Para tirar a verificação em duas etapas é preciso justamente a senha que você não tem

Vale olhar a distribuição das sugestões em português, porque ela é diferente das outras línguas. São seis, e apenas uma pergunta como ativar.

As outras cinco são: pedindo, desativar, tirar, esqueci a senha e como recuperar.

Ou seja, quase todo mundo chega a esse assunto depois de topar com a tela, não antes. E a maioria quer sair dela.

Por que o Telegram começou a pedir

Essa é a primeira das sugestões e merece resposta direta, porque parece que apareceu do nada.

A senha de nuvem não é cobrada no aparelho que você já usa. Lá dentro existe uma sessão que já passou por essa etapa há muito tempo. Ela é cobrada quando o aparelho muda: em um celular novo não há nada guardado, então entra o número, entra o código, e em seguida vem a senha.

Por isso a tela costuma aparecer no pior momento, quando a pessoa trocou de aparelho e não tem mais o antigo à mão para conferir nada.

Por que não dá para simplesmente tirar

Duas das sugestões pedem isso, com palavras diferentes: desativar e tirar.

A senha de nuvem só sai com a senha de nuvem. Não existe caminho lateral, e isso não é falha de projeto, é o projeto. Um segundo fator que qualquer um desligasse sem saber a senha não protegeria nada.

Sobram dois caminhos, e os dois cobram. Se houver um e-mail de recuperação cadastrado ao qual você tenha acesso, ele resolve. Se não houver, resta a redefinição, que não abre a conta, descarta ela. Quem comprou a conta perde exatamente aquilo que pagou.

Não é um aplicativo autenticador

Essa confusão atrapalha bastante, então vale separar.

A senha de nuvem não é um código que muda a cada trinta segundos e não fica em aplicativo nenhum. É um texto guardado na própria conta, conferido quando você entra de um aparelho novo.

Consequência prática: não existe quantidade de dígitos. Não é um PIN de tamanho fixo, é texto livre. Quem procura quantos números deve ter está procurando uma regra que não existe.

O que um anúncio com 2FA está dizendo

Aqui a conversa vira compra, e para isso contamos a prateleira.

De 748 anúncios ativos, 444 têm a etiqueta de 2FA, ou seja 59 por cento. Só que a etiqueta não quer dizer que a conta está protegida para você. Quer dizer que alguém definiu uma senha. Enquanto esse alguém não for você, a fechadura é de outra pessoa.

E você paga por ela. Entre os anúncios entregues como pasta de sessão, a mediana com 2FA é 2,00 e sem 2FA é 1,43, cerca de quarenta por cento a mais. Tirando os anúncios premium da conta, a diferença aumenta em vez de diminuir: 2,00 contra 1,25.

Oito em cada dez vêm como pasta de sessão

Esse é o dado que muda a leitura de tudo que veio antes. Dos 748 anúncios, 608, ou 81 por cento, não são entregues como login e senha, e sim como pasta de sessão.

Uma pasta de sessão é um acesso que já está autenticado. Ela não pede a senha porque passou dessa etapa faz tempo. E desses anúncios, 69 por cento também têm a etiqueta de 2FA.

A conclusão é desconfortável: a senha definida não mantém o dono anterior do lado de fora, porque ele tem a mesma pasta. Quem fica preso do lado de fora da fechadura é você, que para trocá-la precisa da senha antiga.

Um parêntese sobre vocabulário: as sugestões em torno de pasta de sessão são praticamente idênticas em cinco línguas, e a palavra russa para comprar aparece tanto na lista alemã quanto na bengali. Isso é jargão de quem opera essas contas, não característica do mercado brasileiro.

A ordem depois de comprar

A ordem importa, porque cada passo depende do anterior.

• Peça a senha de nuvem antes de pagar. Sem ela você não troca nem remove nada, e um anúncio com etiqueta de 2FA e senha não entregue é literalmente a fechadura de outra pessoa.
• Defina uma senha sua. É esse passo, e só ele, que passa a fechadura para o seu nome.
• Troque o e-mail de recuperação pelo seu. Caso contrário a única saída de emergência continua apontando para o vendedor.
• Encerre as outras sessões. Quando a entrega é pasta de sessão, esse é o passo que de fato muda quem tem acesso.

Sobre prazo: a entrega é imediata em todos os anúncios e a garantia mediana é de doze horas, mas o décimo inferior fica em 0,084 hora, algo como cinco minutos, e 21 por cento oferecem menos de uma hora. Esses quatro passos levam mais tempo que a menor dessas janelas, então comece na hora em que receber.

O que essa senha não faz

Ela protege a entrada, e só. Não impede restrição da conta, não deixa a conta menos visível e não substitui um e-mail de recuperação. Uma conta com senha definida pode ser restringida no mesmo dia que uma sem.

Os anúncios estão na prateleira do Telegram.