Verificação de dispositivo no login da IQ Option, explicada

Por que dispositivos novos são checados

Uma senha correta comprova conhecimento, não identidade. Checar um dispositivo desconhecido acrescenta um segundo sinal, então uma senha vazada não é suficiente sozinha para abrir a conta.

Senhas viajam. São reutilizadas em vários sites, aparecem em vazamentos de dados que não têm nada a ver com trading, são digitadas em máquinas com keyloggers, e são entregues em cópias convincentes de páginas de login. Uma plataforma que guarda dinheiro não pode tratar uma senha correta como prova de identidade por si só, então ela observa o contexto em que a senha chega — e um dispositivo que ela nunca viu é o sinal mais forte que existe.

Essa é a ideia toda. A verificação acrescenta algo que um invasor com uma senha roubada geralmente não tem: acesso à sua caixa de entrada. Custa a você alguns segundos nas raras ocasiões em que você faz login em algum lugar novo, e custa a tentativa inteira para alguém trabalhando a partir de uma lista de credenciais vazadas.

Protegendo contra invasão

Pense no login como duas perguntas, não uma. A senha responde "você conhece o segredo". A checagem de dispositivo responde "você está onde o dono da conta costuma estar". A maioria das tentativas não autorizadas falha feio na segunda pergunta, porque vêm de equipamentos e redes que não têm nada em comum com os seus.

• Ela transforma uma senha vazada em uma chave incompleta, em vez de uma funcional.
• Ela te dá um aviso: um pedido de confirmação inesperado na sua caixa de entrada significa que alguém tem sua senha agora mesmo.
• Ela deixa um rastro, já que cada dispositivo verificado é registrado e pode ser revisado depois.
• Ela retarda tentativas automatizadas a ponto de deixar de valer a pena executá-las.

O segundo ponto é o que as pessoas menos aproveitam. Um e-mail de verificação que você não disparou não é spam nem ruído — é um alerta ao vivo de que a senha é conhecida por outra pessoa. Troque-a imediatamente e leia os hábitos mais amplos em práticas de segurança do login.

Sinalizações de dispositivo não reconhecido

A plataforma constrói uma imagem aproximada de cada dispositivo do qual você faz login e percebe quando um pedido não corresponde a nenhum deles. Você não precisa conhecer os detalhes internos para prever o comportamento, porque os gatilhos do dia a dia são consistentes e, em geral, banais.

• Um celular, tablet ou computador usado pela primeira vez.
• Um navegador diferente em uma máquina que você já usa — cada navegador é, na prática, um dispositivo separado.
• Um navegador cujos cookies e dados de site foram apagados, o que apaga o marcador que o identificava.
• Uma janela privada ou anônima, que descarta esse marcador toda vez, por design.
• Um app que foi reinstalado, ou cujos dados foram apagados.
• Uma reinstalação do sistema ou uma restauração de fábrica, depois da qual nada no dispositivo é familiar.

Isso explica a reclamação mais comum sobre a verificação: alguém cujo navegador está configurado para apagar cookies ao fechar é pedido para confirmar em toda visita e conclui que o recurso está quebrado. Não está — o navegador está apagando a evidência da confirmação anterior toda vez que fecha. Manter os dados de site do domínio da plataforma, ou usar o app para o acesso rotineiro, encerra esse ciclo.

Mudanças de local

De onde a conexão parece vir importa tanto quanto o hardware. Um login que de repente parece vir de outro país é exatamente o padrão que uma credencial roubada produz, então é checado. Na prática, o viajante e o invasor parecem semelhantes de fora, o que é o motivo de viagens legítimas também gerarem avisos.

• Viagem real — espere verificação ao chegar, e garanta que consegue acessar o e-mail cadastrado no dispositivo que está levando antes de partir.
• Uma VPN — um servidor em outro país produz o mesmo sinal, e um servidor que muda todo dia produz isso todo dia. Use um único servidor ou nenhum.
• Redes móveis — o roteamento da operadora pode colocar uma conexão a certa distância de onde você fisicamente está, o que é normal e inofensivo.
• Wi-Fi de hotel e público — redes desconhecidas se combinam com um local desconhecido e tornam um aviso muito provável.

Nada disso restringe de onde você pode fazer login. Isso muda a frequência com que você é pedido a confirmar que é você, o que é um incômodo diferente e bem menor.

Um pedido de confirmação que você não disparou é o alerta mais valioso que a plataforma envia — significa que sua senha já está nas mãos de outra pessoa.

O aviso de verificação

Depois que as credenciais são aceitas, a plataforma segura o login e pede uma confirmação — geralmente um link ou código enviado ao e-mail cadastrado naquela conta.

