Se eu tivesse que escolher uma única dica de segurança digital pra dar pra todo mundo, seria essa: ativem autenticação em dois fatores em todas as contas que importam. Não é exagero. É a diferença entre um cadeado de bicicleta e uma fechadura tetra.
Mas existem três jeitos de fazer 2FA, e eles não são equivalentes. Este artigo explica cada um, quando usar, e como ativar nos lugares certos.
O que é 2FA, em uma frase
Autenticação em dois fatores é exigir duas provas independentes de que você é você antes de liberar acesso. A primeira costuma ser algo que você sabe (senha). A segunda é algo que você tem (celular, chave física) ou algo que você é (biometria).
A ideia: mesmo que vazem sua senha, o atacante ainda precisa do segundo fator. Como ele está do outro lado do mundo, esse segundo fator é o que ele não tem.
Os três tipos de 2FA, do pior para o melhor
SMS — o "melhor que nada"
Como funciona: você loga, o serviço manda um código de 6 dígitos por SMS, você digita.
Prós: simples, não exige app, funciona em qualquer celular.
Contras: SMS não foi feito pra segurança. Existem vários ataques que interceptam ou redirecionam mensagens:
- SIM swap — atacante transfere seu número pra um chip dele. Detalhes aqui.
- SS7 — falha do protocolo de telefonia permite interceptar SMS em casos específicos (raro contra alvos comuns, mas existe).
- Phishing assistido — sites falsos que repassam o código em tempo real pro atacante logar.
Veredito: use SMS se for a única opção do serviço. Para Instagram, WhatsApp, Google, Apple ID: prefira app autenticador.
App autenticador — a escolha padrão
Como funciona: você instala um app no celular (Google Authenticator, Authy, Microsoft Authenticator), conecta sua conta via QR Code, e o app gera um código novo a cada 30 segundos. Esse código é calculado localmente, sem internet, sem SMS no meio.
Prós:
- Imune a SIM swap (não depende do número)
- Funciona offline
- Códigos rotativos — mesmo se interceptados, expiram rápido
- Grátis
Contras:
- Se você perder o celular, perde acesso (por isso códigos de recuperação são essenciais)
- Migrar pra celular novo dá trabalho (alguns apps facilitam — Authy faz cloud backup criptografado, por exemplo)
Qual app escolher? Para a maioria, Authy é o equilíbrio ideal: tem backup criptografado e funciona em múltiplos dispositivos. Para quem quer o máximo de simplicidade, Google Authenticator. Para quem usa Microsoft 365, Microsoft Authenticator.
Chave física (FIDO2 / Passkey) — o ouro
Como funciona: um dispositivo físico (YubiKey, Google Titan) que você conecta por USB ou encosta no celular por NFC. Ele responde a um desafio criptográfico que prova que é ele, sem revelar nenhuma senha.
Em 2026, isso evoluiu também para Passkeys — chaves criptográficas guardadas no seu próprio iPhone/Android/Mac/PC, com biometria como destravador.
Prós:
- Imune a phishing (a chave só responde pro domínio original — sites falsos não conseguem extrair credencial)
- Imune a SIM swap
- Não pode ser copiada
- Passkeys: experiência tão simples quanto digitar a senha, sem o risco
Contras:
- Chave física: custa ~$50 e precisa ser carregada com você
- Nem todo serviço suporta (cobertura ampla em 2026, mas ainda há gaps)
- Se perder/quebrar, precisa do código de recuperação ou de uma segunda chave (sempre tenha duas)
Veredito: para e-mail e Apple/Google ID, vale o investimento. Para Instagram/WhatsApp, Passkey já cobre a maioria dos casos.
Onde ativar 2FA, em ordem de prioridade
- E-mail principal (Gmail, Outlook, iCloud) — Porta da casa. Se perde, perde tudo.
- Apple ID / Conta Google — Controla seu celular inteiro.
- Banco e PIX — Óbvio.
- Instagram, WhatsApp, Facebook — Imagem pública + contatos.
- Twitter/X, TikTok, LinkedIn — Imagem pública.
- Serviços de assinatura (Netflix, Spotify) — Menos crítico, mas vale.
Códigos de recuperação: o passo que ninguém faz
Quando você ativa 2FA, o serviço mostra 8-10 códigos de uso único. Eles servem pra recuperar acesso se você perder o celular. São tão importantes quanto a senha.
Onde guardar:
- ✅ Impressos em papel guardado em casa
- ✅ Cofre do gerenciador de senhas (Bitwarden, 1Password)
- ❌ Captura de tela no rolo da câmera (se o celular for invadido, vão junto)
- ❌ Anotados no app Notas sem proteção
- ❌ E-mail pra si mesmo (defeat the purpose)
O erro mais comum: ativar SMS e achar que está protegido
Muita gente ativa 2FA por SMS, dorme tranquila, e meses depois é vítima de SIM swap. Lembre: SMS é melhor que nada, mas se o serviço oferece app autenticador, use-o. Migrar é rápido: desativa o SMS, ativa o app, pronto.
Vale também checar configurações de "métodos de recuperação". Alguns serviços oferecem 2FA por app e mantém o SMS como backup. Se o atacante fizer SIM swap, ele pula pro backup. Desative o backup por SMS sempre que possível.
Em resumo: 2FA é não-negociável em 2026. App autenticador é o padrão. Chave física ou Passkey para contas críticas. Salve os códigos de recuperação como se fossem dinheiro vivo — porque praticamente são.