# Verificação em dois passos

> Além da palavra-passe, a entrada pede um código enviado para o seu telemóvel pelo WhatsApp (ou por SMS). Como ativar em A Minha Conta › Segurança, os 10 códigos de recuperação, lembrar o dispositivo durante 90 dias, o passo extra antes das ações sensíveis, a obrigação da equipa e a predefinição para os membros.

A **verificação em dois passos** protege a sua conta com um segundo passo na entrada: depois da palavra-passe, a Memberfy envia um **código de 6 dígitos para o seu telemóvel, pelo WhatsApp** (ou por SMS), e só entra com ele. Mesmo que alguém descubra a sua palavra-passe, não entra sem o código do seu telemóvel.

Não precisa de aplicação de autenticação nem custa nada: **a Memberfy paga as mensagens**, e o código não conta na quota de SMS e WhatsApp da comunidade.

Como a [conta](/conceitos/conta-e-perfil) é uma por comunidade, a verificação também o é: ativada aqui, vale para a sua entrada nesta comunidade.

## Para que serve

| Quem | O que muda |
|---|---|
| Proprietário, administrador e financeiro | Saldo, levantamentos, conta de recebimento e dados dos membros deixam de depender só da palavra-passe |
| Moderador | A moderação e os dados dos membros ficam protegidos por um segundo passo |
| Membro | A conta e o que comprou ficam protegidos, mesmo que a palavra-passe seja exposta |
| Comunidade de empresa ou RH | Cumpre a exigência de segundo fator para quem acede a dados de pessoas |

## Como funciona

### Quem tem de a usar

| Quem | Regra |
|---|---|
| **Equipa** (proprietário, administrador, moderador e financeiro) | Sempre obrigatória. Quem ainda não a tem ganha **7 dias** de prazo, com um aviso no topo do ecrã: *"Ative a verificação em dois passos até {data}. Depois disso, os ecrãs e ações da equipa ficam bloqueados até a ativar."* |
| **SuperAdmin** (o suporte da Memberfy) | Sempre obrigatória |
| **Membro** | Opcional. Se o proprietário ativou a predefinição para os membros, a pessoa é **convidada** a ativá-la, nunca bloqueada |

O prazo da equipa começa na primeira vez que a pessoa usa um ecrã ou ação da equipa sem a verificação. Terminado o prazo, os ecrãs e ações da equipa ficam bloqueados (*"Os ecrãs e ações da equipa estão bloqueados: ative a verificação em dois passos para continuar."*), e as [chaves de API](/configuracoes/integracoes-e-apis) dessa pessoa também deixam de alcançar as rotas da equipa. O caminho para ativar fica sempre aberto: **A Minha Conta › Segurança** e o botão **Ativar agora** do aviso. Ao ativar, tudo volta a funcionar de imediato.

### A predefinição para os membros

Em **Definições › Acesso e registo**, o cartão **Verificação em dois passos dos membros** tem a opção **Pedir a verificação em dois passos aos membros**. Só o proprietário a altera (*"Só o owner altera esta opção."*).

- **Desativada** (predefinição): cada membro decide se ativa a sua.
- **Ativada**: os membros sem a verificação veem o convite *"Esta comunidade pede-lhe que ative a verificação em dois passos para proteger a sua conta."*, com **Ativar agora** e **Agora não**. Ninguém fica bloqueado. Quem a ativa deixa de a conseguir desativar enquanto a opção estiver ativada.

### A entrada com código

Com a verificação ativada, a entrada com a palavra-passe certa abre o passo **Verificação em dois passos**:

- *"Enviámos um código pelo WhatsApp para {telemóvel}."*, com o número mascarado. Introduza os 6 dígitos em **Código de 6 dígitos** e toque em **Entrar**.
- **Receber por SMS** envia o código por SMS. Se o WhatsApp não aceita o número, o código já vai por SMS.
- **Lembrar este dispositivo durante 90 dias**: neste navegador, as próximas entradas pedem só a palavra-passe, até expirar.
- **Usar código de recuperação**: entra com um dos [códigos de recuperação](#os-codigos-de-recuperacao), se não tiver o telemóvel consigo.

Palavra-passe errada não dispara código. Um código errado mostra quantas tentativas restam; esgotadas, peça um código novo. Se o pedido de código expirar, o ecrã pede para entrar de novo com a palavra-passe. A ligação de um [assistente de IA](/mcp/seguranca#verificacao-em-dois-passos) passa pela mesma entrada e também pede o código.

