# Como proteger seu e-mail e suas contas principais: senha, verificação em duas etapas e passkeys, passo a passo

> O e-mail e as contas do Google, da Apple e da Microsoft abrem todas as outras portas. Veja como montar uma senha longa e única, ativar a verificação em duas etapas (e por que passkey e chave de segurança vencem o SMS), guardar a recuperação, checar vazamentos e fechar tudo em 30 minutos.

- Editoria: Pro
- Autor: Redação PushTech
- Publicado em: 2026-10-24T19:30:00-03:00
- URL canônica: https://pushtech.tech/pro/como-proteger-email-e-contas-principais-senha-verificacao-em-duas-etapas-passkeys

Se você só tem meia hora para proteger sua vida digital, comece pelo e-mail e pelas contas principais: a conta do Google, a da Apple e a da Microsoft, mais a do gov.br. Elas guardam suas fotos, seus arquivos, seu histórico e, quase sempre, o caminho de recuperação de todas as outras contas. **A ordem que vale a pena seguir:** uma senha longa e única para o e-mail, a verificação em duas etapas (de preferência com passkey ou chave de segurança, e não só SMS), os códigos de recuperação guardados, um gerenciador de senhas e uma checagem de vazamentos.

> **Nota:** menus, regras e recursos de contas mudam com frequência. Este artigo foi atualizado em outubro de 2026. Confirme os passos nas páginas oficiais de cada serviço.

## Por que o e-mail e as contas principais vêm primeiro

Esta é uma explicação da Redação, e não uma regra das empresas: quando você esquece a senha de um serviço, o caminho de recuperação costuma passar pelo seu e-mail ou pelo seu telefone. Quem controla o seu e-mail consegue pedir a redefinição de senha das suas outras contas. E a conta do Google, da Apple ou da Microsoft concentra fotos, arquivos, backups e acesso aos seus aparelhos. Por isso, essas contas são o alvo mais valioso, e proteger bem poucas contas rende mais do que proteger muitas de qualquer jeito.

## Passo 1: senha longa e única

### O que as diretrizes atuais dizem
O NIST, órgão de padrões dos Estados Unidos, atualizou em 2025 as diretrizes de autenticação (SP 800-63B-4). Elas descrevem o que os serviços devem exigir de quem cria uma senha, e mudam vários hábitos antigos:

- **Tamanho conta mais que símbolos.** Quando a senha é a única forma de entrar, o mínimo é de 15 caracteres. Quando ela faz parte de uma verificação em mais de uma etapa, o mínimo é de 8.
- **Sem regras de composição.** As diretrizes dizem que os serviços não devem impor exigências como misturar tipos de caractere.
- **Sem troca periódica obrigatória.** A troca só deve ser exigida quando houver indício de que a senha vazou.
- **Bloquear senhas vazadas e comuns.** Os serviços devem comparar a senha nova com listas de senhas conhecidas ou comprometidas.
- **Permitir gerenciador de senhas e colar.** Os serviços devem aceitar preenchimento automático e, de preferência, o ato de colar a senha.

Em português simples: **uma senha comprida e que você não usa em nenhum outro lugar vale mais do que uma curta cheia de símbolos, e você não precisa trocar de tempos em tempos sem motivo.** Troque quando houver sinal de vazamento ou de invasão.

### Como montar uma senha que você consegue lembrar
O NCSC, órgão de segurança cibernética do Reino Unido, recomenda combinar **três palavras aleatórias**, o que dá uma senha longa e fácil de lembrar. Alguns cuidados que o órgão destaca:

- Evite senhas comuns, datas importantes, nomes de time, de familiares e de bichos de estimação, porque muita dessa informação está nas suas redes sociais.
- Trocar letras por números ou símbolos (como o zero no lugar do "o") protege pouco, porque os criminosos conhecem esses truques.
- Anotar a senha em papel é aceitável se você guardar em lugar seguro.

O ponto que mais importa: **cada conta principal precisa de uma senha só dela.** Se a mesma senha serve para o e-mail e para uma loja que vazou, o vazamento da loja abre o seu e-mail.

## Passo 2: um gerenciador de senhas

Para ter uma senha única em dezenas de contas, é preciso um lugar para guardá-las. O NCSC considera os gerenciadores uma opção segura e diz que vale a pena experimentar um. Eles podem estar embutidos no navegador ou no sistema do celular e do computador, ou ser aplicativos de terceiros. A orientação do órgão:

- **Guardar senhas no navegador ou no aparelho é seguro nos seus próprios dispositivos.** A segurança depende dos seus aparelhos e contas, então mantenha as atualizações automáticas ligadas.
- **Não salve senhas em computador compartilhado,** como o de uma biblioteca ou de uma faculdade.
- **A senha-mestra é a chave de tudo:** precisa ser forte e você precisa lembrar dela, e vale ligar a verificação em duas etapas na própria conta do gerenciador.
- Gerenciadores de terceiros ajudam quando você usa navegadores e sistemas diferentes.

