A mensagem está ali na tela. Seis dígitos, enviados segundos atrás. Mas o campo do site continua vazio, nenhuma sugestão aparece acima do teclado, e o código que deveria economizar alguns segundos agora precisa ser lido, memorizado e redigitado — que é exatamente o momento em que as pessoas trocam dois dígitos de lugar e concluem que alguma coisa quebrou.
TL;DR: Se você consegue ver o código, a mensagem foi entregue, e o que falhou foi a digitação, não a entrega. O preenchimento automático é uma comodidade que o celular ou o navegador coloca em cima de uma mensagem que já chegou, e ele só aparece quando várias coisas independentes se alinham. No Android, o Chrome pede permissão na primeira vez em que reconhece um campo de código de uso único e, depois disso, só preenche quando você toca num aviso. Uma sugestão ausente não é um veredito sobre a autenticidade de um site. Confira o serviço, a conta e o desafio atual antes de digitar o código, e não contorne uma divergência entre o domínio citado na mensagem e a página que você está usando.
O preenchimento automático é uma comodidade, não o caminho da entrega
Ajuda deixar claro qual parte da cadeia de fato falhou.
Um código de verificação chega até você por meio de uma mensagem. Se essa mensagem chega ou não depende do número para o qual foi enviada e da linha dona daquele número — um assunto à parte, com causas próprias, e que importa se você está, por exemplo, esperando um código num plano de viagem só de dados.
O preenchimento automático fica em cima disso. Depois que uma mensagem aterrissa em algum lugar que o sistema operacional consegue ler, o sistema pode oferecer colocar o código num campo para você. Se essa oferta não aparece, nada mudou na mensagem em si — o que não é o mesmo que dizer que o código continua válido. Uma mensagem visível pode ser antiga, pode ter sido substituída por outra, ou pode ser a resposta a um desafio diferente do que está na tela. E, quando um código está vinculado a um domínio, uma sugestão ausente pode refletir que a página não corresponde ao domínio citado pelo código, o que é algo para conferir, e não para ignorar.
Então a primeira coisa a resolver é simplesmente se você consegue ver um código. Se consegue, uma mensagem foi entregue, e tudo o que vem abaixo trata dos últimos centímetros entre a mensagem e a caixa — depois de você conferir que o código à sua frente pertence ao serviço, à conta e ao desafio que você está de fato concluindo.
O que precisa se alinhar antes de um código ser oferecido
Várias condições independentes precisam valer ao mesmo tempo, e é por isso que esse recurso é mais frágil do que parece.
O sistema precisa reconhecer o campo como um campo de código de uso único. Uma caixa que parece óbvia para você não é necessariamente reconhecida como tal. Como um site sinaliza isso é implementação do próprio serviço, e não é algo que você possa fornecer ou alterar do seu lado.
A permissão precisa existir. No Android, o Google documenta que o Chrome pede permissão na primeira vez em que identifica um campo de código de verificação enviado por SMS. A página do Google também trata do caso em que esse acesso foi negado antes, o que vale conferir antes de concluir que o recurso não está disponível.
Você precisa agir. O preenchimento não é silencioso. O comportamento documentado do Chrome é que um aviso é exibido e o código entra quando você toca nele. No iPhone, a orientação da Apple sobre preencher automaticamente códigos enviados por SMS descreve um código detectado sendo sugerido acima do teclado para você tocar. Nos dois casos, o código é oferecido, não inserido no seu lugar.
A mensagem precisa estar num lugar onde o recurso esteja olhando. Essa condição tem uma seção própria mais abaixo.
Para códigos vinculados a domínio, o domínio citado na mensagem precisa corresponder. A Apple documenta o Preenchimento Automático para códigos SMS vinculados a domínio, em que um código carrega o domínio ao qual pertence e o Preenchimento Automático compara isso com o domínio atual do Safari ou com o domínio associado de um aplicativo. A Apple apresenta isso como uma proteção contra phishing. Onde não há correspondência, nenhuma sugestão é oferecida.
O Android também expõe configurações para isso. A página do Google descreve opções de preenchimento automático de códigos de verificação que cobrem códigos em aplicativos e sites e códigos no seu navegador padrão, o que vale saber antes de concluir que um celular simplesmente não dá conta.
Onde o código está e onde o preenchimento automático está olhando
Essa distinção não é uma questão de configuração, e por isso mesmo vale conferir cedo.
Os recursos de SMS descritos aqui leem mensagens que chegaram ao sistema de mensagens do próprio celular. Se um código chegou até você em outro lugar, esses recursos específicos não têm sobre o que agir. Isto é uma afirmação sobre o preenchimento automático de SMS documentado acima e não uma afirmação sobre toda integração possível: a Apple, por exemplo, documenta o Preenchimento Automático de código a partir do Mail no Safari, então outros canais não estão categoricamente excluídos, e as capacidades diferem entre navegadores, gerenciadores de senhas e aparelhos.
