Como adicionar autenticação de dois fatores (2FA) a uma credencial

A Strike consegue testar assets protegidos por autenticação de dois fatores. Quando você adiciona uma credencial do tipo Password, escolhe como a Strike deve completar o segundo fator: com um app autenticador (TOTP) ou com códigos de verificação por e-mail enviados a uma caixa de entrada gerenciada pela Strike.

Este artigo cobre os dois métodos suportados, como configurar cada um, e as perguntas mais frequentes sobre o setup.

Como funciona

A maioria dos apps em produção exige 2FA no login. A Strike completa o segundo fator da mesma forma que um usuário real faria, e em seguida executa o teste autenticado completo sobre o seu asset, cobrindo vulnerabilidades que aparecem por trás do login (escalação de privilégios, IDOR, broken access control, falhas de lógica de negócio).

ℹ O 2FA é opcional e configurado por credencial. Você pode combinar credenciais com e sem 2FA no mesmo asset, e trocar o método de uma credencial a qualquer momento.

Métodos de 2FA suportados

• App autenticador: você cola o TOTP secret uma única vez, e a Strike gera os códigos rotativos de 6 dígitos em cada teste.

• Código de verificação por e-mail: o app alvo envia um código para uma caixa de entrada @strike.email gerenciada pela Strike; a Strike lê o código e continua o login.

✅ As caixas @strike.email são caixas de entrada reais, entregáveis, provisionadas e lidas pela Strike. Você não precisa criá-las nem compartilhar acesso.

Como configurar 2FA em uma credencial

1. Abra o asset e clique em Add credential.

2. Selecione Password como tipo de credencial.

3. Preencha o username, a senha e o role esperado.

4. Em Advanced configuration, clique em Two-factor authentication.

5. Selecione o Method que o app alvo utiliza e preencha o campo específico desse método.

6. Clique em Save credential.

Você pode editar a configuração de 2FA depois clicando na linha da credencial para reabri-la.

Método 1: app autenticador (TOTP)

Use este método quando o app alvo usa Google Authenticator, Authy, 1Password, Microsoft Authenticator, ou qualquer outro app compatível com TOTP.

O que você precisa: o TOTP secret da tela de configuração do autenticador no app alvo. É a cadeia alfanumérica que costuma aparecer ao lado do código QR (por exemplo, JBSWY3DPEHPK3PXP). Se apenas o código QR for exibido, a maioria dos apps autenticadores permite revelar o secret subjacente depois de escanear.

Onde colar: no campo Authenticator secret que aparece ao selecionar este método.

É só isso. A Strike gera códigos válidos de 6 dígitos durante toda a duração dos testes.

Método 2: código de verificação por e-mail

Use este método quando o app alvo envia um código de uso único ao e-mail do usuário no login (por exemplo, "Your login code is 123456").

O requisito: o Username da credencial deve terminar em @strike.email. A Strike só recebe os códigos enviados a caixas de entrada que ela gerencia, e @strike.email é o domínio que controlamos para este fim.

Se você já tem uma conta de teste no app alvo: confira que o endereço de e-mail dela termina em @strike.email (por exemplo, qa@strike.email). Se não terminar, atualize o e-mail da conta ou crie um novo usuário de teste.

Se você ainda não tem uma conta de teste: cadastre-se no app alvo usando qualquer endereço @strike.email (por exemplo, test-acme@strike.email). O e-mail de confirmação do cadastro chega à caixa de entrada gerenciada pela Strike e nós o lemos automaticamente para completar o registro. Em seguida, salve essas credenciais na Strike usando o mesmo username @strike.email.

Qualquer endereço @strike.email funciona sem configuração adicional. Não há caixa de entrada para provisionar nem acesso para compartilhar.

Perguntas frequentes

Posso usar os dois métodos de 2FA na mesma credencial?

Não. Escolha o que o app alvo efetivamente usa. Cada credencial corresponde a um único fluxo de login.

E se eu não tenho o TOTP secret, só o código QR?

A maioria dos apps autenticadores (Google Authenticator, Authy, 1Password) permite revelar o secret depois de escanear o QR. Outra opção é configurar novamente o 2FA na conta de teste e copiar o secret antes de escanear o novo QR.

A Strike suporta 2FA por SMS?

O suporte a SMS está em expansão. Ainda não temos cobertura de números de telefone para todos os países, e a lista de regiões suportadas vai sendo atualizada à medida que adicionamos novos provedores. Se o seu teste depende de códigos por SMS, entre em contato com o seu ponto focal na Strike e verificaremos se o seu país está coberto. Estamos trabalhando ativamente para ampliar essa cobertura.

Meus clientes ou alguém externo à Strike consegue ver e-mails enviados para @strike.email?

Não. Essas caixas são gerenciadas dentro da Strike e não ficam expostas externamente. Elas existem unicamente para receber e-mails de verificação e de cadastro dos testes que você autoriza.

Posso criar o usuário de teste com @strike.email antes de configurar a Strike?

Sim, e este é o fluxo recomendado quando ainda não existe uma conta de teste. Cadastre-se diretamente no app alvo com qualquer endereço @strike.email; a Strike lê o e-mail de confirmação. Depois, adicione a credencial na Strike usando esse mesmo username.

O que acontece se a credencial foi criada por um admin?

Credenciais provisionadas pelo admin do workspace são somente leitura para os demais usuários. Você pode abrir o painel para inspecionar a configuração, mas as opções de edição e exclusão ficam desabilitadas. Se algo precisar ser alterado, fale com o seu admin.

A credencial é validada antes do teste rodar?

A Strike tenta se autenticar durante o próprio teste. Se o login falhar (senha incorreta, secret expirado, código de verificação não recebido), a falha fica reportada nos resultados do teste para que você possa corrigir a credencial e rodar novamente.

Posso adicionar 2FA a uma credencial existente?

Sim. Abra o asset, vá em Details e edite a configuração. A partir daí você pode abrir a credencial, expandir Two-factor authentication, escolher um método e salvar.

Se o Configuration Check falhar, isso consome minha licença ou créditos do plano?

Não. O Configuration Check é executado antes do início do teste, então, se ele detectar um problema e o teste não chegar a começar, nada é consumido do seu plano. A ideia é exatamente essa: identificar e resolver qualquer problema antes da execução, para que você não perca cobertura nem recursos.