Perguntas Frequentes

Você pode adicionar uma conta de quatro maneiras:

• Entrada manual: clique em “Adicionar conta” e digite o nome da conta e a chave secreta da página de configuração 2FA do serviço.

• Código QR: clique em “Adicionar conta”, vá para a aba “Código QR” e envie uma captura ou foto do código — ou escaneie com a câmera, ou direto da tela.

• Colar um link: Configurações → “Colar links”. Um único link otpauth://, ou uma lista inteira, um por linha. É assim que se movem cem contas de outro app em uma única ação.

• Um arquivo: importe um .txt de links otpauth://, um backup desta extensão, ou um arquivo CXF de outro autenticador.

No serviço que você está protegendo — Gmail, GitHub, seu banco —, não nesta extensão. A extensão nunca envia um QR code nem uma chave por e-mail ou SMS: ela lê o que o serviço mostra a você e o transforma em códigos.

• Entre no serviço e abra as configurações de segurança dele
• Ative a autenticação de dois fatores (às vezes chamada de verificação em duas etapas). Se ele oferecer SMS ou e-mail primeiro, escolha a opção de aplicativo autenticador — é ela que mostra um QR code
• O QR code aparece na tela. Na extensão: Adicionar Conta → Código QR → “Escanear QR da tela”
• Não consegue escanear? Procure ao lado dele um link como “Não consegue escanear o QR code?” ou “Inserir manualmente”. Ele mostra a chave secreta — em geral de 16 a 32 caracteres, letras A–Z e dígitos 2–7, por exemplo JBSWY3DPEHPK3PXP. Adicione-a em Adicionar Conta → Manual → “Chave Secreta”
• Digite no serviço o código de seis dígitos da extensão. Enquanto você não fizer isso, a autenticação de dois fatores não estará ativada

Não — não há nada para permitir. A extensão não pede acesso a nenhum site com antecedência. O Chrome só deixa que ela veja uma página no momento em que você a usa ali:

• “Escanear QR da tela” captura a página que está à sua frente quando você clica. O acesso vem de abrir a extensão pelo ícone na barra de ferramentas, nessa página
• “Inserir código 2FA”, no menu do botão direito, preenche o campo em que você clicou com o botão direito — o próprio clique é a permissão. Vem ativado por padrão; Configurações → “Inserir o código com o botão direito” desativa e ativa

Por isso, no menu “Acesso ao site” do Chrome para esta extensão não há nada para ativar, e “Em todos os sites” não é necessário.

Se “Escanear QR da tela” disser que não conseguiu capturar a página:

• O Chrome protege algumas páginas de todas as extensões — as próprias páginas de configurações, a Chrome Web Store, PDFs. O QR code precisa estar em uma página da web comum
• Se você abriu a extensão antes de ir para a página com o QR code, feche-a e abra de novo pelo ícone da barra de ferramentas nessa página
• Ou salve uma captura de tela do QR code e use Adicionar Conta → Código QR → “Escolher imagem”

“Digitalizar QR com a câmera” é diferente: abre uma página que pede para usar sua câmera. Se você clicou em Bloquear, permita a câmera para essa página nas configurações do site no Chrome — o ícone à esquerda da barra de endereço — e tente de novo.

Quando você abre a extensão em um site, ela destaca a conta que corresponde a esse site e coloca nela a marca “Sugerido”, para você não precisar procurá-la. Ela também lembra qual conta você usou em cada site.

Para desativar: Configurações → “Navegador” → “Sugerir conta para este site”. Ao desativar, o que ela tinha guardado também é apagado.

Ela lê só o endereço da aba em que você está, e só enquanto a extensão está aberta. Nada disso é enviado ao nosso servidor.

Sim. Vincule uma conta ao site dela e ela será sempre a oferecida lá:

• Abra o site, clique com o botão direito na conta e escolha “Usar em …”
• Ou abra “Editar conta” e digite o endereço em “Sites” — colar o link inteiro também funciona

Nesse site a conta fica no topo da lista, sob “Para este site”, e o botão direito no campo do código → “Inserir código 2FA” a insere sem perguntar.

Um site cobre também os subdomínios dele, e o mais específico vence. Vincule uma conta a example.com e outra a admin.example.com: admin.example.com mostra só a segunda, e example.com e os outros subdomínios só a primeira. Uma conta vinculada a sites nunca é sugerida em outros sites.

Para copiar o código em vez de inserir, clique com o botão direito em qualquer outro lugar da página → “Copiar código 2FA deste site”.

