2FA: SMS, app e hardware key no fluxo da agência

O código chega no grupo. Seis pessoas veem. Duas já saíram da agência e ainda estão no print. O coordenador está no avião. O plantão pede o TOTP no privado. Alguém fotografa o Authenticator. Segunda-feira o cliente pergunta quem tem o segundo fator. A resposta honesta seria “o grupo e os prints”. Ninguém fala isso na call.

2FA na agência não é ligar o toggle na BM. É escolher o fator certo pra cada job: admin da empresa, identidade de cliente, plantão, saída de gente. SMS, app e hardware key não competem num ranking de blog. Fazem trabalhos diferentes. O recorte de cofre versus grupo está em 2FA compartilhado vs cofre. O recorte comercial, em agência de publicidade. Aqui: o fluxo. Quem segura o quê. O que o Lauth Pass cobre no browser — e o que uma YubiKey ainda precisa cobrir fora dele.

Três fatores, três falhas típicas

SMS. A plataforma manda um número. O número é um chip, um eSIM, um app de mensagem, um grupo que encaminha. Falhas: SIM swap, número pessoal do gestor, encaminhamento pro WhatsApp, phishing que pede o código “agora”. Disponibilidade: alta. Segurança pra mesa de ads: a pior das três — ainda melhor que senha só, até o grupo virar o canal.

App TOTP. Google Authenticator, Authy, o cofre que gera o número de seis dígitos. Falhas: celular único do sênior, backup inexistente, export pro grupo “só desta vez”, phishing de página clone que pede o TOTP em tempo real. Disponibilidade: boa se o cofre não for uma pessoa. Segurança: média-alta, se o segredo não viajar.

Hardware key. YubiKey, chave FIDO2. Falhas: chave na gaveta do titular, chave única sem backup, plantão sem a peça, conta de cliente que não aceita FIDO. Disponibilidade: baixa se a mesa não desenhar o kit. Segurança: a mais alta contra phishing de credencial, quando o fluxo é mesmo WebAuthn.

A mesa que escolhe um só pra tudo sofre. SMS em tudo: grupo. App em tudo no bolso do head: gargalo. Hardware em todas as BMs: teatro, porque metade das plataformas e metade dos plantões não vão honrar.

SMS: quando ainda aparece e como não piorar

Plataformas antigas. Recuperação de conta. Número já cadastrado no CPF do sócio do cliente. Você não apaga isso com checklist da agência. Você documenta e reduz a superfície.

Número da operação, não o celular pessoal do gestor. Chip da agência, em cofre físico ou eSIM controlado. Quem sai não leva o fator. SIM swap ainda existe. O raio é o da agência, não o Instagram pessoal do analista.

Proibido o encaminhamento automático pro grupo de mídia. O grupo não é token. O grupo é canal de fofoca. Código no grupo é incidente, mesmo que “sempre foi assim”.

Phishing por SMS e por voz pede o código. Treino: a plataforma que você abriu no perfil certo já pediu o fator. Mensagem solta pedindo código não é o fluxo. O artigo de phishing em gestor de tráfego detalha o e-mail. SMS é o irmão pobre. Mesma regra: não digite fator em página que você não abriu.

Se a BM só tem SMS, o risco vai pro contrato interno: aceitamos SMS nesta identidade, número X, dono Y, revisão trimestral se a plataforma já oferece TOTP. Hábito sem ata é como o grupo nasceu.

App TOTP: o padrão da mesa, se não for uma pessoa

Dezenas de identidades. O fator precisa viajar com o perfil, não com o bolso. Authenticator no celular do coordenador é 2FA de herói. Herói viaja. Herói dorme. Herói pede demissão com o seed no aparelho.

Cofre da operação no browser resolve o job do dia a dia. Lauth Pass guarda senha e 2FA no perfil. O plantão abre o perfil já provisionado. O código está no mesmo ambiente que o cookie. Não está no WhatsApp. Não está no Authy pessoal que o estágio copiou “pra ajudar”. Uma menção basta: o fator mora no browser da operação, não no chat.

Authy multi-device parece conforto. É raio de vazamento. Cada device é uma cópia do segredo. Tirar device da lista importa tanto quanto tirar pessoa. Prefira o cofre amarrado ao papel. Pessoa perde papel, perde TOTP daquela BM.

Backup codes. Não vão pro Notion da equipe. Não vão pro pin do Trello. Vão pro mesmo cofre ou pro envelope de admin (duas pessoas, procedimento). Recovery é o 2FA do 2FA. Tratado como senha mestra.

Relógio da máquina. TOTP é tempo. Notebook com hora errada gera código recusado. Gestor acha que a conta travou. Era NTP. Higiene de máquina de novo.

Hardware key: onde ela vale o preço

Conta Google da agência. Admin do painel. GitHub. Painel do provedor de proxy. SSO. O lugar em que um phishing de credencial derruba a empresa, não uma campanha.

Duas chaves. Uma no dia a dia, uma no cofre físico. Titular e backup nomeados. Plantão de TI, não plantão de mídia, segura a de emergência. Gestor de tráfego não precisa de YubiKey em cada BM pra parecer enterprise. Precisa de TOTP no perfil e de hardware no perímetro da agência.

Cliente que exige FIDO na BM: honre se a plataforma aceitar. Aí o kit de chaves entra no contrato de acesso. Chave fica na agência, não no Airbnb do freelancer. Freelancer opera com papel de operar e TOTP de cofre, ou não opera.

