Como configurar e aplicar a autenticação de dois fatores (2FA) no Nextcloud

Um usuário do Nextcloud acessa a página de login, insere a senha correta e, em seguida, fica bloqueado porque o servidor exige um segundo fator de autenticação que ele nunca configurou. Isso geralmente ocorre quando um administrador ativa a autenticação de dois fatores (2FA) obrigatória antes de habilitar um provedor, testar o fluxo de inscrição e preparar os usuários para a recuperação. A solução mais segura é habilitar primeiro um provedor compatível, testá-lo com um pequeno grupo e somente então impor a 2FA para as contas desejadas.

Os passos abaixo seguem os manuais de administração e do usuário da versão estável 35 do Nextcloud, disponíveis em 6 de outubro de 2026. A interface do Nextcloud e os aplicativos de provedor disponíveis podem variar de acordo com a versão e a implantação do servidor; portanto, confirme a documentação da sua versão instalada antes de alterar uma instância de produção.

Por que a implementação da autenticação de dois fatores causa problemas de login?

O Nextcloud trata a autenticação de dois fatores (2FA) como um recurso plugável: um administrador habilita um ou mais aplicativos de provedores, e os usuários configuram um fator nas configurações pessoais, a menos que o administrador imponha a obrigatoriedade. Uma política sem um provedor disponível, um usuário não cadastrado ou um autenticador perdido podem interromper o login. Códigos de recuperação e um procedimento administrativo de recuperação testado reduzem esse risco.

A implementação da autenticação de dois fatores (2FA) também afeta aplicativos que se conectam ao Nextcloud. No Nextcloud 35, os aplicativos cliente que não conseguirem concluir o desafio de autenticação de dois fatores precisarão de senhas específicas para cada dispositivo. Planeje a sincronização com clientes de desktop, aplicativos móveis e integrações antes da implementação.

1. Escolha quem deve usar a autenticação de dois fatores (2FA).

Comece mapeando a política para os grupos do Nextcloud. Decida se a regra se aplica a todos, a departamentos selecionados ou a todos os usuários humanos, exceto um pequeno conjunto documentado de contas de serviço. Certifique-se de que as contas relevantes realmente pertençam aos grupos que você pretende atingir. Evite exclusões amplas: uma conta excluída não recebe a mesma proteção de login que uma conta com a política aplicada.

A lógica de grupos do Nextcloud é importante. Se nenhum grupo for selecionado para aplicação da regra, ela se aplica a todos, exceto aos membros de grupos excluídos. Se você selecionar grupos, a regra se aplica aos membros desses grupos; a participação em um grupo selecionado tem precedência se o usuário também pertencer a um grupo excluído. Confirme essas regras na documentação oficial de autenticação de dois fatores do Nextcloud 35 antes de salvar uma política com exceções.

2. Habilite pelo menos um provedor e realize o cadastro de teste.

Na conta de administrador, abra Aplicativos e verifique se há aplicativos desativados de um provedor como o Provedor TOTP de Autenticação de Dois Fatores . O manual do Nextcloud 35 indica que o TOTP pode estar instalado, mas desativado por padrão; o provedor baseado em notificações também pode precisar ser ativado. O provedor de código de backup integrado está disponível para recuperação de conta. Outros aplicativos de provedores podem ser oferecidos na Loja de Aplicativos do Nextcloud, mas confirme se um aplicativo é compatível com a versão do seu servidor instalada antes de utilizá-lo.

Para um projeto piloto de pequena escala, habilite o TOTP e peça a um usuário de teste para abrir as configurações pessoais, encontrar a Autenticação de dois fatores , escanear o código QR exibido com um aplicativo autenticador compatível e confirmar a inscrição. Faça isso com uma conta que você possa redefinir com segurança. Mantenha uma sessão de administrador separada aberta durante o teste. Não aplique a regra a toda a instância até que um usuário comum e um administrador tenham concluído um novo login com o segundo fator.

Os usuários devem gerar códigos de backup únicos a partir de suas configurações pessoais de autenticação de dois fatores e armazená-los separadamente do telefone ou da chave de segurança que usam para fazer login. O guia oficial do usuário do Nextcloud para autenticação de dois fatores explica a configuração do TOTP, os códigos de recuperação, as solicitações de login e as senhas específicas do dispositivo.

3. Imponha o requisito nas Configurações de Administração.

Quando o piloto conseguir iniciar sessão e recuperar o acesso, abra as configurações de Administração > Segurança e localize a seção de autenticação de dois fatores. Ative a configuração de imposição. Se apenas alguns usuários estiverem incluídos, selecione os grupos escolhidos na Etapa 1 e verifique atentamente a lista de grupos excluídos. Se você pretende exigir a autenticação de dois fatores de todos, deixe o limite de grupos selecionados vazio; use exclusões somente quando houver um motivo operacional específico e uma medida de segurança alternativa.

