Início / 2FA explicado: SMS vs app autenticador vs chave física

2FA explicado: SMS vs app autenticador vs chave física

Uma senha sozinha não basta — é isto que os três segundos fatores mais comuns realmente protegem.

A autenticação em dois fatores (2FA) pede algo além da sua senha ao entrar — um código, um toque ou uma chave física — para que uma senha roubada sozinha não baste para invadir sua conta. Mas nem todo 2FA é igualmente forte. É assim que os três métodos comuns realmente se comparam.

Códigos por SMS

Um código enviado por mensagem de texto ao seu celular. É melhor que nenhum 2FA, mas é a opção mais fraca: SIM-swapping (um atacante convence sua operadora a transferir seu número para o SIM dele) e interceptação de rede SS7 podem driblar isso sem tocar no seu aparelho. Use apenas quando um serviço não oferecer nada melhor.

Apps autenticadores (TOTP)

Apps como Google Authenticator, Authy ou os integrados ao Proton Pass, Bitwarden e 1Password geram um código de 6 dígitos que muda a cada 30 segundos, calculado localmente no seu aparelho a partir de um segredo compartilhado — nada é transmitido para recebê-lo, o que já elimina o SIM-swapping. Seu ponto fraco é o phishing: uma página de login falsa ainda pode te enganar a digitar o código no site do atacante em tempo real.

Chaves de segurança físicas (FIDO2 / WebAuthn)

Uma chave física (YubiKey, Google Titan e outras) que você toca ou insere para confirmar o login. Diferente de um código, ela verifica de forma criptográfica que você está no site real antes de responder — uma página falsa simplesmente não recebe uma resposta válida, o que a torna o único método comum genuinamente resistente a phishing. O custo é comprar uma chave e carregá-la com você.

Passkeys — a alternativa mais nova

As passkeys usam a mesma tecnologia FIDO2 das chaves físicas, mas guardam a credencial no seu celular ou computador em vez de um dispositivo separado, desbloqueada por sua digital, rosto ou PIN. São resistentes a phishing como as chaves físicas e não exigem comprar nada, mas o suporte varia por site e por como você as sincroniza entre dispositivos — veja nossa entrada do glossário para detalhes.

Qual usar de verdade?

Em ordem de prioridade: uma chave física ou passkey para suas contas mais importantes (e-mail principal, seu gerenciador de senhas, banco, trabalho); um app autenticador para o resto; SMS só quando um serviço realmente não oferecer nada melhor. A maioria dos gerenciadores de senhas — incluindo os da nossa comparativa de gerenciadores — já consegue guardar e gerar códigos de autenticação por conta própria, então você não precisa de um app separado.

Termos relacionados: Autenticação em dois fatores (2FA) · Passkey (FIDO2) · Senha mestra

Perguntas frequentes

Qualquer 2FA é melhor que nenhum?

Sim. Até o SMS, a opção comum mais fraca, impede a grande maioria dos ataques automatizados que só têm uma senha roubada. Ative o que um serviço oferecer em vez de pular o 2FA esperando uma opção melhor.

Posso usar meu gerenciador de senhas em vez de um app autenticador separado?

Sim — Proton Pass, Bitwarden e 1Password conseguem gerar códigos de autenticação diretamente, o que é mais prático. A contrapartida: se alguém invadir seu gerenciador de senhas, teria os dois fatores em um só lugar.

O que acontece se eu perder minha chave física ou celular?

Todo serviço sério permite registrar um método de backup — uma segunda chave, códigos de backup, ou um segundo celular — configure isso antes de precisar, não depois.

As passkeys substituem as senhas por completo?

Esse é o objetivo, mas a adoção é gradual — a maioria dos sites que suportam passkeys ainda permite voltar a uma senha, e muitos sites ainda não as suportam.