Esta matéria não recomenda um produto específico. O gerenciador que já vem no seu celular ou no seu navegador é um bom começo, e o que importa é usar algum.

## Passo 3: verificação em duas etapas

A verificação em duas etapas (ou autenticação de dois fatores) pede, além da senha, uma segunda prova de que é você. O Google descreve como uma camada extra de proteção para o caso de a sua senha ser roubada. Os métodos que o Google lista:

| Método | Como funciona | O que o Google diz |
| --- | --- | --- |
| **Passkey (chave de acesso)** | Você entra com a impressão digital, o rosto ou o bloqueio de tela do aparelho | Está entre as opções com mais proteção contra phishing, e dispensa a segunda etapa |
| **Chave de segurança física** | Um dispositivo que você conecta ou aproxima para confirmar | Ajuda a proteger contra phishing |
| **Notificação do Google** | Você toca em "Sim" em uma notificação no celular | Recomendada se você não usa passkey |
| **App autenticador** | Gera códigos, mesmo sem internet | Funciona sem sinal de celular |
| **Código por SMS ou ligação** | Um código de 6 dígitos enviado ao seu número | É o mais exposto a ataques ao número, como a troca de chip |
| **Códigos de reserva** | Códigos de 8 dígitos que você guarda para quando perder o celular | Uso de emergência |

O Google ressalta que todos os métodos de duas etapas melhoram a segurança, inclusive o SMS. **O melhor é ativar a verificação agora, com o método que você consegue manter, e melhorar depois.**

### Por que SMS é o elo mais fraco
A CISA, agência de segurança cibernética dos Estados Unidos, afirmou em ficha de outubro de 2022 que métodos baseados em app e em SMS ou ligação são vulneráveis a phishing, ao "bombardeio de notificações" (quando o golpista dispara pedidos até você aprovar por cansaço ou por engano), a falhas do protocolo SS7 e à troca de chip. A agência chama as chaves e passkeys baseadas em FIDO e WebAuthn de padrão de ouro, e trata a confirmação por número (em que você digita um número mostrado na tela) como medida provisória melhor do que o simples toque. É uma ficha de mais de quatro anos, e vale conferir a versão atual em cisa.gov/mfa. O NIST também classifica o SMS e a ligação como método restrito e diz que o e-mail não deve ser usado como segunda etapa. O golpe da troca de chip aparece no nosso [guia de golpes no WhatsApp](/pro/golpes-no-whatsapp-guia-completo-20-tipos-como-identificar-evitar-e-o-que-fazer-se-cair).

### Ordem de preferência (da Redação)
Uma síntese das fontes acima, e não uma regra delas:

1. **Passkey ou chave de segurança física**, onde o serviço oferecer.
2. **Notificação com confirmação por número, ou app autenticador.**
3. **SMS ou ligação**, só quando for a única opção.
4. **Nunca informar o código a ninguém.** Nenhuma segunda etapa protege quem entrega o código ao golpista. O [guia de recuperação do WhatsApp](/pro/whatsapp-clonado-roubado-como-recuperar-verificacao-duas-etapas) mostra como o golpe do código funciona.

## Passo 4: passkeys

Uma passkey, segundo o Google, é uma alternativa mais simples e mais segura à senha: você entra com a impressão digital, o rosto ou o PIN de bloqueio do aparelho, e os dados biométricos ficam no aparelho e nunca são enviados ao Google. O Google diz que passkeys são mais seguras contra phishing e que não podem ser compartilhadas, copiadas, anotadas nem entregues por engano.

**Como criar na conta do Google:** acesse myaccount.google.com/signinoptions/passkeys, toque em "Criar uma chave de acesso" e desbloqueie o aparelho. **Na conta Microsoft:** em account.live.com/proofs/manage, adicione uma forma de entrar e escolha rosto, impressão digital, PIN ou chave de segurança, e escolha onde guardar a passkey (no gerenciador da Microsoft, em outro gerenciador sincronizado ou no celular). **Em aparelhos Apple,** o Google exige o Chaveiro do iCloud ligado para guardar a passkey.

