O que é uma chave secreta 2FA? Base32, TOTP e URI otpauth explicados

Uma chave secreta 2FA é a sequência curta de letras e números que um app autenticador transforma no código de seis dígitos que você digita no login. Se a entrega do seu pedido inclui uma, ela é o campo mais importante da linha depois da senha, mas também o que os compradores mais digitam errado ou confundem com outra coisa. Este guia explica o que é essa sequência, como o Base32 se parece e como uma chave secreta se diferencia de códigos de backup e do conteúdo de um QR code.

Você também vai aprender a identificar a chave dentro de uma linha de entrega e a confirmar em segundos que ela funciona, para que, diante de qualquer sequência do seu arquivo, possa dizer se é a chave secreta, um código de backup ou outra coisa.

O que é uma chave secreta 2FA e como ela gera códigos de seis dígitos

As senhas de uso único baseadas em tempo (TOTP, definidas na RFC 6238) são construídas com dois ingredientes: um segredo compartilhado e a hora atual. Quando o 2FA é configurado, a plataforma gera a chave e guarda uma cópia, e seu app autenticador guarda a outra. A cada 30 segundos, os dois lados fazem o mesmo cálculo com a chave e o relógio e chegam aos mesmos seis dígitos.

Isso tem três consequências práticas:

• A chave secreta é a segunda chave da conta. Quem a tem pode gerar códigos válidos em qualquer dispositivo enquanto aquela configuração de 2FA continuar ativa.
• Os códigos não ficam guardados em lugar nenhum. Cada código é recalculado a cada 30 segundos, então um print de um código antigo não serve de nada.
• O relógio importa. Se o dispositivo que gera os códigos estiver um minuto ou mais fora da hora real, até uma chave correta produz códigos rejeitados.

Base32: como são os caracteres e os erros de digitação mais comuns

As chaves são escritas em Base32, um alfabeto formado pelas 26 letras maiúsculas de A a Z e pelos dígitos de 2 a 7. Esse é o alfabeto inteiro. Os dígitos 0, 1, 8 e 9 nunca aparecem, nem pontuação. Um exemplo ilustrativo (não é a chave de uma conta real) é este: JBSWY3DPEHPK3PXP. As chaves reais costumam ter de 16 a 32 caracteres.

Como só 32 caracteres são válidos, a maioria dos erros de digitação é fácil de perceber:

• Um 0, 1 ou 8 no meio da chave significa que algum caractere foi lido errado. Um 0 geralmente é a letra O, um 1 geralmente é a letra I ou L, e um 8 geralmente é a letra B.
• Letras minúsculas normalmente não são problema, porque a maioria dos apps as converte.
• Um ou mais sinais "=" no final são preenchimento (padding). Muitos apps aceitam a chave com ou sem eles.
• Sobras invisíveis, como um espaço ou uma quebra de linha no final copiados de um arquivo de texto, costumam causar a mensagem de "chave inválida".

URIs otpauth, QR codes e chaves em texto simples

A mesma chave pode chegar até você de três formas, e misturá-las causa muita confusão:

• Chave em texto simples. A sequência Base32 sozinha. Os apps autenticadores a chamam de chave de configuração ou chave de entrada manual.
• QR code. Uma imagem que codifica uma URI otpauth para que o celular a escaneie em vez de você digitar a chave.
• URI otpauth. Uma linha de texto como otpauth://totp/Example:user?secret=JBSWY3DPEHPK3PXP&issuer=Example. O valor depois de secret= é a chave Base32. O restante é o rótulo e configurações como issuer, algorithm, digits e period.

Se você só tem uma imagem de QR code ou um link otpauth, a chave é o texto depois de secret= e antes do próximo &. As configurações padrão usam SHA-1, seis dígitos e um período de 30 segundos, e o app assume esses valores quando você digita só a chave. Escanear o QR code ou importar a URI completa também aplica as configurações fora do padrão que ela contiver.

Chave secreta 2FA, códigos de backup e e-mail de recuperação

Esses três itens protegem a mesma conta, mas têm funções completamente diferentes:

• Chave secreta 2FA. Uma sequência Base32 de longa duração que gera um código novo a cada 30 segundos. Só muda quando o 2FA é redefinido ou configurado de novo.
• Códigos de backup. Códigos de uso único que uma plataforma pode oferecer para o dia em que você não conseguir acessar seu autenticador. Cada um funciona uma vez. Não são chaves Base32, então um app autenticador ou uma ferramenta TOTP não consegue usá-los.
• E-mail de recuperação. É uma caixa de entrada, não um código. Recebe confirmações de login e links de redefinição. Em uma linha de entrega, aparece como um endereço de e-mail, geralmente seguido da senha da própria caixa.

