Verificação em dois passos

A verificação em dois passos protege a sua conta com um segundo passo na entrada: depois da palavra-passe, a Memberfy envia um código de 6 dígitos para o seu telemóvel, pelo WhatsApp (ou por SMS), e só entra com ele. Mesmo que alguém descubra a sua palavra-passe, não entra sem o código do seu telemóvel.

Não precisa de aplicação de autenticação nem custa nada: a Memberfy paga as mensagens, e o código não conta na quota de SMS e WhatsApp da comunidade.

Como a conta é uma por comunidade, a verificação também o é: ativada aqui, vale para a sua entrada nesta comunidade.

#Para que serve

#Como funciona

#Quem tem de a usar

O prazo da equipa começa na primeira vez que a pessoa usa um ecrã ou ação da equipa sem a verificação. Terminado o prazo, os ecrãs e ações da equipa ficam bloqueados ("Os ecrãs e ações da equipa estão bloqueados: ative a verificação em dois passos para continuar."), e as chaves de API dessa pessoa também deixam de alcançar as rotas da equipa. O caminho para ativar fica sempre aberto: A Minha Conta › Segurança e o botão Ativar agora do aviso. Ao ativar, tudo volta a funcionar de imediato.

#A predefinição para os membros

Em Definições › Acesso e registo, o cartão Verificação em dois passos dos membros tem a opção Pedir a verificação em dois passos aos membros. Só o proprietário a altera ("Só o owner altera esta opção.").

• Desativada (predefinição): cada membro decide se ativa a sua.
• Ativada: os membros sem a verificação veem o convite "Esta comunidade pede-lhe que ative a verificação em dois passos para proteger a sua conta.", com Ativar agora e Agora não. Ninguém fica bloqueado. Quem a ativa deixa de a conseguir desativar enquanto a opção estiver ativada.

#A entrada com código

Com a verificação ativada, a entrada com a palavra-passe certa abre o passo Verificação em dois passos:

• "Enviámos um código pelo WhatsApp para {telemóvel}.", com o número mascarado. Introduza os 6 dígitos em Código de 6 dígitos e toque em Entrar.
• Receber por SMS envia o código por SMS. Se o WhatsApp não aceita o número, o código já vai por SMS.
• Lembrar este dispositivo durante 90 dias: neste navegador, as próximas entradas pedem só a palavra-passe, até expirar.
• Usar código de recuperação: entra com um dos códigos de recuperação, se não tiver o telemóvel consigo.

Palavra-passe errada não dispara código. Um código errado mostra quantas tentativas restam; esgotadas, peça um código novo. Se o pedido de código expirar, o ecrã pede para entrar de novo com a palavra-passe. A ligação de um assistente de IA passa pela mesma entrada e também pede o código.

#Os códigos de recuperação

Ao ativar, o ecrã mostra 10 códigos de recuperação, uma única vez, com Copiar e Transferir. Só conclui depois de assinalar Guardei os códigos num local seguro. Cada código vale uma vez, em vez do código do telemóvel.

• Ao entrar com um código de recuperação, este deixa de valer, o ecrã diz quantos restam e recebe um e-mail de alerta.
• Com poucos códigos restantes, A Minha Conta › Segurança avisa. Gerar novos códigos de recuperação substitui os 10: os antigos deixam de valer.

#Os dispositivos lembrados

Em A Minha Conta › Segurança, Dispositivos lembrados lista os navegadores em que a entrada não pede o código, com o navegador e o sistema, a última utilização e a data até à qual é válido. Remover esquece um; Remover todos esquece todos (a sessão atual continua). Alterar a palavra-passe ou desativar a verificação também remove todos.

#O passo extra

Com a verificação ativada, algumas ações pedem um código novo na hora, mesmo já tendo entrado: a janela Confirme que é você envia o código para o telemóvel e só avança depois dele.

Depois de confirmar, as ações seguintes da lista não pedem outro código durante alguns minutos. Na sessão de suporte da Memberfy (o Entrar do SuperAdmin), estas ações não estão disponíveis: só a própria pessoa as faz, na conta dela.

#A atividade de segurança

Atividade de segurança mostra os eventos recentes da verificação da sua conta: ativada, desativada, telemóvel alterado, dispositivo lembrado ou removido, código de recuperação usado, novos códigos gerados e verificação redefinida pelo suporte. Ativar, desativar, usar um código de recuperação e a redefinição pelo suporte também lhe enviam um e-mail.

#Passo a passo

#Ativar a verificação

Papel: qualquer pessoa, na própria conta.

