Verificação em duas etapas

A verificação em duas etapas protege a sua conta com um segundo passo no login: depois da senha, a Memberfy manda um código de 6 dígitos ao seu telefone, pelo WhatsApp (ou por SMS), e você só entra com ele. Mesmo que alguém descubra a sua senha, não entra sem o código do seu telefone.

Não precisa de app de autenticação nem custa nada: a Memberfy paga as mensagens, e o código não conta na cota de SMS e WhatsApp da comunidade.

Como a conta é uma por comunidade, a verificação também é: ligada aqui, ela vale para o seu login nesta comunidade.

#Para que serve

#Como funciona

#Quem precisa ter

O prazo da equipe começa na primeira vez que a pessoa usa uma tela ou ação da equipe sem a verificação. Passado o prazo, as telas e ações da equipe ficam bloqueadas ("As telas e ações da equipe estão bloqueadas: ligue a verificação em duas etapas para continuar."), e as chaves de API dessa pessoa também deixam de alcançar as rotas da equipe. O caminho para ligar fica sempre aberto: Minha Conta › Segurança e o botão Ligar agora do aviso. Ao ligar, tudo volta a funcionar na hora.

#O padrão para os membros

Em Configurações › Acesso e cadastro, o cartão Verificação em duas etapas dos membros tem a opção Pedir a verificação em duas etapas aos membros. Só o proprietário muda ("Só o owner muda esta opção.").

• Desligada (padrão): cada membro decide se liga a sua.
• Ligada: os membros sem a verificação veem o convite "Esta comunidade pede que você ligue a verificação em duas etapas para proteger a sua conta.", com Ligar agora e Dispensar por agora. Ninguém fica bloqueado. Quem liga não consegue mais desligar enquanto a opção estiver ligada.

#O login com código

Com a verificação ligada, o login com a senha certa abre o passo Verificação em duas etapas:

• "Enviamos um código pelo WhatsApp para {telefone}.", com o número mascarado. Digite os 6 dígitos em Código de 6 dígitos e toque em Entrar.
• Receber por SMS manda o código por SMS. Se o WhatsApp não aceita o número, o código já vai por SMS.
• Lembrar este dispositivo por 90 dias: neste navegador, os próximos logins pedem só a senha, até vencer.
• Usar código de recuperação: entra com um dos códigos de recuperação, se o telefone não está com você.

Senha errada não dispara código. Código errado mostra quantas tentativas restam; esgotadas, peça um código novo. Se o pedido de código vencer, a tela pede para entrar com a senha de novo. A conexão de um assistente de IA passa pelo mesmo login e também pede o código.

#Os códigos de recuperação

Ao ligar, a tela mostra 10 códigos de recuperação, uma vez só, com Copiar e Baixar. Ela só conclui depois de você marcar Guardei os códigos em lugar seguro. Cada código vale uma vez, no lugar do código do telefone.

• Ao entrar com um código de recuperação, ele deixa de valer, a tela diz quantos restam e você recebe um e-mail de alerta.
• Com poucos códigos restantes, Minha Conta › Segurança avisa. Gerar novos códigos de recuperação troca os 10: os antigos deixam de valer.

#Os dispositivos lembrados

Em Minha Conta › Segurança, Dispositivos lembrados lista os navegadores em que o login não pede o código, com o navegador e o sistema, o último uso e até quando vale. Remover esquece um; Remover todos esquece todos (a sessão atual continua). Trocar a senha ou desligar a verificação também remove todos.

#O passo extra

Com a verificação ligada, algumas ações pedem um código novo na hora, mesmo com você já dentro: a janela Confirme que é você manda o código ao telefone e só segue depois dele.

Depois de confirmar, as próximas ações da lista não pedem outro código por alguns minutos. Na sessão de suporte da Memberfy (o Entrar do SuperAdmin), essas ações não ficam disponíveis: só a própria pessoa as faz, na conta dela.

#A atividade de segurança

Atividade de segurança mostra os eventos recentes da verificação da sua conta: ligada, desligada, telefone trocado, dispositivo lembrado ou removido, código de recuperação usado, novos códigos gerados e verificação redefinida pelo suporte. Ligar, desligar, usar um código de recuperação e a redefinição pelo suporte também mandam e-mail para você.

#Passo a passo

#Ligar a verificação

Papel: qualquer pessoa, na própria conta.

