Fazer login em uma conta do Google: superando a verificação e mantendo-se conectado

Você digita a senha em uma nova caixa de entrada e, em vez de e-mails, aparece uma tela cheia pedindo que o Google confirme que é realmente você. Sem explicação, sem um caminho óbvio para contornar.

Isso acontece com quase toda conta na primeira vez que ela é usada em um dispositivo, navegador ou local desconhecido. Não é sinal de que algo está errado. É a verificação padrão, e assim que você a concluir corretamente, o login volta a ser rápido.

O que dispara a verificação, e o que o Google diz para você passar por ela

O Google compara a combinação de dispositivo, navegador e rede com o que já viu para aquela conta antes. Uma nova impressão digital, um endereço em outro país ou um login chegando logo depois que a senha foi usada em outro lugar — cada um desses fatores aumenta o nível de exigência.

O Google publica suas próprias dicas para concluir um fluxo de recuperação ou verificação, e elas são mais específicas do que a maioria dos conselhos sobre o assunto:

• Responda a quantas perguntas conseguir, mesmo as que você não tem certeza. Uma resposta parcial vale mais do que uma pulada.
• Use um dispositivo e local conhecidos. O Google diz isso explicitamente: um computador, celular ou tablet em que você faz login com frequência, em um lugar de onde costuma acessar.
• Seja exato com as senhas, incluindo a última que você lembra de ter usado.
• Informe um endereço de e-mail que esteja realmente conectado à conta.
• Verifique a pasta de spam para encontrar a mensagem.

A única coisa que com certeza piora a situação é repetir a tentativa de redes diferentes enquanto você resolve o problema. Esse padrão é exatamente o que o sistema foi feito para detectar, e isso pode prolongar o bloqueio em vez de resolvê-lo. Escolha um caminho de verificação, faça uma vez, de um único lugar.

Ativando a verificação em duas etapas

Depois que você entrar, abra sua Conta do Google e vá em Segurança, ou Segurança e login, dependendo do layout que aparecer, e encontre a seção Como você faz login no Google. Ative a verificação em duas etapas ali.

O Google oferece mais opções de segunda etapa do que a maioria dos guias menciona: chaves de acesso e chaves de segurança físicas, prompts do Google, um aplicativo de códigos como o Google Authenticator, códigos por SMS ou chamada de voz, um QR code e códigos de backup. A recomendação oficial dele é uma que pouca gente segue, então vale citar o raciocínio: o Google sugere os prompts do Google como segunda etapa, porque tocar em um prompt é mais fácil do que digitar um código.

Se você preferir um aplicativo de códigos, configure-o antes de precisar, não durante uma tentativa de login. Escaneie o código, confirme que o primeiro valor gerado bate e salve os códigos de backup que ele oferece. Os códigos mudam em um intervalo curto, então deixe o aplicativo aberto e pronto, em vez de procurá-lo enquanto o tempo corre.

Adicionando uma chave de acesso, e o botão que confunde as pessoas

Uma chave de acesso permite confirmar quem você é com uma impressão digital, um escaneamento facial ou um PIN do dispositivo, em vez de digitar uma senha. Você cria uma na página de chaves de acesso nas opções de login da sua conta, usando a biometria integrada do dispositivo atual, um celular que já está conectado ou uma chave de segurança física.

A parte que pega muita gente é o que acontece depois. Criar uma chave de acesso ativa o login sem senha com prioridade para chaves, mas não apaga sua senha: o Google diz que você ainda pode entrar com ela. Esse comportamento é controlado por uma configuração chamada Pular senha quando possível. Desative isso e sua senha volta a ser a opção padrão, com a chave de acesso como alternativa. A maioria dos relatos de chave de acesso "não funcionando" é, na verdade, esse botão em um estado que a pessoa não esperava.

Os requisitos são específicos. No computador, você precisa de pelo menos Windows 10, macOS Ventura ou ChromeOS 109; no celular, Android 9 ou iOS 16; ou então uma chave física com suporte a FIDO2. Dê a cada chave de acesso o nome do dispositivo em que ela está, porque você vai removê-las no futuro, e uma lista de entradas sem nome é inútil.

Configure-as apenas em dispositivos que só você usa. Uma chave de acesso em uma máquina compartilhada ou do trabalho entrega sua conta para qualquer pessoa que consiga desbloquear aquela máquina.

