Gestor de palavras-passe e passkeys: assim organiza os seus inícios de sessão com segurança
Cada conta precisa de uma palavra-passe própria e longa. Se utilizar a mesma palavra-passe em vários sítios, todos ficam vulneráveis assim que uma delas for exposta. Ninguém consegue memorizar oitenta palavras-passe diferentes. Um gestor de palavras-passe faz isso por si. Sempre que possível, substitua a palavra-passe por uma passkey, que os sites falsos não conseguem utilizar indevidamente.
O que faz um gestor de palavras-passe
- Cria para cada serviço uma palavra-passe longa e aleatória: no mínimo 15 caracteres, ou uma frase-passe de cinco ou seis palavras aleatórias.
- Guarda tudo de forma encriptada num cofre.
- Preenche a palavra-passe no site correto, e apenas aí.
- Frequentemente avisa sobre palavras-passe duplicadas ou expostas, e também pode guardar códigos de verificação em duas etapas e passkeys.
Apenas precisa de memorizar uma: a palavra-passe principal do cofre.
Tipos
| Tipo | Vantagem | Atenção |
|---|---|---|
| Integrado no navegador ou no telemóvel | Já disponível e fácil de utilizar | Muitas vezes sem palavra-passe principal separada: quem entra no seu computador, acede às suas palavras-passe. Menos adequado para vários sistemas e para partilhar. |
| Aplicação separada com sincronização através do fornecedor | Funciona em todos os seus dispositivos, com cofres partilhados para uma equipa | Está a confiar no fornecedor; a sua palavra-passe principal tem de ser forte |
| Ficheiro de cofre local no seu próprio computador | Controlo total nas suas próprias mãos | Tem de tratar da cópia de segurança e da sincronização; partilhar é mais difícil |
Exemplos conhecidos são o Bitwarden, o 1Password, o KeePassXC e o Proton Pass, além dos gestores integrados em navegadores e telemóveis. Isto não é uma recomendação. Ao escolher, verifique: funciona em todos os seus dispositivos, pode partilhar cofres e retirar o acesso de alguém, pode proteger o cofre com verificação em duas etapas, existe acesso de emergência e pode exportar os seus dados caso queira mudar de fornecedor?
A palavra-passe principal
- Transforme-a numa frase-passe de cinco ou seis palavras aleatórias, escolhidas pelo gerador e não por si. A letra de uma música ou um provérbio são fáceis de adivinhar.
- Não a utilize em mais nenhum lugar e introduza-a apenas na aplicação ou extensão do próprio gestor.
- Ative a verificação em duas etapas no cofre. Isso não é motivo para uma palavra-passe principal mais curta: se o fornecedor for alvo de um ataque informático, a sua palavra-passe principal é a única proteção do seu cofre roubado.
- Esquecê-la é frequentemente definitivo, pois o fornecedor não a consegue recuperar. Escreva-a em papel, sem indicar para que serve, e guarde-a em casa num local seguro, juntamente com o código de recuperação do seu gestor.
- Ative o bloqueio automático após alguns minutos de inatividade.
rn de m. Consulte Reconhecer phishing: como ler um link e um remetente.Partilhar numa equipa e acesso de emergência
- É preferível dar a cada pessoa a sua própria conta. Se, ainda assim, tiver de partilhar um início de sessão, utilize um cofre partilhado por tema e dê acesso apenas a quem precisa. Nunca partilhe por e-mail, chat ou numa folha de cálculo.
- Quando alguém sai, remova-o do cofre e altere as palavras-passe que essa pessoa podia ver.
- Organize o acesso de emergência para caso lhe aconteça alguma coisa: muitos gestores permitem que uma pessoa de confiança aceda após um período de espera. Ou guarde os dados de recuperação num envelope selado junto de uma segunda pessoa.
Passkeys e chaves de segurança
Uma passkey substitui a palavra-passe. É um par de chaves: a parte secreta fica no seu dispositivo ou no seu gestor de palavras-passe, e o site guarda apenas a parte pública. Desbloqueia a passkey com a sua impressão digital, rosto ou código PIN; isso acontece no seu próprio dispositivo.
- Não funciona num site falso. Uma passkey está associada ao domínio real, e isso é verificado pelo seu navegador. Num site semelhante, não existe passkey, pelo que não há nada para preencher ou aprovar por engano.
- Nada para decifrar. Se o site for alvo de uma fuga de dados, o atacante fica apenas com chaves públicas.
- Uma chave de segurança é um pequeno dispositivo para a porta USB ou para aproximar do telemóvel, com passkeys que não podem ser extraídas. Registe sempre pelo menos duas chaves e guarde a chave sobresselente noutro local.
- Se a sua passkey estiver guardada num gestor de palavras-passe ou na conta do seu telemóvel, acompanha-o para os seus outros dispositivos. Proteja então essa conta com especial cuidado.
- Muitas vezes, a palavra-passe continua também a funcionar. Mantenha-a, por isso, longa e única.
No WebOké
| Serviço | O que é possível? |
|---|---|
| Nextcloud | É possível iniciar sessão com uma passkey ou uma chave de segurança, em Iniciar sessão sem palavra-passe. A sua palavra-passe e os outros métodos continuam a funcionar. Para aplicações, crie uma palavra-passe de aplicação; guarde-a também no seu gestor. Consulte Configurar uma aplicação autenticadora e guardar códigos de recuperação. |
| O meu WebOké | Sem passkeys. Depois da sua palavra-passe, O meu WebOké pede sempre um código de início de sessão por e-mail (O código de início de sessão por e-mail), ou um código de uma aplicação autenticadora. Não existem códigos de recuperação: se perder a aplicação, contacte-nos. |
| DirectAdmin | Autenticação em Duas Etapas com uma aplicação autenticadora e códigos de recuperação, consulte Configurar a Autenticação em Duas Etapas. |
| Caixas de correio | Um programa de e-mail inicia sessão com a palavra-passe. Dê a cada caixa de correio uma palavra-passe própria e longa do seu gestor. |
Pode ler mais sobre palavras-passe seguras em Palavras-passe seguras e o que fazer em caso de uma palavra-passe exposta, e no NCSC em Hoe kies ik een wachtwoordmanager? e Hoe kies je een MFA methode?