A Microsoft vai mudar a forma como o Microsoft Authenticator para Android guarda e repõe os dados de autenticação. A partir de janeiro de 2027, as cópias de segurança na nuvem deixam de poder ser associadas a uma conta Microsoft pessoal e passam a depender do serviço de cópias de segurança Google One. Ao mesmo tempo, a empresa prepara um novo assistente de restauro com instruções mais claras sobre as passkeys. A alteração toca num ponto sensível: a recuperação do segundo fator de autenticação quando se perde, avaria ou troca de telemóvel.
Resposta rápida: A partir de meados de janeiro de 2027, quem usa o Microsoft Authenticator no Android só pode fazer cópia de segurança através do Google One, e tem também de ter o bloqueio de ecrã ativo. As contas profissionais ou escolares e as passkeys continuam fora da cópia de segurança. Antes de trocar de telemóvel, confirme que a cópia de segurança do Google One está ligada para a aplicação e que tem métodos alternativos de recuperação em todas as contas importantes.
O que a Microsoft anunciou
A alteração surge em duas fases. Na primeira, a Microsoft acrescentou um aviso à página de suporte sobre cópias de segurança no Authenticator. O aviso diz que, a partir de janeiro de 2027, deixa de ser usada a conta Microsoft pessoal para ativar a cópia de segurança e passa a ser necessário ativar o “Microsoft Authenticator” na cópia de segurança do Google One. Segundo a imprensa especializada, a Microsoft não indicou o dia exato de janeiro nem explicou a razão, a versão mínima da aplicação ou o procedimento de migração.
Na segunda fase, a 27 de outubro de 2026, a empresa publicou no Centro de Mensagens do Microsoft 365 o aviso MC1528006, classificado como atualização de funcionalidade do serviço Microsoft Entra. Este aviso dá mais detalhes. O Authenticator para Android vai ter um processo de cópia de segurança e restauro melhorado, com instruções de configuração mais claras e suporte para passkeys, a partir de meados de janeiro de 2027. Quando configurar a aplicação num telemóvel novo, o utilizador vai receber instruções diferentes consoante ainda tenha ou não acesso ao aparelho antigo, e também orientações para usar as passkeys do Authenticator no início de sessão entre dispositivos. A Microsoft lembra que esta experiência já existe no iOS.
Cronologia da mudança
| Data | Acontecimento |
|---|---|
| Setembro de 2026 | Utilizadores relatam, no fórum Microsoft Q&A, um aviso na aplicação sobre a mudança para o Google One |
| Início de outubro de 2026 | A alteração é noticiada a partir da página de suporte da Microsoft |
| 27 de outubro de 2026 | A Microsoft publica o aviso MC1528006 no Centro de Mensagens do Microsoft 365 |
| Meados de janeiro de 2027 | Início e conclusão previstos da disponibilização geral no Android |
O que é guardado e o que fica de fora
A cópia de segurança do Authenticator não guarda tudo, e muita gente só descobre isso quando troca de telemóvel. Segundo a Microsoft, as contas profissionais ou escolares não são incluídas, e a cópia de segurança continua a abranger os códigos TOTP de contas Microsoft pessoais e de contas de terceiros. A página de suporte acrescenta que, nas contas pessoais com início de sessão sem palavra-passe, essa credencial não entra na cópia de segurança: só fica guardado o nome da conta, e é preciso voltar a iniciar sessão depois do restauro.
As passkeys merecem atenção à parte. O “suporte para passkeys” anunciado não significa que passem a ser copiadas. Na documentação do Microsoft Entra, a empresa diz que as passkeys do Authenticator estão ligadas exclusivamente ao dispositivo e não podem ser sincronizadas. No Android, o Authenticator guarda estas passkeys de forma segura através da API Android Keystore, ligada a hardware seguro do aparelho. Na prática, as novas instruções servem para ajudar o utilizador a usar o telemóvel antigo, se ainda o tiver, para iniciar sessão entre dispositivos e criar passkeys no telemóvel novo.
| Aspeto | Até janeiro de 2027 | Depois da mudança |
|---|---|---|
| Destino da cópia de segurança (Android) | Conta Microsoft pessoal | Google One |
| Requisitos | Opção Cloud Backup ativa | Cópia de segurança do Google One ativa e bloqueio de ecrã |
| Códigos TOTP (pessoais e de terceiros) | Incluídos | Incluídos |
| Contas profissionais/escolares | Não incluídas | Não incluídas |
| Passkeys | Ligadas ao dispositivo | Ligadas ao dispositivo, com novas instruções de uso entre dispositivos |
| Perfil de trabalho Android | Sem suporte | Sem suporte |
Requisitos e limitações técnicas
Para usar o novo restauro num Android, é obrigatório ativar a cópia de segurança do Google One e o bloqueio de ecrã. A cópia de segurança e o restauro só funcionam com o Authenticator instalado no perfil pessoal do Android, e não no perfil de trabalho. Este último ponto pesa nas organizações que distribuem a aplicação através de soluções de gestão de dispositivos móveis com perfil de trabalho.
