, então o app funciona sem sinal.

**As notificações push** aparecem em um celular que já está conectado à conta; você confere o dispositivo e o local mostrados e toca em Sim ou Não. O Google diz que elas também ajudam contra a troca de chip. Aprove apenas um login que você mesmo começou há um instante.

**As chaves de acesso e as chaves de segurança** substituem o código por criptografia. A FIDO Alliance descreve uma [chave de acesso](https://fidoalliance.org/passkeys/) como uma credencial baseada nos padrões FIDO, guardada no seu celular ou computador e desbloqueada com a impressão digital, o rosto ou o PIN que desbloqueiam o dispositivo. O dispositivo entrega ao site só uma prova feita para aquele site, então uma página de login falsa não recebe nada que possa reutilizar. Uma chave de acesso reúne dois fatores em uma única etapa, e é por isso que o Google pula a segunda etapa separada quando você usa uma; uma chave de segurança física faz o mesmo trabalho no seu chaveiro.

## 2FA, verificação em duas etapas e MFA: qual é a diferença?

No uso diário, os três termos significam uma segunda verificação depois da senha; eles diferem no que conta como segunda verificação.

- **Autenticação de dois fatores (2FA)**, no sentido estrito, significa dois fatores diferentes, como uma senha e um celular.
- **Verificação em duas etapas** significa duas etapas, que não precisam ser fatores diferentes. O Google chama o seu recurso de verificação em duas etapas e, na mesma frase, o descreve como autenticação de dois fatores.
- **Autenticação multifator (MFA)** significa dois fatores ou mais. A 2FA é a forma mais comum, e contas de trabalho costumam usar o nome mais amplo.

O método por trás do nome importa mais: uma chave de acesso resiste a páginas de login falsas, um código não.

## Como ativar a autenticação de dois fatores?

Você a ativa nas configurações de segurança de cada conta; os caminhos abaixo são os que os próprios serviços publicam. Guarde os códigos de backup assim que eles forem oferecidos.

### Conta do Google (Gmail, YouTube)

Abra a sua Conta do Google, selecione **Segurança e login** e, em **Como você faz login no Google**, selecione **Ativar a verificação em duas etapas**; depois siga as etapas. O Google [recomenda](https://support.google.com/accounts/answer/185839?hl=pt-BR) as solicitações do Google como segunda etapa se você não fizer login com uma chave de acesso; na mesma página você adiciona um app autenticador, uma chave de segurança e códigos alternativos, o nome que o Google dá aos códigos de backup.

### Conta Apple (iPhone, iPad, Mac)

A maioria das Contas Apple já usa a autenticação de dois fatores. Abra **Ajustes** no iPhone ou iPad (**Ajustes do Sistema** no Mac), toque no seu nome e depois em **Início de Sessão e Segurança**; se ela estiver desativada, ative-a ali. Na web, inicie a sessão em account.apple.com e escolha **Aumentar Segurança da Conta**. A [página de ajuda](https://support.apple.com/pt-br/102660) da Apple explica os códigos de seis dígitos que aparecem nos seus dispositivos confiáveis.

### Instagram e Facebook (Central de Contas)

Os dois usam a Central de Contas da Meta. No Instagram, abra **Configurações** e depois **Ver mais na Central de Contas** > **Senha e segurança** > **Autenticação de dois fatores**. No Facebook, selecione a sua foto do perfil > **Configurações e privacidade** > **Configurações** > **Central de Contas** > **Senha e segurança** > **Autenticação de dois fatores**.

O Instagram oferece um app de autenticação (o método recomendado), SMS ou WhatsApp depois que o SMS estiver ativado; o Facebook oferece um app de autenticação, SMS ou uma chave de segurança. Para desativar um método, o caminho é o mesmo; faça isso só para trocá-lo por um mais forte.

### WhatsApp

A verificação em duas etapas do WhatsApp acrescenta uma senha definida por você ao número de telefone com que você se registra. Acesse **Configurações** > **Conta** > **Verificação em duas etapas** > **Ativar a verificação em duas etapas**, crie a senha e adicione um endereço de e-mail que você consiga acessar. O WhatsApp está trocando o antigo PIN de seis dígitos por uma senha completa e, desde agosto de 2026, quem usa Android e iPhone pode adicionar mais de uma chave de acesso em **Configurações** > **Conta** > **Chaves de acesso**.

