Verificação em duas etapas: como proteger as contas do seu negócio

Numa segunda-feira cedo, a pessoa que cuida dos seus anúncios escreve: "Não consigo entrar na conta de anúncios". Pouco depois você descobre que alguém mudou o e-mail da sua página do Facebook e está gastando com o seu cartão. Acontece mais do que você imagina, e quase sempre começa com uma única senha vazada. A verificação em duas etapas é a barreira que evita isso.

O que é a verificação em duas etapas?

É uma camada de segurança que pede algo além da senha para entrar em uma conta. O Google a define na sua ajuda sobre a Verificação em duas etapas como um nível de proteção adicional para quando roubam a sua senha. Com ela ativada, você entra com a senha e uma segunda etapa, ou com uma chave de acesso.

Na prática, se alguém consegue a sua senha a partir de um dispositivo que a conta não reconhece, fica na porta: falta o código, a chave ou a confirmação no seu celular.

Quais contas do meu negócio devo proteger primeiro?

Comece pelas que, se forem perdidas, travam as suas vendas: o e-mail principal, a Meta e o WhatsApp. O e-mail é a chave de todo o resto, porque é por ele que chegam os links para trocar senhas. Depois vêm o portfólio empresarial da Meta, onde ficam suas páginas e contas de anúncios, e a conta de WhatsApp com que você atende.

Conta	Por que é crítica	Onde ativar
Google (e-mail)	Recupera as outras contas	Conta do Google, Segurança e login
Facebook e Meta	Páginas, anúncios e pagamentos	Central de Contas, Senha e segurança
Portfólio empresarial	Acesso de toda a sua equipe	Central de Segurança do Meta Business Suite
WhatsApp	Conversas com clientes	Configurações da conta no app

Como ativo no Google?

Abra a sua Conta do Google, entre em Segurança e login e escolha Ativar a verificação em duas etapas. Depois siga os passos na tela. O Google esclarece que em contas de trabalho ou escolares talvez você não consiga fazer isso sozinho, e nesse caso deve pedir ao administrador.

Para a segunda etapa, o Google oferece várias opções: chaves de acesso, chaves de segurança físicas, notificações no celular, apps de autenticação, códigos por mensagem de texto ou voz e códigos alternativos. Também avisa que, se você adicionar um número de telefone novo, ele pode levar até 7 dias para confiar nele.

Atenção: o Google aponta os códigos por SMS como a opção mais vulnerável a ataques com o seu número de telefone. Se puder, use as notificações no celular, uma chave de acesso ou uma chave de segurança física.

Como ativo no Facebook e no portfólio empresarial da Meta?

No Facebook, entre em Configurações, depois em Central de Contas, Senha e segurança e Autenticação de dois fatores. A ajuda do Facebook indica que você pode escolher entre três métodos: uma chave de segurança, códigos de um app de autenticação ou códigos por SMS. Além disso, pode obter 10 códigos de recuperação para quando não estiver com o telefone à mão.

Para o negócio, o passo-chave está na Central de Segurança do Meta Business Suite. A Meta explica que a autenticação de dois fatores é obrigatória nos portfólios empresariais com mais de 90 dias, e recomenda torná-la um requisito para todas as pessoas com acesso. Dali você também pode adicionar outra pessoa com controle total, para não ficar sem administrador se alguém sair. Se ainda não fez, confira também a verificação da empresa na Meta.

E no WhatsApp?

O WhatsApp também tem verificação em duas etapas, e ela é opcional: você decide ativá-la. Segundo a sua Central de Ajuda, ao ativá-la você pode usar o seu número de telefone, uma senha ou o seu e-mail como autenticação adicional, e configurar uma chave de acesso com a digital, o reconhecimento facial ou o bloqueio de tela do celular.

O WhatsApp está trocando o PIN de 6 dígitos por uma senha. Se você já tinha PIN, pode passar para a senha nas configurações da verificação em duas etapas. Se você usa o mesmo número no app e na API, veja como funciona a coexistência do WhatsApp.

Erro comum: ativar a verificação em duas etapas só na conta do dono. Se a sua equipe entra no portfólio empresarial com contas sem proteção, o ponto fraco continua lá.

O que mais faço para que não roubem minhas contas?

Guarde os códigos de recuperação fora do celular e nunca compartilhe um código de verificação. O Google é claro: não vai ligar para pedir um código. Quem pede por telefone ou por chat é, quase sempre, um golpista.

Confira também que o seu e-mail não caia no spam nem seja fácil de falsificar, com o que explicamos em SPF, DKIM e DMARC. E se você lida com dados de clientes, lembre-se do que exige a Lei 1581 de proteção de dados da Colômbia.

Em resumo

Voltando à segunda-feira da conta perdida: com a verificação em duas etapas ativa no seu e-mail, na Meta e no WhatsApp, uma senha vazada já não basta para entrar. Leva uma tarde para configurar em toda a equipe. Se preferir que deixemos suas contas, domínio e e-mail bem protegidos, veja nosso serviço de hospedagem e domínios.