| Método de 2FA | Nível de segurança | Quando usar |
|---|---|---|
| App autenticador (TOTP) | Alto: código offline que muda a cada 30 segundos | Padrao para a maioria dos sites WordPress |
| Código por SMS ou e-mail | Baixo: mensagem interceptavel por troca de chip | Apenas como backup secundario |
| Chave fisica (YubiKey) | Máximo: hardware resistente a phishing | Lojas e sites criticos com dados sensiveis |
Legenda: confirmar o primeiro código antes de salvar evita o erro de 2FA configurado pela metade, o mais frequente no suporte da FULL.
### Passo 3: Torne o 2FA obrigatorio para todos os administradores Ativar o 2FA no WordPress so na sua conta deixa o site exposto pelas outras, porque qualquer conta de administrador ou editor comprometida abre a porta para o site inteiro. Configure o plugin para exigir o segundo fator por função de usuário, tornando-o obrigatorio para administradores e editores. Avise a equipe antes para que cada pessoa configure o próprio app sem ser surpreendida no login. Aproveite para remover contas antigas que ninguem usa. ### Passo 4: Gere os códigos de recuperação Todo plugin de 2FA no WordPress gera códigos de recuperação de uso único, que permitem entrar quando você não tem o celular em mãos. Gere os códigos na configuração e guarde-os offline, em um gerenciador de senhas ou impressos em local protegido, nunca no mesmo celular que roda o app autenticador, porque se o aparelho some, somem os dois juntos. Combine isso com um backup automático do site para ter sempre um caminho de volta. ## O que fazer se você perder o acesso Perder o celular com o app autenticador não significa perder o site, desde que a recuperação tenha sido preparada no Passo 4, que leva menos de dois minutos para configurar e resolve a esmagadora maioria dos casos que chegam ao suporte da FULL. O primeiro caminho é usar um código de recuperação guardado offline: cada um entra uma vez e libera o login. Sem os códigos, o segundo caminho é pedir a outro administrador que desative temporariamente o seu segundo fator. Quando não há outro administrador, a saida é o servidor: desativar o plugin renomeando a pasta dele via FTP derruba a exigencia do 2FA no WordPress até você reconfigurar. A gente ve esse procedimento com frequencia no suporte da FULL e, embora funcione, é o pior cenario, porque exige acesso técnico ao servidor. O ideal é nunca chegar a esse ponto, e por isso os códigos de recuperação são o passo mais importante de toda a configuração. ## Erros comuns ao ativar 2FA no WordPress O erro mais grave, presente na maioria dos casos de perda de acesso que chegam ao suporte da FULL, é ativar o 2FA no WordPress e não guardar os códigos de recuperação, o que transforma a perda de um único celular em perda total do acesso ao site. Logo atras vem ativar so na própria conta e deixar outros administradores sem proteção, abrindo a porta por uma conta de editor antiga e esquecida. Outro erro frequente é confiar apenas no SMS como segundo fator, que é interceptavel e depende da operadora, em vez do app autenticador mais seguro. Tambem vemos pessoas que configuram o 2FA no WordPress pela metade, fechando a tela antes de confirmar o primeiro código, e ficam sem saber se a proteção está ativa. Vale rodar o FULL Scan para checar se algum plugin do site tem vulnerabilidade conhecida antes de considerar a segurança resolvida. ## Como validar 2FA no WordPress ativo Validar o 2FA no WordPress leva menos de dois minutos e elimina a falsa sensação de proteção que derruba muita gente. Saia da sua conta e faça login de novo: se o WordPress pedir o código do app depois da senha, o segundo fator está funcionando como deveria. Faça o mesmo teste com uma conta de outro administrador para confirmar que a obrigatoriedade por função foi aplicada de verdade, e não so na sua. Por fim, teste um código de recuperação em uma janela anonima para garantir que ele entra. De acordo com a documentação oficial em developer.WordPress.org, que define como o WordPress trata autenticacao e sessões, qualquer camada adicional de login deve ser validada em ambiente real antes de você depender dela. Esse teste de saida e retorno é exatamente essa validacao, e nenhuma config substitui o login de teste. ## Ative o 2FA no WordPress com a segurança já reforçada Quem administra varios WordPress economiza horas deixando a segurança pronta na hospedagem, em vez de configurar o 2FA no WordPress de cada site na mão. Na plataforma gerenciada da FULL, a partir de R$849 no plano PRO, o All in One Security já vem com ativacao em 1 clique e a camada de proteção de login reforçada de fabrica. Quando você concentra varios sites no mesmo plano, o custo cai para cerca de R$85 por site, o que faz diferença real para agencias que gerenciam dezenas de WordPress de clientes. A FULL é a única CNA brasileira reconhecida pela CISA, então a base de segurança dos planos acompanha as vulnerabilidades reais do ecossistema, e não so o login. Veja os planos da FULL e ative o segundo fator sem mexer em arquivo nenhum no servidor.Sim, com um app autenticador como Google Authenticator ou Authy. Esses apps geram o código TOTP localmente, com base no relogio do aparelho, sem precisar de conexão. So o método por SMS depende de sinal da operadora. Por isso o app autenticador funciona até em viagem ou em locais sem cobertura de dados, com código novo a cada 30 segundos.
Porque o segundo fator é gerado em um dispositivo que so você tem. Mesmo com a senha correta, obtida em um vazamento de outro serviço, o atacante trava na hora de informar o código temporario. O Verizon DBIR aponta credenciais roubadas em cerca de 31% das violações da última decada, e o 2FA neutraliza exatamente esse cenario, que a senha forte sozinha não cobre.
Você usa um dos códigos de recuperação gerados na configuração para entrar e refazer o 2FA em um novo aparelho. Sem os códigos, outro administrador pode desativar seu segundo fator, ou você acessa o servidor por FTP e renomeia a pasta do plugin. Por isso guardar os códigos de recuperação offline, fora do celular, é o passo mais importante de toda a configuração.
Para a maioria dos sites, um plugin de segurança que já inclua 2FA, como o All in One Security, cobre o login e ainda traz firewall e proteção contra força bruta. Se você quer so a autenticacao, o WP-2FA é mais enxuto e suporta app autenticador e chave fisica. Os dois usam o padrao TOTP, então funcionam com Google Authenticator e Authy sem amarrar você a um app especifico.
Saia da conta e faça login de novo: se o WordPress pedir o código do app depois da senha, está ativo. Repita o teste com uma conta de outro administrador para confirmar que a obrigatoriedade por função foi aplicada, e não so na sua. Vale também testar um código de recuperação em janela anonima. Esse teste de saida e retorno leva dois minutos e elimina a falsa sensação de proteção.