Se você só tem meia hora para proteger sua vida digital, comece pelo e-mail e pelas contas principais: a conta do Google, a da Apple e a da Microsoft, mais a do gov.br. Elas guardam suas fotos, seus arquivos, seu histórico e, quase sempre, o caminho de recuperação de todas as outras contas. A ordem que vale a pena seguir: uma senha longa e única para o e-mail, a verificação em duas etapas (de preferência com passkey ou chave de segurança, e não só SMS), os códigos de recuperação guardados, um gerenciador de senhas e uma checagem de vazamentos.
Nota: menus, regras e recursos de contas mudam com frequência. Este artigo foi atualizado em outubro de 2026. Confirme os passos nas páginas oficiais de cada serviço.
Por que o e-mail e as contas principais vêm primeiro
Esta é uma explicação da Redação, e não uma regra das empresas: quando você esquece a senha de um serviço, o caminho de recuperação costuma passar pelo seu e-mail ou pelo seu telefone. Quem controla o seu e-mail consegue pedir a redefinição de senha das suas outras contas. E a conta do Google, da Apple ou da Microsoft concentra fotos, arquivos, backups e acesso aos seus aparelhos. Por isso, essas contas são o alvo mais valioso, e proteger bem poucas contas rende mais do que proteger muitas de qualquer jeito.
Passo 1: senha longa e única
O que as diretrizes atuais dizem
O NIST, órgão de padrões dos Estados Unidos, atualizou em 2025 as diretrizes de autenticação (SP 800-63B-4). Elas descrevem o que os serviços devem exigir de quem cria uma senha, e mudam vários hábitos antigos:
- Tamanho conta mais que símbolos. Quando a senha é a única forma de entrar, o mínimo é de 15 caracteres. Quando ela faz parte de uma verificação em mais de uma etapa, o mínimo é de 8.
- Sem regras de composição. As diretrizes dizem que os serviços não devem impor exigências como misturar tipos de caractere.
- Sem troca periódica obrigatória. A troca só deve ser exigida quando houver indício de que a senha vazou.
- Bloquear senhas vazadas e comuns. Os serviços devem comparar a senha nova com listas de senhas conhecidas ou comprometidas.
- Permitir gerenciador de senhas e colar. Os serviços devem aceitar preenchimento automático e, de preferência, o ato de colar a senha.
Em português simples: uma senha comprida e que você não usa em nenhum outro lugar vale mais do que uma curta cheia de símbolos, e você não precisa trocar de tempos em tempos sem motivo. Troque quando houver sinal de vazamento ou de invasão.
Como montar uma senha que você consegue lembrar
O NCSC, órgão de segurança cibernética do Reino Unido, recomenda combinar três palavras aleatórias, o que dá uma senha longa e fácil de lembrar. Alguns cuidados que o órgão destaca:
- Evite senhas comuns, datas importantes, nomes de time, de familiares e de bichos de estimação, porque muita dessa informação está nas suas redes sociais.
- Trocar letras por números ou símbolos (como o zero no lugar do "o") protege pouco, porque os criminosos conhecem esses truques.
- Anotar a senha em papel é aceitável se você guardar em lugar seguro.
O ponto que mais importa: cada conta principal precisa de uma senha só dela. Se a mesma senha serve para o e-mail e para uma loja que vazou, o vazamento da loja abre o seu e-mail.
Passo 2: um gerenciador de senhas
Para ter uma senha única em dezenas de contas, é preciso um lugar para guardá-las. O NCSC considera os gerenciadores uma opção segura e diz que vale a pena experimentar um. Eles podem estar embutidos no navegador ou no sistema do celular e do computador, ou ser aplicativos de terceiros. A orientação do órgão:
- Guardar senhas no navegador ou no aparelho é seguro nos seus próprios dispositivos. A segurança depende dos seus aparelhos e contas, então mantenha as atualizações automáticas ligadas.
- Não salve senhas em computador compartilhado, como o de uma biblioteca ou de uma faculdade.
- A senha-mestra é a chave de tudo: precisa ser forte e você precisa lembrar dela, e vale ligar a verificação em duas etapas na própria conta do gerenciador.