Recuperação: quatro métodos e dois prazos que valem a pena conhecer

Uma conta sem nenhum método de recuperação está a um login errado de se tornar realmente difícil de recuperar. O Google agora oferece quatro, e a maioria dos guias ainda descreve apenas dois.

Método	Para que o Google usa	Vale saber
Telefone de recuperação	Enviar um código quando você fica bloqueado, bloquear uso não autorizado, sinalizar atividade suspeita	Adicionar ou alterar pode levar até sete dias para valer
E-mail de recuperação	Recuperar o acesso quando você não consegue entrar, avisos de armazenamento e atividade suspeita	Use uma caixa de entrada que você realmente lê, não outra conta que você também pode perder
Contato de recuperação	Uma pessoa de confiança que ajuda você a provar que a conta é sua	Fica indisponível por sete dias depois que ela aceita o convite
Vídeo de selfie	Comparar um vídeo curto do seu rosto com um que você salvou antes	Não disponível em contas do Workspace, contas infantis ou contas no Programa de Proteção Avançada

Os dois prazos de sete dias apontam na mesma direção: adicione métodos de recuperação antes de precisar deles, porque um método adicionado durante uma emergência ainda não está utilizável. Isso é o oposto de um conselho que circula bastante, inclusive em uma versão anterior deste artigo, de que você deveria deixar uma conta nova em paz por uma semana antes de mexer nas configurações de recuperação. O Google não documenta nenhum período de espera desse tipo. O que ele documenta é um atraso nos próprios métodos, o que é um motivo para agir antes, não depois.

Escolha um e-mail de recuperação que você verifica com frequência, como uma caixa de entrada do Outlook que você já gerencia, para que uma futura solicitação de recuperação não caia em um lugar do qual você também perdeu o controle.

Hábitos que mantêm as verificações silenciosas

A orientação do próprio Google é o resumo: dispositivo conhecido, local conhecido. Consistência ao longo do tempo faz mais do que qualquer configuração isolada. Entre na conta a partir do mesmo ambiente geral, em vez de ficar alternando, mantenha um perfil de navegador por conta e deixe o padrão se estabelecer.

Uma versão anterior deste artigo sugeria comprar um proxy residencial para alcançar essa estabilidade, e isso merece uma correção. A prateleira de proxies do site tem 83 anúncios ativos e, pelo texto dos títulos, mais de um terço deles são assinaturas de VPN para consumidor, o que é quase o oposto de um endereço estável por conta: uma VPN coloca você em uma saída compartilhada com todo mundo naquele servidor, exatamente o tipo de ambiente que uma verificação procura. A subcategoria residencial é pequena, vinte anúncios, e mesmo dentro dela alguns descrevem faixas de servidor ou datacenter. Se estabilidade de endereço é realmente o que você precisa, leia o texto do anúncio, não o nome da prateleira. Para a maioria das pessoas que gerenciam uma ou duas caixas de entrada, não fazer nada e entrar de casa é a melhor resposta.

O que os anúncios de caixas de entrada realmente declaram

Se você está comprando uma caixa de entrada em vez de criar uma, o texto do anúncio é o único lugar onde o estado de segurança é declarado antes da compra. Entre os anúncios ativos de Gmail no HstockPlus, pouco mais da metade menciona autenticação de dois fatores ou verificação em duas etapas, e algumas centenas mencionam senha de aplicativo, que é a forma usual de um vendedor tornar uma caixa de entrada acessível por um cliente de e-mail enquanto uma segunda etapa está ativa.

Uma ausência merece ser mencionada. Nenhum anúncio de Gmail na prateleira menciona chave de acesso. Em todo o catálogo ativo, inteiro, apenas alguns anúncios mencionam, e esses estão na prateleira do Facebook, não em nenhuma prateleira de e-mail. Então, em uma caixa de entrada do Gmail que você assume, presuma que não existe chave de acesso e crie a sua. Em uma conta do Facebook, essa presunção não é mais segura.

Gmail e outras caixas de entrada para projetos secundários, verificação e fluxos de equipe são anunciados por muitos fornecedores independentes, e os termos variam o suficiente para valer a pena comparar alguns. O mesmo vale para caixas de entrada do Outlook, se você preferir dividir entre provedores.

A Central de Ajuda da Conta do Google é a fonte de tudo acima e continua atualizada conforme as telas mudam. Os dois artigos que valem a pena salvar especificamente são Ativar a verificação em duas etapas e Configurar opções de recuperação.