A maioria dos incidentes de acesso não começa com uma falha sofisticada — começa com uma senha reaproveitada que vazou em outro serviço. O segundo fator existe justamente para esse cenário: mesmo com a senha correta, o invasor precisa de mais alguma coisa para entrar.

O problema é que nem todo segundo fator resiste igual. SMS pode ser interceptado por SIM swap. Um código gerado por aplicativo pode ser phishado em uma página falsa que captura o código no momento do uso. FIDO2 resolve os dois problemas ao mesmo tempo: a chave verifica criptograficamente o domínio que está pedindo autenticação (o que mata o phishing) e exige um objeto físico presente (o que mata o ataque remoto).

Onde a chave física realmente entra

Configurar FIDO2 em tudo não é prático nem necessário. Faz sentido nos pontos onde um segundo fator fraco tem o maior custo se falhar:

  • SSH: como reforço de autenticação para quem acessa a VPS diretamente, além da VPN.
  • VPN: segundo fator na conexão à rede privada onde vivem os serviços críticos.
  • Provedor de SSO: protegendo o ponto único de identidade que dá acesso a todos os painéis administrativos.
  • Painéis do provedor de nuvem: o console da AWS, DigitalOcean ou Hetzner, de onde é possível recriar ou destruir a própria VPS.

O par de chaves: uso e recuperação

Uma chave física sozinha cria um risco novo: perdê-la significa ficar trancado para fora dos próprios sistemas. É por isso que a implantação sempre configura um par:

  1. Chave primária: a que fica com você, usada no dia a dia.
  2. Chave de recuperação: registrada nos mesmos serviços, guardada em local fisicamente separado da primária — nunca junto, nunca na mesma bolsa ou gaveta.
O erro que anula a proteção

Guardar as duas chaves no mesmo lugar (mesma mochila, mesma gaveta, mesmo cofre de casa) elimina o propósito da segunda chave. Se um evento afeta o local onde as duas estão, você perde acesso às duas ao mesmo tempo — exatamente o cenário que o par deveria evitar.

O que acontece se uma chave for perdida

Isso faz parte do runbook entregue na implantação: revogar a chave perdida em todos os serviços onde ela estava registrada, confirmar acesso com a chave de recuperação, e emitir uma nova chave para retomar o par completo. O procedimento é documentado antes de ser necessário — não é algo para descobrir no momento de pânico.

FIDO2 costuma ser o passo final de reforço de acesso numa implantação, depois que WAF, SSO e VPN já reduziram a superfície e centralizaram onde a autenticação realmente acontece.