O aviso aparece entre o formulário de login e a sala de trading. As credenciais já foram aceitas nesse ponto, o que vale a pena saber porque isso tira a senha completamente da lista de suspeitos. Nada mais vai acontecer até a confirmação ser concluída, e fechar a tela normalmente descarta a tentativa em vez de pulá-la.

Links de confirmação por e-mail

O formato comum é uma mensagem enviada ao endereço cadastrado contendo um controle de confirmação. Abra-a no mesmo navegador e no mesmo dispositivo de onde você está fazendo login — esse é o detalhe mais importante desta página. A confirmação está vinculada à tentativa que a disparou, e concluí-la em um navegador diferente ou em outro celular frequentemente produz um ciclo em que cada tentativa parece dar certo e nada abre.

• Abra a mensagem no dispositivo de onde você está fazendo login, não em um segundo que por acaso está mais perto.
• Confira o spam, as promoções e qualquer pasta filtrada antes de concluir que não chegou.
• Não encaminhe a mensagem para ninguém, por nenhum motivo. Um link de confirmação é uma chave para sua conta enquanto está ativo.
• Confirme que a mensagem realmente veio da plataforma, e não de uma cópia programada para chegar junto da sua tentativa genuína.

Esse último ponto é o que os invasores exploram. Se você receber uma confirmação que não disparou, não abra os links dela de forma alguma, por mais plausível que pareça — os sinais de uma falsificação estão detalhados em páginas de login falsas.

Códigos de uso único

Alguns avisos pedem um código curto em vez de um link. Mecanicamente é a mesma checagem com uma entrega diferente, e funciona bem em celulares porque digitar seis caracteres é mais rápido do que trocar de aplicativo. Os códigos são de curta duração por design.

• Digite-o na aba ou no app que pediu, não em um recém-aberto.
• Copie-o com cuidado; em telas pequenas, caracteres parecidos são fáceis de digitar errado.
• Se ele expirar enquanto você o procura, peça um novo em vez de tentar de novo com o antigo.
• Nunca leia um código em voz alta para ninguém, e nunca digite um em uma página a que você chegou por uma mensagem em vez do seu próprio favorito.

Um código de uso único enviado como parte da verificação de dispositivo não é a mesma coisa que a autenticação de dois fatores. A verificação é disparada por um contexto desconhecido; a autenticação de dois fatores é algo que você ativa deliberadamente e que se aplica em todo login. Usar as duas é uma combinação sensata, e nenhuma substitui a outra.

Aprovando o dispositivo

Uma vez aceita a confirmação, o login se completa e a sala de trading carrega. Onde a plataforma oferece lembrar o dispositivo, aceitar essa opção é razoável em um hardware que você possui e controla — é o que impede o aviso de reaparecer em toda visita. Em qualquer coisa compartilhada, emprestada ou pública, recuse.

Quando estiver pronto para fazer isso na tela real, abrir a tela de login oficial e mantenha o e-mail cadastrado aberto em outra aba, para que a confirmação seja um trabalho de alguns segundos, e não uma correria.

Conclua a confirmação no mesmo dispositivo e no mesmo navegador em que o login começou — misturar dispositivos é o que cria o ciclo que as pessoas confundem com uma conta quebrada.

Concluir a checagem

Uma verificação sem problemas leva menos de um minuto: comece o login, abra a mensagem no mesmo dispositivo, confirme, e deixe a plataforma lembrar o dispositivo se ele for seu.

A verificação dá errado com muito mais frequência por causa da ordem do que por qualquer coisa técnica. Fazê-la em uma sequência organizada elimina quase todo modo de falha de antemão.

Confirmando pela caixa de entrada

1. Antes de começar, garanta que a conta de e-mail cadastrada está acessível no dispositivo de onde você vai fazer login.
2. Abra a plataforma pelo seu próprio favorito ou pelo app instalado, nunca por um link em uma mensagem.
3. Digite o e-mail e a senha e envie uma vez.
4. Quando o aviso aparecer, deixe aquela aba ou tela aberta. Não a feche e não reinicie o login.
5. Vá para a caixa de entrada no mesmo dispositivo e encontre a mensagem de confirmação, checando spam e pastas filtradas se ela não estiver na lista principal.
6. Verifique se a mensagem é realmente da plataforma e corresponde à tentativa que você acabou de fazer.
7. Conclua a confirmação — abra o link, ou copie o código de volta para a tela que espera.
8. Volte para a aba ou o app original e deixe a sala de trading terminar de carregar antes de tocar em qualquer coisa.

Se você tem várias caixas de entrada, procure na que a conta foi realmente cadastrada. Uma regra de encaminhamento pode atrasar a entrega além do ponto em que a confirmação ainda é válida, o que produz um link expirado, e não um link ausente.

