Iniciar sessão, sessões e terminar sessão em segurança

Módulo 1: Como funciona o seu e-mail · Tempo de leitura: 9 minutos

Objetivo de aprendizagem: Depois desta lição, saberá com que dados inicia sessão no webmail, o que é uma sessão e quanto tempo dura, e como trabalhar e terminar a sessão em segurança num computador próprio e num computador partilhado.

Conceitos-chave: nome de utilizador, palavra-passe da caixa de correio, campo Servidor, sessão, cookie, Manter sessão iniciada, janela privada, terminar sessão, bloqueio de IP

Quem é o utilizador para o webmail?

Para o webmail, o utilizador é uma caixa de correio: um endereço de e-mail com palavra-passe própria e armazenamento próprio. Por isso, inicia sessão com dois elementos:

• o seu endereço de e-mail completo como nome de utilizador, ou seja, ines@example.com e não apenas ines. Um servidor de correio aloja as caixas de correio de muitos domínios. Só com o endereço completo o servidor sabe a que caixa de correio se refere;
• a palavra-passe dessa caixa de correio.

Este último ponto corre mal com frequência. A palavra-passe da sua caixa de correio é diferente da palavra-passe da sua conta de cliente no fornecedor ou do painel de gestão (na WebOké: O meu WebOké e DirectAdmin). É a palavra-passe escolhida quando o endereço de e-mail foi criado. Se outra pessoa criou o seu endereço, por exemplo o administrador da sua empresa, talvez ela a conheça ou possa definir uma nova.

Na imagem vê a página de início de sessão com os campos Utilizador, Palavra-passe e Servidor. A palavra-passe distingue maiúsculas de minúsculas. Se não conseguir entrar e tiver a certeza de que a palavra-passe está correta, verifique primeiro se o Caps Lock está ativado.

O campo Servidor: normalmente vazio

O webmail da WebOké precisa de saber em que servidor está a sua caixa de correio. Normalmente descobre-o sozinho com base no seu domínio. Por isso, quase toda a gente deixa o campo Servidor vazio.

Só o preenche se o seu domínio não apontar para a WebOké, embora a sua caixa de correio esteja lá, por exemplo durante a transferência do seu domínio. Nesse caso, indica o nome do servidor do seu pacote. Um servidor de outra empresa não funciona: este webmail destina-se apenas a caixas de correio da WebOké.

Uma armadilha que poucas pessoas conhecem: inicie sessão sempre da mesma forma. O webmail guarda as suas definições, identidades, assinatura e livro de endereços associados à forma como inicia sessão. Se uma vez entrar com o campo vazio e outra vez com um nome de servidor, verá o mesmo correio (que está no servidor de correio), mas a sua assinatura e o seu livro de endereços parecerão de repente vazios. Não desapareceram: pertencem à outra forma de iniciar sessão.

Noutros webmails, este campo normalmente não existe: aí o webmail pertence a um único serviço, como no Gmail ou no Outlook.com.

O que é uma sessão?

Depois de iniciar sessão, não quer escrever a palavra-passe a cada clique. Por isso, o webmail cria uma sessão: o servidor memoriza que o utilizador iniciou sessão e o seu navegador recebe um cookie com um código longo e aleatório. A cada clique, o navegador envia esse código. É assim que o servidor o reconhece.

Isto tem uma consequência importante: quem tiver esse cookie é, para o webmail, o próprio utilizador. Não precisa da palavra-passe. Por isso é tão importante que uma sessão num computador alheio seja mesmo terminada.

Uma sessão termina:

• quando clica em Sair: o servidor elimina a sessão e o cookie deixa de ter valor;
• quando não faz nada durante algum tempo e o webmail já não está aberto: o servidor deixa a sessão expirar. Enquanto o separador estiver aberto, o webmail mantém a sessão ativa, verificando de vez em quando se há correio novo;
• quando fecha o navegador, a não ser que tenha ativado Manter sessão iniciada.

Manter sessão iniciada e Lembrar utilizador

Por baixo da palavra-passe há duas caixas de verificação. Pode vê-las na imagem, com a explicação que aparece quando ativa Manter sessão iniciada.

• Lembrar utilizador: da próxima vez, o seu endereço de e-mail já estará preenchido. Prático e de baixo risco.
• Manter sessão iniciada: a sessão mantém-se durante 30 dias, mesmo que feche o navegador e desligue o computador. O cookie fica guardado.

Manter sessão iniciada é cómodo no seu próprio portátil com bloqueio de ecrã. Em qualquer outro dispositivo é um risco: qualquer pessoa que abra esse navegador a seguir entra na sua caixa de correio. Pode ler o seu correio, enviar mensagens em seu nome e, através da opção "esqueci-me da palavra-passe" de outros serviços, pedir que lhe enviem novas palavras-passe. A sua caixa de correio é a chave de muitas das suas outras contas.

