O que muda ao ativar a autenticação de dois fatores no Aprova

Ativar a autenticação de dois fatores no Aprova adiciona uma segunda camada de confirmação de identidade — além da senha — no momento do login, tanto para servidor quanto para munícipe. A funcionalidade fica desativada por padrão em cada conta e é habilitada individualmente pelo próprio usuário dentro das configurações do sistema, sem exigir uma política obrigatória imposta pelo órgão.

Este guia explica o que muda no fluxo de acesso quando o segundo fator entra em cena, para quem faz sentido tornar essa camada obrigatória e o que considerar antes de padronizar essa exigência para toda a equipe.

Por que dois fatores é diferente de senha única

Uma senha isolada prova só uma coisa: que quem está logando conhece aquela combinação de caracteres — não que é, de fato, a pessoa dona da conta. Se a senha vaza (reaproveitada em outro serviço, exposta em um vazamento de dados de terceiros, capturada por phishing), qualquer pessoa que a obtenha acessa a conta sem nenhum obstáculo adicional.

Com dois fatores ativado, o login passa a exigir também uma confirmação em um segundo canal — normalmente um código gerado em um aplicativo autenticador ou enviado a um dispositivo do próprio usuário. Isso significa que uma senha vazada, sozinha, deixa de ser suficiente para abrir a conta: quem tenta acessar sem o segundo fator fica barrado mesmo com a senha correta em mãos.

O que muda na prática

Antes, sem dois fatores: o login termina assim que a senha correta é digitada. Se a senha for fraca, reaproveitada ou exposta, o acesso à conta — e a tudo que ela vê dentro do sistema, incluindo processos sigilosos liberados ao seu perfil — depende inteiramente daquela única credencial.

Depois, com dois fatores ativado: a senha correta abre a primeira etapa, mas o sistema exige a confirmação do segundo fator antes de liberar o acesso. Um servidor que atua em processos sensíveis — parecer jurídico, auto de infração, dado tributário protegido por sigilo fiscal — ganha uma camada adicional de proteção sobre a própria conta, independente do permissionamento já configurado para o perfil dele.

A ativação é feita pelo próprio usuário, dentro das configurações da conta, e não interfere no cadastro de quem ainda não ativou — cada pessoa decide o próprio nível de exigência no login, salvo se o órgão optar por tornar a exigência padrão para determinados perfis.

Quando usar — e quando não usar

Faz sentido recomendar (ou exigir) dois fatores para quem acessa dado sigiloso, assina documento com validade jurídica ou tem permissão de decisão em processos de maior impacto — parecer jurídico, autuação, lançamento tributário. Para uma conta externa que só acompanha o andamento de um processo já protocolado, a exigência tende a ser desproporcional ao risco: cada camada adicional de confirmação também é uma camada adicional de fricção, e nem todo perfil de acesso justifica esse custo.

O ponto de partida mais comum é ativar por orientação institucional para servidores com permissão de análise, assinatura ou acesso a processo restrito — e deixar como opção disponível, mas não obrigatória, para o munícipe que usa o portal de serviços apenas para protocolar e acompanhar pedidos.

FAQ sobre autenticação de dois fatores no Aprova

A autenticação de dois fatores vem ativada por padrão?

Não. A plataforma vem com a função desativada em cada conta, e cada usuário decide se quer habilitá-la dentro das próprias configurações.

O órgão pode obrigar todos os servidores a usar dois fatores?

A ativação individual é a configuração padrão descrita pela plataforma; qualquer política de obrigatoriedade institucional depende de definição de regra interna do próprio órgão sobre quais perfis devem ativar a função.

Dois fatores substitui o controle de permissionamento por perfil?

Não. Dois fatores protege o momento do login — comprova que quem está entrando é o dono da conta. O permissionamento por perfil continua controlando o que essa conta, já autenticada, pode ver e fazer dentro do sistema.

Isso vale tanto para conta interna quanto para conta externa?

Sim. A ativação é uma configuração de conta, disponível tanto para o usuário interno (servidor) quanto para o usuário externo (munícipe ou responsável técnico) que acessa o portal de serviços.

Conheça o Aprova

Se o seu órgão quer entender como reforçar a segurança de login sem abrir mão da simplicidade de acesso ao portal de serviços, agende uma demonstração da Aprova e veja como o permissionamento, a trilha de auditoria e a autenticação de dois fatores funcionam dentro do mesmo sistema de tramitação.