> ## Documentation Index > Fetch the complete documentation index at: https://docs.lerian.studio/llms.txt > Use this file to discover all available pages before exploring further. # Autenticação multifator > Adicione uma segunda etapa de verificação à entrada do usuário com um aplicativo autenticador ou por email. A autenticação multifator (MFA) exige que o usuário comprove a identidade duas vezes. Primeiro, o usuário entra com uma senha ou login único. Depois, o Access Manager solicita um código de acesso ou de recuperação antes de emitir os tokens de acesso. A MFA se aplica a contas de usuário. Ela não se aplica a aplicações de máquina a máquina que usam credenciais de cliente. Um login com [passkey](https://docs.lerian.studio/pt/platform/access-manager/features/passkeys/overview.md) não pede um segundo fator. ## Métodos compatíveis *** | Método | Como o usuário recebe o código de acesso | Requisito adicional | | - | - | - | | **Aplicativo autenticador** | Um aplicativo TOTP gera um código de acesso de seis dígitos no dispositivo do usuário. | O usuário escaneia o código QR de configuração ou digita o segredo. | | **Email** | O Access Manager envia um código de acesso de seis dígitos ao endereço de email salvo do usuário. | O deploy precisa de um provedor de comunicação por email. | Um usuário pode habilitar mais de um método e selecionar um como preferencial. O método preferencial aparece primeiro durante a entrada, mas o usuário pode selecionar outro método habilitado. ## Como funciona a entrada com MFA *** 1. O usuário entra com uma senha ou [login único](https://docs.lerian.studio/pt/platform/access-manager/features/sso/overview). 2. O Auth valida o primeiro fator. 3. Se a MFA estiver habilitada para o usuário, o Auth retorna um token de MFA de curta duração em vez de tokens de acesso. 4. O usuário seleciona um dos métodos habilitados. 5. Para email, o Auth envia um código de desafio. Um aplicativo autenticador gera o código localmente. 6. O usuário envia um código de acesso de seis dígitos ou um código de recuperação. 7. O Auth verifica o segundo fator e retorna os tokens de acesso. Se a organização exigir um método de MFA que o usuário não cadastrou, o Auth responde com o erro `AUT-0019` e um token de MFA válido apenas para a adesão. Isso acontece na etapa 3 quando o usuário não tem nenhum método de MFA, ou na etapa 7 quando o usuário tem um método, mas não todos os métodos exigidos. O usuário configura e confirma um dos métodos listados com esse token e, depois, continua a partir da etapa 4 com o mesmo token. Leia [Cadastrar um método exigido](https://docs.lerian.studio/pt/platform/access-manager/features/mfa/api.md#enroll-a-required-method). O token de MFA expira depois do tempo de sessão configurado no deploy. A adesão durante a entrada não o prolonga. O Auth também limita as tentativas de verificação e de reenvio. > [!WARNING] > > Não trate um token de MFA como token de acesso. Ele concede acesso apenas às operações de adesão, desafio e verificação da MFA da entrada. ## Configuração e códigos de recuperação *** O usuário precisa configurar e verificar um método antes de habilitá-lo. A configuração varia conforme o método: * A configuração de um aplicativo autenticador retorna uma URL de código QR e um segredo. * A configuração por email envia um código de verificação ao endereço de email salvo. O Access Manager emite códigos de recuperação durante a adesão à MFA. A adesão durante a entrada emite um código de recuperação. Cada código de recuperação funciona uma vez. O usuário pode usar um deles quando o método preferencial estiver indisponível. > [!WARNING] > > Guarde os códigos de recuperação quando o Access Manager os emitir. Você não poderá recuperar os mesmos códigos depois. Gerar um novo conjunto invalida o anterior. A API pública do Identity pode desabilitar todos os métodos de MFA de uma conta. Essa operação também remove os códigos de recuperação da conta. Para desabilitar a MFA, envie o código que a referência [Desabilitar MFA](https://docs.lerian.studio/pt/reference/platform/access-manager/disable-mfa.md) descreve. ## Ações de autoatendimento *** Os usuários podem cadastrar e gerenciar os próprios métodos de MFA no Console, em Configurações › Segurança, ou pela API do Identity. Um usuário também pode cadastrar, durante a entrada, um método que a organização exige, pela API do Auth. No Console, um usuário pode habilitar um aplicativo autenticador ou o email, remover um método, escolher o método padrão e gerar códigos de recuperação. O guia do Console cobre a MFA na entrada e a remoção de um método. As operações de autoatendimento da API exigem que o subject autenticado corresponda ao ID de usuário no caminho da requisição. ## Comportamento em caso de falha e recuperação *** | Situação | Resultado | | - | - | | A organização exige um método que o usuário não cadastrou | O Auth responde `AUT-0019`. O usuário cadastra o método com o token de MFA retornado e continua a entrada. | | O código de acesso é inválido | Um código de acesso inválido avaliado após as validações preliminares conta para o limite de verificações por usuário. | | A sessão de MFA expira | O usuário precisa reiniciar a entrada. | | O limite de reenvios é atingido | O Auth deixa de enviar novos desafios por email para esse usuário até o contador do método de email expirar ou uma verificação de MFA ou uma confirmação de adesão bem-sucedida limpá-lo. | | Um código de recuperação funciona | O Access Manager consome o código para que ele não possa ser usado de novo. | | O usuário perde todos os métodos e códigos de recuperação | Fale com um administrador e siga o procedimento de recuperação de conta da sua organização. | ## Próximos passos *** > [card] [Conclua a MFA no Console](https://docs.lerian.studio/pt/platform/access-manager/features/mfa/console.md) > > Verifique um código de acesso ou use um código de recuperação durante a entrada. > [card] [Gerencie a MFA pela API](https://docs.lerian.studio/pt/platform/access-manager/features/mfa/api.md) > > Use as operações do Auth e do Identity para adesão e entrada. > [card] [Requisitos de deploy da MFA](https://docs.lerian.studio/pt/platform/access-manager/features/mfa/deployment.md) > > Configure a proteção da sessão de MFA, os limites e os provedores de entrega. > [card] [Login único](https://docs.lerian.studio/pt/platform/access-manager/features/sso/overview) > > Use um provedor de identidade externo como primeiro fator de entrada. This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.