Quase todo serviço sério oferece verificação em duas etapas, e a pergunta virou "com o quê?". As três opções que aparecem na tela de configuração — código por SMS, aplicativo autenticador e chave física de segurança — não são variações do mesmo mecanismo. Elas resistem a ataques diferentes, e a distância entre a pior e a melhor é grande.
Os três segundos fatores mais comuns
Código por SMS. O serviço manda seis dígitos para o seu número. É melhor que nada e barra o ataque mais comum de todos: alguém tentando entrar com uma senha vazada. Mas o número de telefone é um identificador frágil: na fraude de troca de chip, o golpista convence a operadora a portar sua linha e passa a receber os códigos.
Aplicativo autenticador (TOTP). No cadastro, o site mostra um QR code que carrega um segredo compartilhado. O aplicativo guarda esse segredo e, combinando-o com o relógio do aparelho, gera um código novo a cada trinta segundos. Não depende de rede nem da operadora e funciona em modo avião. Dá para gerar um código TOTP online e acompanhar a contagem regressiva antes de configurar suas contas; o algoritmo está detalhado em o que é um código TOTP.
Chave de segurança (FIDO2/WebAuthn). Um dispositivo físico que guarda uma chave privada. No login, o navegador pede uma assinatura, você toca no sensor e pronto. A chave privada nunca sai do hardware: nem para o site, nem para o seu computador.
A propriedade que realmente separa as três
Resistência a phishing. Um código TOTP é apenas um número. Se você cair em uma página falsa que imita o banco, digitar a senha e o código, e o golpista repassar os dois ao site verdadeiro dentro da janela de trinta segundos, ele entra. O mesmo vale para o SMS: nenhum dos dois sabe para qual site você está olhando.
A chave de segurança sabe. Durante o cadastro, ela amarra o par de chaves ao domínio real do serviço. Se a página for uma imitação hospedada em outro endereço, a chave simplesmente não produz assinatura válida — não há o que digitar, não há o que repassar, e a desatenção humana deixa de ser suficiente para perder a conta. Essa é a diferença que justifica o custo, e ela não depende da atenção do usuário.
Como é usar uma chave na prática
Fisicamente são dispositivos do tamanho de um chaveiro, com conector USB-A ou USB-C, muitos com NFC para encostar no celular e alguns com Lightning. O cadastro leva menos de um minuto: na área de segurança da conta, escolher "adicionar chave de segurança", conectar, tocar no sensor e nomear o dispositivo. Ele gera um par de chaves exclusivo para aquele site; a pública fica com o serviço, a privada fica no hardware para sempre.
As desvantagens são reais. Custa dinheiro, e o conselho sério é comprar duas chaves e cadastrar as duas em todas as contas — uma no chaveiro, outra guardada em casa. Perder a única chave cadastrada, sem códigos de recuperação, é perder a conta. Nem todo serviço aceita FIDO2 — por aqui, vários bancos e sistemas públicos ainda não. E no celular sem NFC o uso fica desconfortável.
Onde o aplicativo autenticador continua ganhando
É gratuito, aceita quantas contas você quiser, funciona em praticamente qualquer serviço que ofereça 2FA e não exige carregar nada além do celular que você já leva. Também é fácil de migrar: guardando os segredos de configuração — o texto por trás do QR code — em local seguro, ou usando um aplicativo com backup criptografado, trocar de aparelho não vira drama. O erro clássico é configurar dezenas de contas em um único celular, sem cópia nenhuma.
Onde entram as passkeys
A passkey usa exatamente a mesma criptografia FIDO2 da chave física: mesma resistência a phishing, mesma amarração ao domínio. A diferença está em onde a chave privada mora: em vez de um dispositivo separado, ela fica no celular, no notebook ou no gerenciador de senhas, protegida por biometria ou PIN, e costuma sincronizar entre seus aparelhos. Na prática, é a proteção da chave física com a conveniência do que você já tem no bolso; em troca, a segurança passa a depender da conta que sincroniza. Antes de adotar, vale ler o que é uma passkey e como ela funciona.
A senha continua embaixo de tudo
Segundo fator não conserta senha ruim, e muita conta ainda permite redefinição por e-mail sem pedir o segundo fator. Cada serviço merece uma senha longa e exclusiva, guardada em gerenciador — e, quando precisar criar uma do zero, um gerador de senhas e frases secretas resolve melhor do que a imaginação. Frases longas e aleatórias são mais fáceis de digitar e mais difíceis de quebrar do que oito caracteres com um símbolo no fim.
A escada de recomendação
- Ative qualquer segundo fator. SMS ligado protege muito mais do que o 2FA perfeito que você nunca configurou.
- Troque SMS por aplicativo autenticador onde for possível. É gratuito e elimina o risco da troca de chip. Se nunca usou, familiarize-se com o fluxo em um gerador de códigos 2FA antes de migrar as contas de verdade.
- Adicione chave física ou passkey nas contas de maior valor: o e-mail principal, o gerenciador de senhas, o registrador do domínio, contas financeiras e acessos de desenvolvedor ou de nuvem. É contra elas que o phishing dirigido acontece.
- Guarde os códigos de recuperação fora da internet: impressos em envelope, ou em um cofre que não dependa da conta que eles destravam.
O elo mais fraco costuma ser o e-mail
Nada disso adianta se a caixa de entrada usada para recuperar as demais contas estiver desprotegida: quem controla o e-mail principal redefine a senha de quase todo o resto. Proteja essa conta primeiro, com o fator mais forte que ela aceitar, e reduza a exposição dela. Cadastro para baixar PDF, teste de aplicativo e promoção de loja não precisam do seu endereço real: uma caixa de e-mail temporária resolve esses casos e mantém o endereço principal fora das bases que um dia vazam.
Resumo honesto
O aplicativo autenticador é o padrão sensato para quase todo mundo: gratuito, universal e imune à troca de chip. Chaves de segurança e passkeys são a única categoria que impede o phishing por construção, e valem o investimento nas contas que abrem as portas de todas as outras. O SMS fica em último lugar, mas ainda é melhor do que nada — desde que os códigos de recuperação e o e-mail por trás dele estejam igualmente protegidos.