Segundo a imprensa técnica, no Google One a opção fica nas definições, em “Cópia de segurança” e depois “Mais dados do dispositivo”, onde deve ser selecionada a entrada “Microsoft Authenticator”. Os nomes exatos dos menus podem variar entre versões e idiomas do Android. Também convém lembrar que uma cópia de segurança só pode ser restaurada no mesmo tipo de sistema: uma cópia feita em iOS não serve num Android, e o contrário também não.
No caso das passkeys em contexto empresarial, a documentação de ativação no Microsoft Entra ID exige Android 14 ou posterior, ou iOS 17 ou posterior. Para o registo e a autenticação entre dispositivos, o Bluetooth e a ligação à internet têm de estar ativos nos dois aparelhos. A Microsoft indica ainda que a rede da organização tem de permitir a ligação a determinados endereços, como cable.ua5v.com no Android.
O que devem fazer utilizadores e administradores
Do lado das empresas, a Microsoft diz que os administradores não precisam de fazer nada. A mudança chega a todos os tenants ao mesmo tempo, incluindo Worldwide, GCC, GCC High e DoD. Mesmo assim, é aconselhável avisar os utilizadores antes da data. Os pedidos de ajuda ao suporte técnico costumam disparar depois de trocas de telemóvel em que o segundo fator se perde. Recomendações práticas:
- Confirmar que a cópia de segurança do Google One está ativa no telemóvel e que o Authenticator está incluído nos dados do dispositivo.
- Ativar um bloqueio de ecrã robusto (PIN, padrão complexo ou biometria), que passa a ser obrigatório.
- Não apagar a aplicação nem repor o telemóvel antigo antes de confirmar que todas as contas funcionam no novo.
- Guardar os códigos de recuperação de cada serviço (banca, e-mail, redes sociais) num local seguro e separado do telemóvel.
- Nas organizações, rever os procedimentos para repor a autenticação multifator de contas profissionais, que não fazem parte da cópia de segurança.
- Rever as políticas de Bluetooth e de rede se a organização usar passkeys no Authenticator com início de sessão entre dispositivos.
A Microsoft avisa também que, se a conta usada para a cópia de segurança não estiver acessível, o suporte não consegue recuperar os códigos nem as credenciais do Authenticator. Com a mudança, a conta Google associada ao telemóvel passa a ter um papel central na recuperação dos códigos e deve ser protegida com o mesmo cuidado.
Porque é que isto importa em Portugal
A autenticação multifator é hoje uma das medidas básicas mais recomendadas contra o roubo de contas. Para os cidadãos, perder os códigos do Authenticator pode significar ficar dias sem acesso ao e-mail, a redes sociais ou a serviços online, e passar por processos de recuperação demorados. Para as PME, que muitas vezes não têm uma equipa de informática própria, uma troca de telemóvel mal preparada pode deixar colaboradores sem acesso ao Microsoft 365 e obrigar a repor métodos de autenticação à pressa.
Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a diretiva NIS2), a gestão de identidades e da autenticação multifator faz parte das medidas de gestão de riscos que têm de ser documentadas e mantidas. Uma mudança como esta deve entrar nos procedimentos internos de entrada e saída de dispositivos e na formação dos utilizadores. Há ainda uma questão de proteção de dados: os dados da aplicação passam a ficar alojados num serviço Google ligado a uma conta pessoal, e as organizações devem avaliar esse ponto à luz das suas políticas e do RGPD, sobretudo quando os colaboradores usam telemóveis pessoais. O CNCS e o CERT.PT recomendam de forma consistente a autenticação multifator e métodos de recuperação seguros como boas práticas para cidadãos e organizações.
Perguntas frequentes
Quando muda a cópia de segurança do Microsoft Authenticator no Android?
A Microsoft aponta para janeiro de 2027. O aviso MC1528006 prevê que a nova experiência de cópia de segurança e restauro comece e termine de ser disponibilizada em meados desse mês.
As minhas passkeys passam a ser copiadas para o Google One?
Não. Segundo a documentação da Microsoft, as passkeys do Authenticator estão ligadas ao dispositivo e não podem ser sincronizadas. A novidade são as instruções para usar essas passkeys no início de sessão entre dispositivos durante a configuração de um telemóvel novo.
As contas profissionais ficam salvaguardadas?
Não. As contas profissionais ou escolares não fazem parte da cópia de segurança. Depois de trocar de telemóvel, é preciso voltar a registá-las, e pode ser necessário pedir ao administrador que reponha os métodos de autenticação.
O que tenho de ativar para continuar a ter cópia de segurança?
É preciso ativar a cópia de segurança do Google One, incluir o Microsoft Authenticator nos dados do dispositivo e ter o bloqueio de ecrã ativo. A aplicação tem de estar instalada no perfil pessoal do Android, e não no perfil de trabalho.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Microsoft (página de suporte), pela Microsoft (FAQ de passkeys do Entra ID), pelo aviso MC1528006 do Centro de Mensagens do Microsoft 365 e pela heise online.