Verificação em duas etapas (2FA): proteja seu login com o celular
🔒 Ativar para você: qualquer usuário. Exigir da equipe: administradores. Se a opção não aparecer em Perfil → Segurança e acesso, o recurso ainda não está ligado na sua instalação — fale com o suporte.
Com a verificação em duas etapas, entrar na plataforma passa a pedir, além da senha, um código de 6 dígitos que muda a cada 30 segundos no seu celular. Quem descobrir sua senha não consegue entrar sem o seu celular.
Funciona com qualquer app autenticador: Google Authenticator, Microsoft Authenticator, Bitwarden, 1Password, Authy, Aegis ou 2FAS.
Ativar para você
Abra Perfil → Segurança e acesso.
Em Verificação em duas etapas, clique em Ativar e digite a sua senha atual.
No app autenticador do celular, adicione uma conta e escaneie o QR code. Se não conseguir escanear, toque em "inserir chave" no app e digite a chave de configuração mostrada na tela (escolha o tipo "baseado em tempo").
Digite o código de 6 dígitos que o app mostra e clique em Verificar e ativar.
Guarde os 10 códigos de backup: baixe o arquivo .txt ou copie, e marque Guardei estes códigos em um lugar seguro.
Clique em Ir para o login e entre de novo com a senha e o código do app.
⚠️ Ao ativar, todas as suas sessões são encerradas, inclusive a atual, em todos os computadores e celulares. É assim que garantimos que ninguém continua conectado sem o código.
💡 Você recebe um e-mail sempre que a verificação é ativada ou desativada na sua conta. Se receber esse aviso sem ter feito nada, troque sua senha e fale com o administrador.
Entrar com o código
Depois da senha, a tela pede o código do app. Digite o número que aparece no app para a sua conta. Se o código for recusado:
espere o próximo código (eles mudam a cada 30 segundos) e tente de novo;
confira se a data e a hora do celular estão em automático: um relógio errado gera códigos errados.
Depois de 5 códigos errados, a tela volta para a senha.
Perdeu o celular? Use um código de backup
Na tela do código, clique em Perdeu o celular? Use um código de backup e digite um dos códigos que você guardou. Cada código funciona uma vez só. Você recebe um e-mail avisando quantos restam.
Quando restarem 3 ou menos, a plataforma mostra um aviso no topo da tela. Para gerar uma lista nova, vá em Perfil → Segurança e acesso → Gerar novos códigos (os antigos deixam de funcionar).
⚠️ Perdeu o celular e os códigos de backup? Peça ao administrador da plataforma para redefinir a sua verificação em duas etapas. Depois você ativa de novo com o celular novo.
Confirmar ações importantes com o código
Com a verificação ativa, você pode escolher ações que pedem o código na hora em que são feitas, mesmo com você já conectado. Assim, quem usar um computador que ficou aberto não consegue, por exemplo, excluir uma caixa de entrada.
Abra Perfil → Segurança e acesso → Ações protegidas.
Ligue as ações que devem pedir o código (excluir caixa de entrada, alterar integrações, exportar contatos, convidar ou remover agentes e outras).
Clique em Salvar ações protegidas e confirme com o código.
Ao fazer uma dessas ações, uma janela pede o código do app (ou um código de backup). O código vale 5 minutos para a mesma ação no mesmo navegador: excluir três caixas seguidas pede o código uma vez só. Nenhuma ação vem ligada; a proteção só vale para as ações que você tem permissão de fazer.
💡 A proteção também vale para o seu token de acesso à API: uma integração que use o seu token precisa enviar o código. Para integrações automáticas, prefira o token de um usuário sem ações protegidas.
Exigir a verificação da equipe
🔒 Disponível para administradores.
Em Configurações → Configurações da conta → Segurança, escolha de quem a conta exige a verificação:
Administradores — todos os administradores da conta;
Agentes — todos os agentes, seja qual for o tipo de agente.
Para exigir só de alguns tipos de agente, ligue Exigir verificação em duas etapas no próprio tipo de agente (Configurações → Tipos de Agente → Editar).
Antes de salvar, a tela mostra quantas pessoas ainda não ativaram e quem será levado à ativação. Quem ainda não tem a verificação:
no próximo login, ativa a verificação na própria tela de login;
se já estiver conectado, vê uma tela pedindo a ativação antes de continuar naquela conta (as outras contas da pessoa não são afetadas);
recebe um e-mail avisando que a conta passou a exigir.
A regra acompanha a função de cada pessoa: um agente promovido a administrador numa conta que exige dos administradores passa a precisar da verificação na hora. Ao convidar ou editar alguém, a tela de Agentes avisa antes de salvar. Na lista de agentes, o selo 2FA mostra quem já ativou.
⚠️ Para exigir dos administradores, você mesmo precisa ter a verificação ativa. Para deixar de exigir (desligar um papel ou um tipo de agente), a plataforma pede o seu código.
⚠️ Integrações que usam o token de API de um usuário sem a verificação param na conta que passa a exigir: todas as chamadas de API feitas com esse token são recusadas, não só as de ações sensíveis (criar mensagens e contatos, consultar conversas etc.), até o usuário ativar a verificação. Os webhooks enviados pela conta continuam funcionando. Depois de ativada, o token volta a funcionar como antes. A tela Segurança lista os tokens usados nos últimos 30 dias antes de você salvar. Fale com o suporte para liberar integrações internas.
Aviso de acesso de um IP novo
Se o recurso estiver ligado na sua instalação, você recebe um e-mail sempre que alguém entra na sua conta a partir de um IP que você não usou nos últimos 90 dias, com a data e a hora, o local aproximado e o navegador.
Foi você? Não precisa fazer nada.
Não foi você? Clique em Não fui eu: encerrar esta sessão e confirme na página que abrir. Só aquela sessão é encerrada, sem precisar entrar. Depois, troque a sua senha: quem entrou pode saber a senha atual.
O link do e-mail vale por 30 dias.
No registro de auditoria
Nos Registros de auditoria, as ações confirmadas com o código e os logins feitos com a verificação ganham o selo 2FA (passe o mouse para ver se foi o código do app ou um código de backup, e a hora). A ativação, a desativação e a mudança das ações protegidas também aparecem no registro.
Boas práticas
Guarde os códigos de backup longe do celular: num gerenciador de senhas ou impresso num lugar seguro.
Use um app que faça backup das contas (Microsoft Authenticator, Bitwarden, 1Password, Authy) para não perder os códigos ao trocar de celular.
Para administradores, exija a verificação pelo menos dos administradores: são eles que podem excluir dados e mudar integrações.