Verificação em duas etapas

Manual de Primeiros passos — web · capítulo 3 de 13

A verificação em duas etapas (também chamada de 2FA ou MFA) pede, além da senha, um código de 6 dígitos gerado por um app autenticador no seu celular. O código muda a cada 30 segundos, então quem descobrir a sua senha não entra sem o seu celular. Este capítulo explica tudo, passo a passo: o que é o app autenticador, como ativar, como entrar, o que guardar e o que fazer quando algo dá errado.

Ela é obrigatória para todos os usuários, salvo os que o administrador isentar. A cobrança acontece em três fases:

Fase	O que acontece
Prazo de 7 dias	O prazo começa no seu primeiro acesso (pelo web ou pelo app) sem a verificação ativa. Você entra normalmente, e o web mostra no topo de todas as telas a faixa Ative a verificação em duas etapas. Sua conta exigirá isso em N dias.
Prazo vencido	A entrada não termina sem configurar: depois da senha, a tela pede para escanear o QR code ali mesmo.
Ativa	Toda entrada pede o código — exceto nos navegadores e aparelhos que você marcou como confiáveis.

Figura 3. A faixa amarela do prazo, no topo de todas as telas: Ative a verificação em duas etapas. Sua conta exigirá isso em 7 dias., com o botão Configurar agora e o X para dispensar.

1. 1Dias que faltam para a verificação virar obrigatória.
2. 2Configurar agora — abre o Meu Perfil, no bloco da verificação.
3. 3X (Dispensar) — esconde a faixa só até você fechar esta aba.

Atenção

Não espere o prazo vencer: ative pelo Meu Perfil com calma, seguindo a seção “Passo a passo”. O app H2O também avisa: durante o prazo, a tela inicial do app mostra o cartão âmbar Ative a verificação em duas etapas, com os dias que faltam e o endereço do H2O web da sua empresa. Mas a configuração só se faz pelo navegador, em Meu Perfil — quem só usa o app precisa abrir o web para ativar.

O que é um app autenticador

É um aplicativo de celular que guarda “contas” de verificação e mostra, para cada uma, um código de 6 dígitos que se renova a cada 30 segundos (o padrão chamado TOTP). Ele funciona sem internet: o código é calculado no próprio celular, a partir da hora certa.

• Serve qualquer app autenticador TOTP: Google Authenticator, Microsoft Authenticator, Authy, 1Password e outros. Use o que a sua empresa recomendar ou o que você já usa.
• O H2O não manda código por SMS nem por e-mail. O único código é o do app autenticador (ou um código de recuperação, se você perder o celular).
• Instale o app no celular antes de começar e deixe-o aberto: na hora de ativar, a tela do H2O mostra o QR code e espera o primeiro código.
• O app autenticador é um app separado do app H2O. O app H2O não gera códigos.

Regra do sistema

Confira se a data e a hora do celular estão no automático (ajuste do sistema, algo como “Data e hora automáticas”). O código depende do relógio: um celular adiantado ou atrasado gera códigos que o H2O recusa.

Passo a passo: ativar pelo Meu Perfil

Faça no computador, com o celular na mão.

1. No celular: instale o app autenticador e abra-o.
2. No computador: abra o Meu Perfil — pelo cartão com o seu nome, no rodapé do menu, ou pelo botão Configurar agora da faixa amarela.
3. No bloco Verificação em Duas Etapas (que mostra Desativada), clique em Ativar agora.
4. Aparece Configurar verificação em duas etapas, com um QR code e o campo Código do app.
5. No celular: no app autenticador, toque em adicionar uma conta — costuma ser um +, ou uma opção como “Adicionar conta” / “Ler código QR” (o nome muda de app para app). Se o app perguntar o tipo de conta, escolha a opção de outra conta / conta pessoal.
6. Aponte a câmera do celular para o QR code na tela do computador. O app cria a conta H2O — nome da sua empresa, com o seu login, e começa a mostrar um código de 6 dígitos.
7. Não conseguiu ler o QR? No H2O, clique em Não consegue escanear?: aparece Insira esta chave manualmente no app: e uma sequência de letras e números. No app autenticador, escolha a opção de digitar a chave (algo como “Inserir chave de configuração”), digite-a exatamente como está e, se o app pedir, escolha o tipo baseado em tempo.
8. No computador: digite em Código do app o código que o app mostra agora. Se ele estiver quase trocando (o app mostra o tempo restante), espere o próximo.
9. Clique em Ativar.
10. O H2O mostra os 8 códigos de recuperação. Guarde-os (seção seguinte) e clique em Guardei os códigos, continuar. O bloco passa a dizer Ativada — Sua conta está protegida com um app autenticador. — e aparece a mensagem Verificação em duas etapas configurada.

