Autenticação multifator

Segundo fator pelo canal que cada pessoa já usa

Google Authenticator, Microsoft Authenticator, SMS, WhatsApp, Telegram, e-mail ou passkey. É exigido por perfil, não a todos por igual, e cada acesso fica registado com o fator que foi usado.

O que o segundo fator resolve e o que não resolve

Uma palavra-passe divulgada deixa de ser um problema grave assim que há um segundo fator à frente. A autenticação multifator combina provas de categorias distintas —algo que se sabe, algo que se tem e algo que se é— e o Kimobox resolve-a pelo canal que cada pessoa já usa: aplicação de códigos, SMS, WhatsApp, Telegram, e-mail ou passkey. É exigida por perfil, com códigos de recuperação e registo de cada acesso, porque impô-la em tudo a todos é a forma mais rápida de alguém anotar o código num papel.

Conteúdo revisto em 17 de outubro de 2026

Enquadramento legal: Art. 32.º do RGPD Obriga a medidas técnicas adequadas ao risco; não menciona o MFA, mas é a medida padrão para o acesso remoto a dados pessoais
Setor público (Espanha): Esquema Nacional de Seguridad O RD 311/2022 reforça o mecanismo de autenticação segundo a categoria do sistema
Norma de segurança: ISO/IEC 27001:2022, controlo 8.5 Autenticação segura, entre os 93 controlos do Anexo A
Códigos temporários: RFC 6238 (TOTP) Seis dígitos calculados no dispositivo a partir do relógio; funcionam sem ligação
Códigos por SMS: Canal restrito O NIST SP 800-63B coloca-o abaixo de outros fatores pelo risco de duplicação do SIM
Passkeys: WebAuthn (W3C) Chave criptográfica associada ao dispositivo: não há código para intercetar nem reutilizar
As três categorias: Conhecimento, posse e inerência A mesma classificação usada pelo Regulamento Delegado (UE) 2018/389 para a autenticação forte do cliente

Aplicações de autenticação

Google Authenticator, Microsoft Authenticator, Authy ou 1Password: seis dígitos que mudam a cada trinta segundos, calculados no próprio telemóvel e sem necessidade de rede.

SMS, WhatsApp e Telegram

Código de utilização única pelo canal que a pessoa já tem aberto. Útil para o pessoal de loja, obra ou armazém sem e-mail corporativo.

Correio eletrónico

O fator de entrada mais simples: código para a caixa de correio verificada, com validade curta e uma só tentativa por código.

Passkeys e chaves FIDO2

Autenticação com WebAuthn através de impressão digital, rosto ou chave física. Não há código para intercetar nem para escrever.

Política por perfil

Obrigatório para administração e dados pessoais, opcional para consulta. A política define-se por função, não pessoa a pessoa.

+ info

Registo de cada acesso

Quem entrou, quando, de onde e com que fator. As tentativas falhadas também ficam, e é aí que se veem os problemas.

+ info

Onde se exige

Ações que convém proteger com um segundo fator

Acesso ao painel de administração e à gestão de utilizadores e permissões
Consulta de recibos de vencimento, contratos e dados pessoais no portal do colaborador
Assinatura de documentos e aprovação de despesas acima de um montante
Exportação ou descarga em massa de documentação
Acesso a partir de uma rede, um dispositivo ou um país não habituais
Recuperação da palavra-passe e alteração do e-mail ou do telefone de contacto

Exemplos reais

Três situações em que o segundo fator decide

Indústria · administração da plataforma

Quatro pessoas com permissões de administração

Antes Uma só conta de administrador partilhada num gestor de palavras-passe. Quando muda uma configuração, ninguém sabe dizer quem a mudou, e a saída de uma dessas quatro pessoas obriga a mudar a palavra-passe de todos.

Depois Um utilizador por pessoa com segundo fator obrigatório no perfil de administração. O registo guarda nome, hora e canal de verificação, e uma saída resolve-se desativando um utilizador.