O caso mais claro é o de um número de verificação alugado. Quando você pede um número com a gente, as mensagens daquele pedido aparecem na caixa de entrada do próprio pedido, dentro da sua conta, na tela que você tiver aberta. Isso é uma página web mostrando o conteúdo de uma mensagem recebida por um número que você alugou, e não uma mensagem no aplicativo de mensagens do seu aparelho. O preenchimento automático de SMS descrito aqui lê as mensagens do celular, então ali ele não tem sobre o que agir, e levar o código de um lado para o outro é uma cópia que você faz. Isso é uma afirmação sobre esse recurso, e não sobre toda integração que um navegador ou gerenciador de senhas possa oferecer.
Algo parecido vale quando um código chega dentro do aplicativo do próprio serviço ou numa plataforma de mensagens em vez de vir por SMS. O recurso está olhando para um lugar específico, e se o código não está lá, o silêncio dele não carrega informação nenhuma sobre o código em si. O e-mail não é um exemplo limpo disso, já que a Apple documenta o Preenchimento Automático de código a partir do Mail no Safari; o que um canal não relacionado comporta depende dessa combinação de aplicativo, navegador e sistema.
Para o que o sintoma aponta
| O que você vê | Com o que isso é compatível | Primeira coisa a conferir |
|---|---|---|
| Código visível nas mensagens do celular, nenhuma sugestão | Permissão não concedida ou negada antes, ou o campo não reconhecido | Se o preenchimento automático de códigos de verificação está ativado para aplicativos e para o seu navegador |
| A sugestão aparece, mas o campo continua vazio | O foco está em outro campo, ou a página mudou no instante do toque | Toque direto na caixa do código e siga o que o fluxo oferecer em seguida |
| O código está na página do pedido de um número alugado | Esperado — aquela mensagem não chegou no aplicativo de mensagens do celular | Copie você mesmo, da página do pedido |
| Aparece uma sugestão com um código mais antigo | Há mais de um código presente, e o mais novo pode não ser o oferecido | Leia o código na própria mensagem e compare antes de tocar |
| Nenhuma sugestão num site, sugestões em outros | Possivelmente um código vinculado a domínio sem site correspondente, ou um campo não marcado | Se foi você mesmo que chegou até esse site, em vez de por um link |
Essa última linha é a que exige cuidado nos dois sentidos. Uma sugestão ausente não estabelece que um site é fraudulento, e uma sugestão presente não estabelece que ele é seguro. Ter iniciado o fluxo você mesmo é necessário, mas também não resolve a questão. A vinculação a domínio é uma proteção real, então, onde um código cita um domínio que não corresponde à página em que você está, essa divergência é a coisa a levar a sério, e não a contornar.
Duas situações que valem um passo a passo
As duas são hipotéticas, escritas para mostrar o raciocínio, não para relatar um caso.
O código que nunca passou pelo celular. Alguém aluga um número para se cadastrar num serviço, deixa a página do pedido aberta num notebook e faz o cadastro nesse mesmo notebook. O código chega e fica visível na caixa de entrada do pedido. A pessoa então passa um tempo procurando por que o celular dela não está oferecendo preencher. O aparelho nunca recebeu aquela mensagem: ela foi entregue a um número alugado e exibida numa página web. O preenchimento automático de SMS descrito aqui não tem o que ler, então copiar o código da página do pedido é a resposta direta. Se o código não apareceu nem ali, isso é uma questão de entrega, e não de preenchimento automático, e o que um número temporário pode e não pode fazer quanto a um segundo código é a leitura pertinente.
A sugestão ausente que foi lida como aviso. Alguém abre um serviço conhecido, pede um código, recebe e nota que a sugestão que costuma aparecer acima do teclado não aparece desta vez. O primeiro pensamento é que o site pode ser falso. Essa inferência não se sustenta: uma sugestão pode faltar porque o campo não está marcado como campo de código, porque a permissão foi recusada em algum momento, ou porque o código está vinculado a um domínio que não corresponde à página em que a pessoa está — e nada disso distingue um site legítimo de um fraudulento. Como ela chegou até ali continua importando: seguir um link de uma mensagem ou de um e-mail é motivo para parar, sair da página e chegar ao serviço do jeito que ela normalmente faria antes de recomeçar. Mas digitar um endereço ou abrir um favorito salvo também não é, por si só, prova de que um destino é legítimo, então isso tampouco resolve a questão. Antes de digitar o código, o que vale confirmar é que ele cita o serviço e a conta esperados, que ele responde ao desafio à frente dela e que a página em que ela está é aquela para a qual o código foi emitido. Uma divergência de domínio não é algo a contornar só porque o fluxo foi iniciado por ela.
Digitar um código à mão sem criar um problema novo
Digitar um código manualmente é uma coisa normal de se fazer, e o cuidado ligado a isso é estreito e específico.
