Autenticação em 2 fatores (2FA): como proteger seu acesso

A Autenticação em 2 fatores (2FA) adiciona uma camada extra de segurança ao acesso ao Chat Corp.

Com ela ativada, além da senha, o usuário precisa informar um código de 6 dígitos gerado em seu celular por um aplicativo autenticador.

Dessa forma, mesmo que outra pessoa descubra a senha da conta, ainda será necessário possuir o segundo fator para concluir o acesso.

Disponibilidade: o recurso é opcional, vem desativado por padrão e deve ser ativado individualmente por cada usuário.

O 2FA pode ser utilizado por usuários do painel e do aplicativo, como:

- Atendentes;

- Administradores de empresa;

- Administradores de revenda.

Recomendamos especialmente a ativação para usuários que possuem acesso a configurações, informações importantes ou gerenciamento de várias empresas.

Qual aplicativo utilizar?

O segundo fator é gerado por um aplicativo autenticador, como:

- Google Authenticator;

- Microsoft Authenticator;

outros aplicativos autenticadores compatíveis.

Importante: o e-mail não é utilizado como segundo fator de autenticação. Ele funciona somente como uma alternativa para recuperação de acesso.

Como ativar o 2FA

No painel, acesse:

Meu Perfil > Segurança

Na seção Autenticação em 2 fatores, clique em Ativar.

1. Vincule o aplicativo autenticador

Abra seu aplicativo autenticador no celular e escaneie o QR Code apresentado na tela.

Caso não consiga escanear, utilize a chave exibida abaixo do QR Code e faça o cadastro manualmente no aplicativo.

2. Confirme o código

O aplicativo começará a gerar um código de 6 dígitos.

Informe esse código no Chat Corp e clique em:

Confirmar e ativar

Caso o código esteja incorreto, a ativação não será concluída.

3. Guarde seus códigos de backup

Após a ativação, o sistema apresentará 10 códigos de backup.

Você poderá:

- Copiar os códigos;

- Baixar um arquivo .txt;

armazená-los em um local seguro.

Depois, clique em:

Já guardei meus códigos

Atenção: os códigos de backup são apresentados apenas uma vez e cada código pode ser utilizado uma única vez.

Depois dessa etapa, o status será alterado para Ativada e o sistema também mostrará quantos códigos de backup ainda estão disponíveis.

Um e-mail será enviado informando que o 2FA foi ativado.

Como funciona o login?

Com o 2FA ativo, o acesso passa a ocorrer em duas etapas:

1. Informe sua senha

2. Informe seu código de autenticação

Na tela Verificação em duas etapas, você poderá utilizar:

- O código de 6 dígitos do aplicativo autenticador; ou

- Um código de backup.

Depois, clique em Verificar.

Código do aplicativo

O código gerado pelo aplicativo muda automaticamente a cada 30 segundos.

Além disso, um código já utilizado não pode ser utilizado novamente.

Se acabou de utilizar um código, aguarde a geração do próximo antes de tentar novamente.

Não pedir o código neste dispositivo

No acesso pelo painel, é possível utilizar a opção:

Não pedir o código neste dispositivo

Quando marcada, o navegador poderá permanecer confiável por até 30 dias, evitando que o código seja solicitado em cada novo acesso.

Essa autorização será removida caso:

- A senha seja alterada;

- O 2FA seja desativado;

- Seja realizada uma recuperação de acesso;

- O dispositivo permaneça sem utilização pelo período previsto.

Os dispositivos também podem ser removidos manualmente em:

Meu Perfil > Segurança

No aplicativo, não existe a opção de lembrar o dispositivo. O código será solicitado em todos os novos logins.

Aplicativo do Chat Corp

A autenticação em 2 fatores também está disponível no aplicativo.

O caminho é:

Configurações > Autenticação em 2 fatores

Para utilizar o 2FA, recomendamos manter o aplicativo atualizado.

Versão mínima recomendada

Android: versão 1.6.0 ou superior

Usuários com 2FA ativo podem não conseguir realizar o login utilizando versões anteriores.

Caso isso aconteça, será exibida uma orientação para atualizar o aplicativo.

Para iOS, mantenha sempre a versão mais recente disponível na loja de aplicativos.

No aplicativo também é possível:

- Ativar o 2FA;

- Desativar o 2FA;

- Gerar novos códigos de backup;

- Utilizar a opção Perdi meu acesso.

Perdi meu celular. O que fazer?

Caso tenha perdido o acesso ao aplicativo autenticador, existem outras formas de recuperar sua conta.

Utilizando um código de backup

Na tela de autenticação, informe um dos códigos de backup armazenados durante a ativação.

Cada código poderá ser utilizado apenas uma vez.

Depois de acessar, recomendamos configurar novamente o 2FA no novo dispositivo.

Recuperação por e-mail

Caso também não possua seus códigos de backup, utilize:

Perdi meu acesso

Em seguida:

Clique em Enviar código por e-mail;

Um código de 6 dígitos será enviado para o e-mail cadastrado;

Informe o código recebido;

Clique em Entrar e desativar o 2FA.

Após a confirmação, o 2FA será desativado.

Depois disso, acesse novamente:

Meu Perfil > Segurança

e configure o 2FA no novo dispositivo.

Um e-mail também será enviado informando sobre a desativação.

Regras do código enviado por e-mail

O código de recuperação:

- Possui validade de 10 minutos;

- Pode ser utilizado apenas uma vez;

- Pode ser reenviado após 1 minuto;

- É invalidado caso um novo código seja solicitado.

Recuperação após troca de senha

Após uma alteração de senha, a recuperação por e-mail fica bloqueada durante 24 horas.

