O que é código OTP: a senha de uso único explicada

Senha de uso único, vale uma vez e por pouco tempo: veja onde o código OTP aparece, como SMS e app autenticador diferem e por que não repassá-lo.

Por Redação Eleven Host · @robson.direitodigital · 19 de outubro de 2026 · 7 min de leitura

O que é código OTP? É a sigla de "one-time password", ou senha de uso único: um código que vale para uma só operação e por pouco tempo, conforme o serviço. Ele confirma que é você e não deve ser repassado a ninguém, nem por mensagem.

O que a sigla quer dizer

OTP vem do inglês "one-time password". Em português, senha de uso único. A ideia é simples: em vez de depender só da senha fixa, o serviço gera um código novo para aquele momento. Se alguém copiar o código depois, ele já não serve.

Você já deve ter visto esse código com outros nomes: código de verificação, código de confirmação, token, código de segurança. Dependendo do serviço, o nome muda, mas a função é a mesma: provar, naquele instante, que quem está entrando ou comprando tem acesso ao seu telefone, ao seu e-mail ou a um aplicativo seu.

O código OTP aparece junto de uma ação sensível, como criar uma conta, entrar em um site, trocar uma senha ou autorizar um pagamento. Você digita o código na tela do serviço que pediu a confirmação.

Onde o código OTP aparece

Ele chega por caminhos diferentes. Veja os mais conhecidos:

• SMS: uma mensagem de texto com o código, enviada ao número cadastrado.
• E-mail: o código vai para o endereço cadastrado na conta.
• Aplicativo autenticador: um app no celular gera códigos que mudam a cada intervalo definido pelo serviço.
• Token do banco: um dispositivo ou recurso do app do banco que gera o código para autorizar operações.
• Chave gerada no aplicativo do próprio serviço, que mostra o código ao usuário logado.

Cada caminho tem suas regras. O que muda é de onde o código sai e quem controla o canal. Mas a lógica é igual: um código curto, usado uma vez.

Por que o código vale uma vez e por pouco tempo

Duas travas fazem o OTP ser mais difícil de abusar. A primeira é o uso único: depois de digitado com sucesso, o código é descartado. A segunda é a validade curta: o código vale por pouco tempo, conforme o serviço, e depois deixa de funcionar.

Imagine que alguém descobre o seu código dias depois de ele chegar. Se o código já expirou, essa pessoa não consegue usar. Agora imagine que ela descobre o código no mesmo instante: ainda dá tempo de uso. Esse risco explica por que o código não deve ser passado a ninguém.

O tempo exato de validade e o número de tentativas permitidas são definidos por cada serviço. Se o código não funcionar, peça outro dentro do próprio serviço, em vez de reutilizar o antigo.

Código por SMS ou por aplicativo autenticador

As duas formas geram um OTP, mas o caminho é diferente.

No SMS, o serviço envia o código para o número de telefone cadastrado. Você depende de ter o chip ou o número ativo e de a mensagem chegar ao seu aparelho. Quem controla o número recebe os códigos, então o número faz parte da segurança da conta.

No aplicativo autenticador, o código é gerado no próprio celular, a partir de uma configuração feita uma vez. O código é calculado no próprio aparelho, sem depender de SMS. Em contrapartida, se você trocar de aparelho sem preparar a migração, pode ficar sem acesso aos códigos. Confira com o serviço como recuperar a conta nesse caso.

Qual escolher?

Quando o serviço oferece as duas opções, a escolha depende do uso. O aplicativo autenticador tira o SMS do caminho. O SMS é familiar e não exige instalar nada. Para contas importantes, como banco e e-mail principal, siga o que o serviço recomendar e confira as opções disponíveis nas configurações de segurança.

Se você quer saber o que fazer quando o código não aparece no celular, o artigo sobre código SMS do gov que não chega reúne as conferências a fazer. E, para o caso de receber um código que você não pediu, veja o que fazer ao receber código de verificação sem pedir.

