MFA: o que é e como funciona na Evob
Com o MFA ligado, depois da senha a pessoa recebe um link de verificação por SMS ou por e-mail e só entra depois de abrir esse link, e a regra é da plataforma inteira, não de cada conta.
O que é
MFA é a autenticação multifator: além da senha, a pessoa confirma o acesso por um segundo caminho. Se a senha vazar, quem a descobriu ainda não entra.
Na Evob, o segundo caminho é um link de verificação enviado para o telefone ou para o e-mail do cadastro.
Como é na prática
- A pessoa digita e-mail e senha.
- A tela mostra Verificação enviada.
- Ela recebe o link:
- por SMS, quando o cadastro tem um celular brasileiro válido;
- por e-mail, nos demais casos.
- Ao abrir o link, o acesso é liberado e a tela mostra Verificação concluída.
- Se o link não for aberto dentro do prazo, ou a verificação for negada, a tela mostra Verificação negada e volta para o login.
Na tela de espera há o botão Reenviar verificação.
A regra é por plataforma
O MFA é ligado para a plataforma inteira, com duas chaves independentes:
| Chave | Quem passa a usar MFA |
|---|---|
| Client | Todos que entram no site: os alunos |
| Admin | Todos que entram no admin: colaboradores de plataforma, loja e produto |
Não existe MFA por conta. Não dá para ligar para uma pessoa e desligar para outra, e ninguém ativa o MFA sozinho no próprio perfil.
O que a Evob não usa
- Aplicativo autenticador (códigos que mudam a cada 30 segundos): não há.
- Códigos de recuperação para guardar: não há.
- Leitura de QR Code para configurar: não há.
Por isso não existe etapa de configuração para a pessoa: com a chave ligada, o link passa a ser pedido no login seguinte.
Quando ligar
Admin: ligue sempre. Quem entra no admin vê dados financeiros e dados pessoais de alunos.
Client: avalie. O MFA protege a conta do aluno, mas acrescenta um passo a cada login. Faz mais sentido quando:
- o aluno acessa conteúdo restrito ou de alto valor;
- a plataforma é de treinamento corporativo, com dados da empresa;
- há sinais de compartilhamento de contas.
Do que o MFA depende
- Cadastro correto. O link vai para o telefone ou o e-mail do cadastro. Dado desatualizado significa pessoa trancada do lado de fora.
- Prazo do link. O campo Tempo de expiração define por quanto tempo o link vale.
- Login com SSO. Quem entra por SSO com Microsoft Entra ID é autenticado pela conta da empresa. Nesse caso, o segundo fator é o que a própria empresa exige na conta Microsoft.