Os sites ficam guardados dentro da conta no seu computador, criptografados com ela quando a proteção por senha está ativa, e nunca são enviados ao nosso servidor.

Normalmente o código em si está certo — ele só pertence a outro QR code, diferente daquele que o site está esperando. A extensão confere a hora sozinha, então não há nada para mudar no seu computador.

O que costuma ter acontecido, e o que fazer:

• O site gerou um QR code novo. Ele faz isso sempre que a página de configuração é recarregada ou aberta de novo, e a conta que você adicionou primeiro deixa de bater. Comece a configuração no site de novo, adicione o QR code que está na tela agora e digite o código dele na hora
• O código veio de outra entrada. Se o mesmo site aparece duas vezes na lista, a entrada mais nova é a que funciona — e, durante a configuração, o site quer o código da conta que você acabou de adicionar
• A verificação em duas etapas já estava configurada em outro lugar, como um app no seu celular. A extensão só mostra códigos das contas adicionadas a ela. Para trazer essa conta para cá, configure o autenticador no site de novo, desta vez com a extensão
• O site quer outro código — um que ele mandou por SMS ou e-mail, e não um de app autenticador

Se o código estiver prestes a mudar, espere o próximo. Antes de excluir uma entrada antiga, exporte um backup primeiro (Configurações → “Exportar”). E se a própria extensão mostrar um aviso sobre a hora, faça o que ele diz.

Para fazer backup das suas contas:

• Clique no ícone de Configurações (engrenagem)
• Clique em “Exportar”
• Escolha como salvar o arquivo:

• Protegido com senha (recomendado) — o arquivo é inútil para quem não sabe a senha. Guarde-a: sem ela o arquivo não abre.
• Arquivo simples — o backup inteiro como JSON legível. Só para um lugar que você controla totalmente.
• Links otpauth:// — um link por linha em um arquivo .txt. Quase qualquer outro autenticador consegue ler, o que faz dele o formato para mudar de app.
• Formato padrão (CXF) — o formato de intercâmbio FIDO que outros gerenciadores de senhas e autenticadores aceitam.

Só o primeiro é criptografado. Os outros três contêm suas chaves secretas em texto claro, e quem tiver esse arquivo pode gerar seus códigos 2FA.

Para restaurar contas de um backup:

• Clique em “importar do backup” na tela principal
• Escolha o arquivo — um backup desta extensão (JSON), um .txt de links otpauth://, ou um arquivo CXF de outro autenticador
• Se o arquivo tiver senha, digite-a quando for pedida
• As contas são importadas — numa instalação nova, tantas quanto o plano gratuito comporta, ou todas com o Pro. Nada é importado pela metade sem perguntar a você antes.

Se você tem os links como texto e não como arquivo, Configurações → “Colar links” aceita direto.

Observação: isso soma às suas contas existentes, não as substitui.

Sim — em todo computador em que o Chrome estiver conectado à mesma conta Google:

• Instale a extensão no outro computador
• Entre no Chrome nesse computador com a mesma conta Google e ative a sincronização, incluindo as extensões no que o Chrome sincroniza
• Na extensão, confira se Configurações → “Sincronizar entre dispositivos” está ativado. Ele já vem ativado
• Suas contas aparecem no outro computador, normalmente em poucos minutos

Se as Configurações mostrarem “Contas demais para sincronizar — elas ficam neste computador”, a sincronização do Chrome não consegue levar tantas. Leve-as manualmente: Configurações → “Exportar” em um computador e “Importar” no outro. Um arquivo protegido por senha é a opção mais segura.

Não existe versão para celular: o Chrome no celular não roda extensões. Se quiser os códigos também no celular, ao ativar a verificação em duas etapas em um serviço, escaneie o código QR dele também com um app autenticador no celular — os dois vão mostrar os mesmos códigos.

No Mac você também pode usar o app para Mac (authenticator.sh/mac). Ele não sincroniza com a extensão: traga suas contas uma vez, ou exporte e importe um arquivo, e a partir daí cada um mantém sua própria lista.

Sim. O Authenticator para Mac é um app grátis da barra de menus, com a mesma interface, idiomas, grupos, importação e exportação da extensão. Além disso:

• Pressione ⌘⇧2 em qualquer app: abre uma paleta com a conta daquele app ou site primeiro, e o Enter digita o código no campo em que você estava
• O Touch ID desbloqueia seus códigos quando a proteção por senha está ativada
• Ele lê um QR code na tela ou com a câmera

Precisa do macOS 13 Ventura ou posterior e funciona em Macs com Apple silicon e Intel. Baixe em authenticator.sh/mac. Não há app para Windows nem para celular.

