WhatsApp está abandonando o PIN de verificação em duas etapas de 6 dígitos em favor de senhas de conta adequadas, e essa mudança silenciosa é a maior melhoria de segurança que o WhatsApp implantou em anos. Um PIN nunca parou um invasor determinado: seis dígitos são um milhão de combinações, e a maioria das pessoas escolhia uma data de nascimento nesse espaço. Uma senha real, gerada com comprimento apropriado e armazenada em um local razoável, fecha a porta que as equipes de troca de SIM atravessaram na última década. O roteiro é bem conhecido. Um invasor convence um representante da operadora a portar seu número para um novo SIM, recebe o código de registro do WhatsApp e herda cada bate-papo, grupo e contato comercial vinculado à sua conta. Senhas fortes não impedem a troca de SIM em si, mas impedem que o invasor conclua a tomada de controle assim que ele tem seu número.
Sete aplicativos Android foram testados por quatro semanas no mesmo dispositivo para encontrar aqueles que realmente mantêm a conta do WhatsApp, seu backup do Google Drive e seus dispositivos vinculados fechados.
O que procurar em um aplicativo de segurança do WhatsApp
- Geração de senha aleatória forte, pelo menos 20 caracteres, que você nunca precise digitar de memória.
- Um aplicativo 2FA que não dependa de SMS, pois SMS é exatamente o que as trocas de SIM derrotam.
- Backup criptografado do cofre em si, idealmente com uma frase-senha separada do login.
- Auditoria de sessão e dispositivo vinculado para que você possa detectar um login suspeito do WhatsApp Web em minutos.
- Sincronização entre dispositivos quando você usa telefone, tablet e laptop, e quer os mesmos segredos nos três.
- Sem armazenamento em nuvem de segredos, ou um design verdadeiro de conhecimento zero onde o provedor não pode ler o que você salva.
Comparação rápida
| Aplicativo | Melhor para | Plano gratuito | Preço inicial/mês | Destaque |
|---|---|---|---|---|
| A conta em si | Totalmente grátis | Grátis | Bloqueio de aplicativo integrado e auditoria de dispositivo vinculado | |
| Aegis Authenticator | Códigos 2FA somente locais | Totalmente grátis | Grátis | Cofre local criptografado, sem nuvem |
| Bitwarden | Gerenciador de senhas gratuito de código aberto | Totalmente grátis | Cerca de $0,83 (Premium $10/ano) | Camada gratuita completa com sincronização |
| 1Password | Melhor UX da categoria | Teste de 14 dias | Cerca de $2,99 | Suporte a chaves de acesso e cofres ocultos |
| Proton Pass | Aliases de e-mail para privacidade de conta | Camada gratuita ilimitada | Cerca de $4,99 | Os aliases ocultam o e-mail real |
| Signal | Mensageiro de reserva se WhatsApp for comprometido | Totalmente grátis | Grátis | PIN de bloqueio de registro separado |
| Authy | Sincronização 2FA entre dispositivos | Totalmente grátis | Grátis | Sincronização em nuvem em telefone, tablet, desktop |
Os aplicativos
1. WhatsApp, melhor ponto de partida para sua conta
WhatsApp oferece mais superfície de segurança do que a maioria das pessoas abre. Em Configurações, depois Conta, depois Verificação em duas etapas, o aplicativo agora o orienta através da criação de uma senha de conta adequada no lugar do antigo PIN de 6 dígitos. Em Privacidade, depois Bloqueio do aplicativo, o desbloqueio biométrico protege o próprio aplicativo. O bloqueio de conversa oculta conversas individuais atrás de um segundo fator. Dispositivos vinculados lista cada sessão ativa do WhatsApp Web e desktop, e um toque desconecta qualquer um deles.
Onde fica aquém: A senha vive apenas dentro do WhatsApp. Perdê-la e o caminho de recuperação é um período de espera durante o qual a conta é inutilizável. Armazene a senha em algum lugar fora do telefone.
Preço:
- Grátis para sempre.
- Sem nível pago.
Plataformas: Android, iOS, desktop, web.
Resumo: Abra o aplicativo, defina uma senha de conta, ative o bloqueio do aplicativo e audite os dispositivos vinculados antes de instalar qualquer outra coisa desta lista.
