A verificação em duas etapas (também chamada de autenticação em dois fatores, ou 2FA) faz o login pedir uma segunda prova além da senha: um código, uma aprovação no celular, uma chave física ou a biometria. Se a senha vazar, o invasor ainda fica do lado de fora. O CERT.br recomenda ativá-la em todas as contas que oferecem o recurso e redobrar a atenção com as que dão acesso a vários serviços, como o gov.br.
Abaixo estão os caminhos de quatro serviços que concentram boa parte da vida digital no Brasil, conferidos nas páginas de ajuda oficiais em outubro de 2026. Os menus mudam com as atualizações, então, se um nome estiver diferente na sua tela, procure a seção de segurança da conta.
Antes de ativar: três coisas para ter à mão
Ativar sem preparar a recuperação é a forma mais comum de perder o acesso à própria conta. Antes de começar, separe:
- Um e-mail de recuperação que você acessa de verdade. O WhatsApp usa o e-mail para redefinir a senha da verificação; o gov.br recomenda cadastrar um.
- Um lugar seguro para códigos de backup, como um gerenciador de senhas ou um papel guardado em casa (não uma foto na galeria do mesmo celular).
- Um segundo método, quando o serviço permitir: outro aparelho, uma chave física reserva ou um número de telefone de confiança.
WhatsApp: senha da verificação e passkey
O WhatsApp tem dois recursos diferentes, e vale ativar os dois.
Verificação em duas etapas. Ela impede que alguém que obteve o código de 6 dígitos enviado por SMS registre seu número em outro aparelho, que é exatamente o que acontece no golpe em que a vítima "confirma um código" para um falso atendente.
- Abra o WhatsApp e toque em Configurações.
- Toque em Conta > Verificação em duas etapas.
- Ative e crie o segredo. Em 25 de agosto de 2026, o WhatsApp anunciou que o antigo PIN de seis dígitos passou a poder ser substituído por uma senha completa, mais longa, com letras, números e caracteres especiais. Quem já tem um PIN pode trocá-lo pela senha na mesma tela.
- Informe um e-mail. Sem ele, se você esquecer a senha, terá de esperar sete dias para redefini-la, segundo a Central de Ajuda, e não há como acelerar esse prazo.
Passkey. Ela permite entrar no WhatsApp com a digital, o rosto ou o bloqueio de tela, sem depender do SMS. O caminho é Configurações > Conta > Passkeys. No mesmo anúncio de agosto de 2026, a empresa informou que mais de 1 bilhão de pessoas já tinham uma passkey configurada e que agora é possível cadastrar mais de uma, útil para quem tem um Android e um iPhone.
gov.br: código gerado no próprio aplicativo
A conta gov.br dá acesso a INSS, Receita Federal, carteira de trabalho digital e assinatura eletrônica de documentos. Os requisitos, segundo o Governo Digital:
- conta de nível prata ou ouro (a página recomenda que contas ouro ativem o recurso);
- aplicativo gov.br instalado e com login feito;
- data e hora do celular automáticas, porque o código depende do relógio.
Passo a passo:
- Abra o aplicativo gov.br no celular.
- Vá em Segurança da conta.
- Habilite a Verificação em duas etapas.
A ativação só pode ser feita pelo aplicativo. O código não chega por SMS: ele é gerado no próprio app, na tela inicial ou na de login, e só um aparelho fica vinculado por vez. Aplicativos como Google Authenticator não geram esse código.
O ponto de atenção é a troca de celular. O Governo Digital avisa para não remover o aplicativo nem trocar de aparelho com a verificação ativa sem planejar, ou você pode ficar sem acesso. Antes de trocar, instale o app no aparelho novo com o antigo ainda em mãos e confirme que o código passou a ser gerado nele.
Google: do aviso no celular à passkey
A Conta Google costuma ser o e-mail principal e a conta do Android ao mesmo tempo. Para ativar:
- Acesse myaccount.google.com.
- Abra Segurança e login.
- Em Como você faz login no Google, escolha Verificação em duas etapas e siga as instruções.
A página de ajuda do Google lista estas opções de segunda etapa:
- aviso do Google no celular conectado, em que você toca em "Sim" ou "Não";
- passkeys e chaves de segurança, liberadas por digital, rosto ou bloqueio de tela;
- app autenticador (Google Authenticator ou similar), que funciona sem internet;
- SMS ou ligação com código de 6 dígitos;
- códigos de backup de 8 dígitos, para usar se perder o celular.
Um detalhe útil: segundo o Google, ao criar uma passkey o login sem senha passa a ser o padrão, e entrar com passkey dispensa a segunda etapa, porque ela já comprova que o aparelho está com você. As passkeys são criadas em myaccount.google.com/signinoptions/passkeys. O Google recomenda criá-las só em aparelhos que sejam seus.
Apple: autenticação de dois fatores da Conta Apple
No iPhone:
- Abra Ajustes.
- Toque no seu nome e em Início de Sessão e Segurança.
- Ative a autenticação de dois fatores e siga as instruções.
