Verificação em duas etapas: como ativar nos apps que importam

O que é verificação em duas etapas

Verificação em duas etapas quer dizer provar quem você é com dois tipos de evidência em vez de um. Normalmente são duas de três famílias: algo que você sabe, como uma senha; algo que você tem, como o celular ou uma chave física; e algo que você é, como a digital ou o rosto.

A ideia não é que a senha seja ruim. É que senha vaza, tanto em invasões a empresas onde você se cadastrou há anos quanto em páginas montadas para parecer a tela de login de um serviço que você usa. Com uma segunda etapa ligada, a senha vazada chega à mão do golpista como metade de uma chave.

Você vai ver o mesmo recurso com nomes diferentes: autenticação de dois fatores, autenticação em dois fatores, verificação em duas etapas, confirmação em duas etapas, 2FA, MFA. No dia a dia, significam a mesma coisa. O fascículo Autenticação do CERT.br, de novembro de 2022, pede para ativar onde houver, e trata a segunda etapa como o reforço que a senha sozinha já não dá conta de oferecer.

Como ativar no WhatsApp, passo a passo

Essa é a que mais gente procura no Brasil, e com razão: é o WhatsApp que o golpista quer registrar no aparelho dele para pedir dinheiro aos seus contatos. Com a segunda etapa ligada, não basta ele conseguir o código de seis dígitos que chega por mensagem: ele ainda precisa da senha que só você tem.

O WhatsApp está mudando o nome e o formato dessa proteção. A página oficial de configurações da verificação em duas etapas avisa que o PIN de seis dígitos passará a ser uma senha, e quem já tem PIN pode atualizar. O caminho abaixo foi conferido na Central de Ajuda em 23 de setembro de 2026.

No Android

1. Toque no ícone de três pontos e depois em Configurações.
2. Entre em Conta e depois em Verificação em duas etapas.
3. Toque em Ativar a verificação em duas etapas.
4. Crie uma senha forte e confirme.
5. Informe um endereço de e-mail ao qual você realmente tenha acesso. É por ele que o WhatsApp manda o link para redefinir, se você esquecer a senha.
6. Escolha se quer marcar aquele aparelho como confiável.

No iPhone

1. Toque em Você, no canto da tela.
2. Entre em Conta e depois em Verificação em duas etapas.
3. Toque em Ativar a verificação em duas etapas.
4. Crie uma senha forte e confirme.
5. Informe um endereço de e-mail ao qual você tenha acesso.
6. Escolha se quer marcar aquele aparelho como confiável.

Três cuidados fecham o assunto. O e-mail não é opcional na prática: sem ele, esquecer a senha significa esperar dias para voltar a usar o número. A senha da verificação em duas etapas é diferente do código de seis dígitos que chega por mensagem, e o WhatsApp vai pedir ela de vez em quando justamente para você não esquecer. E o código de seis dígitos nunca deve ser repassado a ninguém, mesmo que a mensagem venha do número de alguém que você conhece: contato invadido é como esse golpe costuma chegar. Se você desconfia que já perdeu a conta, o caminho está em como saber se o seu WhatsApp foi clonado e em clonaram meu WhatsApp, o que fazer.

Os métodos, do mais fraco ao mais forte

São cinco formas comuns, e elas falham de jeitos diferentes. Na ordem do trabalho que dão para um golpista passar por cima, vai do código por mensagem de texto, embaixo, à chave de segurança e à chave de acesso, em cima.

Código por mensagem de texto ou e-mail

É o mais fácil de ligar e está em quase todo lugar. Também é o único que pode ser desviado para longe de você, porque ele segue o número, não o aparelho. É o método vulnerável ao golpe do chip clonado e a qualquer mensagem que convença você a repetir o código.

Código de aplicativo autenticador

Um número de seis dígitos que muda a cada trinta segundos, gerado dentro do próprio aparelho. Como ele não passa pela rede de telefonia, não adianta alguém tomar o seu número. Ainda dá para ser digitado numa página falsa.

