> ## Documentation Index
> Fetch the complete documentation index at: https://docs.evolutionfoundation.com.br/llms.txt
> Use this file to discover all available pages before exploring further.

# Autenticação em Duas Etapas (2FA)

A autenticação em duas etapas (2FA) adiciona uma camada extra de segurança ao login. Além da senha, o usuário precisa apresentar um código gerado por um aplicativo autenticador (TOTP). Caso perca acesso ao app, **backup codes** permitem recuperar a conta.

***

## Ativando 2FA na sua conta

1. Acesse `Perfil → Segurança`.
2. Clique em **Ativar autenticação em duas etapas**.
3. Escaneie o QR code com um app autenticador (Google Authenticator, Authy, 1Password, Bitwarden, etc.).
4. Digite o código de 6 dígitos exibido pelo app para confirmar.
5. **Guarde os backup codes** apresentados na tela em um local seguro (gerenciador de senhas, cofre físico).
6. Confirme.

> A partir desse momento, todo login exigirá senha + código do app.

***

## Backup codes

Backup codes são códigos de uso único que permitem fazer login sem o app autenticador — útil se você perder o celular, trocar de aparelho, ou o app falhar.

### Como funcionam

* Cada code só pode ser usado **uma vez**. Após o uso, ele é invalidado.
* Você recebe um conjunto de codes ao ativar 2FA. Quando estiverem para acabar, regenere o conjunto.
* Codes são armazenados com hash BCrypt no banco (a partir do `v1.0.0-rc3` — EVO-991). Nem o operador da instalação consegue ler os codes em texto claro.

### Regenerando codes

`Perfil → Segurança → Regerar backup codes`.

> Atenção: ao regenerar, **os codes antigos param de funcionar**. Faça isso apenas se tiver acesso ao app autenticador no momento, para confirmar a regeneração.

### Quando regenerar

* **Após usar um code** — para manter o estoque cheio.
* **Após suspeita de comprometimento** — se você acha que alguém pode ter visto sua lista de codes.
* **Após mudança organizacional** — se você passou de função e a lista antiga estava em um lugar acessível a terceiros.

> Para instalações que existiam **antes do `v1.0.0-rc3`**: codes gerados naquela época ficavam em plaintext no banco. Se o histórico do banco esteve acessível a alguém fora do operador da instalação, recomenda-se regenerar.

***

## Recuperação de conta sem 2FA nem backup codes

Se você perder **tanto** o app autenticador **quanto** os backup codes:

1. Contate o **administrador da instalação** (`super_admin`).
2. O administrador pode desativar 2FA na sua conta via console administrativo.
3. Após o login subsequente, **reative 2FA imediatamente** com um novo dispositivo e guarde novos backup codes.

> O administrador da instalação **não consegue ler** seus codes (armazenados com hash). A única operação possível é zerar o 2FA da conta para você reconfigurar.

***

## Recomendações de segurança

* **Use app autenticador, não SMS.** SMS é vulnerável a SIM swap.
* **Guarde backup codes em gerenciador de senhas.** Evite imprimir e jogar em gaveta.
* **Não compartilhe backup codes.** Eles equivalem ao seu segundo fator.
* **Ative 2FA em contas administrativas.** Especialmente `super_admin` e `account_owner`.

***

## Considerações Finais

2FA é o controle de acesso mais barato e eficaz contra credenciais vazadas. Combine com senhas fortes (validação inline ajuda — EVO-1063) e revisão periódica de papéis em [Funções Personalizadas](/user-guides/settings/custom-roles).


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.