Sim. É um único app universal que roda nativamente em Apple silicon (M1 e posteriores) e em Macs com Intel. Precisa do macOS 13 Ventura ou posterior; em um macOS mais antigo, use a extensão do Chrome.

Em um só passo, no mesmo Mac:

• Instale o app para Mac e abra-o
• Na primeira vez, ele encontra a extensão e oferece trazer suas contas. Depois: clique no ícone do app na barra de menus → “Move from the Chrome Extension…”
• Escolha o perfil do navegador e traga as contas. Se a extensão tiver senha, digite essa senha primeiro

O app lê as contas dos dados da extensão no seu perfil do navegador neste Mac; nada passa pelo nosso servidor. Funciona com a extensão no Chrome, Brave, Edge, Arc e Vivaldi. A extensão mantém as contas dela e, a partir daí, cada um mantém sua própria lista.

De outro computador: exporte um arquivo na extensão (Configurações → “Exportar”) e importe-o no app para Mac (Configurações → “Importar”).

Cada permissão serve para um recurso, e todas são opcionais:

• Acessibilidade: para digitar o código no campo em que você estava ao pressionar Enter na paleta do ⌘⇧2. Sem ela, o código é copiado, e a área de transferência é limpa após 45 segundos
• Gravação de Tela: para ler um QR code na sua tela. A captura é processada no seu Mac e apagada na hora. Sem ela, use a câmera ou escolha uma imagem
• Automação: para perguntar ao navegador o endereço da aba atual, para a conta correspondente aparecer primeiro. O macOS pergunta uma vez para cada navegador
• Câmera: para ler um QR code que você mostra para a câmera

O macOS pede cada uma na primeira vez que você usa aquele recurso. Você pode desativar qualquer uma em Ajustes do Sistema → Privacidade e Segurança.

Se você excluir uma conta por engano:

• Clique no ícone de Configurações (engrenagem) e abra “Cópias automáticas” em “Backup e Restauração”. A extensão faz uma cópia das suas contas uma vez por dia e guarda as 7 últimas.
• Clique em “Restaurar” ao lado de uma cópia anterior à exclusão. Restaurar só adiciona as contas que faltam — o que você tem agora não muda.
• Não está em nenhuma cópia? Restaure de um arquivo de backup que você exportou: “Importar”, na mesma seção.
• Também não está lá? Então o caminho é pelo próprio serviço: enquanto ainda estiver conectado, desative e reative a 2FA e adicione o novo QR code.

As cópias automáticas ficam dentro da extensão. Remover a extensão ou limpar os dados do navegador apaga essas cópias também — por isso não reinstale a extensão para recuperar uma conta.

Os códigos TOTP são gerados a partir do relógio do seu dispositivo; se ele se desviar mais de ~30 segundos do horário real, os serviços recusarão seus códigos.

Como corrigir:

• macOS: Ajustes do Sistema → Geral → Data e Hora → ative "Ajustar data e hora automaticamente"
• Windows: Configurações → Hora e idioma → Data e hora → ative "Definir horário automaticamente" e clique em "Sincronizar agora"
• Linux: ative NTP / data e hora automáticas nas configurações

Depois de sincronizar, abra a extensão novamente — o aviso desaparece e seus códigos voltam a ser aceitos. Só o relógio do dispositivo precisa ser corrigido; os códigos continuam sendo gerados offline.

São configurações avançadas (os valores padrão quase sempre funcionam):

• Algoritmo: função de hash usada para derivar o código (SHA1 é o padrão)
• Dígitos: comprimento do código (6 é o mais comum, alguns usam 8)
• Período: por quanto tempo o código vale (30 segundos é o padrão)

A maioria dos serviços usa: SHA1, 6 dígitos, 30 segundos.

Suas contas ficam guardadas no seu navegador — no seu dispositivo e, se a sincronização estiver ativada, no Chrome Sync, na sua própria conta Google. Suas chaves secretas, os nomes das contas e os códigos nunca chegam até nós.

• As chaves secretas nunca saem do seu dispositivo
• Backups locais automáticos (os 7 últimos) caso algo dê errado
• Guardados no armazenamento do Chrome, com a sincronização como segunda cópia opcional

Por padrão, seus códigos são guardados sem criptografia e protegidos pelo login do seu computador e pelo perfil do Chrome — como na maioria das extensões de autenticação. Para uma proteção mais forte, ative a proteção por senha nas Configurações: seus códigos, incluindo os backups, passam a ser criptografados no seu dispositivo e não podem ser lidos sem a sua senha.

