Sobre a autenticação de dois fatores obrigatória

A partir de março de 2023, o GitHub exigiu que todos os usuários que contribuem com código do GitHub.com habilitassem uma ou mais formas de autenticação de dois fatores (2FA). Se você estiver em um grupo qualificado, deve ter recebido um email de notificação quando esse grupo foi selecionado para inscrição, marcando o início de um período de registro de 45 dias para o 2FA. E você deve ter visto banners solicitando seu registro no 2FA no GitHub.com. Se você não recebeu uma notificação, é porque não fazia parte de um grupo de quem é exigido habilitar o 2FA, embora seja altamente recomendável.

Sobre a elegibilidade para a 2FA obrigatória

Sua conta é selecionada para a autenticação obrigatória de dois fatores (2FA) se você realizar alguma ação no GitHub que demonstre que você é um colaborador. As ações elegíveis incluem:

• Publicar um aplicativo ou ação para outras pessoas

• Criar uma versão para seu repositório

• Contribuir para repositórios específicos de alta prioridade, como os projetos controlados pela Open Source Security Foundation

• Ser administrador ou contribuidor de um repositório de alta prioridade

• Ser proprietário de uma organização que contém repositórios ou outros usuários

• Ser um administrador ou contribuidor de repositórios que publicaram um ou mais pacotes

• Ser um administrador corporativo

          GitHub está avaliando continuamente melhorias em nossos recursos de segurança de conta e requisitos de 2FA, portanto, esses critérios podem mudar ao longo do tempo.
  

Sobre a 2FA obrigatória para organizações e empresas

A 2FA obrigatória é necessária por GitHub si só para melhorar a segurança para desenvolvedores individuais e para o ecossistema de desenvolvimento de software mais amplo. Seu administrador também pode exigir a habilitação da 2FA como um requisito para ingressar em sua organização ou empresa, mas esses requisitos são separados desse programa. Para encontrar quais usuários habilitaram a autenticação em dois fatores ou são obrigados a fazê-lo, consulte Visualizar pessoas na sua empresa ou Ver se os usuários da organização habilitaram a 2FA.

A elegibilidade da sua conta para a 2FA obrigatória não afeta a elegibilidade de outros indivíduos. Por exemplo, se você for proprietário de uma organização e sua conta for elegível para a 2FA obrigatória, isso não afetará a elegibilidade de outras contas em sua organização.

          GitHub

          Enterprise Managed Users e usuários no local GitHub Enterprise Server**não** são obrigados a habilitar o 2FA. A ativação obrigatória do 2FA só se aplica aos usuários com uma senha GitHub.com.

Sobre não habilitar a 2FA obrigatória

Se você não habilitar a 2FA dentro do período de configuração de 45 dias e permitir que o período de carência de 7 dias expire, você não poderá acessar GitHub.com até habilitar a 2FA. Se você tentar acessar GitHub.com, será solicitado que você habilite a 2FA.

Se você não habilitar a 2FA obrigatória, os tokens que pertencem à sua conta continuarão a funcionar, pois são usados ​​em automação crítica. Esses tokens incluem personal access tokens e tokens do OAuth emitidos para aplicativos agirem em seu nome. Habilitar a 2FA não revogará nem alterará o comportamento dos tokens emitidos para sua conta. No entanto, as contas bloqueadas não poderão autorizar novos aplicativos ou criar novos PATs até que habilitem a 2FA.

Sobre os métodos de 2FA exigidos

Recomendamos configurar um aplicativo de senhas avulsas por tempo limitado (TOTP) como seu método de 2FA principal e adicionar uma chave de acesso ou uma chave de segurança como backup. Se você não tiver uma chave de acesso ou chave de segurança, o GitHub Mobile aplicativo também será uma boa opção de backup. O SMS é confiável na maioria dos países, mas apresenta riscos de segurança com os quais alguns modelos de riscos podem não funcionar.