Tempo de validade do link

As confirmações são deliberadamente de curta duração, já que um link que continuasse válido por uma semana seria um risco em uma caixa de entrada antiga. Nenhum período de validade é divulgado, então trate cada confirmação como algo a usar imediatamente, e não para voltar depois.

• Comece o login quando puder terminá-lo, não trinta minutos antes de precisar sair.
• Não comece um segundo login enquanto o primeiro aviso ainda estiver aberto — a mensagem mais nova geralmente invalida a mais antiga, e é fácil abrir o link errado.
• Se a mensagem demorar, espere alguns minutos antes de pedir outra. Pedidos repetidos geram uma fila de mensagens da qual só a mais nova funciona.
• Pedir uma confirmação nova é sempre mais seguro do que tentar reutilizar uma que já estava parada na caixa de entrada.

Marcando um dispositivo como confiável

Marcar um dispositivo como confiável informa à plataforma que aquele hardware é seu, então logins comuns a partir dele param de disparar a checagem. É uma decisão de segurança genuína, não um botão de conveniência, e só faz sentido onde o dispositivo físico está sob seu controle.

Antes de confiar em um dispositivo, três coisas devem ser verdade: ele tem bloqueio de tela ou senha de conta, só você o usa, e ele não é gerenciado por um empregador ou uma instituição. Se qualquer uma delas falhar, recuse e aceite o aviso toda vez. A confiança também se desfaz — apagar dados de site, reinstalar o app ou restaurar o dispositivo remove o marcador, e o próximo login é tratado como novo. Isso é comportamento esperado, não uma falha.

Confiar em um dispositivo não o torna imune a todo aviso. Um login a partir de um celular confiável em uma rede desconhecida em outro país ainda pode ser checado, porque a localização é um sinal separado do hardware. Por quanto tempo a sessão resultante então dura é uma pergunta diferente, tratada em sessões de login e tempo limite.

Trate cada confirmação como válida apenas pelo minuto em que você a pediu — uma nova não custa nada, enquanto um link expirado custa a tentativa inteira.

Quando a verificação falha

Três causas explicam quase toda verificação que falha: a mensagem nunca chega, chega tarde demais para ser usada, ou o endereço cadastrado é um que você não consegue mais abrir.

Uma verificação que não se conclui é frustrante justamente porque a senha estava certa. Nada nas credenciais precisa mudar, então resista ao reflexo de redefini-las — isso acrescenta um segundo problema ao que você já tem. Em vez disso, percorra as três causas em ordem.

Link que não chega

Uma confirmação ausente geralmente é um problema de entrega, não da plataforma.

1. Busque na caixa de entrada inteira, não só na lista principal, incluindo spam, promoções e qualquer aba em que seu provedor organiza mensagens.
2. Verifique os filtros e regras da conta. Uma regra escrita anos atrás pode estar silenciosamente arquivando mensagens da plataforma em uma pasta que você nunca abre.
3. Confirme que a caixa de entrada não está cheia — uma caixa cheia rejeita mensagens recebidas silenciosamente, do seu ponto de vista.
4. Espere alguns minutos antes de pedir outra; atrasos do lado do provedor são comuns, e acumular pedidos só confunde qual mensagem é a atual.
5. Adicione o endereço de envio da plataforma aos seus contatos ou à lista de remetentes seguros, para que futuras confirmações passem direto pelo filtro.
6. Se seu endereço é de um domínio corporativo, um filtro de administrador pode estar descartando a mensagem inteiramente, e nenhuma mudança do seu lado vai resolver isso.

O lado da entrega disso tem seu próprio artigo detalhado — veja e-mails de login que não chegam antes de concluir que o problema é da conta.

Confirmação expirada

Um link expirado é a falha mais fácil de resolver e a mais fácil de causar de novo. Geralmente significa que a mensagem ficou sem abrir por tempo demais, ou que um pedido mais novo substituiu a anterior.

• Comece o login de novo, desde o início, e use apenas a mensagem mais nova que chegar.
• Apague as mensagens de confirmação mais antigas para não abrir uma por engano.
• Deixe a caixa de entrada já aberta antes de enviar as credenciais, para que a diferença de tempo seja de segundos, não de minutos.
• Se um código expirar enquanto você o digita, peça um novo em vez de enviar o antigo torcendo para dar certo.

Um ciclo repetido de expiração em uma conexão lenta vale a pena resolver de forma diferente: mude para o app com dados móveis, onde a mensagem e a tela de login ficam no mesmo dispositivo e o percurso é muito mais curto.

