Proteger uma chave exige mais do que ocultar seis dígitos

Como os itens são protegidos

As credenciais TOTP do cofre são criptografadas no navegador. A passphrase e a chave de recuperação servem a caminhos de desbloqueio diferentes; a senha do Google não substitui automaticamente essas condições.

Ao bloquear a coleção, o aplicativo deixa de exibir material aberto e encerra trabalhos sensíveis. Isso reduz exposição na interface, mas uma linguagem de programação não garante apagamento físico instantâneo de todas as cópias na RAM.

Chaves locais de dispositivos confiáveis

Um navegador confiável pode conservar uma chave planejada como não extraível. Não é garantia de que exista hardware seguro nem de que malware no dispositivo nunca consiga observar conteúdo já desbloqueado.

Revogar a via de um dispositivo impede novos usos autorizados desse caminho contra o serviço. Não é uma operação de exclusão remota de imagens, backups ou segredos copiados antes.

Recuperação e incidentes

Guarde o material de recuperação em local que você controla. Ter apenas o login Google ou um backup criptografado não assegura restauração quando a chave necessária foi perdida.

Se houver exposição do segredo TOTP original, redefina a verificação no serviço externo. Nenhum selo de segurança ou certificação externa é declarado nesta página.

QR exposto: o segredo precisa mudar na origem

Se um QR de configuração apareceu em um grupo ou chamado de suporte, trate a chave contida nele como potencialmente comprometida. Excluir a imagem ajuda a reduzir exposição, mas não interrompe quem já copiou o segredo TOTP.

Entre no site legítimo, garanta uma alternativa de recuperação e refaça o segundo fator segundo as instruções do provedor. Revogar o navegador do 2FASync não revoga automaticamente chaves de contas externas.

• Identifique os serviços afetados pelo vazamento.
• Renove os segredos nos próprios serviços e confirme o login.
• Revise as sessões e guarde os códigos de emergência externos.

A verificação gov.br tem requisitos próprios

A documentação oficial informa que outros autenticadores, inclusive Google Authenticator, não conseguem gerar o código de acesso solicitado pelo gov.br. Esse limite evita uma falsa promessa de compatibilidade para um serviço amplamente usado no Brasil.

Se você trocou de aparelho e perdeu a vinculação com o aplicativo gov.br, siga o fluxo oficial de recuperação ou atendimento. A chave do cofre 2FASync não dispensa os controles de identidade exigidos pelo Governo Digital.

Revogar um aparelho apaga todas as cópias que ele já fez?

Não. A revogação controla a autorização futura e a limpeza local possível; cópias externas não podem ser apagadas à distância com garantia.