O que é um aplicativo autenticador?

Um aplicativo autenticador gera os códigos de seis dígitos que você digita depois da senha quando a verificação em duas etapas (2FA) está ativada. Na configuração, o serviço mostra um QR code com uma chave secreta. O app guarda a chave e, com ela e a hora atual, calcula um código novo a cada 30 segundos. Funciona offline, e cada código deixa de valer logo depois.

Como os códigos são gerados

O QR code traz uma chave secreta que só o serviço e o seu celular conhecem. A cada 30 segundos, o app combina a chave com a hora atual e transforma o resultado num número de seis dígitos. O serviço faz a mesma conta; se os números baterem, você entra. O método é um padrão aberto chamado TOTP (RFC 6238), e é por isso que qualquer app autenticador funciona com qualquer serviço que ofereça a opção “app autenticador”.

Nada é enviado para o celular, então o app funciona até no modo avião. É também por isso que o relógio do celular importa: se ele estiver um minuto ou mais errado, os códigos costumam ser recusados (como resolver).

Por que é mais seguro que código por SMS

• Um SMS passa pela rede da operadora. Quem tomar o seu número, por exemplo convencendo a operadora a liberar um chip novo (o golpe do SIM swap), recebe seus códigos também. A chave de um app autenticador fica no seu celular.
• Funciona no exterior, sem sinal e sem número de telefone.
• Depois da configuração, a chave nunca sai do celular, então não há nada para interceptar no caminho.

Não é perfeito: uma página de login falsa bem feita pode pedir seu código e usar na mesma hora. Confira o endereço antes de digitar um código. As chaves-senha (passkeys) não podem ser roubadas assim, nos serviços que já aceitam.

Como configurar

1. Instale um app autenticador.
2. No serviço, abra as configurações de segurança, procure a verificação em duas etapas e escolha app autenticador (não SMS).
3. Escaneie o QR code com o app. Não consegue escanear? A maioria dos serviços também mostra a chave como texto para você digitar.
4. Digite o código atual do app para confirmar.
5. Guarde os códigos de backup que o serviço mostrar, em outro lugar que não o celular. Eles garantem a entrada se você perder o celular.

Qual app escolher?

Todos geram os mesmos códigos. A diferença está em onde suas chaves ficam e como elas vão para um celular novo:

• Google Authenticator pode salvar os códigos na sua Conta do Google ou funcionar sem conta. Como transferir para outro celular.
• Microsoft Authenticator também cuida das aprovações de login de contas Microsoft e do trabalho, e faz backup no iCloud ou na sua conta Microsoft. Como transferir para outro celular.
• Gerenciadores de senhas, como o app Senhas da Apple no iPhone, o 1Password e o Bitwarden, guardam o código junto com a senha.
• Apps separados, como 2FAS, Ente Auth e Kode, guardam os códigos longe das senhas, então um vazamento não entrega as duas coisas.

Alguns serviços usam um app próprio, como o Steam Guard. E as aprovações com um toque (“É você? Sim”) são um recurso do app daquele serviço, não dos apps autenticadores em geral.

Se você perder o celular

A chave só existe onde o app a guarda. Se ela estava sincronizada ou com backup, você recupera no celular novo. Se não, ela se perdeu: entre com um código de backup ou com a recuperação de conta do serviço, e configure a verificação em duas etapas de novo. É por isso que os códigos de backup são tão importantes.

Kode

O Kode é um app para iPhone de Peter Theill (R$ 12,90, uma vez só) que gera esses códigos, sem conta, sem anúncios e sem conexão com a internet. Suas chaves secretas ficam nas Chaves do iPhone e vão com você para um iPhone novo pelas Chaves do iCloud, que têm criptografia de ponta a ponta. Ele consegue trazer seus códigos do Google Authenticator e de outros apps: Leve seus códigos para o Kode.