Apps autenticadores e senhas de app: como funcionam

Um aplicativo autenticador produz senhas de uso único baseadas no tempo, um método geralmente chamado de TOTP. Quando você ativa a autenticação em dois fatores por aplicativo, o serviço mostra um QR code. Esse código contém uma chave secreta, e ao escaneá-lo você guarda uma cópia dessa chave dentro do app. A partir daí, o serviço e o seu celular compartilham o mesmo segredo, que nunca mais precisa trafegar pela rede.

Para criar um código, o app combina o segredo com a hora atual, arredondada para um intervalo curto que costuma ser de 30 segundos, e passa o resultado por uma função criptográfica padrão. Em seguida, reduz o resultado a um número curto, normalmente de seis dígitos. O servidor faz o mesmo cálculo do lado dele e compara os dois resultados. Como os dois lados só precisam do segredo e de um relógio, o app funciona sem dados móveis e sem Wi-Fi.

Esse funcionamento explica o problema mais comum: códigos recusados mesmo quando você digitou tudo certo. Se o relógio do celular estiver adiantado ou atrasado, o app calcula códigos para a janela de tempo errada. Configurar a data e a hora para atualizar automaticamente costuma resolver, e alguns apps também têm uma opção de correção de horário.

Qualquer app compatível com o método padrão TOTP funciona com a maioria dos serviços, então a escolha de verdade depende de como o app cuida dos seus segredos. As grandes empresas de tecnologia oferecem os próprios apps, entre eles o Google Authenticator e o Microsoft Authenticator, e muitos gerenciadores de senhas também conseguem guardar códigos TOTP.

Procure uma forma de fazer backup ou exportar os códigos, porque um app que os guarda em um único celular transforma a perda do aparelho em um bloqueio total. Se o app sincroniza com uma conta na nuvem, confira se essa conta também está bem protegida e dê preferência a apps que criptografam o backup. Um bloqueio do app por digital, rosto ou PIN acrescenta proteção caso alguém pegue o seu celular desbloqueado.

Alguns apps autenticadores também oferecem aprovação por notificação para as contas da própria empresa, em que você toca para confirmar o login em vez de digitar um código. É prático, mas só funciona com aquele provedor. Para todos os outros serviços, o app se comporta como um gerador de códigos comum.

Nas configurações de segurança da conta, escolha a opção de configurar um aplicativo autenticador. Escaneie o QR code com o app ou digite a chave de configuração manualmente, se não conseguir escanear. O serviço vai pedir o código atual para comprovar que a configuração deu certo. Não pule essa etapa e não feche a página até o código ser aceito.

Dê um nome claro para cada entrada, se o app permitir, principalmente quando você gerencia várias contas do mesmo serviço. Uma entrada que mostra só o nome da marca é fácil de confundir com outra, e apagar a entrada errada pode deixar você sem acesso.

Aproveite para salvar os códigos de backup ou de recuperação que o serviço oferecer. Eles são o jeito mais simples de voltar a entrar se o celular com o autenticador for perdido antes de você fazer um backup dos códigos.

A regra mais segura é simples: configure o celular novo enquanto o antigo ainda funciona. Não formate, não venda e não entregue o aparelho antigo como parte do pagamento de outro até que todos os códigos tenham sido transferidos e testados.

Muitos apps autenticadores têm um recurso de transferência ou exportação que mostra um ou mais QR codes no celular antigo para o novo escanear. Outros restauram as entradas a partir de um backup criptografado na nuvem quando você entra na sua conta no novo aparelho. Depois da transferência, entre em algumas contas usando os novos códigos para confirmar que eles batem.

Se o seu app não tiver opção de transferência, mova as contas uma por uma. Entre em cada serviço, abra as configurações de autenticação em dois fatores, escolha adicionar ou trocar o autenticador, escaneie o novo QR code com o celular novo e confirme o código. Em muitos serviços, a entrada antiga para de funcionar quando o segredo é substituído, então apague-a depois para evitar confusão. Deixe os códigos de backup por perto durante a mudança, caso algo dê errado no meio do caminho.

Uma senha de app é uma senha longa, gerada aleatoriamente, que permite que um aplicativo ou dispositivo específico entre na sua conta sem passar pela autenticação em dois fatores. Ela existe para programas mais antigos que só entendem nome de usuário e senha e não conseguem exibir um pedido de código nem abrir uma página de login.

Contas Google, Microsoft e Yahoo, entre outras, permitem criar senhas de app nas configurações de segurança, na maioria dos casos só depois que a verificação em duas etapas foi ativada. Alguns tipos de conta, como certas contas corporativas ou educacionais e contas inscritas nos programas de segurança mais rígidos, podem nem oferecer essa opção. Normalmente você vê cada senha de app uma única vez, no momento em que ela é criada, então cole-a no aplicativo na hora.

Como a senha de app pula o segundo fator, trate-a como uma senha completa da caixa de e-mail que ela protege. Crie uma senha diferente para cada app ou dispositivo, dê a ela um nome descritivo quando o serviço permitir e nunca a reutilize em outro lugar.

Os aplicativos de e-mail modernos entram nos grandes provedores por uma janela de login no estilo de navegador, que cuida da autenticação em dois fatores diretamente, então não precisam de senha de app. Em geral, você só vai precisar de uma quando um programa ou dispositivo se conecta com configurações simples de IMAP, POP ou SMTP e um campo de senha comum: clientes de e-mail antigos para computador, alguns apps de e-mail para celular, scanners e impressoras que enviam e-mail, ferramentas de backup, scripts e dispositivos inteligentes mais antigos.

Um bom teste é tentar primeiro o login normal. Se o app abrir a página de login do próprio provedor, use-a. Se ele só oferecer configurações de servidor e continuar recusando a sua senha correta depois que você ativou a autenticação em dois fatores, esse é o sinal para criar uma senha de app, digitá-la no lugar da sua senha normal e deixar as demais configurações como estão.

Os provedores vêm afastando os usuários do login por senha simples em apps de terceiros, então uma senha de app que funciona hoje pode deixar de ser aceita mais para frente. Quando um programa do qual você depende parar de se conectar, veja se uma versão mais nova já aceita o método de login moderno antes de criar mais uma senha de app.

Revise de vez em quando as suas senhas de app nas configurações de segurança da conta e revogue as que você não usa mais, principalmente as de aparelhos que você vendeu ou de programas que desinstalou. Alguns provedores listam cada senha de app separadamente, enquanto outros só permitem remover todas de uma vez. Em alguns serviços, trocar a senha principal também revoga as senhas de app existentes, então esteja preparado para criar novas depois.

Se você recebeu uma conta de e-mail de outra pessoa, por exemplo por meio de um marketplace de produtos digitais como o rStock, remova todas as senhas de app e entradas de autenticador que não foram criadas por você e, depois, configure o seu próprio autenticador e gere novos códigos de backup. No rStock, o conteúdo entregue aparece na página do pedido como um registro de entrega vinculado ao pedido, então copie os dados para o seu gerenciador de senhas antes de começar a alterá-los. Use qualquer conta que você obtiver de acordo com os termos de uso do provedor.

Por fim, sempre que possível, mantenha o app autenticador, os códigos de backup e as senhas de app separados entre si. Um único celular roubado ou uma anotação vazada nunca deveria bastar para entregar a alguém todas as chaves do seu e-mail.