Senhas, verificação em duas etapas e chaves de acesso: como proteger suas contas

Proteger uma conta envolve três problemas diferentes: impedir que alguém adivinhe ou reutilize uma senha, evitar que uma página falsa roube os dados de login e conseguir entrar de novo se o telefone ou computador for perdido. Nenhum método resolve tudo sozinho. O melhor resultado vem de combinar credenciais exclusivas com uma forma de login resistente a golpes e um plano de recuperação.

Senhas únicas impedem que um vazamento se espalhe

Quando uma senha é roubada de um site, criminosos podem tentar a mesma combinação em outros serviços. Se a senha foi reutilizada, um vazamento pode se transformar em várias contas invadidas.

Use uma senha diferente para cada serviço. Um gerenciador de senhas pode gerar e guardar combinações longas e aleatórias para que você não precise memorizá-las. Para uma senha que será digitada e usada sozinha, um bom objetivo prático é usar pelo menos 15 caracteres. Uma frase-senha longa também pode funcionar, desde que não seja uma citação conhecida, um dado pessoal ou uma sequência previsível.

Evite trocar todas as senhas em intervalos fixos sem motivo: isso pode levar a mudanças previsíveis, como acrescentar um número ao final. Troque a senha quando houver sinal de invasão, exposição em vazamento ou reutilização. Se um serviço avisar que a senha foi comprometida, altere-a nesse serviço e em qualquer outro lugar onde a mesma senha tenha sido usada.

O gerenciador também precisa de proteção. Use uma senha principal longa e exclusiva e ative nele uma passkey, uma chave de segurança ou outra forma de verificação em duas etapas, se disponível. Quem obtiver acesso ao gerenciador pode alcançar muitas outras contas.

Duas etapas nem sempre significam dois fatores

Uma senha é algo que você sabe. Um telefone ou uma chave física são algo que você tem. Uma impressão digital ou o rosto são algo que você é. A autenticação de dois fatores combina elementos de categorias diferentes, como senha e código de um aplicativo. Apenas dividir o login em duas telas não garante, por si só, que existam dois fatores distintos.

A segunda etapa ajuda quando alguém descobre sua senha: essa pessoa ainda precisa passar por outra verificação. Mas o nível de proteção depende do método escolhido.

Códigos por SMS

O serviço envia um código para o número de telefone cadastrado. É simples de usar e costuma ser melhor do que não ter nenhuma segunda etapa. Porém, o número pode ser transferido para um chip controlado por um golpista, e o próprio código pode ser obtido por meio de uma página falsa ou de uma conversa fraudulenta.

Nunca informe um código recebido a alguém que ligou, enviou uma mensagem ou pediu ajuda para “confirmar” sua conta. O código serve para você concluir um login que iniciou.

Aplicativos autenticadores

Um aplicativo autenticador mostra códigos temporários no próprio aparelho. Como o código não depende da rede de telefonia nem da caixa de entrada do e-mail, esse método evita alguns riscos associados ao SMS. Ainda assim, se uma página falsa pedir o código enquanto você tenta entrar em uma conta, digitá-lo pode permitir que o golpista use o login em tempo real.

Se o aplicativo oferecer sincronização ou cópia de segurança, confira como recuperar os códigos ao trocar ou perder o telefone. Sem isso, o aparelho perdido pode dificultar o acesso às contas.

Notificações de aprovação

Alguns serviços enviam uma notificação perguntando se você está tentando entrar. Aprove apenas uma solicitação que corresponde a um login iniciado por você. Se surgirem pedidos inesperados — especialmente vários seguidos —, negue-os e verifique a segurança da conta. Aprovar uma notificação desconhecida para fazê-la parar pode entregar o acesso.

Passkeys: o aparelho prova sua identidade sem enviar a senha

Uma passkey substitui a senha digitada. Quando você cria uma, o aparelho ou o gerenciador de credenciais produz duas chaves relacionadas: uma privada, mantida no seu dispositivo ou gerenciador, e uma pública, registrada pelo serviço. No login, o serviço apresenta um desafio; o aparelho usa a chave privada para responder depois que você confirma sua identidade com o PIN, a impressão digital ou o reconhecimento facial.

A chave é vinculada ao site ou aplicativo para o qual foi criada. Por isso, ela não pode ser digitada por engano em uma página falsa com um endereço parecido. A biometria também não é enviada ao serviço: ela apenas libera a chave no aparelho.

Em alguns serviços, a passkey substitui a senha e já comprova que você tem acesso ao dispositivo. Em outros, ela funciona como uma opção adicional de login. O comportamento varia conforme a implementação, por isso confira quais métodos continuam habilitados na conta depois de configurá-la.

Passkeys sincronizadas ou guardadas em um único dispositivo?

Uma passkey sincronizada fica disponível em aparelhos conectados ao mesmo gerenciador de credenciais. Isso facilita entrar em um telefone novo, mas torna importante proteger também a conta que controla a sincronização. Ative a verificação em duas etapas nessa conta e mantenha as opções de recuperação atualizadas.

Uma passkey vinculada a um dispositivo ou a uma chave física fica restrita àquele aparelho ou token. É uma opção útil para quem quer uma credencial separada, mas exige planejamento: se perder o único dispositivo ou a única chave, talvez não consiga entrar. Para contas muito importantes, considere cadastrar um segundo método seguro antes de depender exclusivamente do primeiro.

Em ambos os casos, teste o acesso em outro dispositivo ou confirme como a recuperação funciona antes de remover a senha ou desativar métodos antigos.

O ponto fraco pode ser a recuperação da conta

Um login forte não ajuda se alguém consegue redefinir a senha usando um e-mail desprotegido. Proteja primeiro o e-mail principal, pois ele costuma ser usado para recuperar outras contas. Também proteja a conta Apple, Google, Microsoft ou outro serviço que sincroniza suas passkeys e senhas.

Se o serviço fornecer códigos de recuperação, guarde-os em um lugar seguro separado do telefone usado para autenticação — por exemplo, impressos em local protegido ou armazenados em um gerenciador seguro. Mantenha telefone e e-mail de recuperação atualizados. Se cadastrar uma chave física, tenha uma alternativa guardada separadamente.

Por onde começar

Priorize as contas que podem abrir caminho para as demais:

1. E-mail principal: crie uma senha exclusiva e ative passkey ou verificação em duas etapas.
2. Gerenciador de senhas e conta de sincronização: proteja-os com senha exclusiva e o método de autenticação mais forte disponível.
3. Banco, pagamentos e redes sociais: ative passkeys ou outra forma de verificação em duas etapas.
4. Demais serviços: substitua senhas repetidas e use o gerenciador para criar combinações exclusivas.
5. Recuperação: guarde códigos, atualize os contatos de recuperação e confira a lista de dispositivos conectados.

Para a maioria das pessoas, a combinação prática é usar senhas únicas guardadas em um gerenciador, ativar passkeys onde estiverem disponíveis e usar um aplicativo autenticador ou chave de segurança nos serviços que ainda dependem de senha. SMS continua sendo uma camada útil quando é a única opção, mas não deve ser tratado como equivalente a uma passkey.

O primeiro passo é proteger o e-mail principal e o gerenciador de senhas; depois, avance para as contas financeiras e redes sociais. Antes de remover uma senha ou trocar de telefone, confirme que você consegue recuperar suas credenciais e entrar por outro dispositivo. Essa preparação reduz tanto a chance de perder contas para um golpista quanto a de ficar trancado fora das próprias contas.