Quem pede o seu código e o que fazer

O código OTP serve para uma única pessoa: você. Quem pede o código por mensagem, ligação ou conversa pode estar tentando entrar numa conta sua ou fazer uma compra em seu nome.

Imagine que Marina recebe uma ligação de alguém que diz ser do suporte de um serviço. A pessoa explica que vai cancelar uma cobrança errada e que, para isso, precisa do código que acabou de chegar por SMS. Marina percebe que o código chegou no momento em que a pessoa falava. Esse é um sinal de alerta: o código foi gerado para uma ação que quem liga está fazendo agora, e é provável que nada tenha a ver com cancelar cobrança.

Marina desliga, não informa o código e entra no aplicativo oficial do serviço para conferir se há algo estranho. Também avisa o banco, caso a mensagem seja de um pagamento.

• Desconfie de quem se diz do suporte e pede o código que chegou para você.
• Desconfie de página aberta por link de mensagem que peça o código.
• Se alguém insistir, pressionar ou ameaçar, encerre o contato e use o canal oficial.
• Se já passou o código, troque a senha do serviço e avise o banco, se houver pagamento ou dado financeiro envolvido.

Para conferir os canais de atendimento com segurança, abra o site ou o aplicativo oficial digitando o endereço, e não pelo link recebido.

Onde o 11SMS entra

Há cadastros pontuais, como testar um site novo, em que você precisa receber um código por SMS, mas prefere não entregar o seu número pessoal. Para esses casos, o 11SMS, da Eleven Host, oferece números temporários para receber SMS de verificação. Ele fica na área do cliente, e o acesso pede login.

Para um cadastro pontual, use um número temporário e preserve o seu número pessoal. Acessar o 11SMS

O pagamento é feito somente com o saldo pré-pago que você recarrega na conta, em "Adicionar fundos". O preço varia por serviço e país, a partir de R$ 0,49 por número.

Quando usar o seu número próprio

Para banco, governo, operadora e contas importantes, use o seu número definitivo. O número temporário expira, e quem perde o número perde o caminho de recuperação da conta. Cada plataforma tem regras próprias: respeite os termos de uso de cada uma e use o recurso somente para fins legítimos, como privacidade, testes e viagem.

Cuidados práticos no dia a dia

Alguns hábitos protegem os seus códigos:

1. Confira o nome do serviço no início da mensagem antes de usar o código.
2. Digite o código somente na tela do serviço que você abriu por conta própria.
3. Não tire foto nem print do código para enviar a terceiros.
4. Mantenha o telefone com bloqueio de tela, para que a mensagem não fique à vista de quem estiver por perto.
5. Se perder o celular ou o chip, fale com a operadora e com os serviços importantes o quanto antes.

Se você tem uma pequena empresa e mais de uma pessoa acessa o mesmo serviço, pergunte ao serviço quais opções de acesso para equipes existem, em vez de depender do celular pessoal de uma só pessoa.

Quando você não tem uma linha à mão, o artigo sobre como receber SMS sem chip apresenta caminhos legítimos para receber os códigos.

Peça um número temporário para os cadastros pontuais e guarde o seu número pessoal para o que importa. Conhecer o 11SMS

Perguntas frequentes

OTP e token são a mesma coisa?

Depende do serviço: quando o nome token aparece em segurança, ele pode ser a forma como o OTP é entregue ou gerado, por aplicativo, dispositivo ou recurso do app do banco. Os nomes variam conforme o serviço.

Quem recebe o código OTP pode usá-lo em outro lugar?

Só para a operação que o serviço está confirmando. Esse é o risco: quem recebe o seu código pode concluir essa operação. Não repasse a ninguém.

O código OTP substitui a minha senha?

Depende do serviço. Onde ele aparece como etapa de confirmação, funciona como um passo extra, junto da senha ou de outro dado de acesso. Mantenha uma senha forte e exclusiva em cada serviço.

Posso usar o mesmo código duas vezes?

Não. O código de uso único serve uma vez. Se ele não funcionar, peça outro no próprio serviço.