Informe aos usuários quando a política entrará em vigor, qual provedor configurar, onde gerar códigos de backup e como solicitar ajuda. Se você tiver uma implementação grande, expanda a implantação por grupo em vez de alterar todo o servidor de uma só vez. Isso dá aos administradores a chance de identificar problemas como membros de grupo ausentes, clientes não compatíveis e problemas específicos do provedor antes que afetem todos os usuários.

4. Use o OCC quando precisar de uma alteração repetível no servidor.

Os administradores também podem impor a autenticação de dois fatores (2FA) com occo comando do Nextcloud. Execute-o a partir do diretório de instalação do Nextcloud como a conta do servidor web; o nome da conta, o comando PHP e o caminho de instalação variam de acordo com o host ou contêiner. Os exemplos a seguir usam o usuário web Linux comum www-datamostrado no manual do Nextcloud:

sudo -E -u www-data php occ twofactorauth:enforce --on

Para exigir a autenticação de dois fatores (2FA) para grupos selecionados, excluindo opcionalmente um grupo de contas de serviço, use:

sudo -E -u www-data php occ twofactorauth:enforce --on \
  --group=staff --group=admins --exclude=service-accounts

Substitua os IDs de grupo de exemplo e a conta do servidor web pelos valores da sua instância. O comando pode desativar a aplicação da política caso seja necessário pausar a implementação:

sudo -E -u www-data php occ twofactorauth:enforce --off

Use a referência atual do Nextcloud para confirmar a sintaxe da sua versão. Para Docker ou outra implantação gerenciada, execute occdentro do ambiente de aplicação correto, usando o usuário e o comando documentados para essa implantação; não execute um exemplo em nível de host sem antes verificar a sintaxe.

5. Prepare-se para a perda de dispositivos e aplicativos cliente.

Se um usuário perder o telefone ou a chave que contém sua autenticação de dois fatores e também perder seus códigos de backup, poderá ficar impossibilitado de fazer login. Antes de implementar a autenticação de dois fatores, teste o procedimento de recuperação com uma conta não crítica. O Nextcloud oferece comandos específicos do provedor occ twofactorauth:disablequando twofactorauth:enableeste os suporta; nem todos os provedores permitem alterações por usuário. O aplicativo Two-Factor Admin Support é outra opção de recuperação para versões compatíveis do Nextcloud. Verifique a compatibilidade e o status da instalação antes de depender dele.

Não desative ou remova um provedor que os usuários já configuraram sem planejar a transição. O Nextcloud pode manter associações de provedores após a remoção de um aplicativo, o que pode causar erros de autenticação. O manual de administração documenta um comando de limpeza para provedores removidos permanentemente; essa limpeza é irreversível, portanto, use-a somente se não houver planos de reativar o provedor.

Para clientes desktop e móveis que não conseguem responder a uma solicitação interativa de autenticação de dois fatores (2FA), peça aos usuários que criem senhas de aplicativo nas configurações da conta Nextcloud e atualizem as credenciais do cliente. A documentação do Nextcloud 35 afirma que as senhas de aplicativo são obrigatórias para contas com 2FA ativado. Um teste de login pelo navegador não confirmará se os clientes de sincronização e as integrações ainda funcionam.

Verifique se a aplicação da lei funciona.

Faça um teste com um usuário piloto em uma janela anônima do navegador ou após sair da sua conta. Insira o nome de usuário e a senha usuais e confirme se o Nextcloud solicita o segundo fator configurado e aceita um código válido. Teste um código de backup uma vez, se o seu procedimento de recuperação permitir, lembrando que os códigos de backup são de uso único. Em seguida, teste os aplicativos cliente e as integrações das quais sua organização depende.

Para uma conta específica, execute o comando de status no diretório do Nextcloud:

sudo -E -u www-data php occ twofactorauth:state username

Verifique se a conta está abrangida pela política de aplicação de políticas pretendida e se o provedor escolhido está ativo. Se um usuário selecionado não precisar usar a autenticação de dois fatores (2FA), verifique a associação a grupos e as exclusões antes de alterar a regra global. A configuração estará concluída quando os usuários forem solicitados a fazer login, as contas excluídas estiverem limitadas às exceções documentadas, a recuperação tiver sido testada e os clientes compatíveis puderem se reconectar com suas senhas de aplicativo.

Referências oficiais

• Manual de Administração do Nextcloud 35: Autenticação de dois fatores
• Manual de Administração do Nextcloud 35: Comandos occ de autenticação de dois fatores
• Manual do Usuário do Nextcloud 35: Usando a autenticação de dois fatores
• Manual de Administração do Nextcloud 35: Senhas de aplicativos
• Loja de aplicativos do Nextcloud: Suporte administrativo para autenticação de dois fatores