## O que são códigos de backup e o que fazer se você perder o celular?

Códigos de backup são códigos de uso único que você guarda com antecedência para conseguir fazer login mesmo se o celular for perdido ou quebrar. O Google fornece um conjunto de 10 códigos de oito dígitos, cada um válido uma vez; o Facebook oferece 10 códigos de recuperação. Imprima-os e guarde o papel junto com o passaporte, ou guarde-os em um gerenciador de senhas que você consiga abrir sem esse celular; [O que é um gerenciador de senhas?](/pt-br/blog/what-is-a-password-manager) explica como esse cofre é trancado.

Se o celular sumiu, siga estas etapas na ordem:

1. **Use outra forma de entrar.** Um segundo celular conectado à conta, um código de backup, uma chave de segurança ou uma chave de acesso em outro dispositivo; na tela de login do Google, essas opções ficam em **Tentar de outra forma**.
1. **Tente um dispositivo confiável.** Um computador em que você marcou "Não perguntar novamente" pode deixar você entrar só com a senha.
1. **Proteja a conta.** Desconecte o celular perdido, troque a senha e adicione o celular novo.
1. **Recupere o seu número.** A sua operadora pode transferir o número para um chip novo, e assim os códigos por SMS voltam.
1. **Use o processo oficial de recuperação se nada mais funcionar.** O Google diz que a recuperação pode levar de 3 a 5 dias úteis sem outra segunda etapa; a recuperação de conta da Apple pode levar vários dias ou mais, e o Suporte da Apple não consegue encurtá-la.

Ignore qualquer pessoa que ofereça desbloquear uma conta mediante pagamento: o Google afirma que não trabalha com nenhum serviço que diga oferecer suporte para contas ou senhas.

## A autenticação de dois fatores é segura?

Sim: qualquer tipo de 2FA torna uma conta muito mais difícil de invadir do que só a senha, mas os códigos ainda podem ser roubados, então o método importa.

**Troca de chip (SIM swap).** Um criminoso convence a sua operadora a transferir o seu número para um chip que está com ele, e os seus códigos por SMS passam a chegar para ele. É por isso que o NIST restringe códigos enviados pela rede telefônica. Pergunte à sua operadora sobre um PIN para a sua conta ou um bloqueio contra a transferência do número.

**Phishing.** Uma página de login falsa pode pedir o código além da senha e usar os dois na hora, e alguém que ligue para você pode convencê-lo a ler um código em voz alta. Códigos não distinguem um site real de uma cópia; chaves de acesso e chaves de segurança, sim. [O que é phishing?](/pt-br/blog/what-is-phishing) mostra como reconhecer essas páginas e ligações.

**Depois do login.** A 2FA protege o login, não a sessão que vem depois: um malware pode roubar o cookie de sessão que o site entrega a você em seguida, então mantenha os dispositivos atualizados e encerre as sessões que você não reconhecer.

## Por que pedem um código de novo em um dispositivo ou rede novos?

Os serviços pedem de novo quando um login parece novo: um celular novo, um navegador com os cookies apagados, um dispositivo que você nunca marcou como confiável. Muitos também observam de onde vem um login; os alertas de segurança do Google mostram o tipo de dispositivo, a hora e o local de um login novo.

Isso importa para equipes que gerenciam contas por meio de proxies, como uma agência que cuida das redes sociais dos clientes. Se o endereço muda a cada requisição, cada login parece um estranho em um lugar novo, e o dono da conta recebe verificações repetidas. Mantenha um endereço constante por conta, com uma sessão fixa que segura um endereço por um tempo definido ou com um endereço estático dedicado; [Como gerenciar várias contas de redes sociais com segurança](/pt-br/blog/manage-multiple-social-media-accounts) cobre o resto dessa configuração.

Os [Proxies ISP](https://proxynet.io/pt-br/static-isp-residential-proxy) dão a cada conta um endereço dedicado, registrado em nome de um provedor de internet, e por padrão funcionam só com os sites de destino que você escolher. Um endereço estável não desliga a 2FA: o código continua sendo pedido em cada dispositivo novo, e é isso que mantém a conta segura.

## Onde você encontra a autenticação de dois fatores

Na tela de código depois da senha, quando você faz login no e-mail em um notebook novo. Em um aviso no celular perguntando se é você. Em um SMS com um código de uso único de um banco ou de um serviço do governo. No trabalho, no app autenticador ou na chave de segurança que a empresa entrega.