- Gerenciadores de terceiros ajudam quando você usa navegadores e sistemas diferentes.
Esta matéria não recomenda um produto específico. O gerenciador que já vem no seu celular ou no seu navegador é um bom começo, e o que importa é usar algum.
Passo 3: verificação em duas etapas
A verificação em duas etapas (ou autenticação de dois fatores) pede, além da senha, uma segunda prova de que é você. O Google descreve como uma camada extra de proteção para o caso de a sua senha ser roubada. Os métodos que o Google lista:
| Método | Como funciona | O que o Google diz |
|---|---|---|
| Passkey (chave de acesso) | Você entra com a impressão digital, o rosto ou o bloqueio de tela do aparelho | Está entre as opções com mais proteção contra phishing, e dispensa a segunda etapa |
| Chave de segurança física | Um dispositivo que você conecta ou aproxima para confirmar | Ajuda a proteger contra phishing |
| Notificação do Google | Você toca em "Sim" em uma notificação no celular | Recomendada se você não usa passkey |
| App autenticador | Gera códigos, mesmo sem internet | Funciona sem sinal de celular |
| Código por SMS ou ligação | Um código de 6 dígitos enviado ao seu número | É o mais exposto a ataques ao número, como a troca de chip |
| Códigos de reserva | Códigos de 8 dígitos que você guarda para quando perder o celular | Uso de emergência |
O Google ressalta que todos os métodos de duas etapas melhoram a segurança, inclusive o SMS. O melhor é ativar a verificação agora, com o método que você consegue manter, e melhorar depois.
Por que SMS é o elo mais fraco
A CISA, agência de segurança cibernética dos Estados Unidos, afirmou em ficha de outubro de 2022 que métodos baseados em app e em SMS ou ligação são vulneráveis a phishing, ao "bombardeio de notificações" (quando o golpista dispara pedidos até você aprovar por cansaço ou por engano), a falhas do protocolo SS7 e à troca de chip. A agência chama as chaves e passkeys baseadas em FIDO e WebAuthn de padrão de ouro, e trata a confirmação por número (em que você digita um número mostrado na tela) como medida provisória melhor do que o simples toque. É uma ficha de mais de quatro anos, e vale conferir a versão atual em cisa.gov/mfa. O NIST também classifica o SMS e a ligação como método restrito e diz que o e-mail não deve ser usado como segunda etapa. O golpe da troca de chip aparece no nosso guia de golpes no WhatsApp.
Ordem de preferência (da Redação)
Uma síntese das fontes acima, e não uma regra delas:
- Passkey ou chave de segurança física, onde o serviço oferecer.
- Notificação com confirmação por número, ou app autenticador.
- SMS ou ligação, só quando for a única opção.
- Nunca informar o código a ninguém. Nenhuma segunda etapa protege quem entrega o código ao golpista. O guia de recuperação do WhatsApp mostra como o golpe do código funciona.
Passo 4: passkeys
Uma passkey, segundo o Google, é uma alternativa mais simples e mais segura à senha: você entra com a impressão digital, o rosto ou o PIN de bloqueio do aparelho, e os dados biométricos ficam no aparelho e nunca são enviados ao Google. O Google diz que passkeys são mais seguras contra phishing e que não podem ser compartilhadas, copiadas, anotadas nem entregues por engano.
Como criar na conta do Google: acesse myaccount.google.com/signinoptions/passkeys, toque em "Criar uma chave de acesso" e desbloqueie o aparelho. Na conta Microsoft: em account.live.com/proofs/manage, adicione uma forma de entrar e escolha rosto, impressão digital, PIN ou chave de segurança, e escolha onde guardar a passkey (no gerenciador da Microsoft, em outro gerenciador sincronizado ou no celular). Em aparelhos Apple, o Google exige o Chaveiro do iCloud ligado para guardar a passkey.
O que saber antes:
- Exigem bloqueio de tela ligado e versões mínimas de sistema e navegador (o Google cita, por exemplo, Android 9, iOS 16 e Chrome 109 ou mais novos).
- Uma passkey nova pode levar até 7 dias para valer, a menos que você use um método de confiança para acelerar, segundo o Google.