Com o recurso ativo, ao entrar em um aparelho novo ou na web aparece um código de seis dígitos nos seus dispositivos confiáveis, ou ele é enviado ao número de telefone de confiança. A Apple informa que Apple Pay e "Iniciar sessão com a Apple" exigem a autenticação de dois fatores, e que contas criadas já com ela não podem desativá-la.
Para quem depende de um único iPhone, vale cadastrar um segundo número de confiança (de um familiar, por exemplo). Se o aparelho for roubado, é por ele que o código vai chegar.
Bancos: a proteção já vem no aplicativo
Em geral, os bancos usam o próprio aplicativo como segundo fator: o aparelho fica registrado e as operações são autorizadas com senha, biometria ou token interno do app. Não existe um "ativar 2FA" padrão como nos serviços acima. O que você controla é:
- manter um único aparelho autorizado e remover os antigos;
- ativar as notificações de cada transação;
- nunca autorizar um aparelho novo a pedido de alguém ao telefone.
A Febraban afirma que bancos não pedem senhas, códigos ou chaves de segurança em contatos por telefone, SMS ou WhatsApp.
Qual método escolher quando o serviço oferece vários
| Método | Resistência a phishing | Depende do chip? | Quando usar |
|---|---|---|---|
| Passkey ou chave física | Alta | Não | Sempre que disponível, começando pelo e-mail |
| Aviso no app (push) | Média | Não | Bom padrão; recuse avisos que você não pediu |
| App autenticador (TOTP) | Média | Não | Serviços sem passkey; faça backup dos códigos |
| SMS ou ligação | Baixa | Sim | Só se for a única opção |
A ordem segue o fascículo "Autenticação" do CERT.br, que aponta a chave de segurança física como a opção mais segura e recomenda usar SMS apenas quando não houver alternativa. O NIST, órgão de padrões dos Estados Unidos, classifica o SMS como método "restrito" na revisão de suas diretrizes publicada em agosto de 2025 (SP 800-63B-4), e passou a exigir que serviços de nível intermediário ofereçam ao menos uma opção resistente a phishing.
A diferença prática está no golpe em tempo real: uma página falsa pede a senha e o código, e o golpista usa os dois no site verdadeiro em segundos. Código de SMS ou de aplicativo pode ser digitado nessa página falsa. A passkey não, porque só responde ao endereço legítimo. Veja como essas páginas falsas são montadas em como identificar phishing.
Erros que deixam o 2FA inútil
- Repassar o código. Nenhum serviço legítimo liga pedindo "o código que acabou de chegar". O CERT.br orienta a nunca repassar senhas ou códigos por mensagem, e-mail ou ligação.
- Aprovar aviso que você não iniciou. Golpistas que já têm a senha disparam vários pedidos seguidos esperando um toque por engano. Se chegou sem você tentar entrar, recuse e troque a senha.
- Guardar códigos de backup no próprio celular, sem cópia em outro lugar.
- Ativar no gov.br e trocar de aparelho sem migrar o app.
- Deixar o e-mail de recuperação desatualizado, o que transforma um esquecimento em sete dias sem WhatsApp.
O 2FA é uma das camadas do plano de segurança digital. A outra metade é ter senhas únicas e, onde der, passkeys, que você pode organizar com um gerenciador de senhas.
Perguntas frequentes
Troquei de celular e o gov.br pede um código que não consigo gerar. O que fazer?
O código só é gerado no aparelho vinculado. Se o celular antigo ainda funciona, abra o app nele e gere o código para entrar no novo. Se não tem mais o aparelho, a página do Governo Digital orienta a buscar o atendimento gov.br para recuperar o acesso, e por isso o e-mail de recuperação cadastrado faz diferença.
Esqueci a senha da verificação em duas etapas do WhatsApp. Como recupero?
Se você informou um e-mail, a tela de confirmação oferece um link de redefinição imediata. Sem e-mail, é preciso esperar sete dias contados da última vez que a conta esteve conectada. Depois disso, a opção "Esqueceu o PIN?" > "Redefinir conta" libera o acesso.
Se eu uso passkey no Google, ainda preciso da verificação em duas etapas?
Mantenha-a ativa. A passkey dispensa a segunda etapa no login em que é usada, mas a verificação continua protegendo os acessos feitos com senha, como em um computador onde a passkey não está disponível.
Vale comprar uma chave de segurança física?
Para quem administra contas de empresa, finanças ou e-mail muito exposto, sim. O CERT.br a aponta como a opção mais segura. Compre duas e cadastre ambas, guardando uma em casa, porque perder a única chave pode exigir um processo de recuperação demorado.
Fontes
- WhatsApp. One billion people are now protected with passkeys on WhatsApp (25 ago. 2026).
- WhatsApp. Como redefinir o PIN da verificação em duas etapas.
- Governo Digital. Ativar a verificação em duas etapas.
- Google. Ativar a verificação em duas etapas.
- Google. Fazer login com uma chave de acesso em vez de uma senha.
- Apple. Autenticação de dois fatores da Conta Apple.
- Febraban. Bandidos estão usando nome da Febraban para aplicar golpes na população (9 out. 2026).
- CERT.br. Fascículo Autenticação.
- NIST. SP 800-63B-4: Authentication and Authenticator Management.
- FIDO Alliance. Passkeys.