Figura 4. Meu Perfil › Verificação em Duas Etapas antes de ativar: a situação Desativada, o lembrete Recomendada. Você tem 7 dia(s) para configurar antes que se torne obrigatória. e o botão Ativar agora.

1. 1Situação: Desativada.
2. 2Quantos dias faltam do prazo.
3. 3Ativar agora.

Figura 5. Depois de Ativar agora: o título Configurar verificação em duas etapas, a explicação, o QR code para o app autenticador, o atalho Não consegue escanear?, o campo Código do app e os botões Cancelar e Ativar.

1. 1QR code — leia com o app autenticador do celular.
2. 2Não consegue escanear? — mostra a chave para digitar no app.
3. 3Código do app: os 6 dígitos que o app mostra agora.
4. 4Ativar — confere o código e liga a verificação.

Figura 6. Não consegue escanear? aberto: a frase Insira esta chave manualmente no app: e a chave, para digitar no app autenticador quando o QR não puder ser lido.

1. 1Não consegue escanear?
2. 2A chave para digitar no app autenticador.

Regra do sistema

Cada vez que você clica em Ativar agora, o H2O gera um QR code novo, e só vale o que você ativar com o código. Cancelar não muda nada na sua conta. Se você leu um QR e cancelou, apague do app autenticador a conta H2O que ficou sobrando antes de tentar de novo.

Os códigos de recuperação

Ao ativar, o H2O mostra 8 códigos de recuperação, no formato XXXX-XXXX (letras de A a F e números). Cada um vale uma única vez e entra no lugar do código do app quando você está sem o celular. Eles não aparecem de novo — a tela avisa: Estes códigos não serão mostrados de novo. Salve-os antes de continuar.

• Copiar códigos — copia os oito para colar num gerenciador de senhas.
• Baixar PDF — salva o arquivo h2o-recovery-codes-empresa.pdf, com os códigos numerados e a data.
• Guarde-os fora do celular onde está o app autenticador (impresso numa gaveta, num gerenciador de senhas no computador): quem perde o celular perde os dois juntos.
• Não mande os códigos por e-mail nem por mensagem, e não os deixe junto da senha.

Figura 7. Verificação em duas etapas ativada: os 8 códigos de recuperação em duas colunas, Copiar códigos, Baixar PDF, o aviso amarelo de que eles não serão mostrados de novo e o botão Guardei os códigos, continuar.

1. 1Os 8 códigos — cada um funciona uma vez.
2. 2Copiar códigos e Baixar PDF.
3. 3Aviso: os códigos não aparecem de novo.
4. 4Guardei os códigos, continuar.

Dica

Usou quase todos os códigos, ou desconfia que alguém os viu? Em Meu Perfil, use Trocar de aplicativo autenticador: a troca gera um QR code e 8 códigos novos, e os antigos deixam de valer quando você confirma o app novo.

Configuração obrigatória na entrada

Com o prazo vencido, depois da senha o H2O mostra Configure a verificação em duas etapas — Sua conta agora exige verificação em duas etapas. Escaneie o código com um app autenticador para continuar. O caminho é o mesmo do passo a passo: leia o QR com o app autenticador (ou, em Não consegue escanear?, digite a chave no app), digite o código que ele mostra agora e clique em Ativar. Em seguida vêm os 8 códigos de recuperação, com Copiar códigos e Baixar PDF; o botão Guardei os códigos, continuar termina a entrada.

Figura 8. Entrada com o prazo vencido: o cartão Configure a verificação em duas etapas, o QR code, o atalho Não consegue escanear?, o campo do código e o botão Ativar.

1. 1Título e explicação da obrigatoriedade.
2. 2QR code para o app autenticador.
3. 3Campo do código de 6 dígitos — o botão Ativar, logo abaixo, só se habilita com os 6 dígitos.