- Não crie passkey em aparelho compartilhado. Quem desbloqueia o aparelho entra na conta.
- Se perder o aparelho, remova a passkey a partir de outro aparelho em que você esteja conectado (no Google, em Segurança e login, Chaves de acesso e de segurança).
- Passkey não substitui a recuperação. O Google diz que ela não troca os seus métodos de recuperação nem a verificação em duas etapas, e que, com a verificação ligada, a passkey pode dispensar a segunda etapa.
Passo 5: ativar nas contas que mais importam
Conta Google
Em myaccount.google.com, abra "Segurança e login" e, em "Como você faz login no Google", ative a verificação em duas etapas. Siga as instruções na tela. Se a conta for de trabalho ou escola, as regras podem ser definidas pelo administrador.
Apple Account
No iPhone ou iPad, abra Ajustes, toque no seu nome e abra a seção de login e segurança (o nome exato do menu varia por versão) para ligar a autenticação de dois fatores. Na web, entre em account.apple.com. A Apple informa que, se a conta foi criada já com essa proteção, ela não pode ser removida. Em recuperação, a Apple oferece duas opções:
- Contato de recuperação: uma pessoa de confiança que pode lhe dar um código para redefinir a senha, sem nenhum acesso à sua conta. Pode ter até cinco, e a pessoa precisa ter autenticação de dois fatores e um aparelho Apple atualizado.
- Chave de recuperação: um código secreto de 28 caracteres. Ao ligá-la, você desliga a recuperação padrão da Apple, e passa a depender de um aparelho confiável ou da chave para voltar à conta. Só ligue se for guardá-la com cuidado, porque perder os dois pode significar perder o acesso.
Conta Microsoft
Em account.live.com/proofs/manage, adicione métodos de verificação e, se quiser, uma passkey. Em contas de trabalho ou escola, a passkey só funciona se a organização oferecer.
Conta gov.br
A verificação em duas etapas do gov.br está disponível para contas de nível prata e ouro, e é ativada no aplicativo gov.br, em "Segurança da conta". Algumas particularidades, segundo a página oficial:
- O código não vem por SMS. Ele é gerado só no aplicativo do gov.br, pela opção "Gerar código de acesso".
- Aplicativos autenticadores de terceiros não servem. A página cita Authy, Google Authenticator e Microsoft Authenticator como exemplos que não geram esse código.
- Deixe data e hora automáticas no celular, ou a verificação pode falhar.
- Dispositivos autorizados: em um aparelho seu, você pode marcar para não pedir o código de novo no navegador. Em "Dispositivos autorizados" você vê e remove aparelhos e consulta o histórico de acessos.
- Se perder o acesso ao aplicativo, é preciso pedir a desativação pelo formulário de atendimento da página.
Passo 6: a recuperação, antes de precisar dela
A maior causa de sofrimento com a verificação em duas etapas é perder o celular sem ter a recuperação pronta. Faça agora:
- Guarde os códigos de reserva (no Google, são códigos de 8 dígitos) impressos ou em um lugar seguro fora do celular.
- Confira o telefone e o e-mail de recuperação de cada conta principal. No Google, um número novo pode levar até 7 dias para ser validado.
- Escolha um contato ou uma chave de recuperação na Apple, e entenda a troca antes.
- Tenha pelo menos dois métodos em cada conta principal (por exemplo, passkey e códigos de reserva).
Passo 7: verificar se você já vazou
O Have I Been Pwned é um serviço gratuito de busca de vazamentos: você digita o seu e-mail e vê em quais vazamentos conhecidos ele aparece. Segundo o próprio serviço, as senhas não são carregadas junto com os e-mails. O ponto mais importante: "não encontrado" não quer dizer "nunca vazou". O serviço reconhece que guarda só parte dos registros, e muitos vazamentos nunca são divulgados. Se o seu e-mail aparecer, troque a senha daquela conta e de qualquer outra que use a mesma, ative a verificação em duas etapas e desconfie de mensagens que citem dados seus.
