Segurança da conta: autenticação de dois fatores e acessos suspeitos

Introdução

O Fotostudio inclui vários mecanismos para proteger a tua conta: autenticação de dois fatores (MFA), deteção de acessos incomuns, histórico de acessos e invalidação automática das sessões quando mudas a palavra-passe.

Autenticação de dois fatores (MFA)

O que é?

A autenticação de dois fatores acrescenta um segundo passo ao teu acesso. Depois de introduzires a palavra-passe, tens de escrever um código de 6 dígitos gerado por uma aplicação de autenticação no teu telemóvel. Mesmo que alguém roube a tua palavra-passe, não consegue entrar na tua conta sem o teu telemóvel.

Que aplicação usar?

A MFA do Fotostudio assenta no protocolo TOTP (norma aberta RFC 6238), compatível com todas as aplicações de autenticação do mercado:

• Google Authenticator (iOS / Android)
• Authy
• Microsoft Authenticator
• 1Password, Bitwarden, etc.

Ativar a MFA

1. Vai a A minha conta > Segurança e clica em Ativar a autenticação de dois fatores
2. Instala uma aplicação de autenticação no teu telemóvel
3. Digitaliza o código QR apresentado com a aplicação
4. Introduz o código de 6 dígitos gerado pela aplicação para confirmar
5. Escolhe a frequência de verificação (ver abaixo)
6. Guarda os teus códigos de recuperação (passo crítico, ver a secção dedicada)

Frequência de verificação

Ao ativar, escolhes quando te é pedido o código:

Nota: no modo «browser desconhecido», se voltares sempre ao mesmo browser sem limpar os cookies, o código não te é pedido durante 90 dias. É uma escolha de conforto deliberada, semelhante ao comportamento de grandes sites como o Google.

Desativar a MFA

Vai a A minha conta > Segurança, clica em Gerir ao lado da autenticação de dois fatores e depois em Desativar. É pedida uma confirmação.

Códigos de recuperação

Porque é importante

Se perderes o acesso ao teu telemóvel (roubo, avaria, nova aplicação), os códigos de recuperação são a única forma de entrares. Sem eles, a tua conta ficaria inacessível.

Como funciona

• Ao ativar a MFA, são gerados 10 códigos de recuperação, mostrados uma única vez
• Cada código tem o formato XXXX-XXXX-XXXX
• Cada código é de uso único: depois de usado, fica definitivamente invalidado
• Usam-se em vez do código TOTP na página de acesso MFA

Como guardá-los

• No teu gestor de palavras-passe (1Password, Bitwarden…)
• Num ficheiro encriptado
• Impressos e guardados num local seguro

Regenerar os códigos

Se estiveres perto de 0 códigos restantes, ou se achares que os teus códigos foram comprometidos:

1. Vai a A minha conta > Segurança e clica em Gerir ao lado da autenticação de dois fatores
2. Clica em Regenerar códigos de recuperação
3. Os códigos antigos ficam imediatamente invalidados
4. Guarda os novos códigos

O número de códigos restantes aparece na página Segurança. Surge automaticamente um aviso quando restam 2 ou menos.

Deteção de acessos incomuns

O Fotostudio analisa automaticamente cada acesso e compara o país do endereço IP atual com o do último acesso conhecido.

O que acontece em caso de acesso suspeito?

Email de alerta automático: recebes um email com:

• O país detetado
• O endereço IP
• A data e a hora do acesso
• Uma ligação direta para mudares a tua palavra-passe
• Uma ligação para ativares a MFA, se ainda não o fizeste

Se tiveres a MFA ativada: mesmo que o teu browser estivesse marcado como «de confiança», o código TOTP volta a ser pedido automaticamente quando o acesso vem de outro país.

O que não dispara alerta

• Mesmo país, endereço IP diferente (mudança de rede, 4G para Wi-Fi, etc.)
• Acessos a partir de endereços locais (rede interna, desenvolvimento)

Se receberes um email de alerta e não foste tu a fazer esse acesso, muda imediatamente a tua palavra-passe através da ligação do email.

Histórico de acessos e página Segurança

A página A minha conta > Segurança reúne todas as informações de segurança da tua conta:

Estado da MFA

• Se a MFA estiver ativa: data de ativação, número de códigos de recuperação restantes, botão Gerir
• Se a MFA estiver inativa: botão Ativar a autenticação de dois fatores

Histórico de acessos

Mostra os últimos 50 acessos à tua conta com:

Mudança de palavra-passe

Quando mudas a tua palavra-passe em O meu perfil (secção Palavra-passe), disparam automaticamente várias ações de segurança:

1. Todas as outras sessões ativas são invalidadas: quem estiver ligado à tua conta noutro dispositivo é imediatamente desligado
2. A confiança de todos os dispositivos MFA é revogada: o código TOTP volta a ser pedido em todos os dispositivos no próximo acesso, mesmo nos que estavam memorizados

Proteção contra ataques de força bruta

Para além da MFA, o Fotostudio limita automaticamente as tentativas de acesso:

Acima destes limites, o acesso fica temporariamente bloqueado.

Se, ao tentares entrar, vires uma mensagem a dizer que a tua conta está bloqueada, tens de esperar 1 h até ela se desbloquear automaticamente, ou contactar o suporte para a desbloquear de imediato.

Perguntas frequentes

P: O meu código TOTP não é aceite.
Verifica se a hora do teu telemóvel está sincronizada automaticamente. Um relógio dessincronizado impede a validação do código. Se o problema persistir, usa um código de recuperação e volta a ativar a MFA.

P: Perdi o telemóvel e já não tenho os códigos de recuperação.
Contacta o suporte do Fotostudio. Será necessária uma verificação de identidade para desativar a MFA na tua conta.

P: Recebo um email de alerta sempre que entro, mesmo quando estou em casa.
O teu fornecedor de internet pode estar a mudar o teu endereço IP regularmente (IP dinâmico). Se o país continuar o mesmo, não é enviado nenhum email. Se usares uma VPN, o país detetado pode variar consoante o servidor VPN.

P: A MFA é obrigatória?
Não, é opcional. Mas recomendamo-la vivamente, sobretudo se a tua conta tiver dados de clientes, informações de faturação ou acessos bancários associados.

Actualizado em: 30/10/2026