2FA — conceito e como funciona
Dois fatores de autenticação bloqueiam o acesso mesmo se a senha for comprometida.
O que é autenticação em dois fatores
A autenticação em dois fatores (2FA, ou MFA — Multi-Factor Authentication) é um método de segurança que exige duas verificações distintas para completar o login:
- Algo que você sabe — a senha
- Algo que você tem — um código temporário gerado por um aplicativo no seu celular
Mesmo que a senha seja vazada ou descoberta, o invasor ainda precisa do segundo fator (o código do celular) para entrar — o que é muito mais difícil de obter.
Como funciona na prática
- O usuário insere e-mail e senha normalmente
- A evob solicita o código de 6 dígitos gerado pelo aplicativo
- O usuário abre o app autenticador (Google Authenticator, Authy ou similar)
- O código exibido no app é válido por 30 segundos — o usuário digita e confirma
- Acesso liberado
O código muda a cada 30 segundos com base em um algoritmo sincronizado com a hora do dispositivo (TOTP — Time-based One-Time Password).
Aplicativos autenticadores compatíveis
| Aplicativo | Plataforma | Gratuito | |---|---|---| | Google Authenticator | iOS e Android | ✅ | | Microsoft Authenticator | iOS, Android e Windows | ✅ | | Authy | iOS, Android e Desktop | ✅ | | 1Password (embutido) | iOS, Android e Desktop | ✅ (com assinatura) | | Bitwarden Authenticator | iOS e Android | ✅ |
Qualquer app compatível com TOTP (RFC 6238) funciona com a evob.
Tipos de 2FA suportados
| Tipo | Como funciona | Segurança | |---|---|---| | App autenticador (TOTP) | Código de 30 segundos no celular | ⭐⭐⭐ Alta | | SMS | Código enviado por mensagem de texto | ⭐⭐ Média (sujeito a SIM swap) | | E-mail | Código enviado para o e-mail cadastrado | ⭐ Mais baixa |
A evob recomenda o uso de app autenticador sempre que possível.
2FA para admins vs. 2FA para alunos
| | 2FA de admins | 2FA de alunos | |---|---|---| | Onde configurar | Plataforma > Segurança > 2FA | Loja > Configurações > Segurança | | Pode ser obrigatório? | Sim — Admin de Plataforma pode tornar obrigatório | Sim — Admin de Loja pode tornar obrigatório por loja | | Artigo detalhado | Ativar 2FA | 2FA para alunos |
Boas práticas
✅ Faça
- Use app autenticador em vez de SMS — SMS é vulnerável a ataques de SIM swap
- Guarde os códigos de recuperação gerados na configuração do 2FA — eles são o único caminho de acesso se você perder o celular
- Torne o 2FA obrigatório para todos os Admins de Plataforma
❌ Não faça
- Usar o mesmo celular para 2FA e para armazenar senhas — se o celular for comprometido, os dois fatores ficam no mesmo lugar
- Compartilhar o código de 6 dígitos com outra pessoa — ele é de uso único e pessoal
- Ignorar alertas de "código usado" — se alguém usou o código antes de você, há acesso não autorizado
Erros comuns
"Configurei o 2FA mas não tenho mais acesso ao celular"
Use os códigos de recuperação que foram gerados no momento da configuração. Se não os salvou, entre em contato com o suporte — será necessário verificar sua identidade para reconfigurar o 2FA.
"O código de 6 dígitos está sendo recusado"
O código TOTP é válido por 30 segundos e sincronizado com o horário do dispositivo. Se o horário do celular estiver incorreto (mesmo por alguns minutos), os códigos gerados ficam fora de sincronia. Ative a sincronização automática de horário nas configurações do celular.
"Quero usar 2FA mas minha equipe usa celulares corporativos sem internet"
Apps autenticadores como Google Authenticator funcionam sem conexão com a internet — o código é gerado localmente com base no horário do dispositivo. Basta ter o app instalado e configurado uma única vez com internet.
"O app autenticador foi reinstalado e perdi as contas cadastradas"
Apps como Authy fazem backup na nuvem automaticamente. Se usava Google Authenticator sem backup, os códigos foram perdidos — use os códigos de recuperação ou contate o suporte.
Próximos passos
- 📖 Ativar 2FA (autenticação em 2 fatores)
- 📖 2FA para alunos
- 📖 Sessão e timeout de login
- 📖 Tentativas de login e bloqueio de conta
Foi útil este artigo? 👍 👎 Falar com CS (em produção) · Pergunte ao Vob 🤖 (em produção) Última atualização: 2026-05-06