Códigos de backup 2FA: como fazer backup da autenticação de dois fatores para que ela nunca tranque você (ou sua família) do lado de fora

O que são códigos de backup 2FA e por que importam?

Senhas deixaram de ser suficientes há muito tempo. Vazam em violações, são reutilizadas entre sites e podem ser adivinhadas, roubadas por phishing ou compradas. A autenticação de dois fatores é a correção que funciona de verdade: mesmo com sua senha em mãos, um invasor ainda precisa do código de seis dígitos que seu celular gera a cada trinta segundos, ou de uma chave física que só você tem. Se uma conta importa para você, ela deve ter essa segunda trava.

Mas a segunda trava concentra tudo num único dispositivo. As chaves secretas por trás desses códigos geralmente vivem só no app autenticador do seu celular. Perca o celular, quebre-o ou morra com ele bloqueado, e os códigos se foram. Mesmo alguém com todas as suas senhas não consegue passar por ela.

É para isso que servem os códigos de backup. Quando você ativa a autenticação de dois fatores, a maioria dos serviços entrega um conjunto de códigos de recuperação de uso único. O Google, por exemplo, emite dez códigos de oito dígitos; cada um funciona uma vez, e gerar um novo conjunto cancela o antigo. Outros serviços usam um padrão parecido com nomes como códigos de recuperação, códigos de emergência ou códigos reserva. Seja qual for o nome, eles são o único caminho de volta que não depende de um dispositivo que você talvez não tenha.

Quais são os três tipos de 2FA, e como cada um é copiado?

Nem todos os segundos fatores falham do mesmo jeito, então não são copiados do mesmo jeito. Ajuda saber qual tipo cada uma das suas contas usa.

• Códigos por SMS e e-mail

  O código chega por mensagem de texto ou e-mail. Não há nada para copiar em si, mas há muito a perder: um número de telefone pode ser sequestrado enquanto você está vivo, e depois de uma morte o contrato geralmente é cancelado e o número acaba reciclado. Trate o SMS como a opção mais fraca, guarde os códigos de recuperação da conta mesmo assim, e garanta que quem cuidar dos seus assuntos saiba para qual número e e-mail os códigos vão.

• Apps autenticadores (TOTP)

  Apps como Google Authenticator, Authy, Microsoft Authenticator, 2FAS e Aegis guardam um segredo para cada conta e o transformam num código novo a cada trinta segundos. O segredo é o que precisa de backup. O Google Authenticator pode sincronizar os códigos com sua Conta Google e exportá-los como imagens QR; o Authy sincroniza backups criptografados protegidos por uma senha de backup que ele não consegue recuperar para você. Gerenciadores de senhas como 1Password e Bitwarden podem guardar os mesmos segredos ao lado da senha, então um único cofre criptografado carrega os dois fatores (em alguns planos, isso é recurso pago). Seja qual for o app, os códigos de recuperação de uso único do serviço continuam sendo sua reserva se o app e a sincronização falharem.

• Chaves de segurança físicas e passkeys

  Uma chave de segurança como a YubiKey mantém o segredo dentro do hardware, e esse é o ponto: ele não pode ser lido nem copiado. A recomendação da própria Yubico é comprar uma reserva e registrá-la em todas as contas ao mesmo tempo que a principal, porque uma reserva não registrada é inútil depois. As passkeys são parecidas em espírito, mas vivem em software; a sincronização da Apple pelas Chaves do iCloud, e os equivalentes do Google e dos gerenciadores de senhas, as levam entre seus próprios dispositivos. Nem uma chave nem uma passkey pode ser entregue a um familiar como arquivo, então para essas contas os códigos de recuperação e uma reserva registrada importam ainda mais.

Como faço backup dos meus códigos 2FA hoje?

Reserve uma hora. A tarefa é chata, mas só precisa ser feita direito uma vez, e depois um complemento rápido sempre que você adicionar uma conta.

• Liste as contas que têm 2FA

  Abra seu app autenticador e anote todas as contas que estão nele, depois adicione as que usam SMS ou chave de segurança. E-mail, banco, operadora de celular, gerenciador de senhas e armazenamento em nuvem vêm primeiro; são as contas das quais as outras recuperações dependem.

• Baixe os códigos de recuperação de cada uma

  Nas configurações de segurança de cada conta, encontre os códigos de backup ou recuperação e salve o conjunto. Se você já usou alguns deles, gere um conjunto novo para que sua cópia esteja completa. Anote a data ao lado de cada conjunto.