Digite dentro de um fluxo que você iniciou, tendo conferido antes que o código cita o serviço e a conta que você espera e responde ao desafio na tela. Ter chegado ao site por conta própria é necessário, mas não é suficiente sozinho. Não leia um código em voz alta para ninguém, não encaminhe, não cole num chat e não digite numa página para a qual outra pessoa te direcionou — um ponto tratado com mais calma em o que fazer diante de um código que você não pediu.
Leia o código na mensagem, e não na prévia da notificação, se mais de um tiver chegado, já que a notificação mais recente nem sempre traz o código mais recente.
Se o código for recusado depois de uma redigitação cuidadosa, confira se ele é do serviço e da conta em que você está entrando, se responde ao desafio que está na tela naquele momento e se já passou do prazo de validade que o serviço informa. Siga as instruções que o próprio fluxo exibe; pedir outro código só é possível onde esse fluxo oferece isso. Se o número pode ter sido digitado errado em algum ponto anterior, conferir o formato do número e como ele foi digitado é o lugar de olhar.
Uma coisa que não se deve fazer: não conceda acesso amplo às suas mensagens a um aplicativo sem relação com isso na esperança de fazer o preenchimento automático funcionar. O recurso não precisa disso, e a troca é ruim.
Limitações deste guia
Isto descreve as condições sob as quais um celular ou navegador oferece um código, apoiando-se na documentação do Google para o Chrome no Android e no material da Apple para o iPhone. Não cobre todo aparelho, launcher ou teclado, e as telas de configuração diferem entre fabricantes mesmo quando o comportamento por baixo é igual.
Se o campo de um site específico é reconhecido, isso é implementação do próprio serviço. Quem lê pode observar o efeito, mas não pode alterá-lo, e configurações no seu aparelho não substituem isso.
Este guia se limita aos recursos de preenchimento automático de SMS nomeados nele. Existem outras integrações — a Apple documenta o Preenchimento Automático de código a partir do Mail no Safari —, e o que cada combinação de navegador, gerenciador de senhas e aparelho comporta está fora do que se descreve aqui.
O comportamento do preenchimento automático, sozinho, não é uma forma confiável de distinguir um site legítimo de um fraudulento, e este guia não o oferece como tal. A vinculação a domínio é uma proteção real, então uma divergência merece atenção em vez de um contorno; o que ela não fornece é um veredito que se possa ler na ausência de um aviso.
As nossas respostas de ajuda cobrem o lado do pedido, e um chamado de suporte é a rota para qualquer coisa específica de um pedido que você fez com a gente.
FAQ
O código está nas minhas mensagens, mas nada é oferecido. O código está quebrado?
A ausência de um aviso não diz nada de decisivo sobre o código. Uma mensagem visível foi entregue, e a falha da camada de comodidade não muda isso. Também não estabelece que o código continua atual — ele pode ser um anterior, ou a resposta a um desafio diferente. Confira a que serviço, conta e desafio ele pertence e então digite.
Por que o preenchimento automático funciona em alguns sites e em outros não?
Porque parte do requisito pertence ao site, e não ao seu celular. O campo precisa ser reconhecido como campo de código de uso único, e um código vinculado a domínio é comparado com o domínio citado na mensagem. Os dois dependem da implementação do próprio serviço, e é por isso que o mesmo celular se comporta de formas diferentes em lugares diferentes.
Uma sugestão ausente significa que a página é falsa?
Não por si só, e o contrário também não é seguro: uma sugestão aparecer não é garantia. Um aviso pode faltar porque a permissão foi recusada, porque o campo não é reconhecido, ou porque o código está vinculado a um domínio que não corresponde à página. A Apple apresenta a correspondência de domínio como uma proteção contra phishing, então uma divergência merece ser levada a sério em vez de contornada. Trate a ausência como motivo para conferir de que serviço e conta é o código e se a página corresponde, não como um veredito em nenhuma das direções.
Por que meu celular nunca oferece códigos que chegam num número alugado?
Porque aquela mensagem não chega no aplicativo de mensagens do seu aparelho. Um código enviado a um número alugado é recebido por aquele número e exibido na caixa de entrada do pedido, dentro da sua conta, que é uma página web. O recurso de preenchimento automático de SMS descrito aqui lê as mensagens do próprio celular, então não tem o que oferecer a partir daquela página, e copiar o código de lá é uma ação separada, feita por você.
É seguro digitar um código de verificação à mão?
Sim, dentro de um fluxo que você iniciou, depois de conferir que o código cita o serviço e a conta que você espera e responde ao desafio à sua frente. Iniciar o fluxo por conta própria é necessário, mas não estabelece sozinho que um destino é legítimo. Nunca repasse um código para uma pessoa que te procurou por causa dele, por mais plausível que o motivo pareça.
Devo dar a um aplicativo permissão para ler todas as minhas mensagens para o preenchimento automático funcionar?
Não. A sugestão de código não exige entregar acesso amplo às mensagens a um aplicativo sem relação com isso, e fazer isso expõe muito mais do que o único código que você estava tentando digitar. Se o recurso nativo não está oferecendo um código, digitá-lo manualmente é a troca melhor.