Atenção

Cada nova tentativa de entrada gera um QR (e uma chave) diferente — se você leu um QR e não terminou, apague essa conta do app autenticador antes de ler o próximo. Se não conseguir de jeito nenhum, peça ao administrador para resetar a sua verificação (última seção): você ganha um novo prazo e configura com calma pelo Meu Perfil.

Entrar com o código

1. Digite usuário e senha e clique em Entrar.
2. Aparece Digite o código de 6 dígitos do seu app autenticador. Abra o app no celular e procure a conta H2O — nome da sua empresa (confira o login, se houver mais de uma).
3. Digite o código que aparece agora (se estiver quase trocando, espere o próximo) e clique em Verificar — ou tecle Enter.

O código precisa ser digitado em poucos minutos depois da senha. Passado esse tempo, a tela responde Sessão expirada. Faça login de novo.: use Voltar ao login e entre outra vez.

Figura 9. O pedido do código na entrada: o campo de 6 dígitos (aqui, com um código já digitado), a caixa Confiar neste dispositivo por 30 dias marcada, o botão Verificar, a dica Perdeu o acesso ao app? Use um código de recuperação no campo acima. e o link Voltar ao login.

1. 1Campo do código — aceita também um código de recuperação (XXXX-XXXX).
2. 2Confiar neste dispositivo por 30 dias.
3. 3Verificar.
4. 4Dica do código de recuperação.

Dica

Sem o celular? Digite um código de recuperação no mesmo campo do código, com o hífen (por exemplo A1B2-C3D4; maiúsculas ou minúsculas tanto faz), e clique em Verificar. Cada código vale uma vez. Depois de entrar, troque o aplicativo (seção “Perdi o celular ou troquei de aparelho”).

Confiar neste dispositivo

Marcando Confiar neste dispositivo por 30 dias antes de Verificar, o H2O deixa de pedir o código neste navegador por 30 dias contados a partir dali — o prazo não se renova com o uso. A confiança é guardada para o usuário exatamente como foi digitado: se você costuma entrar pelo login e um dia entra pelo e-mail, o navegador é tratado como novo.

Os navegadores e aparelhos confiáveis aparecem em Meu Perfil › Verificação em Duas Etapas › Dispositivos confiáveis, com o nome (por exemplo, Chrome · Windows, ou o modelo do celular no caso do app) e a data em que expiram. O X de cada linha remove um; Esquecer todos remove todos — na próxima entrada, o código volta a ser pedido.

Figura 10. Meu Perfil com a verificação Ativada: o link Trocar de aplicativo autenticador e a lista Dispositivos confiáveis, com dois aparelhos — Chrome · macOS (um navegador) e Samsung SM-A546E (um celular com o app H2O) —, a data em que cada um expira, o X de remover e Esquecer todos.

1. 1Situação: Ativada — Sua conta está protegida com um app autenticador.
2. 2Trocar de aplicativo autenticador.
3. 3Um dispositivo confiável e a data em que expira.
4. 4Esquecer todos.

Atenção

Não marque Confiar neste dispositivo em computador compartilhado ou público: qualquer pessoa que souber a sua senha entraria ali sem o código.

No app H2O, a confiança no aparelho dura 60 dias e se renova a cada entrada com a senha; num aparelho marcado como compartilhado, o app pede o código em toda entrada — veja o capítulo 3 do manual do app.

