Aplicativo autenticador sem celular: como ter códigos 2FA no computador

Você entra na maioria das coisas pelo Chrome. Uma extensão de navegador mantém os códigos onde você os digita. O Autenticador 2FA insere o código no campo com o botão direito ou Ctrl+Shift+Y e escaneia o QR code de configuração direto da página; uma instalação nova pode ter um limite de contas gratuitas, e o Pro remove o limite. O Authenticator (authenticator.cc) é gratuito, tem muito mais usuários e suporta mais tipos de código, embora a versão dele na Chrome Web Store tenha sido atualizada pela última vez em agosto de 2024.

Você quer um app fora do navegador. O Proton Authenticator e o Ente Auth são gratuitos e de código aberto, rodam no Windows, macOS e Linux, além de celulares, e não exigem conta, a menos que você queira sincronizar — então um celular pode virar uma segunda cópia mais tarde, ou nunca. O KeePassXC guarda os códigos no arquivo de banco de dados criptografado no seu computador e pode preenchê-los no navegador pela extensão dele.

Você já paga um gerenciador de senhas. O Bitwarden (Premium, $19.80/ano) e o 1Password geram códigos e os preenchem logo depois da senha, e os dois documentam a leitura do QR code de configuração direto da tela. O porém está na seção sobre guardar códigos e senhas juntos, mais abaixo.

Você quer os segredos totalmente fora do computador. Uma YubiKey com o app Yubico Authenticator guarda o segredo de cada conta no elemento seguro da chave, de onde, segundo a Yubico, ele não pode ser extraído. O app roda no Windows, macOS e Linux, escaneia o QR code de configuração da tela e mostra os códigos enquanto a chave está conectada. Uma YubiKey 5 guarda até 64 contas no firmware 5.7 ou mais recente, e 32 em firmwares mais antigos. Você compra a chave — e, como os segredos não podem ser copiados dela, a Yubico recomenda registrar uma segunda chave como backup.

Um computador pode substituir um aplicativo autenticador. Ele não substitui o celular quando o próprio serviço fez do celular o segundo fator:

Códigos só por SMS ou e-mail. Alguns serviços não oferecem nenhuma opção de aplicativo autenticador: o código chega por SMS ou e-mail, e não há nada para um autenticador gerar. A Conta Apple é um caso conhecido — a ajuda da Apple diz que o código aparece nos seus dispositivos Apple confiáveis ou é enviado ao seu número de telefone confiável, e não descreve nenhum aplicativo autenticador de terceiros.

O app do próprio serviço. Alguns bancos confirmam o login no próprio app em vez de usar códigos padrão; o Truist, por exemplo, usa o app para celular Truist Authenticator. Se o seu empregador exige aprovação em um app específico, a escolha também é dele, e códigos de outro app não serão aceitos.

Configuração só no app do celular. A ajuda do TikTok descreve a ativação da verificação em duas etapas por aplicativo autenticador apenas no app do TikTok para celular, e ele pede um segundo método, como número de telefone ou e-mail. Depois de configurada, os códigos podem ficar em qualquer lugar — nosso guia do TikTok mostra como levar o QR code do celular para a extensão.

Códigos que já estão em um celular. Se hoje suas contas estão no Google Authenticator, você precisa do celular uma vez para exportá-las — veja importar do Google Authenticator — ou configura cada conta de novo pelo computador.

A autenticação de dois fatores existe para exigir duas coisas diferentes. Se o computador que lembra suas senhas também gera seus códigos, quem tomar conta desse computador — um malware que copia dados do navegador ou uma pessoa diante da sua mesa com o computador desbloqueado — pode conseguir os dois. O próprio guia do KeePassXC diz isso sem rodeios: guardar códigos TOTP no mesmo banco de dados que a senha elimina as vantagens da autenticação de dois fatores, e ele sugere um banco de dados separado, que você só desbloqueia quando precisa.

O que os códigos no computador continuam barrando é o que está por trás da maioria das invasões de conta: uma senha vazada de outro site, adivinhada ou digitada numa página de phishing. O invasor tem a senha, mas não o seu computador, então não tem o código. O celular acrescenta proteção principalmente contra alguém que já controla o seu computador.

1. Tranque os códigos. Ative a proteção por senha no Autenticador 2FA: os códigos passam a ser criptografados no seu dispositivo, backups incluídos, e não podem ser lidos sem a sua senha. Apps para desktop e gerenciadores de senhas têm os próprios bloqueios — use-os.

2. Mantenha códigos e senhas separados. Códigos em um app ou extensão à parte, e não no cofre que guarda as senhas, significam que uma senha mestra roubada não basta.

3. Mantenha um backup fora do computador. O Autenticador 2FA faz uma cópia automática uma vez por dia e guarda as sete últimas, mas essas cópias ficam dentro da extensão e vão embora com ela se ela for removida. Exporte um arquivo protegido por senha para um pendrive ou outro lugar que você controle — como fazer backup.

4. Guarde os códigos de recuperação de cada site. Eles devolvem seu acesso se o computador for perdido ou parar de funcionar, sem autenticador nenhum. Imprima-os ou guarde-os longe deste computador.

5. Adicione um celular depois, se tiver um. Escanear o mesmo QR code com um app de celular durante a configuração dá a você um segundo dispositivo mostrando os mesmos códigos — um backup, não uma exigência.

1. Instale um autenticador no computador — o nosso é o Autenticador 2FA.

2. Entre no site e abra as configurações de segurança. Ative a autenticação de dois fatores (às vezes chamada de verificação em duas etapas) e, se o site oferecer SMS primeiro, escolha aplicativo autenticador. Nossos guias de configuração mostram onde fica essa opção em 108 serviços.

3. O site mostra um QR code. No Autenticador 2FA: Adicionar Conta → Código QR → “Escanear QR da tela”. Se ele não for lido, use o link “Não consegue escanear o QR code?” ou “Inserir manualmente” do site e cole a chave em texto — onde encontrar a chave secreta.

4. Digite no site o código de seis dígitos que a extensão mostra. Enquanto você não fizer isso, a 2FA não está ativada.

5. Guarde os códigos de recuperação que o site mostrar em seguida e depois faça backup do próprio autenticador.

Se o site recusar o código, o motivo de costume é que ele gerou um novo QR code depois que você escaneou o primeiro — comece a configuração de novo e escaneie o código que está na tela agora. Mais motivos em por que os códigos não funcionam.