2. Aegis Authenticator, melhor 2FA somente local
Aegis Authenticator é o aplicativo TOTP de código aberto mais limpo no Android. O cofre é criptografado com uma senha ou chave biométrica, nada sai do dispositivo e as exportações são um arquivo JSON criptografado simples que outros aplicativos autenticadores podem ler. A senha da conta do WhatsApp em si não é um segredo TOTP, então Aegis não é estritamente necessário para o login do WhatsApp, mas a conta Google ou Apple que possui seu backup em nuvem do WhatsApp definitivamente deve ter 2FA TOTP. Isso é o que Aegis protege.
Onde fica aquém: Sem sincronização entre dispositivos por design. Mudar para um telefone novo significa uma exportação criptografada e importação manual.
Preço:
- Grátis para sempre.
- Sem nível pago, sem anúncios.
Plataformas: Android.
Resumo: Emparelhe com a conta Google ou Apple por trás do seu backup do WhatsApp. Qualquer um que queira segredos completamente fora da nuvem deve começar aqui.
3. Bitwarden, melhor gerenciador de senhas gratuito de código aberto
Bitwarden é onde a senha real da conta do WhatsApp deve viver. A camada gratuita é completa: senhas ilimitadas, dispositivos ilimitados, sincronização entre dispositivos e uma extensão de preenchimento automático do navegador que funciona no teclado Android. Armazenar a nova senha do WhatsApp lá significa que ela sobrevive à perda do telefone, a uma redefinição de fábrica ou ao dia em que você finalmente atualiza o aparelho.
Onde fica aquém: O aplicativo Android foi reescrito em 2024 e a nova interface ainda se sente mais áspera do que a do navegador. O armazenamento TOTP fica atrás de Premium.
Preço:
- Grátis para sempre com sincronização entre dispositivos.
- Premium custa cerca de $10 por ano (aproximadamente $0,83 por mês) e adiciona TOTP, anexos de arquivo criptografados e acesso de emergência.
Plataformas: Android, iOS, desktop, extensões de navegador, web.
Resumo: A recomendação padrão para quem nunca usou um gerenciador de senhas. Código aberto, barato e suficiente para o caso de uso do WhatsApp com espaço para crescer.
4. 1Password, melhor UX da categoria
1Password é a opção paga na qual as pessoas que já usam gerenciadores de senhas tendem a ficar. O suporte a chaves de acesso é nativo, o preenchimento automático no Android é o menos entediante do grupo, e o Travel Mode oculta temporariamente os cofres selecionados do dispositivo antes de você cruzar uma fronteira, portanto uma verificação de fronteira nunca revela sua senha do WhatsApp mesmo se o telefone estiver desbloqueado. O recurso Watchtower marca ativamente senhas fracas ou reutilizadas em todos os seus logins.
Onde fica aquém: Sem nível gratuito além do teste de 14 dias. Apenas assinatura.
Preço:
- Teste grátis de 14 dias.
- Plano individual cerca de $2,99 por mês cobrado anualmente.
- Famílias cerca de $4,99 por mês para até cinco pessoas.
Plataformas: Android, iOS, desktop, extensões de navegador, web.
Resumo: Vale a pena o dinheiro se o acabamento extra e o Travel Mode importam. Caso contrário, o Bitwarden cobre o mesmo terreno de graça.
5. Proton Pass, melhor para aliases de e-mail
Proton Pass faz o que outros gerenciadores de senhas fazem e depois adiciona aliases de e-mail criptografados por cima. O truque para segurança de conta do WhatsApp é que o próprio WhatsApp não usa e-mail, mas a conta Google ou Apple que possui o backup faz. Registrar essa conta com um alias Proton, em vez de seu endereço real, significa que uma lista de contatos vazada ou um despejo de violação nunca vincula seu e-mail público à sua identidade do WhatsApp. A camada gratuita do Proton Pass fornece senhas ilimitadas em dispositivos ilimitados, o que é inusual para o plano gratuito de um serviço pago.
Onde fica aquém: Limites de alias na camada gratuita (10 aliases). O preenchimento automático é competente, mas um passo atrás do 1Password.
Preço:
- Grátis com senhas ilimitadas e 10 aliases de e-mail.
- Plus cerca de $4,99 por mês para aliases ilimitados e cofres compartilhados.
- Agrupado com Proton Mail, VPN e Drive no plano Unlimited.
Plataformas: Android, iOS, desktop, extensões de navegador.
Resumo: A escolha certa para quem já está no ecossistema Proton ou planeja compartimentalizar contas por trás de aliases.
