Login sem senha: por que enviamos um código e um link

A parte de um fluxo de login que mais dá problema é a senha. As pessoas a esquecem, esperam um e-mail de redefinição ou reutilizam a mesma senha em outros sites. Para o serviço, a senha também é algo que precisa ser armazenado e protegido contra vazamentos.

Agora você pode entrar no painel do Opus Growth sem senha. Ao informar seu endereço de e-mail, enviamos para a sua caixa de entrada um código de seis dígitos e um link de login, e você pode usar qualquer um dos dois para abrir sua sessão. Este post explica por que enviamos os dois, como essa abordagem afeta a segurança e onde procurar se o e-mail não chegar.

Por que enviamos um código e um link

Sistemas que enviam apenas um link falham em uma situação muito comum. Se você está entrando no computador, mas abre o e-mail no celular e toca no link, a sessão abre no navegador do celular, e não no computador. Você acaba conectado no dispositivo errado.

O código resolve isso porque não depende do dispositivo. Você lê o e-mail no celular, digita o código de seis dígitos no computador e a sessão abre onde você queria. O link é mais rápido quando você entra no mesmo dispositivo em que lê o e-mail, já que um único toque basta.

Por isso enviamos os dois. Não precisamos adivinhar qual dispositivo você está usando, e as duas situações ficam cobertas.

Como o login sem senha afeta a segurança

Muita gente presume que o login sem senha é mais fraco, mas ele elimina completamente vários caminhos importantes de ataque.

• Senhas vazadas são inúteis. Uma senha roubada de outro site não pode ser usada aqui, porque sua conta não tem uma.
• Ataques de adivinhação não funcionam. O código é válido por 15 minutos e só pode ser usado uma vez. Após cinco tentativas erradas, o código é cancelado e você precisa solicitar um novo.
• Não há dados de senha para roubar. Uma senha que nunca é armazenada não pode aparecer em um vazamento.

Em troca, o peso da segurança passa para a sua conta de e-mail, pois qualquer pessoa com acesso à sua caixa de entrada também poderia ver o código de login. Por isso recomendamos manter a verificação em duas etapas ativada no seu provedor de e-mail.

O curto tempo de vida do código também é uma escolha deliberada. Um código que continuasse válido por muito tempo permitiria que alguém que lesse o e-mail depois entrasse na conta.

Se clicar no link não fizer o login

Sua sessão é salva no endereço em que o link de login foi aberto e não passa para um subdomínio diferente. Portanto, se você copiar o link do e-mail e abri-lo em outro endereço, o login não será concluído.

Nesse caso, abra o link exatamente como aparece no e-mail ou digite o código manualmente.

Onde procurar se o código não chegar

1. Verifique a pasta de spam. No primeiro login, o e-mail costuma cair lá. Depois que você o marca como não sendo spam, os próximos chegam à caixa de entrada.
2. Confira o endereço. O login por e-mail funciona apenas para contas existentes. Se o endereço informado for diferente do cadastrado na sua conta, nenhum código é enviado a ele. Se você ainda não tem uma conta, pode criar uma com o Google.
3. Considere os filtros corporativos. Sistemas de e-mail de empresas podem colocar em quarentena mensagens automáticas vindas de fora. Se isso acontecer, peça à sua equipe de TI para liberá-las ou use outro endereço cadastrado na sua conta.

Se o código chegou, mas expirou, basta solicitar um novo. Enviar um novo código invalida o anterior.

Perguntas frequentes

O login sem senha é seguro?

Sim. Senhas vazadas e ataques de adivinhação não funcionam contra ele. Em contrapartida, a segurança da sua conta de e-mail passa a importar mais, então mantenha a verificação em duas etapas ativada nela.

Por que recebo um código e um link?

O código é para quem lê o e-mail no celular, mas entra no computador, e o link é para quem entra no mesmo dispositivo em que lê o e-mail. Os dois abrem a mesma sessão.

Por quanto tempo o código é válido?

O código é válido por 15 minutos e só pode ser usado uma vez. Se ele expirou ou foi digitado incorretamente cinco vezes, você precisa solicitar um novo.

Cliquei no link, mas não fui conectado. Por quê?

Se você abriu o link em um endereço diferente do que consta no e-mail, a sessão não passa para esse endereço. Abra o link exatamente como aparece no e-mail ou digite o código manualmente.

O que fazer se o e-mail não chegar?

Primeiro verifique a pasta de spam e depois confirme se o endereço informado corresponde ao cadastrado na sua conta. Se você usa um e-mail corporativo, o filtro da sua empresa pode ter colocado mensagens automáticas em quarentena.