Confira o percurso inteiro, não apenas a tela de entrada
Uma tela de entrada convincente não descreve todo o mecanismo de autenticação. Também importam cadastro do método, login comum, nova verificação antes de uma mudança, duração das sessões, recuperação e substituição após perda. Crie sete colunas: cadastro, entrada, controle adicional, ação sensível, sessão, recuperação, retirada ou troca. Em cada uma anote autenticador, verificador, canal do pedido, resultado visível, alternativa e evidência de conclusão. Assim o bloqueio local não é confundido com a conta remota e um método conveniente não esconde uma recuperação mais fraca.
Inventarie papéis, fatores e entradas
Liste identificador, serviço de credenciais ou identidade, verificador, aplicativo, autenticadores cadastrados, contatos de recuperação, aparelhos confiáveis e sessões. O modelo NIST separa prova de identidade, autenticador, verificador, federação e sessão. Senha é algo conhecido; aparelho ou chave criptográfica é algo possuído; uma digital pode ativar localmente um autenticador sem virar credencial remota. Inclua Web, app, identidade externa, redefinição, aprovação de aparelho e suporte. Um caminho não explicado pela documentação atual ou por teste controlado fica desconhecido, sem ganhar uma propriedade só por causa do ícone exibido.
Separe login comum de alteração sensível
Liste ações que mudam o controle: adicionar ou retirar método, trocar email de recuperação, exportar, desligar verificação adicional, vincular identidade, ver códigos, excluir conta ou fechar sessões. Confira se pedem autenticação recente e qual fator aceitam. A OWASP trata nova autenticação, recuperação e sessões como controles diferentes. Um telefone aberto minutos antes não comprova nova verificação. Na sua conta, abra uma configuração inofensiva, cancele no pedido e confirme que configuração e sessões não mudaram. Registre origem, fator, destino e efeito do cancelamento sem provocar bloqueios ou redefinições repetidas.
Compare propriedades sem criar uma classificação
Para cada método anote requisitos de cadastro, vínculo ao aparelho, sincronização, cópia, resistência a phishing, verificação do usuário, troca e revogação. O NIST explica que senhas não são resistentes a phishing e que um valor de uso único digitado pode ser retransmitido por um verificador falso. Alguns métodos criptográficos ligam a saída ao nome do verificador ou canal protegido. Isso não cria uma escolha universal: compatibilidade, recuperação e aparelhos compartilhados ainda contam. A recomendação de MFA da CISA também depende de fatores realmente distintos e de uma alternativa que não contorne a verificação sem explicação. Use propriedades documentadas, não palavras promocionais.
Desenhe sessões e recuperação em fluxos separados
Uma sessão pode continuar até expirar, sair, ocorrer evento de risco ou revogação do servidor. Recuperação pode cadastrar novo autenticador, substituir senha, restaurar identidade externa ou envolver suporte. Desenhe as duas sequências. Veja se sair de um aparelho afeta outros, se trocar fator fecha sessões antigas e se a lista diferencia perfis do navegador e hardware. Confira requisitos e avisos sem iniciar redefinições desnecessárias. Uma caixa abandonada, número prestes a ser cancelado ou códigos numa nota comum podem ser o caminho mais fraco. Não guarde senha, código, link de recuperação ou resposta secreta no mapa.
Feche com três testes limitados
Entre normalmente num aparelho próprio e registre fator, origem do pedido, sessão e conta visível. Depois abra uma configuração sensível, mas inofensiva, cancele a nova verificação e confirme que nada mudou. Só adicione autenticador de teste quando o serviço documentar volta segura; use uma vez, remova e confirme que deixou de funcionar. Se não for reversível, apenas inspecione. Registre versão, aparelho, expectativa, resultado e desconhecidos. Decida pela transição mais fraca e reabra o mapa após mudança de aparelho principal, recuperação, provedor, método ou versão, não por rotina sem evidência nova.
Perguntas frequentes
O bloqueio do app é autenticação da conta?
Não. Bloqueio local, sessões remotas e recuperação são separados.
A MFA protege automaticamente toda alteração?
Não. Entrada, recuperação, retirada de fator e ações sensíveis devem ser conferidas.
É preciso testar recuperação com frequência?
Não. Faça um teste limitado somente com uma volta segura documentada.