Autenticação em dois fatores (2FA): o que é e como funciona

Autenticação em dois fatores (2FA) é um tipo de login que exige duas provas diferentes de que você é você: em geral, a senha e um segundo comprovante, como o código temporário de um aplicativo no celular. Assim, quem descobrir só a sua senha, por vazamento, tentativa de adivinhação ou malware, ainda não consegue entrar.

O que são os “fatores” da autenticação?

A norma NIST SP 800-63B separa as provas em três tipos: algo que você sabe (a senha), algo que você tem (o celular ou uma chave física) e algo que você é (a biometria). Autenticação em dois fatores combina tipos diferentes. Duas senhas seguem sendo um fator só, porque ambas são “algo que você sabe”.

Como funciona o código do aplicativo autenticador?

A maioria dos aplicativos usa o padrão TOTP, descrito na RFC 6238. Na configuração, o serviço e o aplicativo passam a compartilhar um segredo, normalmente transmitido por um QR code. Depois disso, os dois calculam o mesmo código a partir desse segredo e da hora atual, e o intervalo padrão definido na RFC é de 30 segundos. Por isso o código muda sozinho e vale por pouco tempo.

Código por SMS ou por aplicativo: qual é mais seguro?

• SMS ou ligação: o NIST classifica esse canal como “restrito”. A OWASP aponta riscos como a troca fraudulenta de chip (SIM swap) e a portabilidade do número.
• Aplicativo autenticador (TOTP): não depende da operadora, mas o código ainda pode ser digitado numa página falsa. A OWASP lembra que códigos digitados à mão continuam sujeitos a phishing.
• Passkeys e chaves FIDO2/WebAuthn: são consideradas resistentes a phishing, porque a autenticação fica presa ao endereço verdadeiro do site.

Qualquer um dos segundos fatores é bem melhor do que só a senha. A escolha depende do que o serviço oferece.

E se eu perder o celular?

Os serviços sérios entregam códigos de recuperação no momento da ativação, e a OWASP recomenda esse procedimento. Cada código costuma valer uma vez. Guarde-os fora do celular, em um gerenciador de senhas ou impressos em lugar seguro. Sem eles, recuperar a conta pode depender de suporte e de comprovação de identidade.

Como fica na PW Host?

No DirectAdmin, o painel de acesso a arquivos, e-mails, bancos de dados e DNS da conta, a verificação em dois passos fica no Perfil de usuário, na aba Autenticação de dois fatores. O caminho é: clicar em Gerar nova chave, ler o QR code com um aplicativo autenticador (como Google Authenticator, Microsoft Authenticator ou Authy), digitar o código de 6 números para confirmar e guardar os códigos de recuperação que o painel mostrar. Na aba Geral, a opção de notificações de autenticação de dois fatores avisa quando alguém erra o código ao tentar entrar.

Essa proteção vale para o acesso ao painel de controle. O login do WordPress e de outros serviços é separado e precisa das próprias proteções. O passo a passo com as telas está em Segurança da conta no painel, e as demais opções do perfil estão em Dados da conta, avisos, idioma e tema do painel.