2FA compartilhado vs cofre: como o time entra sem SMS no grupo

O código cai no SMS. Alguém joga no grupo: “é 449821”. Três gestores veem. Um no Uber, outro na call com o cliente, o terceiro publica. O fator que deveria provar uma pessoa acabou de provar um chat. Isso não é 2FA compartilhado. É um fator só, com cópia. A mesa de agência de publicidade precisa entrar na conta sem esse rito. Cofre no browser, app da operação e hardware key com backup. Grupo de WhatsApp não conta.

Este texto separa SMS, app e chave — e mostra qual a agência consegue cortar no dia da saída. O irmão imediato é senha no WhatsApp como incidente. Lá o segredo é a senha. Aqui é o código que a senha pede. Os dois no mesmo chat fecham o cadeado por fora e deixam a chave na porta.

O que o time chama de “2FA compartilhado” — e por que mente

No corredor, 2FA compartilhado é “todo mundo consegue entrar”. Na prática vira uma destas gambiarras:

QR do autenticador fotografado e jogado no Drive.

Authy com a senha do app no grupo.

SMS no chip do sócio, encaminhado.

Hardware key única que passa de mochila em mochila.

Print dos códigos de backup no Notion.

Todas multiplicam o fator. Nenhuma multiplica o acesso com papel. A diferença importa. Acesso com papel: a pessoa abre o perfil, o cofre gera ou mostra o código, o log registra, a revogação corta o assento. Compartilhar o fator: a pessoa leva o segredo no bolso para sempre — mesmo depois de sair.

Plataforma de ads não foi feita para agência. Foi feita para um anunciante e um celular. Querer ser vários celulares no mesmo QR é briga com o produto. A saída não é colecionar chip. É parar de multiplicar o segredo e passar a multiplicar o assento no ambiente controlado.

SMS: o pior default, o mais comum

SMS é fácil. O cliente já tem. A plataforma já oferece. O gestor já encaminha.

Os furos todo mundo conhece — e o checklist do time finge que não: encaminhar pro grupo; número pessoal que vai embora com a pessoa; SIM swap; chip antigo do ex-colaborador; atraso de operadora no sábado; código na notificação da tela bloqueada no coworking.

Se a plataforma só oferece SMS, a agência ainda escolhe para onde o SMS vai. Número da empresa, chip na gaveta do ops — não o grupo. Quem precisa do código abre um rito: pede ao ops, ops lê, ops registra, código expira. É lento. É melhor que o print eterno.

SMS não desculpa falta de cofre de senha. São camadas. Senha no cofre e SMS no grupo ainda é incidente. Senha no grupo e SMS no cofre também. Os dois fora do chat é o mínimo.

App autenticador: fator bom, hábito de cópia péssimo

App no celular é o meio-termo honesto de muita mesa. TOTP gira. Não depende de operadora. Funciona offline.

O que quebra: clonar o app. QR no grupo. “Backup do Authy” com senha fraca. Gestor que configura no iPhone pessoal sem envelope de recuperação no ops.

Regra: um fator da operação por identidade, com recuperação escrita. Quem opera não precisa do QR. Precisa do perfil que já revela o TOTP. Lauth Pass guarda o 2FA no browser da operação justamente por isso. O código aparece pra quem tem papel. Não aparece no WhatsApp. Não viaja no bolso do estagiário.

Se o app ainda mora no celular do gestor, a saída inclui transferência no dia. Sem isso, a identidade fica refém do aparelho que foi embora. Hardware key e cofre existem pra não viver nesse refém.

Códigos de backup do app não vão pro Notion aberto. Vão pro envelope, pro cofre do ops, pro gerenciador da empresa. Notion de backup é grupo com markdown.

Hardware key: o teto, com ressalva de posse

Chave física é o melhor fator contra phishing de painel. O gestor clica no anúncio falso, a key pede o toque, o toque não acontece no site mentiroso. Isso importa. Gestor de tráfego recebe e-mail que parece Ads Manager o trimestre inteiro.

A ressalva: uma key só. Plantão, férias, Uber, chave esquecida no escritório. Segunda key na gaveta do ops, registrada, testada a cada trimestre. Sem a segunda, a key é o herói de alumínio.

Nem toda plataforma de ads aceita key no fluxo que a agência usa. Onde aceitar, use. Onde não aceitar, não finja. App no cofre cobre o buraco. Honestidade de cobertura vale mais que slide de “passwordless”.

Key da empresa, não key da pessoa. Gravada. Inventariada. Devolvida na saída. Key pessoal do gestor é o iPhone com outro formato.

Como o time entra no domingo sem o grupo

Cenário que testa o desenho: campanha estoura, plantão precisa publicar, o titular dorme.

Modelo grupo: alguém pede o SMS. Alguém manda. Alguém entra no Chrome de casa. Incidente completo.

Modelo cofre: dono temporário já tem papel de operar no perfil. Abre o perfil. O 2FA está no Lauth Pass do ambiente. Publica. O histórico registra. O titular acorda com fato, não com print.

Pra esse domingo existir:

Papel de operar já concedido. Não se concede papel às 23h no desespero.

2FA no cofre do perfil, não no celular do titular.

Perfil no sistema da agência, não no Chrome da casa do plantonista.

Admin de backup acordável pro que o operador não pode: convite, proxy, export.