Checklist de 30 minutos (da Redação)
| Ordem | O que fazer | Tempo |
|---|---|---|
| 1 | Definir uma senha de três palavras aleatórias, só para o e-mail principal | 3 min |
| 2 | Ligar a verificação em duas etapas no e-mail principal | 5 min |
| 3 | Criar uma passkey no Google, na Microsoft e na Apple, onde existir | 5 min |
| 4 | Guardar os códigos de reserva e conferir telefone e e-mail de recuperação | 5 min |
| 5 | Ligar o gerenciador de senhas do celular ou do navegador e começar pelas contas principais | 5 min |
| 6 | Ativar a verificação em duas etapas no gov.br (se a conta for prata ou ouro) | 5 min |
| 7 | Consultar o e-mail no Have I Been Pwned e trocar o que for preciso | 2 min |
Depois, siga para as outras etapas da trilha de Segurança digital prática: o que fazer se o celular for roubado e como revisar as permissões dos apps.
O que não fazer
- Não reutilize a senha do e-mail em nenhum outro serviço.
- Não informe códigos de verificação a ninguém, nem a quem diga ser do suporte.
- Não crie passkey nem salve senha em computador compartilhado.
- Não ligue a chave de recuperação da Apple sem guardá-la em lugar seguro.
- Não deixe só o SMS como segunda etapa se o serviço oferece algo mais forte.
- Não ignore o aviso de "novo acesso" que o serviço envia: confira se foi você.
Perguntas frequentes
Qual é a senha mais segura?
Uma senha longa, única para cada conta e difícil de adivinhar. O NCSC recomenda três palavras aleatórias, e o NIST diz que o tamanho importa mais do que regras de símbolos, com mínimo de 15 caracteres quando a senha é o único fator.
Preciso trocar minhas senhas de tempos em tempos?
Segundo o NIST, os serviços não devem exigir trocas periódicas, e a troca deve acontecer quando há indício de vazamento ou invasão. Troque quando houver sinal de problema.
SMS é seguro como segunda etapa?
É melhor do que nada, mas é o método mais exposto a ataques ao número, como a troca de chip, segundo o Google, e o NIST o classifica como restrito. Prefira passkey, chave de segurança, notificação ou app autenticador.
O que é uma passkey?
É uma forma de entrar na conta com a impressão digital, o rosto ou o PIN do aparelho, sem digitar senha. Segundo o Google, é mais segura contra phishing e os dados biométricos ficam no aparelho.
A passkey substitui a verificação em duas etapas?
Não substitui os métodos de recuperação nem a verificação em duas etapas, segundo o Google, mas, com a verificação ligada, a passkey pode dispensar a segunda etapa.
Gerenciador de senhas é seguro?
O NCSC considera uma opção segura e recomenda experimentar. Use uma senha-mestra forte, ligue a verificação em duas etapas nele e não salve senhas em computador compartilhado.
E se eu perder o celular?
Use os códigos de reserva e os métodos de recuperação que você configurou. No gov.br, é preciso pedir a desativação da verificação pelo formulário de atendimento. Por isso o Passo 6 deve ser feito antes.
Como ativo a verificação em duas etapas no gov.br?
No aplicativo gov.br, em "Segurança da conta", se a conta for prata ou ouro. O código é gerado só no aplicativo, e não vem por SMS nem funciona em autenticadores de terceiros.
Fontes
- NIST SP 800-63B-4: Digital Identity Guidelines, Authentication and Authenticator Management, NIST (2025-08-26)
- Proteja sua conta com a Verificação em duas etapas, Ajuda da Conta do Google
- Faça login de forma mais rápida e segura com chaves de acesso, Ajuda da Conta do Google
- Autenticação de dois fatores para o Apple Account, Suporte da Apple
- Set up a recovery contact for your Apple Account, Suporte da Apple
- Set up a recovery key for your Apple Account, Suporte da Apple
- Create and save a passkey, Suporte da Microsoft
- Implementing phishing-resistant MFA, CISA (2022-10-31)
- Password managers, NCSC (Reino Unido)
- Use three random words, NCSC (Reino Unido)
- Segurança da conta: verificação em duas etapas, Governo Digital (gov.br)
- Have I Been Pwned: FAQs, Have I Been Pwned