A extensão se comunica com nosso servidor uma vez por dia, por causa do plano gratuito e do Pro — com um ID anônimo e alguns números, nunca com suas contas. A pergunta “O que a extensão envia para o servidor?”, logo abaixo, lista tudo o que ela envia.

Uma vez por dia, a extensão se comunica com nosso servidor, api.authenticator.sh, para que o plano gratuito e o Pro funcionem. Ela envia:

• um ID aleatório criado por esta instalação — sem vínculo com sua conta Google, seu e-mail ou seu navegador, a menos que você compre o Pro: aí a compra vincula esse ID, e qualquer outra instalação em que sua chave de licença esteja ativa, ao e-mail que você usou para pagar
• a versão da extensão, o idioma dela e o idioma do seu navegador
• quando ela foi instalada, e se isso foi antes da versão 1.14.0
• quantas contas você tem — um número, nunca quais são
• se a proteção por senha e a sincronização estão ativadas, e se ela abre como popup, janela ou painel lateral, e qual estilo usa, claro ou escuro
• qual política do plano gratuito e qual licença ela tem no momento, e se ela já tem sua chave de licença
• uma lista curta de eventos de cobrança: o limite foi atingido, a tela do Pro foi exibida ou fechada, um plano foi escolhido, houve uma tentativa de pagamento ou de ativar uma chave de licença

Nosso servidor deduz o seu país a partir da requisição; seu endereço IP não é armazenado.

Ela nunca envia suas chaves secretas, os nomes das contas e dos serviços, os códigos nem os sites em que você os usa. Quando você desinstala, a página de feedback recebe o mesmo ID: assim que abre, ela informa ao nosso servidor que essa instalação foi removida, e uma resposta — se você der uma — fica vinculada a ela. A política de privacidade traz os detalhes, e o código que monta a requisição é aberto para qualquer um ler.

Abra as Configurações e ative "Proteção por senha". Seus códigos passam a ser criptografados neste dispositivo, então ninguém consegue lê-los sem a sua senha — nem quem usar seu computador, nem um vírus que roube dados do navegador, nem alguém pela sincronização da sua conta Google.

Você também receberá um código de recuperação. Guarde-o fora deste navegador: é a única forma de voltar caso esqueça a senha. Não podemos redefini-la para você.

Você escolhe com que frequência a senha é pedida: sempre, após alguns minutos de inatividade, ou uma vez até fechar o navegador. Pode desativar a proteção quando quiser, usando sua senha.

Sim. O Google Authenticator exporta suas contas como um código QR no celular, e a extensão lê esse código com a câmera do computador:

• Abra o Google Authenticator no celular
• Toque no menu ⋮ (canto superior direito) → “Transferir contas” → “Exportar contas”
• Escolha as contas e toque em Avançar. O celular mostrará um código QR
• Na extensão: Adicionar Conta → Código QR → “Digitalizar QR com a câmera”, e aponte a câmera do computador para a tela do celular
• Muitas contas? O Google Authenticator as divide em vários códigos QR — toque em Avançar no celular e escaneie cada um

O computador não tem câmera? Fotografe o QR com outro celular ou câmera, envie a imagem para o computador e use Adicionar Conta → Código QR → “Escolher imagem”. Captura de tela não funciona: no Android o Google bloqueia capturas dessa tela de exportação, então um segundo aparelho é a única forma de registrá-la. “Escanear QR da tela” também não ajuda aqui — ele lê códigos exibidos na tela deste computador, não no seu celular.

Também não tem um segundo aparelho? Então configure as contas um serviço por vez: no site, desligue a verificação em duas etapas e ligue de novo, e use Adicionar Conta → Código QR → “Escanear QR da tela”.

Se você já tem o link de transferência como texto — ele começa com otpauth-migration:// — cole em Configurações → “Colar links”.

Mantenha o Google Authenticator no celular até que um código da extensão seja aceito.