O que saber antes:

- **Exigem bloqueio de tela** ligado e versões mínimas de sistema e navegador (o Google cita, por exemplo, Android 9, iOS 16 e Chrome 109 ou mais novos).
- **Uma passkey nova pode levar até 7 dias** para valer, a menos que você use um método de confiança para acelerar, segundo o Google.
- **Não crie passkey em aparelho compartilhado.** Quem desbloqueia o aparelho entra na conta.
- **Se perder o aparelho,** remova a passkey a partir de outro aparelho em que você esteja conectado (no Google, em Segurança e login, Chaves de acesso e de segurança).
- **Passkey não substitui a recuperação.** O Google diz que ela não troca os seus métodos de recuperação nem a verificação em duas etapas, e que, com a verificação ligada, a passkey pode dispensar a segunda etapa.

## Passo 5: ativar nas contas que mais importam

### Conta Google
Em myaccount.google.com, abra "Segurança e login" e, em "Como você faz login no Google", ative a verificação em duas etapas. Siga as instruções na tela. Se a conta for de trabalho ou escola, as regras podem ser definidas pelo administrador.

### Apple Account
No iPhone ou iPad, abra Ajustes, toque no seu nome e abra a seção de login e segurança (o nome exato do menu varia por versão) para ligar a autenticação de dois fatores. Na web, entre em account.apple.com. A Apple informa que, se a conta foi criada já com essa proteção, ela não pode ser removida. Em recuperação, a Apple oferece duas opções:

- **Contato de recuperação:** uma pessoa de confiança que pode lhe dar um código para redefinir a senha, sem nenhum acesso à sua conta. Pode ter até cinco, e a pessoa precisa ter autenticação de dois fatores e um aparelho Apple atualizado.
- **Chave de recuperação:** um código secreto de 28 caracteres. Ao ligá-la, você desliga a recuperação padrão da Apple, e passa a depender de um aparelho confiável ou da chave para voltar à conta. **Só ligue se for guardá-la com cuidado,** porque perder os dois pode significar perder o acesso.

### Conta Microsoft
Em account.live.com/proofs/manage, adicione métodos de verificação e, se quiser, uma passkey. Em contas de trabalho ou escola, a passkey só funciona se a organização oferecer.

### Conta gov.br
A verificação em duas etapas do gov.br está disponível para contas de nível prata e ouro, e é ativada no aplicativo gov.br, em "Segurança da conta". Algumas particularidades, segundo a página oficial:

- **O código não vem por SMS.** Ele é gerado só no aplicativo do gov.br, pela opção "Gerar código de acesso".
- **Aplicativos autenticadores de terceiros não servem.** A página cita Authy, Google Authenticator e Microsoft Authenticator como exemplos que não geram esse código.
- **Deixe data e hora automáticas** no celular, ou a verificação pode falhar.
- **Dispositivos autorizados:** em um aparelho seu, você pode marcar para não pedir o código de novo no navegador. Em "Dispositivos autorizados" você vê e remove aparelhos e consulta o histórico de acessos.
- **Se perder o acesso ao aplicativo,** é preciso pedir a desativação pelo formulário de atendimento da página.

## Passo 6: a recuperação, antes de precisar dela

A maior causa de sofrimento com a verificação em duas etapas é perder o celular sem ter a recuperação pronta. Faça agora:

- **Guarde os códigos de reserva** (no Google, são códigos de 8 dígitos) impressos ou em um lugar seguro fora do celular.
- **Confira o telefone e o e-mail de recuperação** de cada conta principal. No Google, um número novo pode levar até 7 dias para ser validado.
- **Escolha um contato ou uma chave de recuperação** na Apple, e entenda a troca antes.
- **Tenha pelo menos dois métodos** em cada conta principal (por exemplo, passkey e códigos de reserva).

## Passo 7: verificar se você já vazou

O Have I Been Pwned é um serviço gratuito de busca de vazamentos: você digita o seu e-mail e vê em quais vazamentos conhecidos ele aparece. Segundo o próprio serviço, as senhas não são carregadas junto com os e-mails. O ponto mais importante: **"não encontrado" não quer dizer "nunca vazou".** O serviço reconhece que guarda só parte dos registros, e muitos vazamentos nunca são divulgados. Se o seu e-mail aparecer, troque a senha daquela conta e de qualquer outra que use a mesma, ative a verificação em duas etapas e desconfie de mensagens que citem dados seus.