E-mail errado cadastrado

O caso mais difícil é um endereço cadastrado que você não consegue mais abrir — um provedor antigo que fechou, uma caixa de trabalho perdida junto com o emprego, ou um endereço que você simplesmente não lembra de ter escolhido. A verificação vai continuar enviando confirmações para ele, corretamente, e você nunca vai vê-las.

Se o endereço estiver genuinamente fora de alcance, isso deixa de ser um problema de login e vira um de recuperação. Contate o suporte apenas pelos canais oficiais, esteja pronto para comprovar que a conta é sua, e nunca responda a quem te procurar primeiro se oferecendo para restaurar o acesso. O caminho para isso está detalhado em recuperação de conta quando você não consegue entrar.

Uma falha de verificação nunca significa que a senha estava errada — redefinir as credenciais nesse momento acrescenta um problema em vez de resolver um.

Gerenciar os dispositivos confiáveis

A lista de dispositivos vinculados à sua conta é um registro de segurança que vale a pena ler. Mantê-la curta faz uma entrada desconhecida ficar óbvia no dia em que uma aparecer.

Todo dispositivo verificado deixa uma entrada, e ao longo de alguns anos essas entradas se acumulam: celulares antigos, um notebook substituído, um navegador usado uma vez em um hotel. Nada disso é perigoso por si só, mas uma lista longa é uma lista que ninguém lê, e uma lista não lida não consegue te avisar de nada.

Revisando a lista de dispositivos

A lista fica nas configurações de segurança da conta, ao lado das sessões ativas. Leia-a de vez em quando quando nada está errado — é isso que constrói a familiaridade que faz uma entrada estranha se destacar.

• Combine cada entrada com um dispositivo que você realmente possui ou já usou. Qualquer coisa que você não consiga identificar merece atenção.
• Espere mais entradas do que dispositivos, já que navegadores separados e reinstalações se registram cada um de forma independente.
• Observe o horário, não só os nomes. Uma entrada criada enquanto você dormia merece mais atenção do que um rótulo desconhecido.
• Confira depois de qualquer evento que possa ter exposto a senha — um aviso de vazamento em outro lugar, um celular deixado sem vigilância, uma mensagem suspeita em que você clicou.

Se você encontrar algo que genuinamente não consegue explicar, aja em vez de deliberar: encerre aquela sessão, troque a senha, e ative a autenticação de dois fatores. Uma troca de senha encerra sessões em todo lugar, o que é a forma mais rápida de fechar uma porta que você nem sabia que estava aberta.

Removendo dispositivos antigos

Remover uma entrada retira seu status de confiável. O próximo login a partir daquele dispositivo é tratado como novo e verificado de novo, o que é exatamente o que você quer para um hardware que já saiu das suas mãos.

1. Saia de dentro do app ou navegador em qualquer dispositivo que você está prestes a vender, devolver ou dar, antes de ele sair de mãos.
2. Remova a entrada dele da lista de dispositivos depois, para que uma reinstalação naquele hardware não herde a confiança.
3. Remova entradas de navegadores que você não usa mais, e de qualquer login único em uma máquina que não é sua.
4. Se um dispositivo for perdido ou roubado, não pare em remover a entrada — troque a senha também, o que invalida todas as sessões de uma vez.
5. Mantenha a lista nos dispositivos que você realmente usa. Duas ou três entradas que você reconhece na hora valem mais do que uma dúzia que você só passa os olhos.

A mesma disciplina vale do lado mobile, onde um aparelho é facilmente trocado e facilmente esquecido; a rotina para isso é tratada em login no app e uso em vários dispositivos.

Verificando de novo depois de um reset

Certos eventos comuns apagam o marcador que identificava um dispositivo, e a plataforma então o trata como novo. Isso é normal e não precisa de correção:

• Apagar cookies e dados de site, ou um navegador configurado para apagá-los ao fechar.
• Reinstalar o app, ou apagar seu armazenamento para resolver um problema.
• Reinstalar o sistema operacional, ou uma restauração de fábrica.
• Trocar a senha, o que encerra sessões em todo lugar e exige um novo login em cada dispositivo.
• Um perfil de navegador novo, ou uma atualização do navegador que reseta seus dados salvos.

Cada um desses casos significa mais uma confirmação e depois silêncio de novo. Se os avisos nunca param, a causa é quase sempre um navegador ou utilitário apagando dados de site automaticamente — encontre essa configuração em vez de presumir que a conta está com problema. E se você se pegar desejando que a verificação aparecesse com menos frequência, a resposta melhor não é menos checagens, e sim uma checagem permanente mais forte: autenticação de dois fatores, uma senha única em um gerenciador, e um ou dois dispositivos que você mantém logados.

Mantenha a lista de dispositivos curta o suficiente para ler de relance — isso, e não o tamanho da lista, é o que a transforma em um alarme que funciona.