A verificação em duas etapas, também chamada de autenticação de dois fatores (2FA), pede uma segunda prova além da senha, então uma senha roubada sozinha não abre a conta. A chave de acesso (passkey) vai além: troca a senha por uma chave guardada no seu aparelho e liberada com digital, rosto ou bloqueio de tela. Quando houver escolha, prefira passkey ou chave de segurança, depois app autenticador ou aviso no aplicativo, e deixe o SMS para quando não houver outra opção.
Duas etapas e passkey: o que muda na prática
Na verificação em duas etapas você digita a senha e depois prova que é você com algo que só você tem (código, aviso no celular, chave física) ou algo que você é (digital, rosto). O ponto fraco dos códigos é que você os digita: numa página falsa que imita o login, o golpista recebe o código e o usa na hora. O NIST, órgão de padrões dos EUA, afirma no SP 800-63B-4 que códigos digitados, de app ou de SMS, não são resistentes a phishing, e cita o WebAuthn, base das passkeys, como padrão que é. Na passkey a chave privada não sai do aparelho e só vale para o site verdadeiro, então não há o que entregar.
Os cinco métodos lado a lado
| Método | Ponto forte | Ponto fraco | Quando usar |
|---|---|---|---|
| Código por SMS | Funciona em qualquer celular, sem instalar nada | O Google avisa que códigos por SMS ou ligação podem ser vulneráveis a ataques ligados ao número de telefone. O NIST trata esse canal como restrito | Só quando for a única opção. Ainda é melhor que a senha sozinha |
| App autenticador | Gera o código sem internet nem sinal. O CERT.br o indica quando o SMS não é possível, como em viagem | O código também é digitado, então site falso engana. Migre os códigos ao trocar de celular | Padrão para quem ainda não tem passkey |
| Aviso no app (push) | Um toque, sem digitar. O Google recomenda seus avisos a quem não usa passkey | A CISA alerta para o bombardeio de avisos, em que o golpista dispara pedidos até alguém aceitar, e indica a confirmação por número | Quando o serviço pede o número na tela. Recuse aviso que você não pediu |
| Chave de segurança | Aparelho físico que o Google diz proteger contra phishing | Custa dinheiro. Se perder, é preciso outro jeito de entrar: segunda chave ou códigos de backup | Donos, administradores e contas que movimentam dinheiro |
| Passkey | Sem senha para vazar ou digitar. Resistente a phishing. Pode ficar no celular, no computador, num gerenciador de senhas ou numa chave | Depende de onde foi salva e de quem desbloqueia esse aparelho. Crie só em aparelho seu | Sempre que o serviço oferecer |
Fontes: Google, CISA, CERT.br e NIST SP 800-63B-4 (regras para sistemas do governo dos EUA, usadas como referência técnica).
Como ativar em cada serviço
Nomes de menu mudam por versão e por idioma. Os caminhos abaixo vêm das páginas oficiais, consultadas em inglês; no aparelho em português os nomes podem variar.
Google (Gmail, Drive, Perfil da Empresa)
Abra a Conta do Google, vá em Security & sign-in e, em How you sign in to Google, escolha Turn on 2-Step Verification. Para passkey, use myaccount.google.com/signinoptions/passkeys e escolha Create a passkey, só em aparelho seu. Quem não usa passkey deve preferir os avisos do Google ao SMS, segundo a página oficial.
Apple (conta Apple, ID Apple)
No iPhone ou iPad, vá em Settings, toque no seu nome, depois em Sign-In & Security e ligue a autenticação de dois fatores (no Mac, System Settings). Pela web, entre em account.apple.com e escolha Upgrade Account Security. Conforme a página da Apple, se a conta já nasceu com duas etapas a proteção não pode ser removida, e quem ativou há pouco tem até duas semanas para voltar atrás. A Apple sugere ter também um número confiável que não seja o do iPhone.
Microsoft (Outlook, Microsoft 365)
Entre em account.microsoft.com/security, escolha Manage how I sign in e, em Additional security, Two-step verification, Turn on. Para passkey, em account.live.com/proofs/manage escolha Add a new way to sign in or verify e depois Face, Fingerprint, PIN, or Security Key. A Microsoft recomenda manter três informações de segurança na conta.
WhatsApp e WhatsApp Business
Nas configurações do WhatsApp, abra Account e depois Two-Step Verification. Crie um PIN de seis dígitos e cadastre um e-mail para redefini-lo se esquecer. Esse PIN não é o código de 6 dígitos que chega por SMS, e a central do WhatsApp diz para nunca passar nenhum dos dois a ninguém (veja o golpe do código de 6 dígitos). No WhatsApp Business o caminho é o mesmo, e a página da Meta para empresas manda trocar o PIN quando alguém da equipe sair e usar o Meta Business Suite para dividir a caixa de entrada sem repassar login nem número. Conta já invadida? Veja WhatsApp Business invadido. A passkey que o WhatsApp anunciou em outubro de 2025 protege o backup das conversas, não o login.
Instagram e Facebook
A central de ajuda da Meta bloqueia a leitura automática, então este guia não traz nomes de menu que não foram conferidos. A página oficial, Securing Your Meta Account With Two-Factor Authentication, está nas fontes abaixo. Siga o que ela mostrar e, se houver app autenticador, escolha-o em vez do SMS.
App do banco
Cada banco tem seus recursos, então o passo a passo é o do próprio app. Use só o app oficial e ative o que ele oferecer para confirmar login e transações. O CERT.br orienta a nunca informar por e-mail ou telefone o código mostrado no token nem os códigos do cartão de segurança.
