Vamos começar pela parte desconfortável: é provável que alguma senha sua já esteja circulando em uma lista de vazamentos. Não porque você fez algo errado — mas porque algum site em que você se cadastrou anos atrás foi invadido, e o banco de dados dele acabou publicado.
Isso, sozinho, não seria grave. O que torna grave é o hábito que quase todo mundo tem: reaproveitar a mesma senha, ou variações óbvias dela, em vários lugares. O invasor não precisa descobrir sua senha do e-mail. Ele pega a que vazou do site de compras e testa no e-mail, no banco e no sistema da empresa — automaticamente, milhares de contas por minuto.
É por isso que a maioria das invasões não envolve nenhuma técnica sofisticada. Não houve invasão: alguém entrou com a senha certa.
Por que trocar a senha toda hora não resolve
Durante anos a recomendação foi trocar a senha a cada 90 dias. Ela foi abandonada por quem a criou, e por um motivo simples: obrigado a trocar toda hora, o ser humano faz a única coisa possível — cria uma senha memorizável e a incrementa. Empresa2024 vira Empresa2025, e depois Empresa2025!.
O resultado é uma senha previsível, trocada com frequência e anotada num papel embaixo do teclado.
O que funciona de forma eficiente: senhas longas, diferentes em cada serviço, guardadas num gerenciador de senhas confiável — e, acima de tudo, uma segunda etapa de verificação.
A senha responde "você sabe o segredo?". A segunda etapa responde "você está com o aparelho?". São perguntas diferentes, e o invasor do outro lado do mundo não consegue responder a segunda.
A Microsoft já publicou que contas protegidas com verificação em duas etapas bloqueiam mais de 99% dos ataques automatizados. É a melhoria de segurança mais barata que existe: leva cinco minutos e não custa nada.
Como funciona, sem jargão
Ao ativar a verificação em duas etapas, o sistema mostra um QR Code. Você o escaneia com um aplicativo autenticador no celular, e pronto: aquele aplicativo passa a gerar um número de seis dígitos que muda a cada 30 segundos.
Na hora de entrar, além da senha, o sistema pede esse número.
Duas coisas costumam surpreender quem faz isso pela primeira vez:
- Funciona sem internet. O aplicativo não conversa com servidor nenhum para gerar o código — ele o calcula a partir de um segredo guardado no aparelho e da hora atual. Funciona em modo avião.
- O segredo nunca sai do celular. Quem invadir o servidor do sistema não consegue gerar os seus códigos.
Nem toda segunda etapa vale o mesmo
Existem três formas comuns, e a diferença entre elas é grande.
| Forma | Proteção | Observação |
|---|---|---|
| Código por SMS | Fraca | Melhor que nada, mas vulnerável à troca de chip — o golpista convence a operadora a transferir seu número para o chip dele e passa a receber os seus códigos. Use só quando não houver outra opção. |
| Aplicativo autenticador | Boa | O equilíbrio certo para a maioria das empresas: gratuito, funciona offline e não depende da operadora. É o padrão recomendado. |
| Chave física de segurança | Muito boa | Um dispositivo USB que precisa ser tocado para autorizar. Resiste até a sites falsos, mas custa dinheiro e se perde. Vale para quem tem acesso a dados críticos. |
As três perguntas que travam a adoção
Na prática, a verificação em duas etapas não é rejeitada por desconfiança da tecnologia. Ela é rejeitada por três medos concretos — e todos têm resposta.
"E se eu perder o celular?"
É a pergunta mais importante, e a que quase ninguém responde antes de ativar. Ao ligar a verificação, o sistema entrega códigos de backup: uma lista de códigos de uso único que substituem o aplicativo quando ele não está disponível.
Imprima essa lista e guarde fora do celular — numa gaveta trancada, junto de documentos importantes. Não guarde no e-mail, e principalmente não guarde uma foto dela no próprio celular, que é justamente o aparelho que você pode perder.
"Vou ter que digitar um código toda vez?"
Não. Em geral o código é pedido no primeiro acesso de cada aparelho e depois só volta a aparecer em situações específicas: navegador novo, computador novo, ou uma operação sensível. No dia a dia, a maioria das pessoas digita o código algumas vezes por mês.
"O código está certo e o sistema recusa"
Esta é a falha mais comum e a menos explicada — vale entender, porque a solução é imediata.
Como o código é calculado a partir da hora atual, os dois lados precisam concordar sobre que horas são. Se o relógio do celular estiver alguns minutos adiantado ou atrasado, o número gerado é válido para outro instante, e o sistema recusa um código que parece perfeitamente correto.
A correção: ligue o ajuste automático de data e hora no celular. Nos aplicativos autenticadores mais comuns há também um ajuste próprio de sincronização de horário. E vale lembrar que o relógio errado pode ser o do servidor — se todo mundo na empresa começou a ser recusado ao mesmo tempo, o problema não está nos celulares.
Como ativar na plataforma JRMM Soluções
Leva cerca de cinco minutos, uma vez por pessoa:
- Instale um aplicativo autenticador no celular. Serve qualquer um compatível com o padrão — Google Authenticator, Microsoft Authenticator, Authy, 1Password ou Bitwarden. Não há preferência nossa, e você não fica preso a nenhum.
- Na plataforma, acesse o seu Perfil e localize a seção de verificação em duas etapas.
- Escaneie o QR Code exibido na tela com o aplicativo.
- Digite o código de seis dígitos para confirmar que deu certo.
- Guarde os códigos de backup que aparecem em seguida. Eles são exibidos uma única vez.
Duas observações sobre como isso foi construído. A verificação segue o padrão aberto usado por praticamente todos os serviços — por isso funciona com qualquer aplicativo autenticador e você não depende de um app nosso. E algumas operações mais sensíveis, como publicar uma atualização ou baixar uma cópia de segurança, só são liberadas para quem entrou com a verificação em duas etapas: senha sozinha não abre essas portas.
Por onde começar
Ativar em tudo de uma vez costuma gerar confusão. A ordem que faz mais sentido é por consequência de perda:
- O e-mail principal, primeiro. Ele é a chave-mestra: quem controla o seu e-mail redefine a senha de todo o resto pelo "esqueci minha senha". Proteger o sistema da empresa e deixar o e-mail sem segunda etapa é trancar a porta e deixar a janela aberta.
- Bancos e meios de pagamento.
- Os sistemas de gestão da empresa.
- Redes sociais e demais serviços.
E uma recomendação para quem tem equipe: ative primeiro na sua conta, use por uma semana e só então proponha ao time. É muito mais fácil responder às três perguntas da seção anterior depois de ter passado por elas.
Precisa de ajuda?
Se a sua empresa usa a plataforma JRMM Soluções e você quer ativar a verificação em duas etapas para toda a equipe, podemos orientar a implantação — inclusive a parte que não é técnica, que é preparar as pessoas para a mudança.
