# Quais métodos de login posso oferecer aos meus usuários?

Source: https://help.didit.me/pt-BR/authentication/sign-in-methods
Updated: 2026-11-12

Escolha como os usuários fazem login na Autenticação da Didit: chave de acesso, código por e-mail, link mágico, senha, login social, telefone ou SSO.

Abra **Autenticação** na barra lateral do console, depois **Métodos de login**, e ative os métodos que você quer mostrar às pessoas no formulário de login.
Você pode oferecer chaves de acesso, códigos por e-mail, links mágicos, e-mail e senha, Google, Microsoft, Apple, GitHub, códigos por telefone e login único.
A prévia ao vivo à direita mostra a página como as pessoas a verão, e **Teste a sua página de login** abre a página hospedada de verdade.

![A página Métodos de login no console da Didit, com um cartão por método de login e uma prévia ao vivo do formulário de login](https://help.didit.me/screenshots/auth-sign-in-methods-light.webp)

*Métodos de login: um cartão por método e uma prévia ao vivo do seu formulário de login.*

## Ative os métodos

1. **Abra Métodos de login**

   No console, abra a sua aplicação, depois **Autenticação** e **Métodos de login**. Os métodos são agrupados por tipo: sem senha, senha, social, telefone e corporativo.

2. **Configure um método**

   Cada método é um cartão com o seu status e um botão **Configurar**. Clique em **Configurar**, ligue ou desligue a chave **Mostrar ... no formulário de login**, preencha o que o método exigir e salve. O cartão passa a mostrar **No seu formulário de acesso** ou **Fora do seu formulário de acesso**, ou a parcela dos seus logins que usa o método, quando as pessoas já o usam.

3. **Confira a prévia e depois teste**

   A prévia é atualizada depois que você salva. Clique em **Teste a sua página de login** para abrir a página hospedada em uma nova aba. Se nada abrir, permita pop-ups do console. A prévia mostra apenas os métodos salvos, então teste o login em uma aplicação Sandbox.

Alterar métodos exige uma função que possa editar aplicações (por padrão, Desenvolvedor, Administrador e Proprietário). Leitor e Responsável de compliance podem ver a página.

## Os métodos

| Método | O que a pessoa faz | O que você configura |
|---|---|---|
| Chave de acesso | Faz login com a impressão digital, o rosto ou o bloqueio de tela do dispositivo. | Nada. Depois do cadastro, a página hospedada oferece adicionar uma chave de acesso. |
| Código por e-mail | Digita um código de seis dígitos enviado por e-mail, válido por dez minutos. | Nada. |
| Link mágico | Clica em um link de uso único enviado por e-mail, válido por 15 minutos. Ele precisa ser aberto no mesmo navegador que o pediu. | Nada. |
| E-mail e senha | Digita o endereço de e-mail e a senha. | As regras de senha estão no [artigo de segurança](https://help.didit.me/pt-BR/authentication/bot-protection-mfa-and-sessions). |
| Google, Microsoft, Apple, GitHub | Clica em **Continuar com** o provedor. | **Configurar**: o seu próprio Client ID e Client secret do provedor, e a **URL de retorno do provedor** que o console mostra. Aplicações em Produção exigem as suas próprias credenciais. O Sandbox pode usar as **Credenciais de teste Didit**. |
| Código por telefone | Digita um código enviado ao telefone. | Um workflow de verificação de telefone, porque o envio por telefone depende dele. Até ele ser configurado, o console diz que o login por telefone não foi configurado para a aplicação. |
| Login único | Faz login com o provedor de identidade da sua empresa. | Configurado por organização cliente, veja [organizações](https://help.didit.me/pt-BR/authentication/users-sessions-and-organizations). Exige o plano Scale. |

## A segunda etapa

Você pode pedir às pessoas uma segunda etapa depois da primeira. Ela é um app autenticador (com códigos de recuperação) ou uma chave de acesso. Códigos por SMS e por e-mail não podem ser a segunda etapa.
O login em duas etapas exige o plano Growth. Quem deve usá-lo, e o restante da política, estão em [proteção contra bots, login em duas etapas e sessões](https://help.didit.me/pt-BR/authentication/bot-protection-mfa-and-sessions).

## O que as pessoas veem na página hospedada

A página hospedada mostra:

- O título **Sign in to** (Entrar em) seguido do nome da sua aplicação, e o subtítulo **Welcome back! Sign in to continue.** (Boas-vindas de volta! Entre para continuar.)
- Um botão por método social, por exemplo **Continue with Google** (Continuar com Google), e **Sign in with a passkey** (Entrar com uma chave de acesso).
- O separador **or** (ou), depois o campo **Email address** (Endereço de e-mail) e **Continue** (Continuar).
- Links para as outras formas de entrar, como **Email me a code** (Me envie um código), **Email me a sign-in link** (Me envie um link de login), **Use a phone number** (Usar um número de telefone) e **Use single sign-on** (Usar login único).
- **Don't have an account?** (Não tem uma conta?) com **Sign up** (Cadastre-se), e o selo "Secured by Didit" (Protegido pela Didit), a menos que o seu plano o remova.

Se nenhum método estiver ativado, a prévia diz **Escolha pelo menos um método de login.**
Quando alguém abre um link mágico em outra aba, a primeira aba mostra **Check your inbox** (Verifique sua caixa de entrada) e a nova aba oferece **Continue in this tab instead** (Continuar nesta aba).

Títulos, botões e e-mails existem em inglês, espanhol, francês, alemão e japonês. A página usa o idioma do navegador da pessoa.
Para mudar as cores, o logotipo, os textos e o endereço, veja [marca e e-mails](https://help.didit.me/pt-BR/authentication/sign-in-page-branding-and-emails).

## Quanto tempo as coisas duram

- Códigos por e-mail e por telefone: dez minutos, com cinco tentativas.
- Links mágicos: 15 minutos, de uso único.
- Links de redefinição de senha: 30 minutos.
- Links de convite: sete dias.
- Depois de cinco senhas erradas, a conta fica bloqueada por 15 minutos com a proteção padrão. As suas configurações de proteção contra bots podem mudar isso.

## Senha errada, e-mail desconhecido e contas bloqueadas parecem iguais

Uma senha errada, um endereço de e-mail sem conta, um e-mail não verificado e uma conta bloqueada ou travada mostram a mesma mensagem genérica.
Isso é proposital: a sua página de login não consegue dizer qual foi o caso, e um atacante também não, então ninguém pode usá-la para descobrir quais endereços de e-mail têm uma conta.
A sua equipe vê mais em **Logins**, onde uma tentativa com falha mostra o motivo em palavras simples, por exemplo **A conta está bloqueada após tentativas demais** ou **A conta está bloqueada**. Logs de login com 30 dias de histórico exigem o plano Scale.

## Relacionados

- [Personalizando a marca das páginas de login e dos e-mails](https://help.didit.me/pt-BR/authentication/sign-in-page-branding-and-emails)
- [Proteção contra bots, login em duas etapas e sessões](https://help.didit.me/pt-BR/authentication/bot-protection-mfa-and-sessions)
- [Métodos de login na documentação da Didit](https://docs.didit.me/authentication/sign-in-methods)