A chave secreta gera seus códigos do dia a dia, os códigos de backup são o estepe, e o e-mail de recuperação é o caminho de volta quando outra coisa falha. Identifique cada um separadamente nos seus registros.

Como encontrar a chave em uma linha de entrega e testá-la

As entregas chegam em um arquivo TXT com linhas como username:password:email:email_password:auth_token, e os campos exatos variam conforme a categoria. Quando uma categoria inclui uma chave 2FA, ela é mais um campo nessa linha. Não conte posições às cegas: leia a descrição da categoria e compare com a primeira linha do seu arquivo.

Você também pode reconhecer os campos pelo formato:

• A chave secreta tem 16 ou mais caracteres, com letras maiúsculas e os dígitos de 2 a 7, sem pontuação.
• O auth_token é uma sequência hexadecimal longa. É um token de sessão, não um gerador de códigos, e não substitui a chave secreta. Para esse fluxo, veja como entrar no Twitter com um auth token.
• As senhas podem conter dois-pontos, e é por isso que dividir uma linha de modo ingênuo por ":" às vezes a quebra.

Para verificar se todas as linhas seguem o mesmo layout, cole uma amostra na ferramenta de identificação de formato. Para extrair só a coluna que guarda as chaves, use a ferramenta de divisão por delimitador.

Depois, teste a chave em segundos. Abra o gerador de códigos 2FA gratuito, cole a chave e um código de seis dígitos aparece com uma contagem regressiva. Se a ferramenta indicar chave inválida, volte à lista de erros de digitação acima. Se um código aparecer mas o login o rejeitar, confira o relógio do dispositivo e siga o que fazer quando um código 2FA não funciona.

Como guardar as chaves com segurança quando você gerencia várias contas

Uma linha de entrega costuma reunir a senha e a chave 2FA, então quem abrir o arquivo tem os dois fatores. Proteja o arquivo como um todo, e não cada campo separadamente:

• Mantenha o arquivo em uma única pasta privada com acesso limitado e evite apps de chat, documentos compartilhados e prints.
• Teste cada chave logo depois da entrega e anote a data ao lado da conta, para que qualquer problema apareça cedo.
• Identifique o que é cada sequência, para que um código de backup de uso único nunca vá parar em um app autenticador.
• Conte suas cópias. Carregar a mesma chave em um segundo app autenticador é um backup razoável, mas cada cópia é mais um lugar por onde ela pode vazar.

Para um plano mais amplo, leia autenticação em dois fatores e planejamento de recuperação e, para o vocabulário dos anúncios, o glossário de contas. Ao comparar categorias como contas antigas com telefone verificado, leia a descrição para ver o que o arquivo de entrega contém. Se você depende de uma chave 2FA, confirme isso antes de pedir ou fale com o suporte no Telegram.

Perguntas frequentes

Como é uma chave secreta 2FA?

É uma sequência de letras maiúsculas de A a Z e dígitos de 2 a 7, geralmente com 16 a 32 caracteres, por exemplo JBSWY3DPEHPK3PXP nos exemplos da documentação. Algumas plataformas a exibem em grupos separados por espaços ou hifens.

A chave secreta 2FA é a mesma coisa que um código de backup?

Não. A chave secreta gera um código novo a cada 30 segundos enquanto aquela configuração de 2FA continuar ativa. Um código de backup é de uso único: funciona uma vez e não pode ser usado em um app autenticador.

Posso transformar um QR code em uma chave secreta?

Sim. O QR code de configuração codifica uma URI otpauth, e a chave secreta é o valor depois de secret= nesse texto. Mantenha esse texto em sigilo, pois ele é tão sensível quanto a própria chave.

Por que algumas chaves têm espaços ou hifens?

Os espaços servem apenas para facilitar a leitura, geralmente em grupos de quatro caracteres. Se um app rejeitar a chave, remova os espaços e os hifens; o gerador de códigos 2FA gratuito os aceita do jeito que estão.

A mesma chave pode ser usada em dois apps ao mesmo tempo?

Pode. Qualquer app ou dispositivo que tenha a mesma chave e o relógio correto mostra o mesmo código. Isso é útil como backup, mas cada cópia é mais um lugar onde a chave pode ficar exposta.