### Os códigos de recuperação

Ao ativar, o ecrã mostra **10 códigos de recuperação**, **uma única vez**, com **Copiar** e **Transferir**. Só conclui depois de assinalar **Guardei os códigos num local seguro**. Cada código vale uma vez, em vez do código do telemóvel.

- Ao entrar com um código de recuperação, este deixa de valer, o ecrã diz quantos restam e recebe um e-mail de alerta.
- Com poucos códigos restantes, **A Minha Conta › Segurança** avisa. **Gerar novos códigos de recuperação** substitui os 10: os antigos deixam de valer.

### Os dispositivos lembrados

Em **A Minha Conta › Segurança**, **Dispositivos lembrados** lista os navegadores em que a entrada não pede o código, com o navegador e o sistema, a última utilização e a data até à qual é válido. **Remover** esquece um; **Remover todos** esquece todos (a sessão atual continua). Alterar a palavra-passe ou desativar a verificação também remove todos.

### O passo extra

Com a verificação ativada, algumas ações pedem **um código novo na hora**, mesmo já tendo entrado: a janela **Confirme que é você** envia o código para o telemóvel e só avança depois dele.

| Ação | Onde |
|---|---|
| Desativar a verificação | **A Minha Conta › Segurança** |
| Mudar o telemóvel da verificação | **A Minha Conta › Segurança** |
| Gerar novos códigos de recuperação | **A Minha Conta › Segurança** |
| Criar uma chave de API | [Integrações & APIs](/configuracoes/integracoes-e-apis) e **A Minha Conta › Chaves de API** |
| Pedir um levantamento | [Levantamento](/pagamentos/saque) |
| Mudar a conta de recebimento | **Definições › Recebimento** |

Depois de confirmar, as ações seguintes da lista não pedem outro código durante alguns minutos. Na sessão de suporte da Memberfy (o **Entrar** do SuperAdmin), estas ações não estão disponíveis: só a própria pessoa as faz, na conta dela.

### A atividade de segurança

**Atividade de segurança** mostra os eventos recentes da verificação da sua conta: ativada, desativada, telemóvel alterado, dispositivo lembrado ou removido, código de recuperação usado, novos códigos gerados e verificação redefinida pelo suporte. Ativar, desativar, usar um código de recuperação e a redefinição pelo suporte também lhe enviam um e-mail.

## Passo a passo

### Ativar a verificação

*Papel: qualquer pessoa, na própria conta.*

1. Abra **A Minha Conta › Segurança** (`/account?tab=security`).
2. Em **Verificação em dois passos**, toque em **Ativar a verificação em dois passos**.
3. Indique o **Telemóvel** (um número com WhatsApp), escolha **Enviar o código por** WhatsApp ou SMS e toque em **Enviar código**.
4. Introduza o código e toque em **Ativar**. O número passa a ser o telemóvel confirmado da sua conta.
5. Guarde os 10 códigos de recuperação (**Copiar** ou **Transferir**), assinale **Guardei os códigos num local seguro** e toque em **Concluir**.

A secção passa a mostrar **Ativada**, o telemóvel, a data, os códigos de recuperação restantes e os dispositivos lembrados. Num país sem WhatsApp nem SMS suportados, não é possível ativar, e o ecrã explica o motivo.

### Mudar o telemóvel

1. Em **A Minha Conta › Segurança**, toque em **Mudar o telemóvel** e confirme que é você com o código do telemóvel atual.
2. Indique o número novo, receba o código nele e confirme. Os próximos códigos vão para o número novo.

### Desativar a verificação

*Só quem não é obrigado: membro numa comunidade sem a predefinição ativada.*

Toque em **Desativar**, confirme que é você com o código e confirme. A entrada volta a pedir só a palavra-passe, os códigos de recuperação deixam de valer e os dispositivos lembrados são removidos. Para a equipa e para o SuperAdmin, a secção explica que a verificação é sempre usada, sem o botão.

### Pedir aos membros

*Papel: proprietário.*

1. Abra **Definições › Acesso e registo**.
2. No cartão **Verificação em dois passos dos membros**, ative **Pedir a verificação em dois passos aos membros**.

### Perdi o telemóvel

1. No passo do código, toque em **Usar código de recuperação** e introduza um dos códigos que guardou.
2. Já dentro, mude o telemóvel em **A Minha Conta › Segurança** e gere novos códigos.

