Gerar código 2FA no navegador: para que serve e por que ele às vezes dá inválido
Se você tem a chave secreta mas não tem o celular onde o aplicativo estava, dá para gerar o código de seis dígitos direto na página. Como funciona, por que a chave não sai do seu navegador, e o motivo quase sempre bobo de um código sair recusado.
Michael Chen
Existe uma situação bem específica em que essa página é útil, e vale dizer qual é logo no começo em vez de no fim.
Você tem em mãos uma sequência de letras e números parecida com Z2N27EYZESXTAYTDF6KQ, que alguém te passou junto com um login. É a chave secreta da verificação em duas etapas daquela conta. Você não tem o celular onde o aplicativo autenticador foi configurado, porque ele nunca foi configurado no seu celular. A conta está pedindo seis dígitos e você não tem de onde tirar.
É para isso que a ferramenta de código 2FA existe. Ela transforma a chave nos seis dígitos do momento.
O que é essa chave, em uma frase
Quando alguém ativa a verificação em duas etapas, a plataforma entrega uma chave secreta uma única vez, normalmente escondida atrás de um QR Code, com um link começando em otpauth://. O aplicativo autenticador guarda essa chave e usa ela mais o relógio para calcular um número novo a cada trinta segundos.
Ou seja: o aplicativo não recebe nada de ninguém. Ele calcula. Chave mais horário atual entram, seis dígitos saem. É por isso que ele funciona no avião, sem internet, e é por isso que qualquer outra ferramenta com a mesma chave produz exatamente o mesmo número no mesmo segundo.
Como usar
- Abra a página do gerador.
- Cole a chave. Ela aceita tanto a sequência solta quanto o link inteiro começando em
otpauth://, e nesse segundo caso ela extrai a chave sozinha. - Clique para gerar. Os seis dígitos aparecem com uma barra mostrando quanto tempo resta.
- Cole na tela que está pedindo, rápido. Se a barra estiver quase no fim, espere o próximo em vez de arriscar.
A pergunta que vem antes de colar a chave em qualquer lugar
Colar uma chave secreta num site é, com razão, uma coisa que deixa qualquer pessoa desconfortável. Então aqui está a resposta técnica em vez de uma promessa.
O cálculo acontece dentro do seu navegador. A página carrega uma biblioteca de cálculo do lado do cliente e roda tudo ali. A chave não é enviada para servidor nenhum, não aparece em requisição nenhuma e não fica gravada em lugar nenhum do site. Fechar a aba apaga tudo. Você pode confirmar isso sem confiar em mim: abra as ferramentas do desenvolvedor do navegador, aba de rede, e gere um código. Nenhuma requisição sai.
Ainda assim, o conselho sensato continua o mesmo de sempre: chave secreta é credencial. Se a conta é sua e vai continuar sendo, o lugar dela é um aplicativo autenticador no seu aparelho, não uma aba de navegador. A ferramenta resolve o caso em que o aplicativo não é uma opção.
Código inválido: quase sempre é o relógio
"Código 2fa inválido" está entre as sugestões de busca em português e a causa é decepcionantemente simples na maioria das vezes.
O código depende do horário. O gerador usa o relógio do seu próprio aparelho, e o servidor que vai conferir usa o dele. Se os dois estiverem separados por mais de meio minuto, o número que você vê já não é o número que ele espera. Não há erro de digitação nenhum: o código está certo, só que para outro instante.
O que fazer, em ordem:
- Ligue o ajuste automático de data e hora no aparelho. No Windows é sincronizar com o servidor de horário; no celular é a opção de fuso e hora automáticos.
- Confira o fuso. Um relógio certo no fuso errado erra por horas inteiras.
- Se a barra de tempo estiver acabando, espere virar e use o próximo. Metade dos códigos recusados é isso.
- Confira se você copiou a chave inteira, sem espaço sobrando no fim. Muitas plataformas mostram a chave separada em blocos de quatro caracteres por legibilidade, e os espaços não fazem parte dela.
Se depois disso continuar recusando, o problema não é o gerador: ou a chave está errada, ou pertence a outra conta, ou a segunda etapa daquela conta foi refeita depois que a chave foi anotada, o que invalida a antiga.