Essa é uma medida de segurança para impedir que alguém que acabou de alterar ou descobrir a senha consiga remover imediatamente o segundo fator.

Durante esse período, ainda podem ser utilizados:

- Código do aplicativo autenticador;

- Códigos de backup;

- Redefinição do 2FA realizada por um administrador autorizado.

Como desativar o 2FA

O usuário pode desativar o recurso em:

Meu Perfil > Segurança

Para concluir a desativação, será necessário informar:

- A senha atual;

- Um código válido de autenticação.

Após a desativação, os próximos acessos voltarão a exigir somente a senha.

Gerando novos códigos de backup

Também é possível gerar uma nova lista de códigos de backup.

Acesse:

Meu Perfil > Segurança

Ao gerar novos códigos:

serão criados 10 novos códigos;

os códigos anteriores serão invalidados;

será necessário confirmar a operação com sua senha e autenticação.

Guarde a nova lista em um local seguro.

Redefinição pelo administrador

Caso o usuário não consiga recuperar o acesso sozinho, um administrador autorizado poderá redefinir o 2FA.

Na área de Usuários, a coluna 2FA permite visualizar quem possui o recurso:

Ativo ou Não

No cadastro do usuário, utilize:

Redefinir 2FA

Depois da confirmação, o 2FA será removido daquele usuário e ele poderá voltar a acessar utilizando sua senha.

Posteriormente, poderá ativar novamente a autenticação em duas etapas.

A redefinição respeita as permissões de cada usuário. Atendentes que não possuem acesso à área de Usuários deverão solicitar a ação a um administrador.

Segurança contra tentativas incorretas

Após 5 tentativas incorretas, novas verificações serão bloqueadas durante 5 minutos.

Durante esse período, até mesmo um código correto será recusado.

Após os 5 minutos, a contagem é reiniciada e será possível tentar novamente.

As tentativas realizadas com códigos do aplicativo, códigos de backup ou recuperação por e-mail entram nessa proteção.

Utilização do 2FA em integrações via API

Esta seção é importante para clientes que utilizam a API do Chat Corp ou possuem sistemas integrados utilizando usuários do painel.

Basic Auth

Usuários com 2FA ativo não podem realizar autenticação pela API utilizando Basic Auth (Authorization: Basic).

Caso um sistema integrado utilize esse formato de autenticação com um usuário que ativou o 2FA, o login será recusado.

Recomendação: utilize um usuário específico para integração, sem 2FA, e restrinja suas permissões apenas ao necessário para a operação da API.

Isso evita que a ativação do 2FA em uma conta utilizada por uma integração interrompa o funcionamento do sistema externo.

Login com e-mail e senha pela API

Quando a autenticação é realizada enviando e-mail e senha pela API, o comportamento é diferente.

Se o usuário possuir 2FA ativo, o primeiro login não retornará imediatamente o token de acesso.

A resposta indicará que o segundo fator é necessário, por exemplo através de:

requiresTwoFactor: true

e retornará também um:

challengeToken

O sistema integrado deverá então enviar o código de autenticação junto ao desafio recebido para concluir o login e obter o acesso.

Para integrações automatizadas

Para sistemas que precisam funcionar continuamente e sem interação humana, recomendamos utilizar um usuário de integração dedicado e sem 2FA, mantendo contas administrativas e pessoais protegidas pelo segundo fator.

Problemas comuns

O código do aplicativo não funciona?

Confira se:

- Está utilizando o código mais recente;

- A data e hora do celular estão configuradas automaticamente;

- O código não foi utilizado anteriormente.

Caso necessário, aguarde o próximo código e tente novamente.

Perdi o celular, mas ainda tenho os códigos de backup

Utilize um código de backup para entrar.

Depois, desative o 2FA e configure-o novamente no novo celular.

Perdi o celular e os códigos de backup

Utilize Perdi meu acesso e realize a recuperação pelo e-mail cadastrado.

Se a senha tiver sido alterada nas últimas 24 horas, solicite a um administrador autorizado a redefinição do 2FA.

Não recebi o código por e-mail

Confira:

- O e-mail cadastrado;

- A caixa de spam ou lixo eletrônico;

- Se já passou o período mínimo de 1 minuto para solicitar novamente.

Se o problema continuar, solicite a redefinição a um administrador ou entre em contato com o suporte.

Apareceu "Muitas tentativas"

Aguarde 5 minutos sem realizar novas tentativas.

Durante o bloqueio, até mesmo códigos corretos serão recusados.

Troquei de celular e ainda tenho o antigo

No dispositivo antigo, acesse:

Meu Perfil > Segurança

Desative o 2FA utilizando sua senha e código atual e depois realize uma nova ativação no celular novo.

Minha integração via API parou após ativar o 2FA

Verifique se a integração utiliza Basic Auth.

Usuários com 2FA ativo não podem utilizar esse formato de autenticação.

Nesse cenário, recomendamos utilizar um usuário exclusivo para integração, sem 2FA, ou adaptar a integração para o fluxo de autenticação em duas etapas quando aplicável.

Resumo das principais regras

Recomendação de segurança

Recomendamos a utilização do 2FA principalmente em contas administrativas e usuários que possuem acesso a informações ou configurações importantes.

Para integrações via API, recomendamos criar um usuário específico para essa finalidade e conceder somente as permissões necessárias.

Assim, é possível manter as contas utilizadas por pessoas protegidas pelo 2FA sem afetar integrações automatizadas.

Em caso de dúvidas, entre em contato com nosso time de Suporte pelos canais de atendimento.