Retalho · pessoal sem e-mail corporativo

Verificar quem não tem caixa de correio da empresa

Antes O segundo fator por e-mail não chega a ninguém: o pessoal de loja não tem conta corporativa e usa o telemóvel pessoal para consultar a escala.

Depois Código por WhatsApp para o mesmo número com que já recebem a escala, sem instalar nenhuma aplicação nova nem criar uma caixa de correio que depois seria preciso manter.

Serviços · credenciais divulgadas

Uma palavra-passe reutilizada aparece numa violação alheia

Antes Alguém entra com a palavra-passe correta a partir de um país onde a empresa não opera. O acesso parece legítimo e é detetado semanas depois, ao rever uma descarga em massa de documentação.

Depois A tentativa para no segundo fator, gera um aviso ao titular da conta e ao administrador, e fica no registo de tentativas falhadas com o endereço de origem.

Vocabulário

Os termos que se misturam ao falar de MFA

Fator de conhecimento: Algo que a pessoa sabe: a palavra-passe ou um PIN. É o fator mais fácil de roubar, porque pode ser copiado sem que o titular dê por isso.
Fator de posse: Algo que a pessoa tem: o telemóvel com a aplicação de códigos, o cartão SIM que recebe o SMS ou uma chave de segurança física.
Fator de inerência: Algo que a pessoa é: impressão digital ou reconhecimento facial. Nas passkeys serve para desbloquear a chave do dispositivo, sem que o dado biométrico saia dele.
TOTP: Palavra-passe de utilização única baseada no tempo, definida no RFC 6238. O dispositivo e o servidor partilham uma chave e calculam o mesmo código a partir do relógio, sem trocar nada.
OTP: Código de utilização única. Vale para uma autenticação e caduca em poucos minutos, seja entregue por SMS, por WhatsApp, por Telegram ou por e-mail.
Passkey: Credencial criptográfica que substitui a palavra-passe. A chave privada não sai do dispositivo e o serviço só guarda a pública, pelo que uma violação no servidor não expõe nada reutilizável.
Duplicação fraudulenta do SIM: Técnica pela qual um atacante obtém um duplicado do cartão SIM da vítima e recebe os seus SMS. É a razão pela qual o código por mensagem é considerado o fator mais fraco dos disponíveis.
Códigos de recuperação: Lista de códigos de utilização única entregue ao ativar o segundo fator. É a saída prevista quando se perde o dispositivo, e convém guardá-la fora dele.
Início de sessão único (SSO): Mecanismo pelo qual uma só identidade corporativa dá acesso a várias aplicações. É compatível com o MFA: o segundo fator é pedido uma vez, no fornecedor de identidade.
NIS2: Diretiva (UE) 2022/2555 relativa à cibersegurança, que substitui a Diretiva SRI de 2016 e classifica as entidades abrangidas em essenciais e importantes. Entre as medidas de gestão de riscos que exige figura a utilização de autenticação multifator ou contínua (art. 21.º, n.º 2, alínea j)), e os incidentes significativos são comunicados com um alerta precoce em vinte e quatro horas e uma notificação em setenta e duas (art. 23.º, n.º 4).

Perguntas frequentes

O que nos perguntam antes de começar

O que é a autenticação multifator?

É exigir duas ou mais provas de identidade de categorias distintas: algo que se sabe (palavra-passe), algo que se tem (telemóvel, chave) e algo que se é (impressão digital, rosto). Duas palavras-passe seguidas não são multifator, porque as duas pertencem à mesma categoria.

Que canais o Kimobox admite?

Aplicações TOTP como o Google Authenticator ou o Microsoft Authenticator, código por SMS, por WhatsApp, por Telegram ou por e-mail, e passkeys ou chaves FIDO2 através de WebAuthn. Cada pessoa pode ter mais do que um método registado e escolher um de reserva.

A lei obriga a ter MFA?