Sem o telemóvel e sem nenhum código de recuperação, contacte o suporte da Memberfy. Não existe código por e-mail: o SuperAdmin confirma primeiro a sua identidade, desativa a verificação da conta com o motivo registado, e recebe um e-mail a avisar. Se o seu papel exige a verificação, ative-a de novo no acesso seguinte.

## Exemplos

**Administradora nova.** A Ana passa a administradora. Ao abrir o painel, vê o aviso com o prazo de 7 dias, toca em **Ativar agora**, confirma o WhatsApp e guarda os códigos. No portátil do escritório, assinala **Lembrar este dispositivo durante 90 dias**.

**Levantamento protegido.** O proprietário pede um levantamento. Antes de enviar, a janela **Confirme que é você** pede o código do WhatsApp; com ele, o levantamento avança.

**Comunidade que pede a todos.** O proprietário ativa a predefinição para os membros. Quem entra vê o convite, ativa-a num minuto e passa a entrar com o código.

## Erros comuns e como resolver

| Mensagem ou situação | O que fazer |
|---|---|
| *"Código incorreto. Restam N tentativas."* | Confirme o código mais recente; os anteriores deixam de valer quando chega um novo |
| *"Tentativas esgotadas para este código. Peça um código novo abaixo."* | Peça outro código, pelo WhatsApp ou por SMS |
| *"Foram pedidos demasiados códigos. Tente novamente mais tarde."* | Aguarde um pouco, ou use um código de recuperação |
| *"Este pedido de código expirou. Entre novamente com a palavra-passe."* | Toque em **Entrar novamente** e repita a entrada |
| O código não chega pelo WhatsApp | Toque em **Receber por SMS** |
| *"Os ecrãs e ações da equipa estão bloqueados…"* | O prazo de 7 dias terminou: ative a verificação em **A Minha Conta › Segurança** |
| *"Esta ação não está disponível na sessão de suporte…"* | A ação é da própria pessoa, na conta dela |

## Perguntas frequentes

**Quanto custa?**
Nada, nem para a comunidade nem para quem a usa. A Memberfy paga as mensagens, fora da quota da comunidade.

**Preciso de uma aplicação de autenticação?**
Não. O código chega pelo WhatsApp, ou por SMS.

**Vou introduzir um código todos os dias?**
Não, se assinalar **Lembrar este dispositivo durante 90 dias**. O código só volta depois desse prazo, se alterar a palavra-passe ou remover o dispositivo.

**O proprietário pode obrigar-me?**
A equipa (administrador, moderador, financeiro e o próprio proprietário) usa sempre a verificação. Aos membros, o proprietário pode pedir, mas ninguém é bloqueado.

**Recuperar a palavra-passe salta a verificação?**
Não. A entrada seguinte, com a palavra-passe nova, pede o código.

**E as chaves de API?**
Uma chave continua a funcionar sem código. Criar uma nova pede o passo extra. Para a equipa, terminado o prazo sem a verificação, as chaves também deixam de alcançar as rotas da equipa.

## Pelo assistente

O assistente consulta a sua verificação com [`get_two_factor_status`](/mcp/ferramentas-membros#get-two-factor-status): se está ativada, se o seu papel a exige e até quando, o telemóvel mascarado, os códigos de recuperação restantes e os dispositivos lembrados. Ativar, desativar e introduzir códigos acontece **só na aplicação**, nunca na conversa: o assistente devolve a ligação para **A Minha Conta › Segurança** e nunca pede um código. Uma ação que pede o passo extra (como um levantamento) volta com a ligação para a fazer na aplicação. Ver [Segurança e limites](/mcp/seguranca#verificacao-em-dois-passos).

## Na API

A entrada com a verificação ativada responde `twoFactorRequired: true` e um `challengeId`, e termina em `POST /api/auth/login/two-factor`; a gestão fica em `/api/auth/two-factor/*`, e o passo extra vai no cabeçalho `X-Step-Up-Token`. Ver [Autenticação › Verificação em dois passos](/api/autenticacao#verificacao-em-dois-passos) e os [erros](/api/respostas-e-erros#verificacao-em-dois-passos).

## Relacionados

- [Conta e perfil](/conceitos/conta-e-perfil)
- [Papéis e permissões](/conceitos/papeis-e-permissoes)
- [Levantamento](/pagamentos/saque)
- [Integrações & APIs](/configuracoes/integracoes-e-apis)
- [Segurança e limites do assistente](/mcp/seguranca)