Phishing. Hardware key no fluxo WebAuthn recusa o domínio errado. TOTP não recusa. Por isso o perímetro da agência — o e-mail que reseta tudo — merece a chave. A BM do cliente, em massa, merece o TOTP no cofre e o treino de URL. Camadas. Não um único objeto mágico.

Perder a chave. Procedimento escrito antes. Não no dia. Segunda chave. Recovery codes. Pessoa de TI. Sem o procedimento, a chave única é o gargalo pior que o SMS.

O fluxo por papel, não por moda

Ver. Cliente, financeiro. Relatório. Sem TOTP da BM. Sem SMS. Sem chave. Se o relatório exige login no Ads, o papel já não é ver. É operar disfarçado. Corrija o relatório.

Operar. TOTP no cofre do perfil. Sem export. Sem screenshot. Plantão recebe o perfil, não o seed.

Admin da identidade. Pode convidar, revogar, ver recovery. Poucas pessoas. Hardware no e-mail que controla o reset, se existir.

Admin da agência. Hardware. Sempre. O Google que segura o cofre, o domínio, o provedor. SMS aqui é vergonha.

Estágio. Sem admin. TOTP só no lab, depois no perfil de ver. Nunca o seed da produção no Authy pessoal.

Saída no mesmo dia. Revoga perfil. Revoga TOTP. Troca o SMS se o número era o da pessoa. Recolhe a chave. Confere o grupo — o grupo não deveria ter o código, mas confere. O histórico de quem abriu o perfil mostra se a pessoa ainda tentou depois. O fator tem que ter morrido antes.

Phishing e o fator em tempo real

O golpe moderno não pede só a senha. Pede o TOTP agora. A página clone, o e-mail do “Ads Manager”, o Discord do “suporte”. SMS e app caem iguais se o humano digita. Hardware no perímetro segura o e-mail. O TOTP da BM ainda depende de a pessoa não colar o número no clone.

Roteiro: abrir o Ads pelo atalho do perfil, não pelo link do e-mail. Conferir o host. Não há urgência que justifique código no chat. O suporte da plataforma não pede TOTP no WhatsApp. Quem pede é o golpe.

Cofre no browser reduz a tentação de mandar o número pro colega “coloca aí”. O colega abre o próprio papel. Se não tem papel, não opera. O código não viaja.

Google, Meta e o resto: o fator não é um só produto

Google Ads e Workspace aceitam FIDO e TOTP com maturidade. O perímetro da agência (o e-mail que reseta MCC) merece hardware. A MCC de cliente, TOTP no cofre do perfil.

Meta oferece app e SMS, às vezes chave. A BM de cliente, em massa, vive de TOTP. O Facebook pessoal do gestor nunca deveria ser o segundo fator da BM do anunciante. Grafo misturado. Saída impossível de limpar.

TikTok, LinkedIn, marketplaces: cada um com o recorte dele. O checklist do time não precisa de um PDF por plataforma. Precisa da regra: preferir app no cofre, recusar grupo, registrar quando só houver SMS.

Não sincronize o Authenticator do Google pessoal com o da agência. Conta Google pessoal no fator da BM é o mesmo erro do Chrome sync. Dois mundos.

Recuperação no domingo, sem o herói

O TOTP quebrou. O celular formatou. A chave ficou no Uber. O roteiro de recuperação existe antes.

Admin nomeado. Recovery codes no cofre, não no grupo. Segunda chave no envelope. Tempo alvo: o plantão pausa gasto sem o fator de publicação, se o cartão de plantão deixar. Publicar campanha nova no domingo sem 2FA não é emergência. É pressa.

Se a recuperação exige o SMS no número do sócio do cliente, isso já estava no inventário. Não descubra às 11h de domingo. O cliente não é o Authenticator da agência. Ligar pro sócio a cada login é o gargalo que o cofre veio matar.

Teste de recuperação trimestral, amostral. Uma identidade de lab. Se o procedimento só funciona na cabeça do head, não existe.

Número de telefone antigo na BM, ainda no CPF do gestor que saiu. Isso é SMS residual. Inventário trimestral de fatores: o que está cadastrado, de quem é o chip, se o TOTP ainda está no cofre da operação. Fator fantasma é saída incompleta.

Não cadastre o mesmo TOTP em três apps “por segurança”. Três cópias são três raios de vazamento. Uma no cofre do perfil, recovery no envelope. Acabou.

Uma política que cabe numa página

SMS: só onde a plataforma obriga. Número da operação. Sem grupo. Revisão trimestral.

TOTP: padrão das identidades de anúncio. No cofre do perfil. Sem celular-herói. Sem Notion.

Hardware: perímetro da agência e contas admin. Duas chaves. Procedimento de perda.

Plantão: perfil provisionado. Sem foto de Authenticator.

Backup codes: cofre ou envelope. Wiki não.

Phishing: atalho do perfil, nunca o link. Treino curto, recorrente. O código não se encaminha. Se o plantão não tem o perfil, o plantão não publica. Pausa, se o cartão deixar, ainda pode existir sem o TOTP de criação de campanha. Criação sem fator no domingo não é plantão. É buraco.

O segundo fator existe pra senha não bastar. Na agência, o segundo fator vira a senha nova se ele mora no grupo, no bolso de um, ou no print do estágio. SMS, app e hardware key são ferramentas. O fluxo é quem segura. Segure no perfil, no papel, no browser da operação. Tire do chat. Essa é a única regra que o trimestre inteiro vai testar, no sábado, quando o código pedir pra ser encaminhado de novo.