No momento, não oferecemos suporte a chaves de acesso ou a chaves de segurança como métodos de 2FA principais, pois elas são fáceis de perder e não oferecem suporte à sincronização em uma ampla variedade de dispositivos. À medida que as chaves de acesso forem adotadas mais amplamente e o suporte à sincronização for mais prevalente, elas passarão a ser válidas como método principal.

•         [Sobre aplicativos TOTP e a 2FA obrigatória](#about-totp-apps-and-mandatory-2fa)
  

•         [Sobre o SSO do SAML e a 2FA obrigatória](#about-saml-sso-and-mandatory-2fa)
  

•         [Sobre a verificação de email e a 2FA obrigatória](#about-email-verification-and-mandatory-2fa)
  

Sobre aplicativos TOTP e a 2FA obrigatória

Os aplicativos TOTP são o fator 2FA recomendado para GitHub. Para obter mais informações sobre como configurar aplicativos TOTP, consulte Configurar a autenticação de dois fatores.

Se você não quiser fazer o download de um aplicativo em seu dispositivo móvel, existem várias opções de aplicativos TOTP independentes que podem ser executados em várias plataformas. Para aplicativos da área de trabalho, recomendamos o KeePassXC e, para plug-ins baseados em browser, recomendamos o 1Password.

Você também pode configurar manualmente qualquer aplicativo que gere um código compatível com a RFC 6238. Para obter mais informações sobre como configurar manualmente um aplicativo TOTP, consulte Configurar a autenticação de dois fatores. Para obter mais informações sobre a RFC 6238, consulte TOTP: algoritmo de senhas avulsas por tempo limitado na documentação do IETF.

Sobre o SSO do SAML e a 2FA obrigatória

Se você tiver sido selecionado para a 2FA obrigatória, deverá se inscrever na 2FA GitHub.com mesmo que sua empresa já exija SSO (logon único) com 2FA. Embora o SSO com 2FA seja uma maneira poderosa de proteger recursos corporativos ou de organização, ele não protege o conteúdo de propriedade do usuário sobre GitHub.com não relacionado a uma organização ou empresa, nem protege o perfil e as configurações de um usuário.

          GitHubexige apenas que você execute 2FA na autenticação inicial e para ações confidenciais, portanto, mesmo se você precisar executar a 2FA corporativa todos os dias para acessarGitHub, raramente terá que executar 2FA uma segunda vez.GitHub Para obter mais informações sobre ações confidenciais, consulte [AUTOTITLE](/authentication/keeping-your-account-and-data-secure/sudo-mode).

Sobre a verificação de email e a 2FA obrigatória

Quando você entra no GitHub.com, a verificação de email não conta como 2FA. O endereço de email da sua conta é usado para redefinições de senha, que são uma forma de recuperação de contas. Se um invasor tiver acesso à sua caixa de entrada de email, ele poderá redefinir a senha da conta e passar na verificação do dispositivo de email, reduzindo a proteção da conta a um único fator. Exigimos um segundo fator para evitar esse cenário, portanto, esse segundo fator deve ser diferente da sua caixa de entrada de email. Quando você habilitar a 2FA, não realizaremos mais a verificação de email no logon.

Sobre contas de serviço e 2FA obrigatória

As contas de acesso não assistido ou compartilhado em sua organização selecionadas para autenticação obrigatória de dois fatores, como bots e contas de serviço, devem se inscrever no 2FA. A habilitação da 2FA não vai revogar nem alterar o comportamento dos tokens emitidos para sua conta de serviço. GitHub recomenda armazenar com segurança o segredo TOTP da conta de serviço no armazenamento de credenciais compartilhadas. Para saber mais, confira Como gerenciar bots e contas de serviço com autenticação de dois fatores.

Sobre sua privacidade com a 2FA obrigatória

Se você tiver sido selecionado para a 2FA obrigatória, isso não significa que você precisa fornecer GitHub seu número de telefone. Basta fornecer somente seu número de telefone se você usa SMS como método de 2FA. Em vez disso, recomendamos configurar um aplicativo TOTP como método de 2FA principal. Para saber mais, confira Configurar a autenticação de dois fatores.