SEGURANÇA / TUTORIAL
Passkeys e verificação em duas etapas: proteja o login sem se trancar para fora
Entenda quando usar uma chave de acesso, como ativar uma segunda etapa e onde guardar os códigos de recuperação.
Revisão das fontes em
Ative a proteção e teste um caminho alternativo antes de trocar de aparelho ou remover métodos antigos.
Senha, código do autenticador e chave de acesso resolvem partes diferentes do login. Conhecer essa diferença evita tanto aprovações automáticas de pedidos suspeitos quanto a perda de acesso ao trocar de celular.
1. Entenda as duas opções
A verificação em duas etapas acrescenta uma confirmação ao login com senha, como um código ou uma chave física. Uma passkey, também chamada chave de acesso, usa criptografia e pode ser desbloqueada pelo PIN ou biometria do dispositivo. Ela fica vinculada ao serviço correto, o que oferece resistência a páginas falsas de login. Isso não elimina riscos de um aparelho comprometido ou de métodos de recuperação fracos.
Em alguns serviços, uma passkey já atende à autenticação exigida e dispensa um código extra. Portanto, não receber SMS após usá-la não significa, por si só, que a proteção foi desligada.
2. Configure uma passkey em aparelho seu
- Abra o site ou app oficial do serviço e entre nas configurações de segurança.
- Procure por Chaves de acesso ou Passkeys. Na Conta do Google, a documentação aponta para a área de chaves de acesso.
- Confira em qual aparelho ou gerenciador a chave será salva e siga a confirmação de bloqueio de tela.
- Teste o acesso mantendo uma sessão já aberta, para poder corrigir a configuração se necessário.
Crie a chave apenas em dispositivos pessoais sob seu controle. Dependendo do provedor, ela pode ser sincronizada ou permanecer vinculada a um equipamento; confira isso antes de trocar de sistema ou vender o aparelho.
3. Ative a segunda etapa onde for necessária
Se o serviço usa senha, procure Verificação em duas etapas ou Autenticação de dois fatores. Escolha um método oferecido que você consiga manter. Um app autenticador gera códigos temporários; chaves físicas e passkeys oferecem proteção contra phishing em fluxos compatíveis. Leia a tela antes de confirmar um pedido: não aprove um login que você não iniciou.
Quando cadastrar um autenticador, finalize a confirmação com o primeiro código e verifique as opções de transferência ou recuperação do aplicativo. Tirar uma captura do QR code e deixá-la em uma galeria compartilhada não é um bom plano de backup.
4. Guarde os códigos alternativos
Quando o serviço oferecer códigos de recuperação, salve-os em local protegido, acessível mesmo sem o celular principal. Na Conta do Google, cada código alternativo só serve uma vez; gerar uma nova lista invalida a anterior. Marque os códigos utilizados e substitua a cópia antiga quando renovar a lista.
5. Faça o teste da troca de aparelho
Antes de apagar o celular antigo, confirme o login no novo, o acesso ao e-mail de recuperação e o funcionamento do método alternativo. Só então remova dispositivos e chaves que deixaram de ser seus. Se uma configuração falhar, mantenha o método antigo temporariamente e consulte o fluxo oficial de recuperação, sem excluir a única forma de entrada.
Fontes para aprofundar
Orientações baseadas na documentação indicada abaixo. Confira os requisitos e a disponibilidade na fonte oficial; os menus e recursos podem variar por versão.