Códigos de backup e o que fazer se perder o celular
Os códigos de backup são a porta reserva. No Google, cada conjunto tem 10 códigos de uso único, e gerar um conjunto novo desativa o anterior. Guarde-os num lugar seguro, como junto de documentos importantes, e nunca os compartilhe. O CERT.br orienta gerar nova lista se ela se perder ou for vista por outra pessoa. No negócio, use um armário trancado e anote quem sabe onde está.
Se você perdeu o celular, siga esta ordem:
- Troque a senha e saia da conta no aparelho perdido, como orienta o Google.
- Entre por outro caminho cadastrado: outro celular conectado, código de backup, chave de segurança ou passkey de outro aparelho.
- Recupere o número. Peça à operadora para passar a linha para um chip novo, como sugere o Google.
- WhatsApp: instale no aparelho novo e verifique o número. O app pede o PIN e, se você o esqueceu, há a opção de PIN esquecido. Se ele pedir um PIN que você nunca criou, a página oficial manda esperar 7 dias antes de redefinir.
- Apple e Microsoft: sem aparelho ou número confiável, a Apple fala em alguns dias ou mais (contatá-la não acelera) e a Microsoft fala em 30 dias.
Sem nenhum segundo passo, a recuperação de conta do Google pode levar de 3 a 5 dias úteis. Se alguém já entrou na sua conta, siga o guia meu e-mail foi hackeado. Ferramentas de IA ligadas ao e-mail ou ao Drive são mais um acesso a revisar, como explica o guia de segurança ao usar IA no negócio.
Checklist de 15 minutos para equipe pequena
A CISA, agência de cibersegurança dos EUA, manda priorizar e-mail, serviços financeiros, redes sociais e lojas online. Qualquer segunda etapa é melhor que nenhuma.
- 2 min: liste as contas que movem dinheiro ou clientes. E-mail, banco, WhatsApp Business, Instagram, Facebook, loja online e domínio do site.
- 4 min: e-mail primeiro, de cada pessoa. No Google Workspace, o administrador pode exigir a verificação no console (Menu, Security, Authentication, 2-step verification), com período de inscrição e relatório de quem já ativou; bloquear códigos por SMS deixa de fora quem só usa SMS. No Microsoft 365, ligue os security defaults no Microsoft Entra admin center (Identity, Overview, Properties); tenants criados depois de outubro de 2019 já vêm com eles ativos.
- 2 min: WhatsApp Business. PIN de seis dígitos, e-mail de recuperação e revisão dos aparelhos conectados.
- 2 min: Instagram e Facebook. Ative pela página oficial da Meta e prefira app autenticador ao SMS.
- 2 min: banco. Só o app oficial, com os recursos que o banco oferece. Combine que ninguém repassa código ou token.
- 2 min: códigos de backup. Imprima os do e-mail principal e guarde-os trancados.
- 1 min: teste. Saia de uma conta e entre de novo. Confira que o e-mail e o telefone de recuperação são da empresa, não do celular pessoal de um funcionário.
Os passos de administrador seguem as páginas do Google Workspace e da Microsoft nas fontes. Menus mudam, então confira antes de aplicar.
Perguntas frequentes
O SMS ainda vale a pena como segunda etapa?
Vale mais do que nenhuma: a CISA diz que qualquer segunda etapa é melhor que nenhuma. Mas o Google avisa que códigos por SMS podem ser vulneráveis a ataques ligados ao número de telefone, então troque por passkey, aviso no app ou app autenticador assim que o serviço permitir.
A passkey substitui a verificação em duas etapas?
No Google, entrar com passkey dispensa o segundo passo, porque ela já confirma que o aparelho é seu. Cada serviço tem suas regras, e em conta de trabalho o administrador pode limitar o uso. Confira na página oficial de cada um.
Preciso comprar uma chave de segurança física?
Não. A passkey no celular ou no computador já protege contra phishing. A chave física é opcional e faz mais sentido para donos, administradores e contas que movimentam dinheiro.
Perdi o celular e não tenho os códigos de backup. E agora?
Tente outro aparelho conectado, uma chave de segurança ou a passkey de outro aparelho. Sem nenhum deles, use a recuperação de conta do serviço: o Google fala em 3 a 5 dias úteis, a Apple em alguns dias ou mais e a Microsoft em 30 dias.
Fontes: CISA: Multifactor Authentication (More than a password) · NIST SP 800-63B-4: Digital Identity Guidelines, Authentication and Authenticator Management (julho de 2025) · CERT.br: Fascículo Verificação em Duas Etapas (Cartilha de Segurança para Internet) · Google: Ativar a verificação em duas etapas (2-Step Verification) · Google: Entrar com uma chave de acesso (passkey) em vez de senha · Google: Códigos de backup · Google: Resolver problemas comuns da verificação em duas etapas e perda do celular · Google Workspace: Deploy 2-Step Verification (administradores) · Apple: Autenticação de dois fatores para a conta Apple · Apple: Números de telefone e aparelhos confiáveis · Apple: Segurança das passkeys · Microsoft: Verificação em duas etapas na conta Microsoft · Microsoft: Entrar com uma passkey · Microsoft: Ativar a autenticação multifator no Microsoft 365 (administradores) · WhatsApp: Central de Ajuda, código de verificação e verificação em duas etapas · WhatsApp Business: Protecting your business on WhatsApp, security best practices · Meta (WhatsApp): Making it easier to encrypt your WhatsApp chat backups (outubro de 2025) · Instagram (Meta): Securing Your Meta Account With Two-Factor Authentication · FIDO Alliance: Passkeys