• Exporte os segredos do autenticador

  A maioria dos apps consegue exportar suas contas como uma ou mais imagens QR, ou sincronizar com uma conta ou cofre. Se o seu app oferece exportação, tire uma captura de tela de cada imagem QR que ele mostrar, nesse mesmo celular. Juntas, elas são uma cópia completa e restaurável do seu segundo fator: instalar qualquer app autenticador e escaneá-las traz todos os códigos de volta. Se o seu app não oferece exportação (o Authy, por exemplo), a própria sincronização criptografada dele é o substituto mais próximo, então registre a senha de backup junto com seus outros códigos de recuperação.

• Trate a cópia como chaves ativas

  Exporte apenas em hardware que você controla. Tire as capturas de tela do rolo da câmera imediatamente, apague-as de Apagados Recentemente e verifique se a sincronização de fotos na nuvem já não as pegou. Quem tiver essas imagens consegue gerar seus códigos.

Onde devo guardar os códigos de backup 2FA com segurança?

Os lugares de costume são os que falham. Capturas de tela numa pasta de downloads, códigos enviados por e-mail para você mesmo, um arquivo de texto na área de trabalho: sem criptografia, espalhados e impossíveis de qualquer outra pessoa encontrar anos depois. Os códigos de backup devem viver num só lugar que seja criptografado, que você ainda terá depois de perder um celular e que alguém de confiança possa alcançar um dia.

• O cofre de um gerenciador de senhas

  O lar mais prático para a maioria das pessoas. Coloque os códigos de recuperação de cada conta nas notas do login correspondente, e guarde o segredo TOTP lá também, se o seu gerenciador suportar. Um cofre, uma senha mestra, tudo pareado. O ponto fraco é a recuperação do próprio cofre: o PDF do Emergency Kit do 1Password (com sua Secret Key) e os códigos 2FA do próprio gerenciador precisam de um lar fora do cofre.

• Papel num lugar seguro

  Códigos impressos num envelope lacrado, num cofre em casa ou num cofre de banco, sobrevivem a qualquer tipo de falha de dispositivo. O custo é que o papel envelhece: cada conta nova ou conjunto regenerado significa reimprimir.

• Não na conta que ele protege

  Os códigos de recuperação do seu e-mail nunca devem ficar só nesse e-mail. Os códigos do seu gerenciador de senhas nunca devem ficar só nesse cofre. Cada conjunto precisa ser alcançável sem a coisa que ele destrava.

O que acontece com meu 2FA quando eu morrer?

Nada, e esse é o problema. O app autenticador continua gerando códigos num celular que ninguém consegue desbloquear. A chave de segurança fica numa gaveta, registrada em contas que ninguém sabe nomear. As mensagens de texto vão para um número que a operadora encerra alguns meses depois. Cada conta que você protegeu com cuidado continua protegida, agora contra as pessoas que você gostaria de ver lá dentro.

Uma lista de senhas sozinha não resolve isso. Seu parceiro pode saber perfeitamente a senha do e-mail e ainda ser barrado no segundo passo; o mesmo vale para o banco, as fotos na nuvem e a renovação do domínio. Existem processos de recuperação das plataformas para parentes próximos, mas são lentos, variam por empresa e país e geralmente dão acesso limitado ou nenhum. O caminho prático é o mesmo que você usaria depois de perder o celular: códigos de recuperação e segredos exportados, guardados por alguém que sabe que eles existem. Nosso guia sobre senhas após a morte cobre o lado das senhas da mesma questão.

Como passo o acesso 2FA para a família?

Seja qual for o método escolhido, ele precisa passar em três testes: os códigos ficam ilegíveis para todos hoje, chegam à pessoa certa depois, e essa pessoa sabe como usá-los. Um envelope lacrado passa no primeiro e falha no terceiro, a menos que você adicione instruções. Seja qual for a escolha, adicione um parágrafo por conta: o que é, qual segundo fator usa, onde estão os códigos e o que fazer primeiro.

• Acesso de emergência do gerenciador de senhas

  Vários gerenciadores permitem indicar um contato de confiança que pode solicitar acesso ao seu cofre; o Emergency Access do Bitwarden concede o acesso após um tempo de espera que você define, a menos que você recuse, e é um recurso dos planos pagos. Se seus códigos de recuperação e segredos TOTP vivem no cofre, isso entrega os dois fatores de uma vez. Depende de essa pessoa manter a própria conta ativa e de o gerenciador ainda existir, então combine com uma cópia em papel dos dados de recuperação do próprio cofre.