Num computador partilhado

Se trabalhar no computador de outra pessoa, numa biblioteca ou no computador de um cliente, siga este procedimento:

1. Abra uma janela privada (no Chrome, uma janela anónima; no Firefox, uma janela privada; no Safari, uma janela privada). Uma janela privada começa sem cookies e elimina-os quando fecha todas as janelas privadas. Não protege contra spyware nesse computador, mas protege contra cookies esquecidos.
2. Desative ambas as caixas de verificação.
3. Não deixe o navegador guardar a sua palavra-passe. Quando aparecer a pergunta "Guardar palavra-passe?", escolha Nunca ou Agora não.
4. Clique em Sair quando terminar e, a seguir, feche a janela privada.

Depois de terminar a sessão, o botão Voltar do navegador pode por vezes ainda mostrar uma página antiga. Essa página vem da memória do navegador, não do servidor. Se clicar em algo, vai parar à página de início de sessão, porque a sessão já não existe.

Guardar a palavra-passe no navegador?

No seu próprio dispositivo, com bloqueio de ecrã, guardar a palavra-passe num gestor de palavras-passe (incluindo o do navegador) não tem problema. Até ajuda contra o phishing: um gestor de palavras-passe só preenche a palavra-passe no endereço verdadeiro do webmail, não num site falso (lição 2.4). Num dispositivo partilhado ou num computador sem conta de utilizador própria, nunca guarde nada.

Demasiadas tentativas com palavra-passe errada

Os servidores de correio são atacados o dia inteiro por programas que tentam adivinhar palavras-passe. Por isso, a firewall do servidor bloqueia um endereço IP que tente demasiadas vezes uma palavra-passe errada. Isto protege a sua caixa de correio, mas também o pode afetar a si.

O exemplo clássico: o Tiago altera a palavra-passe do correio, mas esquece-se de a atualizar no seu tablet antigo guardado na gaveta. Esse tablet tenta, de poucos em poucos minutos, iniciar sessão com a palavra-passe antiga. Passado algum tempo, a firewall bloqueia o endereço IP do escritório. A partir daí, o webmail deixa de funcionar para toda a gente no escritório, e muitas vezes o site também, enquanto no telemóvel por 4G continua a funcionar. Este último pormenor é a pista: o problema está no endereço da sua ligação, não na sua caixa de correio.

A solução tem sempre duas partes: defina a palavra-passe correta em todos os dispositivos e, depois, peça que o bloqueio seja levantado.

Na prática: assim funciona no webmail

Abre o webmail da WebOké em webmail.weboke.nl. Para terminar a sessão, utilize o botão Sair no canto inferior esquerdo do menu. Os passos estão descritos no manual do Roundcube, em Iniciar sessão no webmail, O campo Servidor e Manter sessão iniciada e sair. Se não conseguir iniciar sessão, consulte Não consegue iniciar sessão. Com a verificação em dois passos (lição 8.1), o webmail pede ainda um código depois da palavra-passe. Noutros webmails, como o Gmail ou o Outlook.com, o funcionamento é semelhante: também aí existe uma caixa de verificação como Manter sessão iniciada e aplicam-se as mesmas regras para um computador partilhado.

Resumo

• Inicia sessão com o seu endereço de e-mail completo e a palavra-passe da caixa de correio, não com a palavra-passe de cliente ou do painel.
• Deixe o campo Servidor vazio, a não ser que o seu domínio esteja noutro lado, e inicie sessão sempre da mesma forma.
• Uma sessão é um cookie com o qual o servidor o reconhece; quem tiver o cookie é, para o webmail, o próprio utilizador.
• Manter sessão iniciada (30 dias) apenas no seu próprio dispositivo; num computador partilhado: janela privada, caixas de verificação desativadas, terminar sessão.
• Um dispositivo com uma palavra-passe antiga pode provocar o bloqueio do seu endereço IP.

Questionário

Exercício

Exercício D1.3: Praticar o início e o fim de sessão. Abra uma janela privada no seu navegador e inicie sessão no webmail. Veja que caixas de verificação existem por baixo da palavra-passe e o que aparece quando ativa Manter sessão iniciada (desative-a novamente antes de entrar). Inicie sessão, abra uma mensagem e clique em Sair. Depois, prima o botão Voltar do navegador e clique em algo na página que vê. Em seguida, responda a estas perguntas: O que aconteceu quando, depois de terminar a sessão, premiu Voltar e clicou, e porquê? Em que dispositivos que utiliza ativaria Manter sessão iniciada, e em quais não? Tem algum dispositivo onde possa estar guardada uma palavra-passe de correio antiga?

Para saber mais

Onde são descritos passos no webmail, estes aplicam-se ao webmail da WebOké; noutros webmails o funcionamento é semelhante.

• Roundcube Webmail 1.2: Entrar no webmail
• Roundcube Webmail 1.3: O campo Servidor: quando deve preenchê-lo?
• Roundcube Webmail 1.4: Manter sessão iniciada e sair
• Roundcube Webmail 13.1: Não consegue iniciar sessão
• Aceder ao webmail e o que fazer se não conseguir iniciar sessão
• Alterar a palavra-passe ou os limites de um endereço de e-mail
• Gestor de palavras-passe e passkeys: como gerir os seus acessos com segurança
• Curso gratuito Seguro online para empresários 5.2: Utilizar o portátil e o telemóvel com segurança