6. Signal, melhor reserva se WhatsApp for comprometido
Signal importa aqui como plano B, não como substituto. Quando uma conta do WhatsApp é comprometida, o invasor tem seu gráfico de contatos e suas mensagens recentes. Signal é o mensageiro para mover conversas sensíveis no primeiro dia de qualquer incidente. Seu próprio bloqueio de registro usa um PIN separado armazenado apenas no seu dispositivo, e seu modelo de recuperação não depende de mensagens de texto do operadora da forma como o WhatsApp historicamente o fez. Código aberto, auditado e executado por uma organização sem fins lucrativos que não tem um negócio de publicidade por trás.
Onde fica aquém: Exige que as pessoas para as quais você envia mensagens também instalem o Signal. A adoção fora dos círculos focados em privacidade ainda é desigual.
Preço:
- Grátis para sempre.
- Apoiado por doações.
Plataformas: Android, iOS, desktop.
Resumo: Instale agora, verifique alguns contatos e mantenha-o lá para o dia em que o WhatsApp se tornar um problema.
7. Authy, melhor sincronização 2FA entre dispositivos
Authy é a resposta quando o cofre estritamente local do Aegis fica no caminho. Os códigos são sincronizados entre telefone, tablet e desktop através da nuvem Twilio, que é a compensação: alguém mais armazena cópias criptografadas de suas sementes. Para 2FA em contas que são menos sensíveis do que a que protege seu backup do WhatsApp, essa compensação geralmente vale a comodidade de não restaurar códigos manualmente toda vez que um dispositivo muda.
Onde fica aquém: Twilio aposentou os aplicativos de desktop em 2024, e violações passadas na empresa-mãe Twilio levantaram questões sobre o backend de sincronização, embora as sementes em si permanecessem criptografadas.
Preço:
- Grátis para sempre.
- Sem nível pago.
Plataformas: Android, iOS.
Resumo: Escolha isto sobre Aegis apenas se a sincronização entre dispositivos for um requisito obrigatório. Caso contrário, o cofre somente local é mais seguro.
Como escolher
- Se você nunca tocou em nada disso: WhatsApp para a senha da conta, Bitwarden para armazená-la.
- Se você quer tudo grátis e código aberto: WhatsApp mais Bitwarden mais Aegis Authenticator.
- Se você já paga por um aplicativo e quer a melhor experiência: 1Password.
- Se você quer compartimentalizar identidades por trás de aliases: Proton Pass.
- Se você está preocupado com uma troca de SIM futura: instale Signal agora como reserva e defina um PIN de bloqueio de registro separado dentro dele.
- Se você está malabarismo com vários dispositivos e não consegue suportar restaurações 2FA manuais: Authy.
- Se você tem um backup do WhatsApp no Google Drive ou iCloud: proteja essa conta em nuvem com TOTP Aegis ou Authy, não SMS.
Perguntas frequentes
Qual é a nova senha da conta do WhatsApp?
O WhatsApp está substituindo o antigo PIN de verificação em duas etapas de 6 dígitos por uma senha de conta de comprimento completo. Defina-o em Configurações, depois Conta, depois Verificação em duas etapas. Armazene a senha em um gerenciador de senhas, não em um aplicativo de notas.
Uma senha forte do WhatsApp impede trocas de SIM?
Não a troca de SIM em si, mas sim a recompensa. Um invasor que portar seu número ainda precisa da senha da conta para concluir o registro do WhatsApp no novo SIM. Sem ela, ele obtém o número, mas não a conta.
O backup em nuvem do WhatsApp deve ser protegido separadamente?
Sim. Os backups do WhatsApp no Google Drive ou iCloud podem ser criptografados com uma senha separada dentro do próprio WhatsApp (Configurações, depois Chats, depois Backup de chat, depois Backup criptografado de ponta a ponta). Defina essa senha, armazene-a no seu gerenciador de senhas e habilite 2FA TOTP na conta Google ou Apple que hospeda o backup.
O Google Password Manager pode substituir o Bitwarden ou 1Password para isso?
Para preenchimento automático básico no Android, sim. Para armazenamento criptografado compartilhado, cobertura multiplataforma em dispositivos não-Google e exportação clara do cofre, um gerenciador de senhas dedicado ainda é a melhor opção. O Google Password Manager também não gerencia códigos TOTP.
O que acontece se o WhatsApp já foi comprometido?
Reinstale o WhatsApp no seu próprio telefone, revalide com seu número e defina uma nova senha de conta imediatamente. O invasor é desconectado no momento em que você se registra novamente. Em seguida, gire a senha da conta Google ou Apple, revogue sessões de dispositivo vinculado suspeitas e mova conversas sensíveis para Signal até que o incidente seja compreendido.