Falta um dos quatro, o grupo volta. O grupo é água: enche o espaço que o rito deixou vazio.

Cliente, identidade dele, fator dele

Se a BM é do cliente e o 2FA é do celular do dono da marca, a agência não deveria precisar do código. Deveria ser parceiro convidado. O segundo fator fica com o anunciante. A agência opera o recorte.

Se o cliente recusa convite e entrega o login raiz, o contrato precisa dizer quem guarda o 2FA. Aceitar o login raiz sem guardar o fator de forma institucional é aceitar ser refém do WhatsApp do cliente. Isso é dívida comercial, não só técnica.

Nunca crie grupo misto “cliente + time” pra código. O raio do vazamento inclui o anunciante inteiro e cada fornecedor que o cliente adicionar depois.

Recuperação: o envelope que ninguém testa

Todo fator precisa de recuperação. Ninguém testa. O teste acontece no ban, no celular na água, no gestor que não atende.

Ritual trimestral: ops recupera uma identidade de não-produção com o envelope. Marca a data. Se falhar, o envelope é teatro.

O que vai no envelope: códigos de backup, segunda key, contato do cliente pra identidade dele, quem é o admin. O que não vai: senha em texto se já está no cofre. Duplicar senha no envelope “por via das dúvidas” recria o grupo no papel.

Backup no Notion, no Drive aberto, no card do Trello: são grupos. Backup de acesso não é wiki. O recorte irmão está em backup de acesso sem Notion.

Plataforma a plataforma: o fator não é o mesmo produto

Meta, Google, TikTok, Shopify, seller de marketplace: cada um oferece um cardápio. A agência que jura “todo mundo usa app” descobre o SMS obrigatório no sábado.

Mapeie por identidade: o que a plataforma aceita, o que está configurado, onde está o backup. Uma linha no inventário. Sem a linha, o plantão inventa o encaminhamento.

Onde houver app, app no cofre. Onde houver key, key da empresa com segunda na gaveta. Onde houver só SMS, número controlado, rito de ops, nunca grupo. Onde o cliente segura o fator, convite de parceiro e a agência fora do código.

Não force hardware key no fluxo que a plataforma não oferece só pra slide ficar bonito. O slide não publica. O SMS no grupo publica. Honestidade de cobertura é procedimento. Fantasia de passwordless é comercial.

Passkey, onde existir, segue a mesma regra de posse: da operação, com recuperação, não do Gmail pessoal do gestor. Gmail pessoal sai com a pessoa. A BM não deveria sair.

Phishing de painel e o fator que ainda salva

Gestor de tráfego vive de e-mail que parece o Ads Manager. O código TOTP colado no site falso entrega a sessão. Hardware key reduz esse furo: o toque não autentica o domínio mentiroso. App no cofre reduz o outro: o código não está no WhatsApp pra atacante que já está no grupo.

Nenhum fator salva senha reutilizada e extensão podre. Fator é camada. Camada não é milagre. O roteiro de phishing é outro texto. Aqui cabe a frase: segundo fator no grupo transforma o phishing do gestor no phishing do time inteiro. Um e-mail, cinco códigos visíveis. O raio do vazamento é o chat.

Número da empresa, viagem e o chip que ninguém inventariou

A mesa migra o SMS pra um chip “da agência”. O chip mora na gaveta. Até o gestor viajar com o chip no bolso “pra não incomodar o ops”. O chip vira celular pessoal com CNPJ na caixa. Na saída: o chip vai embora ou fica num hotel. O rito morreu.

Chip institucional fica no escritório ou no hardware do ops. Quem viaja opera pelo cofre do perfil, não pelo SMS no bolso. Se a plataforma só tem SMS e o gestor está no avião, o admin de backup lê o código no rito, registra, e o código expira. É lento. É o preço de não ter app. O preço de ter app e ainda assim viajar com o chip é preguiça.

Viagem internacional: SMS atrasa, número não recebe, roaming some. O fim de semana de Black Friday não é hora de descobrir. Teste o fator no recorte de produção antes da viagem, em horário comercial. Se falhar, o envelope entra. Se o envelope falhar, a identidade não tem plantão. O contrato não deveria fingir que tem.

Implantação em três ciclos

Ciclo um: proíba código no chat. Qualquer código. SMS, TOTP, backup. Quem mandar trata como incidente, move pro cofre, apaga a mensagem se ainda der.

Ciclo dois: TOTP das contas de produção no cofre do browser. Comece pelo squad que mais publica. Não pelas 40.

Ciclo três: hardware key onde a plataforma aceita, com segunda key no ops. SMS só onde a plataforma não oferece outra coisa, em número controlado.

O teste de pronto: o plantão publica sem pedir código no WhatsApp. Se ainda pede, o fator ainda é compartilhado no sentido errado. Compartilhe o perfil. Não compartilhe o segredo.

O coordenador confirma o pronto com três perguntas na sexta. O plantonista abre o perfil sem o titular. O código aparece no cofre, não no chat. O histórico registra a abertura. Três sim. Qualquer não devolve o trabalho pro ciclo que faltou. Não devolve pro grupo “só neste fim de semana”. O só neste é o hábito que o trimestre inteiro tentou matar.

Número da empresa, chip na gaveta, Authy com senha no Notion: se ainda existem, o inventário lista como dívida, com data pra morrer. Dívida sem data é procedimento de fachada. Procedimento sem data é o grupo com outro nome.