## Erros comuns

- **Não guardar os códigos de backup.** Aí, perder o celular vira um processo de recuperação de vários dias.
- **Guardar os códigos de backup só no celular.** Eles existem para o dia em que esse celular não estiver mais com você.
- **Ler um código para alguém que ligou para você.** O Google diz que nunca vai ligar para você para verificar um código.
- **Tocar em Sim em um aviso que você não iniciou.** Toque em Não e troque a senha; provavelmente alguém a tem.
- **Um relógio errado no celular.** O Google Authenticator usa a configuração de hora do celular, então deixe data e hora no automático.
- **Apagar o celular antigo antes de transferir os códigos.** Transfira primeiro os códigos do app autenticador ou adicione antes o celular novo.

## Guia de decisão

| Sua situação | O que usar |
|---|---|
| Você quer a opção forte mais simples | Uma chave de acesso sempre que o serviço oferecer |
| O serviço só oferece códigos | Um app autenticador em vez de SMS |
| Sua Conta do Google | Solicitações do Google ou uma chave de acesso, mais códigos de backup impressos |
| Um iPhone, iPad ou Mac | A autenticação de dois fatores da Apple, em geral já ativada |
| Instagram ou Facebook | Um app de autenticação na Central de Contas, mais os códigos de recuperação |
| WhatsApp | Uma senha de verificação em duas etapas com um endereço de e-mail |
| Uma equipe que faz login em contas de clientes | O cliente fica com os códigos de backup; um endereço estável por conta |

## Perguntas frequentes

### Devo desativar a autenticação de dois fatores?

Não, a menos que você a substitua por um método mais forte. Desativá-la faz da senha a única tranca outra vez, e o Google avisa que isso pode facilitar a entrada de outra pessoa. Se a tela de código incomoda, marque os seus próprios dispositivos como confiáveis ou passe a usar uma chave de acesso; uma Conta Apple criada com autenticação de dois fatores nem pode desativá-la.

### A autenticação de dois fatores por SMS é segura?

É muito mais segura do que só a senha, mas é o tipo mais fraco de 2FA: códigos por SMS podem ser desviados com uma troca de chip ou digitados em uma página falsa. Use um app, uma chave de acesso ou uma chave de segurança no e-mail e no banco, e SMS só onde não houver outra opção.

### O que é um código 2FA?

Um código 2FA é um número curto de uso único, em geral de seis dígitos, que prova que você tem o segundo fator. Ele chega por SMS ou ligação, ou um app autenticador o calcula, e funciona só uma vez e por pouco tempo. Nunca compartilhe um.

### A autenticação de dois fatores pode ser hackeada?

Sim, mas é muito mais difícil do que roubar uma senha. Os pontos fracos são páginas de login falsas que repassam o seu código na hora, a troca de chip, pessoas convencidas a aprovar um aviso e malwares que tomam uma sessão depois do login. Chaves de acesso e chaves de segurança fecham as três primeiras portas: não há código para repassar, SMS para desviar nem aviso para aprovar.

### Qual app autenticador devo usar?

Qualquer app compatível com os códigos padrão baseados em tempo funciona com a maioria dos sites. O Google Authenticator e o Microsoft Authenticator criam esses códigos, e a partir do iOS 18 e do macOS Sequoia o app Senhas da Apple também guarda códigos de verificação; existem muitos outros apps. Escolha um que consiga transferir os códigos para um celular novo, como o Google Authenticator faz ao sincronizá-los com a sua Conta do Google.

### Por que o meu código 2FA não funciona?

Em geral o código expirou, é de outra conta ou o relógio do celular está errado. A lista de verificação do Google: digite o código antes que ele expire, confira se ele é do app e da conta certos, e verifique se a hora do dispositivo está sincronizada e correta para o seu fuso horário. Se um código por SMS nunca chega, use um código de backup.

## Em resumo

A autenticação de dois fatores pede uma segunda prova, de outro tipo, depois da senha, então uma senha roubada sozinha já não abre a sua conta. Ative-a primeiro no e-mail, porque a redefinição de senha das suas outras contas passa por ele, e depois no Google ou na Apple, nas redes sociais e no WhatsApp. Prefira uma chave de acesso ou um app autenticador ao SMS, guarde os códigos de backup longe do celular e recupere uma conta bloqueada só pelas etapas da própria plataforma. Se a sua equipe faz login em contas de clientes por meio de proxies, a nossa página de [serviços de proxy](/pt-br/proxy) compara as opções de sessão fixa e estáticas.