GitHub agora exige 2FA
A partir de 2024, o GitHub exige que todos os desenvolvedores que contribuem com código ativem autenticação de dois fatores. Se você ainda não configurou, provavelmente tem visto lembretes. Mesmo que de alguma forma não tenha visto, vale a pena fazer. Sua conta GitHub provavelmente tem acesso a repositórios privados, pipelines de deployment e credenciais que você realmente não quer expostas.
Configurar 2FA baseado em TOTP (o tipo de aplicativo autenticador) leva cerca de dois minutos. Veja como.
Se você quer contexto sobre como os códigos de autenticador funcionam, veja O que é TOTP?.
O que você precisará
- Uma conta GitHub
- Um aplicativo autenticador (Google Authenticator, Authy, 1Password, Bitwarden, ou qualquer aplicativo compatível com TOTP)
Configuração passo a passo
1. Abra suas configurações
Clique na sua foto de perfil no canto superior direito de qualquer página GitHub, depois clique em Configurações.
2. Vá para “Senha e autenticação”
Na barra lateral esquerda, em “Acesso”, clique em Senha e autenticação.
3. Clique em “Ativar autenticação de dois fatores”
Você verá uma seção para autenticação de dois fatores. Clique no botão para ativar. O GitHub pode pedir para você confirmar sua senha.
4. Escolha “Configurar usando um aplicativo”
O GitHub te dá a opção de usar um aplicativo autenticador ou SMS. Escolha o aplicativo autenticador. É mais seguro e não depende de sinal de celular.
5. Escaneie o QR code
O GitHub exibe um QR code. Abra seu aplicativo autenticador, adicione uma nova conta e escaneie.
Se não conseguir escanear o código, clique em “chave de configuração” para ver o segredo em texto puro. Você pode digitar isso no seu aplicativo autenticador manualmente.
Uma coisa para notar: O GitHub mostra a chave de configuração em um formato específico. Copie exatamente, incluindo quaisquer espaços ou agrupamentos, dependendo do que seu aplicativo espera. A maioria dos aplicativos lida bem de qualquer forma.
6. Digite o código de verificação
Seu aplicativo autenticador mostrará um código de 6 dígitos. Digite no GitHub e clique em Continuar.
7. Salve seus códigos de recuperação
O GitHub gera um conjunto de códigos de recuperação. Essa é a tela que as pessoas passam correndo, mas você não deve.
Cada código de recuperação é um código de uso único que permite fazer login se você perder acesso ao seu aplicativo autenticador. Baixe-os, imprima-os, ou guarde no seu gerenciador de senhas. Não deixe apenas na pasta de downloads do seu navegador.
O GitHub pedirá para você confirmar que salvou antes de terminar a configuração.
Chaves SSH e 2FA
Uma coisa que pega as pessoas de surpresa: ativar 2FA muda como a autenticação Git funciona sobre HTTPS.
Depois que você ativa 2FA, não pode mais usar sua senha GitHub para operações Git HTTPS. Você precisará usar ou:
- Um token de acesso pessoal (PAT) no lugar da sua senha para HTTPS
- Chaves SSH, que não são afetadas pelo 2FA
Se você já está usando SSH para push e pull, nada muda. Se está usando HTTPS, precisará criar um token de acesso pessoal (Configurações > Configurações de desenvolvedor > Tokens de acesso pessoal) e usar isso como sua senha quando o Git pedir credenciais.
Alternativamente, a CLI GitHub (gh auth login) lida com tudo isso para você e é provavelmente a opção menos dolorosa.
Passkeys como segundo fator
O GitHub também suporta passkeys, que podem servir tanto como sua senha quanto segundo fator. Se estiver interessado nisso, pode configurar um ao lado do seu aplicativo autenticador na mesma página de configurações “Senha e autenticação”.
Ter ambos configurados dá flexibilidade. Se seu telefone morrer, pode usar seu passkey. Se seu dispositivo passkey não está disponível, pode usar seu aplicativo autenticador. Redundância é sua amiga aqui.
Gerenciando 2FA após a configuração
Você sempre pode voltar para Configurações > Senha e autenticação para:
- Ver ou regenerar seus códigos de recuperação (faça isso se você usou algum)
- Adicionar aplicativos autenticadores ou chaves de segurança adicionais
- Configurar SMS de fallback (útil como último recurso)
Se você faz parte de uma organização que exige 2FA, perder acesso ao seu segundo fator pode bloqueá-lo dos repositórios de sua org até que você se reautentique. Mantenha seus códigos de recuperação atualizados.
Resumo rápido
- Configurações > Senha e autenticação > Ativar autenticação de dois fatores
- Escolha aplicativo autenticador, escaneie o QR code
- Digite o código de 6 dígitos para verificar
- Baixe e guarde seus códigos de recuperação
- Se estiver usando HTTPS para Git, mude para um token de acesso pessoal ou SSH
Leva dois minutos, e o GitHub não vai deixar você adiar muito mais tempo de qualquer forma.
Quer ver como os códigos TOTP funcionam antes de configurar coisas? Você pode brincar com um gerador em 2fa.zip — é baseado em navegador e não envia nada para um servidor.