Cole uma chave secreta 2FA ou um link otpauth:// para ver o código que o seu app autenticador mostraria agora. Ele é calculado neste aparelho; a chave nunca é enviada nem salva.
Como um código TOTP é gerado
Um código TOTP (RFC 6238) é uma senha de uso único calculada a partir de duas coisas: a chave secreta que um serviço deu a você ao ativar a autenticação em duas etapas e a hora atual. O intervalo de tempo muda a cada 30 segundos, e o código muda junto. O serviço calcula o mesmo código do lado dele e compara os dois.
Sua chave fica neste aparelho
O código é calculado com a API Web Crypto embutida no seu navegador. A página não envia nada: nem a chave, nem o código, nem o nome da conta. Nada é salvo e a chave nunca vai para a barra de endereço, então recarregar ou fechar a aba faz com que ela seja esquecida.
Quando usar, e quando não
Ajuda quando o app autenticador está em um celular que você não tem à mão, ou para conferir se uma chave anotada está certa. Quem tem a chave consegue gerar os códigos, então guarde-a como uma senha e, para o dia a dia, adicione-a a um app autenticador em um aparelho de confiança.
Sua conta também depende de um número de telefone?
Muitos serviços também ligam o login e a recuperação a um número. Pegue um número privado que seja só seu e que ninguém mais recebe enquanto estiver com você.
Onde encontro minha chave secreta 2FA?
Ao ativar a autenticação em duas etapas, o serviço mostra um QR code e, normalmente ao lado, uma chave de configuração com letras e números. É essa chave que vai aqui. Se você não a guardou, o serviço não consegue mostrá-la de novo: desative e ative a 2FA outra vez para receber uma nova.
Por que o código não bate com o que o serviço espera?
Na maioria das vezes o relógio do aparelho está errado: o TOTP depende da hora, e um relógio um minuto fora dá outro código. Depois confira as configurações: a maioria dos serviços usa 6 dígitos, SHA-1 e um código novo a cada 30 segundos.
É seguro colar minha chave aqui?
A página calcula o código no seu aparelho e não envia nada para lugar nenhum; depois de carregada, funciona até sem internet. Ainda assim, o lugar mais seguro para uma chave é um app autenticador em um aparelho que você controla, e ela nunca deve ser colada em um computador em que você não confia.
Funciona com chaves do Google Authenticator ou do Microsoft Authenticator?
Sim, com chaves TOTP padrão em Base32, que é o formato que esses apps usam. Códigos com formato próprio de um serviço, como o Steam Guard, não são suportados.