## Checklist de 30 minutos (da Redação)

| Ordem | O que fazer | Tempo |
| --- | --- | --- |
| 1 | Definir uma senha de três palavras aleatórias, só para o e-mail principal | 3 min |
| 2 | Ligar a verificação em duas etapas no e-mail principal | 5 min |
| 3 | Criar uma passkey no Google, na Microsoft e na Apple, onde existir | 5 min |
| 4 | Guardar os códigos de reserva e conferir telefone e e-mail de recuperação | 5 min |
| 5 | Ligar o gerenciador de senhas do celular ou do navegador e começar pelas contas principais | 5 min |
| 6 | Ativar a verificação em duas etapas no gov.br (se a conta for prata ou ouro) | 5 min |
| 7 | Consultar o e-mail no Have I Been Pwned e trocar o que for preciso | 2 min |

Depois, siga para as outras etapas da [trilha de Segurança digital prática](/trilhas/seguranca-digital-pratica): [o que fazer se o celular for roubado](/pro/celular-roubado-o-que-fazer-celular-seguro-bloqueio) e [como revisar as permissões dos apps](/pro/permissoes-de-apps-como-revisar-iphone-android).

## O que não fazer

- **Não reutilize a senha do e-mail** em nenhum outro serviço.
- **Não informe códigos de verificação** a ninguém, nem a quem diga ser do suporte.
- **Não crie passkey nem salve senha em computador compartilhado.**
- **Não ligue a chave de recuperação da Apple sem guardá-la** em lugar seguro.
- **Não deixe só o SMS como segunda etapa** se o serviço oferece algo mais forte.
- **Não ignore o aviso de "novo acesso"** que o serviço envia: confira se foi você.

## Perguntas frequentes

### Qual é a senha mais segura?
Uma senha longa, única para cada conta e difícil de adivinhar. O NCSC recomenda três palavras aleatórias, e o NIST diz que o tamanho importa mais do que regras de símbolos, com mínimo de 15 caracteres quando a senha é o único fator.

### Preciso trocar minhas senhas de tempos em tempos?
Segundo o NIST, os serviços não devem exigir trocas periódicas, e a troca deve acontecer quando há indício de vazamento ou invasão. Troque quando houver sinal de problema.

### SMS é seguro como segunda etapa?
É melhor do que nada, mas é o método mais exposto a ataques ao número, como a troca de chip, segundo o Google, e o NIST o classifica como restrito. Prefira passkey, chave de segurança, notificação ou app autenticador.

### O que é uma passkey?
É uma forma de entrar na conta com a impressão digital, o rosto ou o PIN do aparelho, sem digitar senha. Segundo o Google, é mais segura contra phishing e os dados biométricos ficam no aparelho.

### A passkey substitui a verificação em duas etapas?
Não substitui os métodos de recuperação nem a verificação em duas etapas, segundo o Google, mas, com a verificação ligada, a passkey pode dispensar a segunda etapa.

### Gerenciador de senhas é seguro?
O NCSC considera uma opção segura e recomenda experimentar. Use uma senha-mestra forte, ligue a verificação em duas etapas nele e não salve senhas em computador compartilhado.

### E se eu perder o celular?
Use os códigos de reserva e os métodos de recuperação que você configurou. No gov.br, é preciso pedir a desativação da verificação pelo formulário de atendimento. Por isso o Passo 6 deve ser feito antes.

### Como ativo a verificação em duas etapas no gov.br?
No aplicativo gov.br, em "Segurança da conta", se a conta for prata ou ouro. O código é gerado só no aplicativo, e não vem por SMS nem funciona em autenticadores de terceiros.

## Fontes

- [NIST SP 800-63B-4: Digital Identity Guidelines, Authentication and Authenticator Management](https://pages.nist.gov/800-63-4/sp800-63b.html), NIST (2025-08-26)
- [Proteja sua conta com a Verificação em duas etapas](https://support.google.com/accounts/answer/185839?hl=pt-BR), Ajuda da Conta do Google
- [Faça login de forma mais rápida e segura com chaves de acesso](https://support.google.com/accounts/answer/13548313?hl=pt-BR), Ajuda da Conta do Google
- [Autenticação de dois fatores para o Apple Account](https://support.apple.com/pt-br/102660), Suporte da Apple
- [Set up a recovery contact for your Apple Account](https://support.apple.com/102641), Suporte da Apple
- [Set up a recovery key for your Apple Account](https://support.apple.com/109345), Suporte da Apple
- [Create and save a passkey](https://support.microsoft.com/en-us/account-billing/create-and-save-a-passkey-e92cd3e0-11fa-4630-a5ea-3ccc0396b3d9), Suporte da Microsoft
- [Implementing phishing-resistant MFA](https://cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf), CISA (2022-10-31)
- [Password managers](https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/password-managers), NCSC (Reino Unido)
- [Use three random words](https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/three-random-words), NCSC (Reino Unido)
- [Segurança da conta: verificação em duas etapas](https://www.gov.br/governodigital/pt-br/identidade/conta-gov-br/seguranca-da-conta), Governo Digital (gov.br)
- [Have I Been Pwned: FAQs](https://haveibeenpwned.com/FAQs), Have I Been Pwned