Há um ecrã que quase toda a gente salta. Ativa a autenticação de dois fatores, o serviço mostra um bloco de códigos aleatórios, diz-lhe para os guardar em lugar seguro, e carrega em Continuar. Meses depois o telemóvel desapareceu e esse ecrã era a única coisa que teria servido.
O que são realmente
Um código de recuperação, também chamado código de backup, é uma credencial de uso único que faz as vezes do segundo fator. Não da palavra-passe: essa continua a ser precisa. Substitui aquilo que já não tem, normalmente o telemóvel com a aplicação de autenticação, ou a chave de segurança que ficou numa gaveta longe dali.
A documentação do GitHub é precisa quanto ao mecanismo e merece ser citada em vez de parafraseada. Fornece 16 códigos e afirma que, uma vez usado um código de recuperação para recuperar o acesso à conta, não pode ser reutilizado. Esgotados os dezasseis, gera-se uma lista nova. Outros serviços dão quantidades diferentes: trate dezasseis como o número do GitHub e não como uma regra universal.
O conselho que junta os seus dois fatores
É aqui que a recomendação habitual se torna incómoda. O GitHub diz para não partilhar nem distribuir os códigos, e recomenda guardá-los num gestor de palavras-passe seguro. Contra a falha mais comum, perder um papel, é sensato. Tem também uma consequência que convém dizer com clareza.
A sua palavra-passe vive nesse cofre. Se os códigos também lá vivem, quem abrir o cofre detém ambos os fatores: a palavra-passe e aquilo que substitui o segundo. A separação que tornava útil a autenticação de dois fatores desapareceu sem ruído.
Não é um argumento contra os gestores de palavras-passe nem uma razão para ignorar o conselho. É uma razão para decidir deliberadamente em vez de por omissão.
Onde podem razoavelmente ficar
Impressos e guardados fisicamente: fora de moda, e funciona. Uma folha numa gaveta em casa, ou junto a documentos que já guarda em segurança. Um segundo gestor de palavras-passe, distinto do que guarda a palavra-passe dessa conta, mantém os dois fatores separados. Um aparelho que não seja aquele com que se autentica, mantido offline, faz o mesmo.
O que não funciona: uma nota no telemóvel que corre a aplicação de autenticação, ou um email para si próprio na conta que esses códigos protegem. Ambos colocam o socorro dentro daquilo de que é preciso ser socorrido.
O cenário para que existem
Percorra a falha real. O telemóvel perde-se, é roubado, cai à água ou é apagado por uma reparação. A sua aplicação de autenticação foi com ele e, a não ser que tenha exportado as sementes, os códigos que gerava deixaram de existir. Nesse momento precisa de uma segunda chave de segurança, ou dos códigos de recuperação, ou de um processo de apoio que pode demorar dias e pode falhar.
É também por isso que uma segunda chave de segurança e os códigos de recuperação não são redundantes entre si. A chave é o que usa no dia a dia quando a primeira não está; os códigos são o que usa quando faltam as duas.
Depois de usar um
Como cada código se gasta ao ser usado, a lista encolhe em silêncio. A maioria dos serviços permite regenerar o conjunto, o que invalida o anterior. Fazê-lo depois de uma recuperação é o bom hábito: sabe quantos lhe restam, e qualquer cópia antiga que ande por aí fica inútil.
Se nunca ativou a autenticação de dois fatores, nada disto se aplica ainda, e essa é a lacuna mais urgente.
O resumo honesto
Os códigos de recuperação são a parte menos interessante de uma configuração de segurança e a que com mais probabilidade decidirá se mantém uma conta. Custam cinco minutos, uma vez. A única decisão verdadeira é onde os pôr, e a resposta por omissão, ao lado da sua palavra-passe, é a que merece pensar-se duas vezes.
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Proteja as suas contas → NordPassPalavras-passe fortes e únicas · scanner de fugas · plano gratuito→Perguntas frequentes
Para que servem os códigos de recuperação?
Fazem as vezes do segundo fator quando não o pode usar. Se o telemóvel com a aplicação de autenticação se perder ou a chave de segurança não estiver disponível, um código de recuperação permite completar o segundo passo do início de sessão. Não substitui a palavra-passe, que continua a ser precisa.
Um código de recuperação pode ser usado mais do que uma vez?
Não. A documentação do GitHub afirma que, uma vez usado um código de recuperação para recuperar o acesso à conta, não pode ser reutilizado. Cada código gasta-se ao ser usado, por isso os serviços fornecem um lote em vez de um só, e por isso pode gerar uma lista nova quando se esgotarem.
Quantos códigos de recuperação se recebem?
Depende do serviço. O GitHub fornece dezasseis e permite gerar uma lista nova quando acabam. Outros fornecedores usam quantidades diferentes, por isso o número que conta é o do seu próprio ecrã. O que é constante é que cada código funciona uma vez.
Onde devo guardar os meus códigos de recuperação?
Num sítio separado da palavra-passe. O GitHub recomenda um gestor de palavras-passe seguro, o que protege da perda mas coloca ambos os fatores no mesmo cofre. Impressos e guardados fisicamente, ou num segundo gestor distinto do que guarda a palavra-passe dessa conta, a separação mantém-se. Nunca no telemóvel que corre a aplicação de autenticação.
E se perder os códigos e o segundo fator?
Resta-lhe o processo de recuperação de conta do serviço, mais lento, muito variável entre fornecedores e por vezes falhado. É exatamente a situação que os códigos existem para evitar, e é por isso que os cinco minutos gastos a guardá-los bem valem mais do que parecem.
