Segurança da conta Deriv com 2FA: guia prático
Quem automatiza operações na Deriv costuma pensar primeiro no robô e só depois na conta que ele usa. A ordem deveria ser a inversa: se alguém entra na sua conta, nenhum stop de perda protege o saldo. Neste guia vamos do micro (o login e o segundo fator) ao macro (as regras que valem no Brasil). O panorama nacional está no guia de robôs de trading no Brasil.
O nível micro: o que a verificação em duas etapas protege
A verificação em duas etapas, ou 2FA, exige algo além da senha para entrar: normalmente um código de seis dígitos gerado por um aplicativo autenticador no seu celular, que muda a cada 30 segundos. A Deriv oferece essa opção nas configurações de segurança da conta.
Na prática, o 2FA resolve um problema específico: a senha vazou ou foi adivinhada. Sem o celular com o autenticador, quem tem a senha não completa o login. Ele não resolve tudo:
- Não protege um token de API já criado. O token é uma credencial separada, que não pede o segundo fator. Se ele vazar, o 2FA da conta não impede o uso.
- Não protege contra você mesmo digitar o código em um site falso. Um código digitado numa página de phishing pode ser usado na hora por quem a controla.
- Não substitui um e-mail seguro. A recuperação de senha passa pelo e-mail cadastrado; se ele estiver vulnerável, a conta também está.
O nível técnico: conta, token e robô são camadas diferentes
Para quem usa automação, vale separar três coisas:
| Camada | Como entra | Como proteger |
|---|---|---|
| Conta Deriv | E-mail, senha e 2FA | Senha única, autenticador ativo, códigos de backup guardados offline |
| Token de API | Uma string longa, sem 2FA | Permissões mínimas, um token por ferramenta, revogar quando parar de usar |
| Servidor do robô | SSH ou painel do provedor | Login só por chave, 2FA no painel, logs revisados |
O ponto que mais gente esquece é a segunda linha. Um robô não precisa da sua senha; ele precisa de uma autorização com escopo limitado. Uma ferramenta que pede a senha, ou um token com permissão de saque, merece desconfiança. Explicamos o processo em como conectar a conta Deriv com segurança.
Ao ativar o 2FA
- Use um aplicativo autenticador, e não SMS, quando houver escolha: o número de telefone pode ser transferido para outro chip em golpes de troca de chip.
- Guarde os códigos de recuperação em papel ou num gerenciador de senhas, fora do celular.
- Se trocar de aparelho, transfira o autenticador antes de apagar o antigo.
- Revise na conta quais tokens e aplicativos têm acesso e remova os que não reconhece.
Se algo der errado com a conta
Ative o 2FA, evite reutilizar senha e revogue tokens que você não reconhece. Se houver acesso indevido, troque a senha, revogue autorizações no painel da Deriv e, se houver golpe com Pix ou dados, registre boletim de ocorrência e avise o banco. Reclamações de consumo contra quem vende software ou curso no Brasil podem ir ao Procon. Nenhum órgão brasileiro regula a Deriv como corretora local.
O nível macro: Brasil
A Deriv é uma empresa estrangeira e não é autorizada pela CVM a ofertar valores mobiliários ao público brasileiro, e ferramentas de software como o Codexium não são corretoras. Serviços que tratam dados de pessoas no Brasil seguem a LGPD (Lei 13.709/2018), em qualquer estado. Golpes que usam o nome de robôs e de sinais aparecem no país inteiro; os sinais de alerta estão em robô para Deriv é golpe?.
Checklist de segurança antes de ligar um robô
- Ative o 2FA na Deriv e no e-mail cadastrado.
- Crie um token só para a ferramenta, sem permissão de saque.
- Teste a configuração na conta demo antes da real.
- Defina stop de perda e de ganho no robô; veja como configurar stop no robô.
- Revogue tokens antigos e revise acessos todo mês.
Resumo
O 2FA fecha a porta da senha vazada, mas o token de API e o servidor do robô são portas separadas. A existência de órgãos como a ANPD e o Banco Central no país não muda a regra principal: proteger antes é mais eficaz do que reclamar depois.
Perguntas frequentes
O que é 2FA na Deriv?
É a verificação em duas etapas: além da senha, o login pede um código gerado por um aplicativo autenticador no seu celular. Assim, uma senha vazada sozinha não basta para entrar na conta.
O 2FA protege o token de API usado pelo robô?
Não. O token de API é um acesso separado e funciona sem o código do 2FA. Por isso ele deve ter permissões mínimas e ser revogado quando não estiver mais em uso.
Que aplicativo usar para o 2FA?
Um aplicativo autenticador de códigos temporários, como Google Authenticator ou similares. Guarde os códigos de recuperação em lugar seguro, fora do celular.
O que fazer se perder o celular com o autenticador?
Use os códigos de recuperação, se você os guardou, ou siga o processo de recuperação de conta pelo suporte oficial da Deriv. Depois, troque a senha e revise tokens e aplicativos autorizados.
Preciso de 2FA também no e-mail?
Sim, é recomendável. O e-mail cadastrado é usado para redefinir senha; se ele for invadido, a proteção da conta na Deriv fica mais fraca.