Problemas comuns

Problema	Por quê	O que fazer
Código incorreto. Verifique o app e tente novamente. com o código certo	a hora do celular está errada: o H2O aceita o código do período atual e, no máximo, o do período anterior ou seguinte (cerca de 30 segundos para cada lado)	ligue a data e a hora automáticas do celular e tente de novo com o código que aparece agora
o código foi recusado logo depois de digitado	o código trocou enquanto você digitava	espere o próximo código e digite sem demora
há várias contas H2O no app autenticador	o QR foi lido mais de uma vez — cada Ativar agora, e cada tentativa da configuração obrigatória, gera um QR novo; só vale o último que foi ativado	use a conta adicionada por último; apague as outras. Na dúvida, entre com um código de recuperação e faça Trocar de aplicativo autenticador, apagando antes todas as contas H2O daquela empresa do app
o código é de outra empresa ou de outro usuário	o app autenticador tem várias contas H2O — empresa, uma por empresa e usuário	escolha a conta com o nome da empresa e o login certos
troquei de celular	a conta do app autenticador ficou no celular antigo	com o celular antigo ainda em mãos, entre e faça Trocar de aplicativo autenticador lendo o QR com o celular novo; sem ele, entre com um código de recuperação e faça a troca
perdi o celular, ou apaguei o app autenticador sem querer	as contas do app se foram com ele (alguns apps autenticadores guardam cópia na nuvem — confira no seu)	entre com um código de recuperação e faça Trocar de aplicativo autenticador; sem códigos, peça ao administrador para resetar a sua verificação
Sessão expirada. Faça login de novo.	passaram alguns minutos entre a senha e o código	Voltar ao login e entrar de novo
o código de recuperação foi recusado	faltou o hífen, o código já foi usado, ou é de uma lista antiga (a troca de aplicativo gera códigos novos)	digite no formato XXXX-XXXX, com um código ainda não usado da lista mais recente
Muitas tentativas. Aguarde um momento.	códigos errados demais em pouco tempo	espere um minuto, confira a hora do celular e tente com o código atual

Perdi o celular ou troquei de aparelho

• Ainda tem o celular antigo, ou os códigos de recuperação: entre com o código (ou com um código de recuperação) e, já dentro, faça a troca abaixo.
• Não tem o celular nem os códigos: só o administrador do H2O na sua empresa pode resetar a verificação (próxima seção).

Para trocar de aplicativo ou de celular:

1. Instale o app autenticador no celular novo.
2. Em Meu Perfil › Verificação em Duas Etapas, clique em Trocar de aplicativo autenticador.
3. Aparece Confirme sua senha para trocar de aplicativo. Você vai escanear um novo código em seguida — sua conta continua protegida. Digite a senha e clique em Continuar.
4. Leia o QR code novo com o celular novo, digite o código que ele mostra agora e clique em Ativar.
5. Guarde os 8 códigos de recuperação novos e clique em Guardei os códigos, continuar. A conta antiga H2O pode ser apagada do app autenticador antigo: ela deixou de valer.

Regra do sistema

Até você clicar em Ativar com o código do app novo, nada muda: o app autenticador atual e os códigos de recuperação antigos continuam valendo, e Cancelar no QR novo desiste da troca sem desligar a verificação. Conclua a troca em até 15 minutos depois de digitar a senha; passado esse tempo, aparece A troca do aplicativo expirou. Comece de novo; o aplicativo atual continua valendo. — clique de novo em Trocar de aplicativo autenticador.

Para o administrador: resetar e isentar

Em Pessoas › Usuários, abra o usuário; na aba Dados, no fim, fica o bloco Segurança — Verificação em duas etapas (é preciso ter o direito de editar usuários). A lista de usuários também tem a coluna MFA, com Ativo, Isento ou Inativo.

• Resetar MFA (usuário perdeu o acesso) — pede a confirmação Resetar o MFA deste usuário? Ele entra normalmente no próximo login e ganha um novo prazo de 7 dias para configurar o app autenticador; depois disso, a configuração passa a ser obrigatória. e, em Resetar, apaga o app autenticador, os códigos de recuperação e os dispositivos confiáveis do usuário. O novo prazo de 7 dias começa no próximo acesso: ele entra só com a senha, vê a faixa amarela e configura pelo Meu Perfil. Peça a ele que apague a conta H2O antiga do app autenticador.
• Isentar este usuário da obrigatoriedade de MFA — o usuário isento nunca é obrigado (nem depois do prazo), mas pode ativar a verificação por conta própria. Use para contas de serviço ou casos que a empresa decidir.

Figura 11. Cadastro do usuário (Pessoas › Usuários › aba Dados): o bloco Segurança — Verificação em duas etapas, com a situação (MFA ativo), o link Resetar MFA (usuário perdeu o acesso) e a caixa Isentar este usuário da obrigatoriedade de MFA.

1. 1Situação da verificação do usuário: MFA ativo ou MFA não configurado (e o selo isento, quando for o caso).
2. 2Resetar MFA (usuário perdeu o acesso).
3. 3Isentar este usuário da obrigatoriedade de MFA.

Regra do sistema

Resetar a verificação não muda a senha. Se o usuário perdeu o celular e esqueceu a senha, defina também uma senha nova (capítulo 4).