Sim — do arquivo que a maioria dos apps autenticadores consegue exportar. Na extensão, abra Configurações → “Importar” e escolha esse arquivo:

• Proton Authenticator: no app, abra Configurações → Exportar e escolha exportar sem senha. Você recebe um arquivo .json.
• Aegis e 2FAS: a exportação deles, com ou sem senha (o 2FAS salva como arquivo .2fas, o Aegis como .json). Se o arquivo tiver senha, a extensão pede — ela só é usada para abrir o arquivo no seu computador e não é salva.
• Bitwarden, FreeOTP+ e andOTP: a exportação deles feita sem senha (um arquivo .json).
• FreeOTP: o backup que você faz no app sempre tem senha. Escolha esse arquivo e digite a mesma senha — ela só é usada para abrir o arquivo no seu computador e não é salva.
• Ente Auth ou qualquer outro app que exporte links otpauth://: o arquivo .txt com um link por linha — ou copie os links e cole em Configurações → “Colar links”.
• Um app que exporte o formato padrão CXF: esse arquivo.

Backups protegidos com senha de outros apps — Proton Authenticator, Bitwarden, andOTP — não podem ser abertos aqui: exporte de novo sem senha. Esse arquivo guarda suas chaves secretas sem criptografia, então apague-o assim que as contas estiverem na extensão, e mantenha o app antigo até que um código da extensão seja aceito.

O Google Authenticator não exporta arquivo: veja “Posso importar do Google Authenticator?”.

Se você perder o acesso a esta extensão e não tiver backup:

• Será preciso desativar a 2FA em cada serviço afetado
• Depois reativar a 2FA e adicionar as contas novamente
• Guarde os códigos de recuperação dos serviços em local seguro

Prevenção: exporte backups com frequência e guarde-os com segurança!

Sim, o uso é gratuito. Instalar não custa nada, e o plano gratuito tem todos os recursos, exceto o backup na nuvem:

• Instalações anteriores à versão 1.14.0 continuam com contas ilimitadas, de graça. Nada muda para elas.
• Novas instalações podem ter um limite de contas gratuitas. O Pro remove o limite e adiciona um backup criptografado na nuvem.
• O limite só impede adicionar uma conta. Todas as contas que você já tem continuam gerando seus códigos, e a exportação, os backups, a restauração e a sincronização continuam funcionando — com ou sem o Pro, e depois que uma assinatura termina.

O limite é verificado no seu computador, a partir da última política que nosso servidor assinou — então um limite que a extensão já recebeu vale também offline. Até a extensão se conectar ao nosso servidor pela primeira vez, nada é limitado.

Contas ilimitadas e backup na nuvem. Todo o resto funciona igual, com o Pro e sem ele.

• Contas ilimitadas: adicione quantas precisar.
• Backup na nuvem: uma cópia criptografada das suas contas no nosso servidor, para que perder este computador não signifique perder seus códigos. Ative em Configurações → “Backup e Restauração” → “Backup na nuvem” → “Ativar”. Ele é protegido por um código de recuperação do backup que nunca sai do seu navegador, por isso não conseguimos abri-lo. Em um computador novo, digite sua chave de licença e depois esse código. Se o Pro terminar, suas cópias ainda podem ser restauradas por 90 dias.
• Planos: uma assinatura mensal ou anual, ou uma compra vitalícia com pagamento único. Quais deles aparecem para você pode variar enquanto buscamos os preços certos.
• O pagamento é feito no Stripe Checkout, em uma nova aba. O Link, serviço de pagamentos da Stripe, é o vendedor responsável: ele cuida dos recibos, dos impostos e das dúvidas sobre um pedido.
• O Pro é ativado sozinho no navegador em que você pagou. Em outro computador, abra Configurações → Pro → “Tenho uma chave de licença” e digite sua chave (2FA-XXXXX-XXXXX-XXXXX-XXXXX). Uma licença funciona em até 5 dispositivos; um dispositivo que passa 60 dias sem se comunicar com o servidor libera a vaga sozinho. Precisa de mais dispositivos? Escreva para support@authenticator.sh a partir do endereço com que você pagou, e aumentaremos o limite da sua licença.
• Para gerenciar ou cancelar uma assinatura: Configurações → Pro → “Gerenciar assinatura”. Se você cancelar, o Pro continua ativo até o fim do período que você já pagou.

A chave está no e-mail que você recebeu depois de pagar, e também apareceu na página que se abriu quando o pagamento foi aprovado.

Se não encontrar, abra a extensão no computador em que precisa dela e vá em Configurações → Pro → “Obter o Pro” → “Restaurar uma compra”. Digite o e-mail usado no pagamento, e a chave é enviada de novo para ele. O mesmo botão está na tela que aparece quando o plano gratuito fica cheio.

Se nenhum e-mail chegar, escreva para support@authenticator.sh a partir do endereço com que você pagou, e enviaremos a chave para você. Nunca nos envie uma chave secreta nem um arquivo de backup — não precisamos deles para isso.