1. Abra A Minha Conta › Segurança (/account?tab=security).
2. Em Verificação em dois passos, toque em Ativar a verificação em dois passos.
3. Indique o Telemóvel (um número com WhatsApp), escolha Enviar o código por WhatsApp ou SMS e toque em Enviar código.
4. Introduza o código e toque em Ativar. O número passa a ser o telemóvel confirmado da sua conta.
5. Guarde os 10 códigos de recuperação (Copiar ou Transferir), assinale Guardei os códigos num local seguro e toque em Concluir.

A secção passa a mostrar Ativada, o telemóvel, a data, os códigos de recuperação restantes e os dispositivos lembrados. Num país sem WhatsApp nem SMS suportados, não é possível ativar, e o ecrã explica o motivo.

#Mudar o telemóvel

1. Em A Minha Conta › Segurança, toque em Mudar o telemóvel e confirme que é você com o código do telemóvel atual.
2. Indique o número novo, receba o código nele e confirme. Os próximos códigos vão para o número novo.

#Desativar a verificação

Só quem não é obrigado: membro numa comunidade sem a predefinição ativada.

Toque em Desativar, confirme que é você com o código e confirme. A entrada volta a pedir só a palavra-passe, os códigos de recuperação deixam de valer e os dispositivos lembrados são removidos. Para a equipa e para o SuperAdmin, a secção explica que a verificação é sempre usada, sem o botão.

#Pedir aos membros

Papel: proprietário.

1. Abra Definições › Acesso e registo.
2. No cartão Verificação em dois passos dos membros, ative Pedir a verificação em dois passos aos membros.

#Perdi o telemóvel

1. No passo do código, toque em Usar código de recuperação e introduza um dos códigos que guardou.
2. Já dentro, mude o telemóvel em A Minha Conta › Segurança e gere novos códigos.

Sem o telemóvel e sem nenhum código de recuperação, contacte o suporte da Memberfy. Não existe código por e-mail: o SuperAdmin confirma primeiro a sua identidade, desativa a verificação da conta com o motivo registado, e recebe um e-mail a avisar. Se o seu papel exige a verificação, ative-a de novo no acesso seguinte.

#Exemplos

Administradora nova. A Ana passa a administradora. Ao abrir o painel, vê o aviso com o prazo de 7 dias, toca em Ativar agora, confirma o WhatsApp e guarda os códigos. No portátil do escritório, assinala Lembrar este dispositivo durante 90 dias.

Levantamento protegido. O proprietário pede um levantamento. Antes de enviar, a janela Confirme que é você pede o código do WhatsApp; com ele, o levantamento avança.

Comunidade que pede a todos. O proprietário ativa a predefinição para os membros. Quem entra vê o convite, ativa-a num minuto e passa a entrar com o código.

#Erros comuns e como resolver

#Perguntas frequentes

Quanto custa? Nada, nem para a comunidade nem para quem a usa. A Memberfy paga as mensagens, fora da quota da comunidade.

Preciso de uma aplicação de autenticação? Não. O código chega pelo WhatsApp, ou por SMS.

Vou introduzir um código todos os dias? Não, se assinalar Lembrar este dispositivo durante 90 dias. O código só volta depois desse prazo, se alterar a palavra-passe ou remover o dispositivo.

O proprietário pode obrigar-me? A equipa (administrador, moderador, financeiro e o próprio proprietário) usa sempre a verificação. Aos membros, o proprietário pode pedir, mas ninguém é bloqueado.

Recuperar a palavra-passe salta a verificação? Não. A entrada seguinte, com a palavra-passe nova, pede o código.

E as chaves de API? Uma chave continua a funcionar sem código. Criar uma nova pede o passo extra. Para a equipa, terminado o prazo sem a verificação, as chaves também deixam de alcançar as rotas da equipa.

#Pelo assistente

O assistente consulta a sua verificação com get_two_factor_status: se está ativada, se o seu papel a exige e até quando, o telemóvel mascarado, os códigos de recuperação restantes e os dispositivos lembrados. Ativar, desativar e introduzir códigos acontece só na aplicação, nunca na conversa: o assistente devolve a ligação para A Minha Conta › Segurança e nunca pede um código. Uma ação que pede o passo extra (como um levantamento) volta com a ligação para a fazer na aplicação. Ver Segurança e limites.

#Na API

A entrada com a verificação ativada responde twoFactorRequired: true e um challengeId, e termina em POST /api/auth/login/two-factor; a gestão fica em /api/auth/two-factor/*, e o passo extra vai no cabeçalho X-Step-Up-Token. Ver Autenticação › Verificação em dois passos e os erros.

#Relacionados

• Conta e perfil
• Papéis e permissões
• Levantamento
• Integrações & APIs
• Segurança e limites do assistente