• Uma nota lacrada com uma pessoa de confiança ou advogado

  Códigos de recuperação impressos, as imagens exportadas do autenticador e um breve passo a passo, lacrados e deixados com um advogado ou inventariante. Confiável e simples, mas envelhece rápido, e você precisa confiar que o envelope nunca será aberto antes da hora.

• Um dead man's switch

  Um serviço que guarda seus códigos criptografados e os libera para pessoas escolhidas só se você parar de fazer check-in. Ele adiciona a única coisa que falta num envelope lacrado: entrega automática quando você não está mais lá para entregá-lo. Veja como um dead man's switch se compara a um gerenciador de senhas para as vantagens e desvantagens.

Como o PostMortem lida com códigos de backup 2FA?

O PostMortem é um app gratuito para iOS e Android construído como um dead man's switch. Você cria uma caixa de mensagens, adiciona as pessoas que devem recebê-la e escolhe um intervalo de check-in de uma hora a doze meses. Você faz check-in com um toque no app; os lembretes chegam por e-mail e push conforme o intervalo se esgota. Se você parar de fazer check-in e o intervalo acabar, a caixa é liberada para seus destinatários.

Para backups de dois fatores, uma caixa pode guardar suas credenciais de login com os códigos de recuperação escritos ao lado de cada senha, uma mensagem de texto explicando qual conta usa qual segundo fator e até cinco arquivos anexados de 20 MB cada, o que basta para as imagens QR exportadas do seu app autenticador. Mensagens, senhas, nomes e conteúdo dos arquivos são criptografados no seu celular com AES-256 antes do envio e descriptografados no navegador do destinatário; os servidores do PostMortem nunca veem o conteúdo em texto aberto. O nome da caixa, os endereços dos destinatários e o cronograma de check-in ficam legíveis para que os lembretes e a entrega funcionem.

A descriptografia precisa de um cartão da chave de acesso, uma imagem com código QR que você compartilha com cada destinatário enquanto está vivo. Esse cartão é o que transforma uma caixa liberada em códigos legíveis, então deve ser guardado com o mesmo cuidado que os próprios códigos. Como a caixa é sua, a mesma cópia está lá para você no dia em que estiver configurando um celular novo. Mais sobre o modelo em como funciona e na página de segurança.

Perguntas frequentes

• O que é um código de backup 2FA?

  Um código de uso único que um serviço entrega quando você ativa a autenticação de dois fatores. Ele substitui o código habitual do seu celular ou chave se esse dispositivo for perdido. Cada um funciona uma vez; a maioria dos serviços permite gerar um novo conjunto a qualquer momento, o que cancela o antigo.

• Perdi meu celular com o app autenticador. Como volto a entrar?

  Use os códigos de recuperação que você salvou ao configurar o 2FA, ou restaure o app a partir da sincronização na nuvem ou de uma exportação num celular novo. Se não tiver nenhum desses, cada serviço tem seu próprio processo de recuperação de conta, que pode levar dias e exigir comprovação de identidade.

• O que acontece com o 2FA quando alguém morre?

  O segundo fator continua funcionando contra todo mundo, inclusive a família que tem as senhas. A menos que códigos de recuperação ou uma exportação do autenticador tenham sido salvos e repassados, o único caminho é o processo de cada plataforma para parentes próximos, que varia por empresa e país e costuma ser lento ou limitado. Isto é informação geral, não aconselhamento jurídico.

• É seguro guardar códigos 2FA num gerenciador de senhas?

  Para a maioria das pessoas, sim: um cofre criptografado é mais seguro do que capturas de tela e mantém os códigos ao lado das senhas correspondentes. A única regra é que os dados de recuperação do próprio cofre e os códigos 2FA dele precisam viver fora do cofre.

• Como dou à minha família acesso ao meu 2FA sem compartilhá-lo agora?

  Use algo que permaneça lacrado até ser necessário: o acesso de emergência de um gerenciador de senhas com tempo de espera, uma nota lacrada com um advogado ou um dead man's switch que libera códigos criptografados só se você parar de fazer check-in. Adicione instruções escritas em todos os casos.

• Com que frequência devo renovar meus backups de 2FA?

  Sempre que adicionar uma conta ao seu autenticador, usar um código de recuperação ou regenerar um conjunto. Uma verificação anual é um mínimo sensato; o checklist de legado digital é um bom momento para isso.