Notificação para aprovar

Aparece um aviso na tela e você toca em sim. É prático, e a versão que mostra um número para você conferir na outra tela é bem melhor do que a que só pergunta sim ou não. O risco da versão simples é a enxurrada de pedidos de madrugada até alguém aprovar sem pensar. O CERT.br é direto nesse ponto: negue toda requisição de autorização de login se não for você tentando entrar.

Chave de segurança física

Um dispositivo pequeno que você encaixa ou aproxima. O CERT.br chama a chave de segurança física, também conhecida como U2F, FIDO ou FIDO2, de a opção mais segura de verificação disponível hoje, e lembra que alguns celulares mais novos conseguem fazer esse papel. Não existe código para ler, repetir ou digitar errado.

Chave de acesso

É a mesma tecnologia da chave física, guardada no celular, no computador ou no gerenciador de senhas e liberada pela sua digital, pelo rosto ou pela senha da tela. Tem artigo próprio: passkey, o login sem senha.

Por que o código por mensagem é o mais fraco

O código por mensagem é o mais fraco porque ele está preso ao seu número de telefone, e não ao seu aparelho. Número de telefone pode ser movido.

Quem diz isso não é só a gente. O próprio Google, na página oficial da verificação em duas etapas, avisa que códigos enviados por mensagem ou ligação podem ser vulneráveis a ataques que usam o número de telefone, e sugere métodos que não dependem dele. O CERT.br pede para preferir chave física ou aplicativo gerador de códigos e usar mensagem de texto apenas quando não houver outra opção.

O caminho prático do ataque é tomar a sua linha. Quando o número vai para o aparelho de outra pessoa, os códigos chegam lá, e o golpista usa as telas de redefinição de senha de cada serviço. Existe um sinal característico: o celular fica sem sinal do nada, sem que você tenha feito nada. O artigo golpe do chip clonado traz o que fazer na primeira hora. O fascículo Celulares e Tablets do CERT.br dá um cuidado preventivo que quase ninguém usa: proteger o chip SIM com senha, o que impede que ele seja ativado em outro aparelho.

O segundo caminho não precisa de operadora nenhuma. Uma página falsa recolhe a sua senha e o seu código e repassa os dois para o site verdadeiro enquanto você ainda olha para a rodinha de carregamento. Isso funciona também contra código de aplicativo, e é por isso que os métodos mais fortes acabam com o código digitado.

Mensagem de texto ainda é muito melhor que nada

Nada disso é motivo para desligar a proteção que você já tem. Uma conta com código por mensagem é bem mais difícil de invadir do que a mesma conta só com senha, e a comparação que vale é com o que ficaria no lugar.

Então o movimento certo é trocar para cima, não remover. Onde o serviço oferece aplicativo autenticador ou chave, mude. Onde só existe mensagem de texto, mantenha ligado. Onde existem os dois, adicione o mais forte antes de tirar o mais fraco, para você nunca ficar com um intervalo sem segunda etapa nenhuma.

Por quais contas começar

Comece pelas contas que redefinem as outras. Quem está com o seu e-mail raramente precisa de alguma das suas outras senhas.

1. O seu e-mail principal. Ele é o caminho de redefinição de quase tudo que você tem. Se der para fazer uma coisa só esta semana, faça essa.
2. O WhatsApp. É a conta que o golpista usa para falar com as pessoas que confiam em você, e o passo a passo está logo acima.
3. A conta da operadora de celular. Senha e bloqueio de portabilidade protegem o número que as outras contas ainda usam para mandar código.
4. O seu gerenciador de senhas. O cofre também é uma conta, e ele deveria pedir mais do que a senha mestra. Veja como escolher um gerenciador de senhas.
5. Banco, pagamento e investimento. Use o método mais forte que cada um oferecer e, já que você está nas configurações, ligue os avisos de movimentação. Mais sobre isso em usar o banco pelo celular com segurança.
6. Contas com documentos, como a conta gov.br e portais de saúde e de trabalho.
7. Redes sociais e nuvem de fotos, que guardam o material usado para se passar por você com outras pessoas.