1. Abra Minha Conta › Segurança (/account?tab=security).
2. Em Verificação em duas etapas, toque em Ligar a verificação em duas etapas.
3. Informe o Telefone (um número com WhatsApp), escolha Enviar o código por WhatsApp ou SMS e toque em Enviar código.
4. Digite o código e toque em Ligar. O número passa a ser o telefone confirmado da sua conta.
5. Guarde os 10 códigos de recuperação (Copiar ou Baixar), marque Guardei os códigos em lugar seguro e toque em Concluir.

A seção passa a mostrar Ligada, o telefone, a data, os códigos de recuperação restantes e os dispositivos lembrados. Num país sem WhatsApp nem SMS atendidos, não dá para ligar, e a tela explica o motivo.

#Trocar o telefone

1. Em Minha Conta › Segurança, toque em Trocar o telefone e confirme que é você com o código do telefone atual.
2. Informe o número novo, receba o código nele e confirme. Os próximos códigos vão para o número novo.

#Desligar a verificação

Só quem não é obrigado: membro numa comunidade sem o padrão ligado.

Toque em Desligar, confirme que é você com o código e confirme. O login volta a pedir só a senha, os códigos de recuperação deixam de valer e os dispositivos lembrados são removidos. Para a equipe e para o SuperAdmin, a seção explica que a verificação é sempre usada, sem o botão.

#Pedir aos membros

Papel: proprietário.

1. Abra Configurações › Acesso e cadastro.
2. No cartão Verificação em duas etapas dos membros, ligue Pedir a verificação em duas etapas aos membros.

#Perdi o telefone

1. No passo do código, toque em Usar código de recuperação e digite um dos códigos que você guardou.
2. Já dentro, troque o telefone em Minha Conta › Segurança e gere novos códigos.

Sem o telefone e sem nenhum código de recuperação, fale com o suporte da Memberfy. Não existe código por e-mail: o SuperAdmin confere a sua identidade antes, desliga a verificação da conta com o motivo registrado, e você recebe um e-mail avisando. Se o seu papel exige a verificação, ligue de novo no próximo acesso.

#Exemplos

Administrador novo. A Ana vira administradora. Ao abrir o painel, vê o aviso com o prazo de 7 dias, toca em Ligar agora, confirma o WhatsApp e guarda os códigos. No notebook do escritório, marca Lembrar este dispositivo por 90 dias.

Saque protegido. O proprietário pede um saque. Antes de enviar, a janela Confirme que é você pede o código do WhatsApp; com ele, o saque segue.

Comunidade que pede a todos. O proprietário liga o padrão para os membros. Quem entra vê o convite, liga em um minuto e passa a entrar com o código.

#Erros comuns e como resolver

#Perguntas frequentes

Quanto custa? Nada, nem para a comunidade nem para quem usa. A Memberfy paga as mensagens, fora da cota da comunidade.

Preciso de app de autenticação? Não. O código chega pelo WhatsApp, ou por SMS.

Vou digitar código todo dia? Não, se marcar Lembrar este dispositivo por 90 dias. O código só volta depois desse prazo, se você trocar a senha ou remover o dispositivo.

O proprietário pode me obrigar? A equipe (administrador, moderador, financeiro e o próprio proprietário) sempre usa a verificação. Para membros, o proprietário pode pedir, mas ninguém é bloqueado.

Recuperar a senha pula a verificação? Não. O login seguinte, com a senha nova, pede o código.

E as chaves de API? Uma chave continua funcionando sem código. Criar uma nova pede o passo extra. Para a equipe, passado o prazo sem a verificação, as chaves também deixam de alcançar as rotas da equipe.

#Pelo assistente

O assistente consulta a sua verificação com get_two_factor_status: se está ligada, se o seu papel exige e até quando, o telefone mascarado, os códigos de recuperação restantes e os dispositivos lembrados. Ligar, desligar e digitar códigos acontecem só no app, nunca na conversa: o assistente devolve o link de Minha Conta › Segurança e nunca pede um código. Uma ação que pede o passo extra (como um saque) volta com o link para fazer pelo app. Ver Segurança e limites.

#Na API

O login com a verificação ligada responde twoFactorRequired: true e um challengeId, e termina em POST /api/auth/login/two-factor; a gestão fica em /api/auth/two-factor/*, e o passo extra vai no cabeçalho X-Step-Up-Token. Ver Autenticação › Verificação em duas etapas e os erros.

#Relacionados

• Conta e perfil
• Papéis e permissões
• Saque
• Integrações & APIs
• Segurança e limites do assistente