Nenhuma norma espanhola o exige com esse nome a todas as empresas. O art. 32.º do RGPD obriga a medidas técnicas adequadas ao risco, e para o acesso remoto a dados pessoais o segundo fator é hoje a medida padrão. No setor público, o Esquema Nacional de Seguridad reforça o mecanismo de autenticação segundo a categoria do sistema, e a ISO/IEC 27001:2022 inclui-o no seu controlo 8.5 de autenticação segura.

O código por SMS é seguro?

É muito melhor do que não ter segundo fator e pior do que os restantes. O guia NIST SP 800-63B classifica a rede telefónica como canal restrito pelo risco de duplicação fraudulenta do cartão SIM e de interceção. Serve como porta de entrada ou como método de reserva; para perfis com permissões amplas convém uma aplicação TOTP ou uma passkey.

O que acontece se alguém perder o telemóvel?

Ao ativar o segundo fator são gerados códigos de recuperação de utilização única que se guardam à parte. Se também não estiverem disponíveis, um administrador pode repor o fator, e essa reposição fica registada com o seu autor e o seu motivo, porque é exatamente o ponto por onde um atacante tentaria entrar.

Funciona sem rede nem dados?

As aplicações TOTP sim: o código é calculado no dispositivo a partir de uma chave partilhada e do relógio, segundo o RFC 6238, sem qualquer ligação. O SMS, o WhatsApp, o Telegram e o e-mail precisam de rede.

É possível exigi-lo apenas a alguns perfis?

Sim, e é o recomendável. Pedir um segundo fator a toda a gente para consultar o calendário de férias gera rejeição e não acrescenta grande coisa; exigi-lo a quem administra utilizadores ou descarrega recibos de vencimento, sim.

O que se guarda do telefone da pessoa?

O número que a própria pessoa regista para receber o código, com essa finalidade e nenhuma outra. Não é usado para comunicações comerciais nem cedido, e é eliminado quando esse método de verificação é retirado.

2FA é o mesmo que MFA?

O duplo fator é o caso mais comum da autenticação multifator: exatamente dois. MFA é o termo geral, que admite três ou mais quando o risco o justifica.

Ative o segundo fator na demonstração e comprove-o

Mostramos-lhe o módulo a funcionar com dados semelhantes aos seus.

Pedir uma demonstração

Continue a explorar

Páginas relacionadas

Fontes

De onde vem cada dado

Referências ao texto oficial em vigor. Se uma norma for revista, esta página é atualizada e a data de revisão reflete-o.

Regulamento (UE) 2016/679 (RGPD), art. 32.º: segurança do tratamento EUR-Lex · 27 de abril de 2016
RFC 6238: TOTP, algoritmo de palavra-passe de utilização única baseada no tempo IETF · maio de 2011
NIST SP 800-63B, Digital Identity Guidelines: autenticação e gestão do ciclo de vida NIST · junho de 2017
Web Authentication (WebAuthn) Level 2, recomendação do W3C W3C · 8 de abril de 2021
Regulamento Delegado (UE) 2018/389, autenticação forte do cliente (art. 4.º) EUR-Lex · 13 de março de 2018
Real Decreto 311/2022, Esquema Nacional de Seguridad BOE-A-2022-7191 · 4 de maio de 2022
Diretiva (UE) 2022/2555 (NIS2), arts. 21.º e 23.º EUR-Lex · 14 de dezembro de 2022

Autenticação multifator com TOTP, SMS, WhatsApp, Telegram e passkeys

O Kimobox inclui autenticação multifator com aplicações de códigos temporários compatíveis com a norma TOTP —Google Authenticator, Microsoft Authenticator, Authy ou 1Password—, envio de códigos de utilização única por SMS, WhatsApp, Telegram e e-mail, e autenticação sem palavra-passe através de passkeys e chaves de segurança FIDO2 conformes ao WebAuthn.

A verificação em dois passos configura-se por perfil de utilizador, com códigos de recuperação, método de reserva, reposição auditada e registo completo de acessos e tentativas falhadas, em linha com o art. 32.º do Regulamento Geral sobre a Proteção de Dados e com o controlo 8.5 da norma ISO/IEC 27001:2022.