A senha de um usuário vaza, normalmente porque a mesma senha era usada em outro site que sofreu invasão. Com ela, qualquer pessoa entra no sistema de qualquer lugar do mundo e vê preços, margens, cadastro de clientes e dados fiscais. Só a senha protege tudo isso, e a senha é exatamente a parte que você não controla.
A autenticação em duas etapas acrescenta uma segunda prova de identidade: além da senha, um código de seis dígitos que muda a cada trinta segundos e fica no celular do usuário. Quem tem a senha, mas não tem o celular, não entra. É a proteção com melhor relação entre esforço e resultado que existe para um sistema de gestão.
Ativando na sua conta
Cada usuário ativa a própria autenticação, porque é o celular dele que vai gerar os códigos. O caminho é:
| Passo | O que fazer |
| 1 | Instale no celular um aplicativo de autenticação, como Google Authenticator, Microsoft Authenticator ou o gerenciador de senhas que a empresa já usa. |
| 2 | No sistema, clique no seu nome no canto superior direito e escolha Meu perfil. |
| 3 | Abra a aba Segurança da conta e clique em Ativar autenticação de dois fatores. |
| 4 | Confirme a sua senha, aponte a câmera do aplicativo para o código QR da tela e digite o código de seis dígitos que aparecer. |
A partir daí, a cada novo acesso o sistema pede o código depois da senha. No próprio navegador de uso diário dá para marcar o dispositivo como confiável, e o código deixa de ser pedido a cada login nele.
Exigindo de toda a equipe
Ativar por conta própria protege um usuário. Para proteger a empresa, a opção fica em Definições › Configurações gerais, na seção Permissões: marque Impor autenticação de dois fatores e salve.
A exigência de dois fatores nas Configurações gerais · dados ilustrativos.
Com a opção ligada, quem ainda não ativou nenhum método passa a receber o código por e-mail no momento de entrar, e é convidado a configurar o aplicativo. Ninguém fica de fora e ninguém fica travado.
Na mesma seção ficam as chaves de API, que é como programas externos continuam acessando o sistema depois que a dupla verificação está ativa: a integração usa uma chave própria, e não a senha de uma pessoa.
Antes de ativar para todos
Combine com a equipe e avise com antecedência: quem estiver sem o aplicativo instalado vai precisar de alguns minutos no primeiro acesso. Vale também garantir que mais de uma pessoa tenha direitos de administração, para que ninguém dependa de um único usuário em caso de troca de celular.
Perguntas frequentes
Troquei de celular e perdi os códigos. E agora?
Um usuário com direitos de administração desativa a autenticação na conta afetada, e a pessoa configura de novo no aparelho novo. Por isso é importante não ter só um administrador.
Funciona sem internet no celular?
Funciona. O código é gerado pelo próprio aplicativo, a partir do relógio do aparelho. Se o horário do celular estiver muito errado, os códigos são recusados.
Vale para quem acessa o portal do cliente?
A exigência pode alcançar também os usuários do portal, conforme a opção escolhida nas configurações.
E as integrações que já usam a senha?
Troque a senha por uma chave de API na integração antes de exigir os dois fatores, para nenhuma rotina automática parar.
Ficou com alguma dúvida? Abra um chamado na central de atendimento do Odoo ou escreva para [email protected].