Por que quase todo mundo que chega aqui comprou uma conta
Vale ser direto sobre o público. A ferramenta serve para chaves de contas que você adquiriu, e é assim que a maioria das pessoas chega nela. Em várias prateleiras do site a verificação em duas etapas já vem configurada, e quando vem, a chave é entregue junto com o login. Sem ela, a conta pede seis dígitos que ninguém tem.
Então a regra de compra que sai daqui é curta e vale mais que qualquer dica de segurança: se o anúncio diz que a conta tem verificação em duas etapas, confirme que a chave secreta vem junto antes de pagar. Conta com a segunda etapa ligada e sem a chave não é uma conta protegida, é uma conta trancada.
O mesmo recurso, seis preços diferentes
Uma medição das prateleiras no mesmo dia mostra uma coisa que quase ninguém repara. Comparando o preço dos anúncios com verificação em duas etapas contra a mediana de cada prateleira:
- Discord, cerca de duas vezes e meia a mediana, em trinta por cento dos anúncios.
- Gmail, cerca de vinte por cento a mais, em cinquenta e seis por cento.
- Facebook, cerca de dez por cento a mais, em sessenta e sete por cento.
- Telegram, exatamente a mediana, em cinquenta e nove por cento.
- Instagram, um pouco abaixo da mediana, em setenta e sete por cento.
- YouTube, cerca de trinta por cento abaixo, em quarenta e cinco por cento.
É o mesmo recurso técnico nos seis casos. A diferença não mede segurança, mede dificuldade. No Discord a segunda etapa é exigida de quem modera servidor, então ela é requisito e vira preço. No Instagram ela está em três quartos dos anúncios, é banal, e o preço reflete isso. Ler a etiqueta pelo nome leva à conclusão errada; ler pelo preço leva à certa.
Duas coisas que essa página não faz
- Não recupera nada. Sem a chave secreta não há cálculo possível. Perdeu a chave e perdeu o aplicativo, o caminho é o código de reserva que a plataforma deu na configuração, ou a recuperação de conta dela.
- Não serve para entrar aqui. A conta da HstockPlus não tem segunda etapa própria, então não existe código dela para gerar. O que dá para fazer pela segurança do seu acesso está no guia de segurança da conta.
Frequently Asked Questions
Não. O cálculo roda inteiro dentro do navegador, com uma biblioteca carregada no próprio lado do cliente. A chave não vai para servidor nenhum e não fica gravada em lugar algum do site. Você pode confirmar sozinho: abra as ferramentas do desenvolvedor na aba de rede e gere um código. Nenhuma requisição sai da página.
Quase sempre é o relógio. O número é calculado a partir da chave mais o horário do seu aparelho, e o serviço confere usando o relógio dele. Se os dois estiverem separados por mais de meio minuto, o código está correto para outro instante. Ligue o ajuste automático de data e hora, confira o fuso, e se a barra estiver acabando espere o próximo em vez de arriscar.
Serve para qualquer serviço que use o padrão de código temporal de seis dígitos que muda a cada trinta segundos, que é o mesmo dos aplicativos autenticadores mais comuns. Cola tanto a chave solta quanto o link inteiro que começa em otpauth, e nesse caso a chave é extraída sozinha. O que não serve é para código enviado por SMS ou por email, que não vem de chave nenhuma.
Não. Sem a chave secreta não existe cálculo possível, e nenhuma ferramenta muda isso, porque o código não é buscado em lugar nenhum, é calculado a partir dela. Os caminhos que restam são os códigos de reserva que a plataforma mostrou na hora de ativar a segunda etapa, ou o processo de recuperação de conta do próprio serviço.
Fale com o vendedor pelo chamado do pedido antes que a garantia acabe, porque conta com segunda etapa ligada e sem a chave é uma conta que você não consegue acessar nem reconfigurar. A regra que evita isso é conferir antes de pagar: se o anúncio menciona verificação em duas etapas, confirme que a chave secreta vai junto com o login.
Porque ela mede dificuldade, não segurança. No Discord custa cerca de duas vezes e meia a mediana da prateleira, porque a plataforma exige a segunda etapa de quem modera servidores. No Instagram, onde ela está em setenta e sete por cento dos anúncios, custa até um pouco menos que a mediana. É o mesmo recurso técnico com seis preços, e o preço diz onde a plataforma torna a coisa trabalhosa.
Michael Chen
Entusiasta de tecnologia e estrategista de conteúdo especializado em marketing no Instagram e Facebook. Adora explorar novas tendências e compartilhar insights com a comunidade.
