Token aqui não é o do banco: o que você realmente recebe quando a conta é entregue

Comece pela palavra que mais confunde. No Brasil, token é o que a Copasa, o GOV ou o Mercado Pago mandam para você confirmar sua identidade. É temporário, some em segundos e serve para provar que é você. As sugestões de busca em português deixam isso explícito, incluindo a frase "use o token de acesso para confirmar a sua identidade".

Num anúncio de conta, a palavra não significa nada disso. Ali um token é uma credencial guardada, uma sequência longa que representa uma sessão já autenticada e que continua valendo enquanto a plataforma não a invalidar. Não é temporário por natureza e não confirma sua identidade: ele substitui o login inteiro.

Quem lê essa palavra com o sentido brasileiro imagina algo que expira em um minuto e conclui que não serve para nada. Quem lê com o sentido do anúncio precisa entender que recebeu, na prática, uma chave que abre a porta sem pedir senha. São coisas opostas, e o mesmo substantivo.

Os formatos, em ordem de quanto aparecem

Estes são os números do catálogo ao vivo, não uma lista genérica. Sobre 16.672 anúncios ativos:

• 2FA ou TOTP, 6.871 anúncios. O mais citado de todos. Não é o acesso em si: é a chave que gera o código de seis dígitos. Sem ela, uma conta com verificação ligada continua fechada mesmo com a senha certa.
• Login e senha, 3.675 anúncios. O formato mais simples e o único que quase todo mundo já sabe usar. É o que domina jogos e gift cards.
• Cookies, 1.670 anúncios. Um pedaço do navegador. Você importa e o site entende que aquela sessão já está aberta. Não contém a senha e não sobrevive a uma troca de senha feita pelo dono anterior.
• Token, 1.569 anúncios. A credencial descrita acima.
• tdata, 571 anúncios, e arquivo de sessão, 449. Formatos de programa: só fazem sentido dentro do aplicativo ou da biblioteca que os lê.
• OAuth2, 422 anúncios. Autorização delegada, normalmente para acesso por protocolo e não para entrar pela tela de login.

Cada formato mora numa prateleira só

Este é o detalhe que economiza tempo de verdade, e ele não aparece em nenhum glossário porque depende de medir o catálogo.

Dos 571 anúncios que citam tdata, 566 estão na prateleira de contas. Dos 449 que citam arquivo de sessão, todos os 449 estão lá. Em email, jogos, gift cards e dating, esses dois formatos aparecem zero vezes.

Na prática isso quer dizer que o vocabulário muda conforme a prateleira. Em jogos, dos 792 anúncios ativos, 360 são login e senha e nenhum é tdata, sessão, token ou cookie. Se você está comprando conta de jogo, os formatos complicados simplesmente não existem por lá, e qualquer texto que te faça estudar tdata antes disso está te fazendo perder tempo.

O problema maior não é entender as palavras

É que muitos anúncios não usam palavra nenhuma.

Dos 16.672 anúncios ativos, 5.971 não citam formato algum. Mais de um terço. Você lê o título, lê a descrição, e em nenhum momento fica dito se o que chega é uma senha, um cookie ou um arquivo.

No TikTok, que é onde a procura brasileira e o estoque daqui realmente se encontram, a proporção é pior: dos 892 anúncios que citam TikTok, 481 não dizem o formato. São 53,9 %, mais da metade.

Não é motivo para desconfiar do vendedor. Muita gente escreve o anúncio pensando no que a conta é, não em como ela chega. Mas é motivo para perguntar antes, porque essa é uma pergunta que se responde em uma linha e que decide se você vai conseguir usar o que comprou.

Uma observação sobre TikTok Shop

A primeira sugestão do Google para "comprar conta" no Brasil é conta tiktok shop. Vale dizer com todas as letras como isso aparece por aqui: dos 892 anúncios que citam TikTok, apenas 46 mencionam shop, seller ou loja.

Ou seja, a maior parte do estoque é conta de TikTok comum, não conta de loja. Se o seu objetivo é vender, filtrar por TikTok e presumir que veio com loja é o erro mais provável do processo. Leia o anúncio procurando a palavra, e se ela não estiver lá, pergunte.

Antes de fechar o pedido

• Pergunte o formato se o anúncio não disser. Vale para mais de um terço deles. Uma linha de resposta resolve.
• Confira se você consegue abrir o que vai receber. tdata e arquivo de sessão precisam do programa certo. Não adianta o formato ser bom se a ferramenta não lê.
• Trate token e cookie como o que são. Acesso já autenticado, que morre se o dono anterior trocar a senha. A primeira coisa a fazer depois de entrar é assumir o controle da conta.
• Se tem 2FA, confirme que a chave veio junto. É o item mais citado do catálogo e também o mais fácil de faltar. Senha certa sem a chave é uma conta que não abre.
• Teste na hora. A entrega é imediata em todo o catálogo, então o relógio da garantia começa a correr quando o pedido chega, não quando você senta para olhar.

Os anúncios atuais estão em contas, e a chave de 2FA pode ser conferida no gerador de código.