2FA com TOTP: como ativar no Gmail, Instagram e WhatsApp

Mais de 23 bilhões de credenciais circulam em fóruns de cibercriminosos hoje. A maioria inclui usuários com senha razoável — mas sem nenhuma camada adicional de proteção. Se o servidor do serviço que você usa for comprometido, ou se sua senha aparecer num ataque de credential stuffing, só a senha não segura sua conta. É exatamente para isso que existe o 2FA — e especificamente o TOTP.

O que é TOTP e como ele funciona

O que é TOTP exatamente?

TOTP (Time-based One-Time Password) é um método de autenticação que gera um código de 6 dígitos a cada 30 segundos, calculado localmente no seu celular a partir de uma chave secreta — sem precisar de internet ou SMS. O algoritmo (RFC 6238) usa HMAC-SHA1 combinando essa chave com o timestamp atual. Como o servidor e o app partem da mesma chave e do mesmo horário, chegam ao mesmo código — e qualquer código gerado é válido por apenas uma janela de 30 segundos.

Na prática, o fluxo é simples: você digita sua senha normalmente, o site pede o código de 6 dígitos que aparece no app, você digita e acessa. Um atacante que roubou sua senha não consegue entrar sem ter fisicamente seu celular — ou interceptar o código em tempo real, o que é muito mais difícil do que reutilizar uma credencial vazada.

Por que não usar SMS como segundo fator

Código por SMS ainda é melhor que nada, mas tem três fraquezas documentadas. A primeira é o golpe de SIM swap: criminosos convencem a operadora a transferir seu número para um chip deles e passam a receber todos os seus SMS — inclusive os códigos de verificação. A segunda é o SS7, protocolo de telecomunicação dos anos 1970 que ainda sustenta redes de voz e SMS e tem vulnerabilidades conhecidas que permitem interceptar mensagens em trânsito. A terceira é phishing em tempo real: uma página falsa solicita sua senha e o código SMS simultaneamente, repassando tudo para o site real antes de o código expirar.

TOTP elimina as três: o código nunca trafega por rede pública, é gerado off-line no dispositivo, e a janela de 30 segundos torna ataques em tempo real muito mais difíceis de executar com sucesso.

Qual app de autenticador usar

A escolha mais comum é o Google Authenticator — simples e funciona, mas por muito tempo não tinha backup. Hoje sincroniza com conta Google, o que significa que seus tokens ficam armazenados nos servidores da empresa.

Para quem quer controle total, o Aegis Authenticator (Android, gratuito, GPL v3, disponível no getaegis.app) é a melhor alternativa. Permite exportar o cofre criptografado para um arquivo local, configurar backup automático para qualquer pasta — inclusive Nextcloud ou pendrive — e importar tokens de outros apps. Sem sincronização em nuvem por padrão.

No iOS, o Raivo OTP oferece funcionalidade similar e é open source. O iCloud Keychain também suporta TOTP nativamente desde o iOS 15, integrado ao preenchimento automático do Safari — opção prática para quem já usa o ecossistema Apple.

Como ativar no Gmail (conta Google)

1. Acesse myaccount.google.com e clique em Segurança no menu lateral.
2. Em "Como você faz login no Google", clique em Verificação em duas etapas.
3. Selecione App autenticador e siga o fluxo para escanear o QR Code com seu app.
4. Confirme inserindo o código de 6 dígitos gerado e guarde os códigos de backup (seção abaixo).

O Google pode sugerir usar passkeys antes do TOTP. Passkeys são tecnicamente mais seguros — eliminam o próprio risco de phishing da senha — mas dependem de o dispositivo estar configurado corretamente. Para quem quer compatibilidade ampla entre dispositivos, TOTP ainda é a opção mais prática hoje.

Como ativar no Instagram

1. Abra o app e vá em Configurações e privacidade > Central de Contas > Senha e segurança.
2. Toque em Autenticação de dois fatores e selecione a conta que deseja proteger.
3. Escolha App autenticador e escaneie o QR Code exibido.
4. Insira o código gerado pelo app para confirmar a ativação.

O Instagram oferece SMS como método alternativo. Mantenha um número de telefone atualizado na conta para recuperação de emergência — mas defina o app autenticador como método principal.

WhatsApp: verificação em duas etapas com PIN

O WhatsApp não suporta TOTP. O segundo fator dele é um PIN de 6 dígitos que você define, solicitado periodicamente e sempre que o app for reinstalado ou o número ativado em outro aparelho. Não é o mesmo protocolo do Google Authenticator, mas protege efetivamente contra clonagem e reativação não autorizada do número.

Para ativar: Configurações > Conta > Confirmação em duas etapas > Ativar. Defina um PIN que você consiga lembrar sem anotar no próprio celular e cadastre um e-mail de recuperação válido — ele é usado para resetar o PIN caso você esqueça.

Códigos de backup: o passo que ninguém faz

Para que servem os códigos de backup do 2FA?

Códigos de backup são senhas de uso único geradas pelo serviço no momento da ativação do 2FA, que substituem o app autenticador quando você perde acesso ao celular. Cada código funciona uma única vez.

Quando você ativa TOTP, o serviço oferece entre 8 e 12 códigos. Guarde-os impressos ou num gerenciador de senhas como o Bitwarden — nunca apenas na galeria de fotos ou no app de notas do mesmo celular que o autenticador protege. Se o aparelho for roubado, ambos os fatores caem juntos.

Para quem usa Aegis: exporte o cofre regularmente para um local fora do celular. O arquivo de exportação é criptografado com uma senha que você define na hora.

Quais contas proteger primeiro

Se você tiver tempo para configurar 2FA em apenas três contas hoje, priorize: e-mail principal (quem acessa seu e-mail acessa tudo que usa recuperação de senha), conta bancária (se o banco suportar autenticador além do SMS), e redes sociais com audiência — Instagram, YouTube, TikTok. Para ver quais serviços suportam TOTP, o site 2fa.directory mantém um diretório atualizado com instruções por serviço.

2FA com TOTP é uma das medidas mais eficazes de higiene digital básica: configura uma vez, funciona em segundo plano off-line, e eleva substancialmente o custo de qualquer ataque — mesmo que sua senha apareça num vazamento amanhã. Se você ainda não tem um gerenciador de senhas, esse é o próximo passo natural: o post sobre como usar o Bitwarden cobre a configuração do zero.