Definição
A autenticação de dois fatores (2FA) exige dois tipos diferentes de prova para fazer login ou aprovar uma ação: normalmente algo que você sabe (uma senha) mais algo que você tem (um celular que recebe um código de uso único, um app autenticador ou uma chave de segurança).
Os três tipos de fator são conhecimento (senha, PIN), posse (celular, chave física, app) e inerência (impressão digital, rosto). Duas verificações do mesmo tipo, como senha mais pergunta de segurança, não constituem 2FA de verdade. Autenticação multifator (MFA) é o termo geral para dois ou mais fatores.
Os OTPs por mensagem são o fator de posse mais difundido porque não exigem instalar nenhum app. Eles são mais fracos do que métodos baseados em app ou resistentes a phishing: existem ataques de SIM swap, páginas de phishing que repassam os códigos em tempo real e interceptação. A NIST SP 800-63B classifica OTPs enviados pela rede telefônica pública (SMS ou voz) como autenticador "restrito" e orienta os verificadores a considerar sinais como troca de chip ou portabilidade do número antes de usá-los.
Para serviços ao consumidor no GCC e na região MENA, OTP por SMS e WhatsApp continua sendo o padrão prático para cadastro, login e aprovação de pagamentos; bancos e provedores de pagamento costumam seguir regras mais rígidas definidas pelo banco central ou pelo regulador. Ofereça uma opção mais forte (app autenticador ou passkey) para ações de alto risco.
Dicas de design: envie o segundo fator somente depois que a senha estiver correta, vincule os códigos a uma única sessão e ação e explique na mensagem para que serve o código ("para aprovar uma transferência de AED 500").