Todo serviço com verificação em duas etapas mostra a mesma tela uma única vez: um bloco de oito ou dez sequências curtas, um botão dizendo "já salvei" e nenhuma segunda chance. Quase todo mundo clica no botão. Quase ninguém salva os códigos. Aí o celular é roubado, resetado ou cai na água — e aquelas sequências eram a única porta que ainda estava aberta.
Vale entender bem esses códigos, porque eles se comportam de forma diferente de qualquer outra credencial sua. Se você ainda está configurando o segundo fator, dá para gerar e testar a parte de seis dígitos com um autenticador TOTP online gratuito e tratar os códigos de backup como um passo separado e consciente.
O que é, de fato, um código de recuperação
É um segredo pré-gerado, de uso único, que o serviço aceita no lugar do seu segundo fator. Ele não deriva da sua senha nem da semente do seu aplicativo autenticador. O servidor gerou um lote de sequências aleatórias quando você ativou o 2FA, guardou os hashes e exibiu o texto puro exatamente uma vez.
Isso tem duas consequências. A primeira: o serviço realmente não consegue mostrá-los de novo, porque não os tem mais — só os hashes. A segunda: quem tiver uma dessas sequências pula seu segundo fator por completo. Um código de recuperação não é uma dica nem uma pergunta secreta. É uma chave de força total.
Como diferem do código TOTP
Os seis dígitos do seu aplicativo mudam a cada trinta segundos porque são calculados a partir de um segredo compartilhado e do horário atual. É isso que um código TOTP é, e por isso ele funciona offline e expira tão rápido.
Os códigos de recuperação são o oposto em quase tudo:
- Não expiram. Um impresso em 2023 ainda funciona hoje, a não ser que você tenha regerado o lote.
- São de uso único. Usar um queima aquele; os demais continuam válidos.
- São mais longos. De 8 a 16 caracteres, porque precisam resistir a tentativas de adivinhação sem a janela de 30 segundos protegendo.
- São finitos. Dez é o lote comum. Gaste os dez e sobram chamados de suporte e documento com foto.
Onde guardar
O problema do armazenamento é incômodo: os códigos precisam sobreviver à perda do celular, mas não podem ficar em lugar algum que alguém com a sua senha já alcance. Isso elimina os dois lugares que as pessoas realmente usam — uma nota no próprio celular e um e-mail para si mesmo.
O que funciona:
- Um gerenciador de senhas, em uma entrada separada da conta. Não dentro do mesmo item de login e, de preferência, em um cofre com outra senha mestra.
- Impressos em papel, num lugar físico. Fora de moda e imbatível. Uma folha dobrada numa gaveta sobrevive à perda do celular, ao bloqueio da nuvem e a um golpe de troca de chip ao mesmo tempo. Anote o nome do serviço: dez sequências anônimas não ajudam ninguém.
- Um arquivo criptografado num pendrive ou disco offline. Ótimo se você já tem esse hábito; um peso se não tem.
O que não funciona: prints na galeria (eles sincronizam com a mesma conta que você tenta proteger), arquivos de texto em drives compartilhados, mensagens para si mesmo no chat e o preenchimento automático do navegador. Se o código está onde a sua sessão logada consegue ler, quem roubar essa sessão também lê.
Escolha o que escolher, proteja bem o recipiente. Um cofre ou um arquivo criptografado valem o que vale a chave que os abre — bom motivo para usar uma frase secreta gerada em vez de uma inventada como senha mestra.
Como usar um e o que fazer depois
Na tela do 2FA, procure "usar um código de backup", "tentar de outra forma" ou equivalente. Cole um código e você entra. Depois faça três coisas imediatamente, porque a conta está enfraquecida:
- Cadastre um novo segundo fator no aparelho atual antes de fechar a aba.
- Regere o lote inteiro. A maioria dos serviços permite isso nas configurações de segurança. Isso invalida todos os códigos antigos, inclusive cópias que você não controla mais.
- Revise as sessões ativas e revogue o que não reconhecer.
Se não sobrou código nem aparelho, você está no cenário difícil que cobrimos no guia sobre recuperar o acesso quando o autenticador some: verificação de identidade, processos por provedor e dias de espera em vez de minutos.
O hábito de dez minutos que evita tudo isso
Da próxima vez que um serviço mostrar códigos de recuperação, não feche a tela até que eles existam em dois lugares que não falhariam juntos. E uma vez por ano gaste dez minutos conferindo se os códigos do seu e-mail, do gerenciador de senhas e do banco principal continuam onde você acha que estão, e se a contagem bate com a que o serviço informa.
A conta de e-mail merece o maior cuidado, já que é o caminho de redefinição de todo o resto. Esse também é o argumento para não cadastrá-la em qualquer lugar: uma caixa de entrada descartável para cadastros passageiros mantém seu endereço real, e os códigos dele, fora de circulação.
