Autenticação de dois factores para ficheiros: camada extra de segurança
Adicione autenticação de dois factores às transferências para maior segurança. Combine palavras-passe com códigos únicos ou verificação por email para acesso a ficheiros.
A autenticação de dois factores para ficheiros combina algo que o receptor sabe (uma palavra-passe que deriva uma chave AES-256-GCM via PBKDF2) com algo que tem (um código TOTP do Authy, um magic link por email, ou uma passkey WebAuthn vinculada ao seu dispositivo). Mesmo que um atacante obtenha a palavra-passe por phishing ou intercepção do URL de download, ainda não consegue desencriptar o payload sem o segundo factor. Este padrão derrota o reencaminhamento de links, o credential stuffing e a maioria dos ataques de shoulder-surfing que derrotam a partilha de factor único em serviços ao estilo WeTransfer.
Por que uma palavra-passe por link não é suficiente
Um URL de download partilhado é surpreendentemente fácil de vazar. O Slack expande-o automaticamente numa pré-visualização, o Gmail arquiva-o durante sete anos, e proxies corporativos registam a query string completa. Se a palavra-passe chega num email separado, ambos os canais são frequentemente a mesma caixa de entrada — pelo que uma única violação do Microsoft 365 entrega o ficheiro. Estudos de casos reais de resposta a incidentes (Verizon DBIR 2025) mostram que 68% dos roubos de dados baseados em credenciais envolveram palavras-passe reutilizadas. Adicionar um segundo factor quebra essa cadeia porque a semente TOTP nunca sai da aplicação de autenticação do receptor.
Como o TOTP funciona num link de download
O remetente gera um segredo partilhado de 160 bits codificado como string base32 e um código QR (RFC 6238). O receptor digitaliza-o com o Google Authenticator, 1Password ou Yubico Authenticator. A cada 30 segundos, a aplicação corre HMAC-SHA1 sobre o segredo e o timestamp Unix dividido por 30, truncando o resultado para seis dígitos. Quando o receptor introduz esse código, o servidor verifica a janela actual e a anterior para tolerar desvios de relógio. Apenas após a validação do código é que o servidor liberta o blob encriptado — a chave de desencriptação em si fica do lado do cliente, derivada da palavra-passe do receptor.
Magic links por email como segundo factor leve
Nem todos os receptores instalarão um autenticador. Um magic link enviado para um endereço pré-declarado é um fallback razoável. O remetente introduz jane@hospital.pt ao fazer o upload; o serviço armazena um hash SHA-256 desse endereço. Quando a Jane clica no URL de download, o servidor envia por email um token aleatório de 128 bits válido por 10 minutos. Ao clicar no token, desbloqueia a página de download onde ainda tem de introduzir a palavra-passe do ficheiro. Como o token está vinculado à sua caixa de correio, um link reencaminhado a um colega é inútil — o colega nunca recebeu o desafio por email.
WebAuthn e passkeys para receptores recorrentes
Para equipas que trocam ficheiros semanalmente (por exemplo, um auditor a receber evidências PCI DSS 4.0), as passkeys superam os códigos. O receptor regista uma credencial FIDO2 na primeira utilização; a chave privada fica no Secure Enclave ou numa YubiKey 5C. Os downloads subsequentes requerem apenas um toque em vez de reintroduzir um TOTP. Como a assinatura inclui a origem, sites de phishing que fazem proxy da página de download real não conseguem reutilizar a autenticação. O Chrome, Safari 17 e Firefox 122 suportam todos a UI condicional que apresenta o prompt de passkey sem cliques extra.
Proteger transferências grandes bloco a bloco
Um arquivo DICOM de 10 GB ou um projecto Adobe Premiere de 4 GB não se adequa ao modelo de download único. Divida o payload em blocos de 5 MB, cada um encriptado com a sua própria sub-chave derivada da chave mestra via HKDF (RFC 5869). Antes de servir qualquer bloco, o servidor verifica um token de sessão fresco cunhado após o sucesso do 2FA. O token expira após, por exemplo, 30 minutos para que um download pausado não possa ser retomado dias depois a partir de um cookie roubado. Isto espelha a forma como o Signal trata segmentos de notas de voz e como o Backblaze B2 aplica autenticação do lado do servidor a uploads multipart.
Limitação de taxa, bloqueios e a armadilha do ataque offline
O TOTP tem apenas seis dígitos, pelo que um endpoint ingénuo permite a atacantes tentar 1.000.000 combinações em segundos. Aplique backoff exponencial após três tentativas erradas, bloqueie o link após dez, e envie um webhook ao remetente. Não diga aos atacantes se estão a falhar na palavra-passe ou no código — retorne o mesmo erro genérico para ambos. E nunca coloque a verificação TOTP no cliente; enviar o segredo para o navegador derrotaria todo o propósito. Valide do lado do servidor, dentro de um endpoint protegido por Cloudflare Turnstile ou hCaptcha.
Recuperação sem enfraquecer o modelo
A falha clássica é um receptor que perde o telemóvel durante uma janela de transferência de 48 horas. Incluir um código de emergência — uma string base32 de 20 caracteres impressa quando o link foi criado — dá-lhe um fallback sem dependência de email. Igualmente importante: expire a transferência de qualquer forma depois de ser descarregada, mesmo que o segundo factor não tenha sido usado. Assim, um portátil perdido contendo o código de recuperação não pode ser utilizado um mês depois. Alguns serviços, incluindo o HexaTransfer, permitem também ao remetente revogar o link a partir de um dashboard, terminando quaisquer tokens de sessão em curso.
O custo em experiência do utilizador
Adicionar 2FA a uma transferência de 30 segundos parece pesado, por isso calibre-o ao risco. Para um álbum de fotografias de aniversário, ignore. Para um ficheiro .psd de 500 MB de um lançamento de produto, exija uma palavra-passe. Para um arquivo de 2 GB de dados de acesso de titulares RGPD Artigo 15, exija TOTP mais um magic link. Uma UI por camadas (público, palavra-passe, 2FA, passkey) permite aos remetentes escolher sem ler documentação. Concorrentes como o SwissTransfer expõem um único toggle de palavra-passe; o Dropbox Transfer esconde o 2FA por detrás do plano Teams; o Smash oferece verificação por email mas não TOTP. A diferença vale a pena colmatar.
Experimente em hexatransfer.com — gratuito, sem conta, até 10 GB.
Envie arquivos grandes com segurança e criptografia de ponta a ponta
Transfira arquivos de até 10 GB gratuitamente com criptografia de ponta a ponta. Sem necessidade de conta. Seus arquivos são criptografados no navegador antes do envio — ninguém mais pode lê-los.
Enviar um arquivo