Gestor de palavras-passe e passkeys: como gerir os seus acessos com segurança
Cada conta precisa de uma palavra-passe própria e longa. Se utilizar a mesma palavra-passe em vários sítios, todas as contas ficam expostas assim que uma delas for divulgada. Ninguém consegue memorizar oitenta palavras-passe diferentes. Um gestor de palavras-passe faz isso por si. Sempre que possível, substitua a palavra-passe por uma passkey, que os sites falsos não conseguem utilizar indevidamente.
O que faz um gestor de palavras-passe
- Cria uma palavra-passe longa e aleatória para cada serviço: pelo menos 15 caracteres, ou uma frase-passe de cinco ou seis palavras aleatórias.
- Guarda tudo encriptado num cofre.
- Preenche a palavra-passe no site correto, e apenas aí.
- Muitas vezes avisa sobre palavras-passe repetidas ou divulgadas, e pode também guardar códigos de verificação em dois passos e passkeys.
Só precisa de memorizar uma: a palavra-passe mestra do cofre.
Tipos
| Tipo | Vantagem | Atenção |
|---|---|---|
| Integrado no seu browser ou telemóvel | Já está disponível e é fácil | Muitas vezes não tem palavra-passe mestra própria: quem aceder ao seu computador acede às suas palavras-passe. Menos adequado para sistemas diferentes e para partilhar. |
| Aplicação independente com sincronização através do fornecedor | Funciona em todos os seus dispositivos, com cofres partilhados para uma equipa | Depende da confiança no fornecedor; a sua palavra-passe mestra tem de ser forte |
| Ficheiro de cofre local no seu próprio computador | Tudo sob o seu controlo | Tem de tratar da cópia de segurança e da sincronização; partilhar é mais difícil |
A nossa recomendação: Proton Pass (uma empresa suíça com uma versão gratuita bastante completa) ou 1Password com uma conta em 1password.eu (uma empresa canadiana, paga e muito fácil de utilizar). Ambos funcionam no seu Mac, no seu PC Windows, no seu telemóvel e em todos os principais browsers. O Bitwarden também é bom, mas é uma empresa americana: aplica-se a lei americana, mesmo que o seu cofre esteja alojado na UE. No guia Gestor de palavras-passe na prática comparamos 23 gestores de palavras-passe quanto à facilidade de utilização, segurança e UE/RGPD, e explicamos passo a passo como configurar o Proton Pass ou o 1Password.
Ao escolher, verifique: funciona em todos os seus dispositivos, é possível partilhar cofres e voltar a retirar alguém, é possível proteger o cofre com verificação em dois passos, existe acesso de emergência e é possível exportar os seus dados caso pretenda mudar?
A palavra-passe mestra
- Utilize uma frase-passe de cinco ou seis palavras aleatórias, escolhidas pelo gerador e não por si. A letra de uma canção ou um provérbio são fáceis de adivinhar.
- Não a utilize em mais nenhum lado e introduza-a apenas na aplicação ou extensão do próprio gestor.
- Ative a verificação em dois passos no cofre. Isso não é motivo para uma palavra-passe mestra mais curta: se o fornecedor for alvo de um ataque, a sua palavra-passe mestra é a única proteção do seu cofre roubado.
- Esquecê-la é muitas vezes definitivo, pois o fornecedor não a consegue recuperar. Escreva-a em papel, sem indicar para que serve, e guarde-a em casa num local seguro, juntamente com o código de recuperação do seu gestor.
- Ative o bloqueio automático após alguns minutos de inatividade.
rn de m. Consulte Reconhecer phishing: como ler uma ligação e um remetente.Partilhar numa equipa e acesso de emergência
- De preferência, dê a cada pessoa a sua própria conta. Se for mesmo necessário partilhar um acesso, utilize um cofre partilhado por tema e dê acesso apenas a quem precisa. Nunca partilhe por e-mail, chat ou folha de cálculo.
- Quando alguém sai, retire essa pessoa do cofre e altere as palavras-passe a que tinha acesso.
- Configure o acesso de emergência para o caso de ficar indisponível: muitos gestores permitem que uma pessoa de confiança aceda após um período de espera. Em alternativa, guarde os dados de recuperação num envelope selado junto de uma segunda pessoa.
Passkeys e chaves de segurança
Uma passkey substitui a palavra-passe. Trata-se de um par de chaves: a parte secreta permanece no seu dispositivo ou no seu gestor de palavras-passe, e o site guarda apenas a parte pública. Desbloqueia a passkey com a sua impressão digital, o seu rosto ou um PIN; isso acontece no seu próprio dispositivo.
- Não funciona num site falso. Uma passkey está associada ao domínio verdadeiro, e o seu browser verifica isso. Num site imitador não existe passkey, pelo que não há nada para preencher ou aprovar por engano.
- Nada para decifrar. Se o site sofrer uma fuga de dados, o atacante fica apenas com chaves públicas.
- Uma chave de segurança é um pequeno dispositivo para ligar à porta USB ou aproximar do telemóvel, com passkeys que não podem ser extraídas. Registe sempre pelo menos duas chaves e guarde a chave de reserva noutro local.
- Se a sua passkey estiver guardada num gestor de palavras-passe ou na conta do seu telemóvel, fica disponível nos seus outros dispositivos. Nesse caso, proteja essa conta de forma especialmente cuidadosa.
- Muitas vezes, a sua palavra-passe continua também a funcionar. Por isso, mantenha-a longa e única.
Na WebOké
| Serviço | O que é possível? |
|---|---|
| Nextcloud | É possível iniciar sessão com uma passkey ou chave de segurança, em Autenticação sem palavra-passe. A sua palavra-passe e os seus outros métodos continuam a funcionar. Para aplicações, crie uma palavra-passe de aplicação; guarde-a também no seu gestor. Consulte Configurar uma aplicação de autenticação e guardar códigos de cópia de segurança. |
| O meu WebOké | Sem passkeys. Após a sua palavra-passe, O meu WebOké pede sempre um código de acesso por e-mail (O código de acesso por e-mail), ou um código de uma aplicação de autenticação. Não existem códigos de recuperação: se perder a aplicação, contacte-nos. |
| DirectAdmin | Two-Step Authentication com uma aplicação de autenticação e códigos de cópia de segurança; consulte Configurar a autenticação de dois passos. |
| Caixas de correio | Um programa de e-mail inicia sessão com a palavra-passe. Atribua a cada caixa de correio uma palavra-passe própria e longa, gerada pelo seu gestor. |
Saiba mais sobre palavras-passe fortes em Palavras-passe seguras e o que fazer quando uma palavra-passe é divulgada, e no NCSC em Como escolher um gestor de palavras-passe? e Como escolher um método de MFA?
Quer saber mais? Frequente o curso gratuito Segurança online para empresários, lição 2.2 Escolher e utilizar gestores de palavras-passe, ou o curso gratuito Mudar para uma cloud europeia, lição 7.4 Transferir palavras-passe para um gestor de palavras-passe.