Onde fica o botão nas contas Google, Apple e no banco

Todo serviço coloca isso na parte de segurança das configurações da conta, com um nome parecido. Vale seguir a instrução oficial do fabricante em vez de um vídeo antigo, porque as telas mudam de versão para versão.

Na Conta do Google, o caminho é a página da conta, depois Segurança, e ali a opção de ativar a verificação em duas etapas. O Google documenta o processo e os métodos aceitos, incluindo chave de acesso, solicitação do Google, aplicativo autenticador, chave de segurança e códigos de reserva, na página de ajuda oficial.

Na Conta Apple, a Apple descreve o caminho em Ajustes, seu nome, Início de Sessão e Segurança, e também pelo site da conta. A Apple usa dispositivos confiáveis e números de telefone confiáveis para entregar o código de seis dígitos.

No banco, o desenho é diferente e costuma confundir: em vez de você escolher um método, o aplicativo amarra a conta ao aparelho, e o que você cadastra é o celular. É por isso que entrar de um aparelho novo pede uma liberação extra, e é por isso que aparelho antigo que você não usa mais deveria ser removido da lista de dispositivos autorizados. Se o seu banco também oferece senha de transação ou biometria para aprovar operação, ligue as duas.

Em qualquer um deles, faça três coisas na mesma sessão: adicione o método novo, guarde os códigos de reserva fora do celular e só então remova o método antigo, se for mesmo remover.

Códigos de reserva e a perda do celular

Todo serviço que oferece segunda etapa também oferece um caminho de volta, e é nesse caminho que as pessoas ficam presas do lado de fora. Resolva isso no dia em que você ligar o recurso, não no dia em que o celular cair na água.

Quase todos geram uma lista de códigos de reserva de uso único. Imprima ou escreva, e guarde junto com os seus documentos, não numa anotação do próprio celular que gera os códigos. O CERT.br pede exatamente isso, e acrescenta dois cuidados: cadastre e-mail e telefone alternativos para receber código, e revogue e gere de novo os códigos de reserva se você perder eles ou desconfiar que alguém viu.

Muitos aplicativos autenticadores hoje sincronizam entre os seus aparelhos, o que resolve o mesmo problema de outro jeito. Quem usa chave física resolve tendo duas e cadastrando as duas.

Se o celular já sumiu, o caminho de volta costuma ser o processo de recuperação de cada serviço, que pode levar dias e pedir documento. Vale acionar o Celular Seguro, do Ministério da Justiça e Segurança Pública, que avisa instituições financeiras e operadoras parceiras a partir de um alerta só, e seguir o roteiro de como bloquear um celular roubado. Se foi o número que foi levado, e não o aparelho, comece pela operadora.

O que a verificação em duas etapas não impede

A segunda etapa aumenta muito o custo de roubar uma conta. Ela não torna a conta inalcançável, e existem ataques comuns contra os quais ela não faz nada.

Ela não desfaz um pagamento que você foi levado a autorizar, porque a autorização foi sua. Não protege contra alguém que já está com o seu aparelho desbloqueado na mão. Não cobre uma conta cujo caminho de recuperação é mais fraco que a porta da frente, e é por isso que um banco com chave de segurança e redefinição por mensagem de texto continua com um ponto fraco em formato de número de telefone. E não derruba uma sessão que já está aberta, motivo pelo qual desconectar os aparelhos desconhecidos é parte da limpeza depois de qualquer susto.

O que ela faz com regularidade é cortar o ataque mais comum de todos: alguém pegando uma senha de uma lista de vazamento e digitando ela num site onde você usou a mesma. Junte isso a senhas diferentes em cada conta, com a ajuda de um gerenciador de senhas, e essa categoria inteira para de funcionar.

Perguntas frequentes