Iniciar sessão, sessões e terminar em segurança

Módulo 1: Como funciona o seu correio · Tempo de leitura: 9 minutos

Objetivo de aprendizagem: No final desta lição, saberá com que dados inicia sessão no webmail, o que é uma sessão e quanto tempo dura, e como trabalhar e terminar em segurança num computador próprio e num computador partilhado.

Conceitos-chave: nome de utilizador, palavra-passe da caixa de correio, campo Servidor, sessão, cookie, Manter sessão iniciada, janela privada, terminar sessão, bloqueio de IP

Quem é o utilizador para o webmail?

Para o webmail, o utilizador é uma caixa de correio: um endereço de e-mail com uma palavra-passe própria e um armazenamento próprio. Por isso, inicia sessão com dois elementos:

• o seu endereço de e-mail completo como nome de utilizador, ou seja, sanne@example.com e não apenas sanne. Um servidor de correio aloja as caixas de correio de muitos domínios. Só com o endereço completo o servidor sabe a que caixa de correio se refere;
• a palavra-passe dessa caixa de correio.

Este último ponto corre mal com frequência. A palavra-passe da sua caixa de correio não é a mesma da sua conta de cliente no fornecedor nem a do painel de gestão (na WebOké: O meu WebOké e DirectAdmin). É a palavra-passe escolhida quando o endereço de e-mail foi criado. Se outra pessoa criou o seu endereço, por exemplo o administrador da sua empresa, talvez a conheça ou possa definir uma nova.

Na imagem vê a página de início de sessão com os campos Utilizador, Palavra-passe e Servidor. A palavra-passe distingue maiúsculas de minúsculas. Se não conseguir iniciar sessão e tiver a certeza de que a palavra-passe está correta, verifique primeiro se a tecla Caps Lock está ativa.

O campo Servidor: normalmente vazio

O webmail da WebOké precisa de saber em que servidor está a sua caixa de correio. Normalmente descobre-o sozinho a partir do seu domínio. Por isso, quase toda a gente deixa o campo Servidor vazio.

Só o preenche se o seu domínio não apontar para a WebOké mas a sua caixa de correio estiver lá alojada, por exemplo durante a transferência do seu domínio. Nesse caso, introduz o nome do servidor do seu pacote. Um servidor de outra entidade não funciona: este webmail serve apenas para caixas de correio alojadas na WebOké.

Uma armadilha que poucas pessoas conhecem: inicie sessão sempre da mesma forma. O webmail guarda as suas definições, identidades, assinatura e livro de endereços associados à forma como inicia sessão. Se numa vez iniciar sessão com o campo vazio e noutra com um nome de servidor, verá o mesmo correio (que está no servidor de correio), mas a sua assinatura e o seu livro de endereços parecem subitamente vazios. Não desapareceram: pertencem à outra forma de iniciar sessão.

Noutros webmails, este campo normalmente não existe: aí o webmail pertence a um único serviço, como no Gmail ou no Outlook.com.

O que é uma sessão?

Depois de iniciar sessão, não quer escrever a palavra-passe a cada clique. Por isso, o webmail cria uma sessão: o servidor memoriza que iniciou sessão e o seu browser recebe um cookie com um código longo e aleatório. A cada clique, o browser envia esse código. É assim que o servidor o reconhece.

Isto tem uma consequência importante: quem tiver esse cookie é, para o webmail, o próprio utilizador. Não precisa da sua palavra-passe. É por isso tão importante que uma sessão num computador alheio seja realmente terminada.

Uma sessão termina:

• quando clica em Sair: o servidor elimina a sessão e o cookie deixa de ter qualquer valor;
• quando não faz nada durante algum tempo e o webmail já não está aberto: o servidor deixa a sessão expirar. Enquanto o separador estiver aberto, o próprio webmail mantém a sessão ativa, verificando de vez em quando se há correio novo;
• quando fecha o browser, a menos que tenha ativado Manter sessão iniciada.

Manter sessão iniciada e Memorizar nome de utilizador

Por baixo da palavra-passe existem duas caixas de verificação. Pode vê-las na imagem, juntamente com a explicação que aparece quando ativa Manter sessão iniciada.

• Memorizar nome de utilizador: da próxima vez, o seu endereço de e-mail já está preenchido. Prático e com pouco risco.
• Manter sessão iniciada: a sessão mantém-se durante 30 dias, mesmo que feche o browser e desligue o computador. O cookie fica guardado.

Manter sessão iniciada é cómodo no seu próprio portátil com bloqueio de ecrã. Em qualquer outro dispositivo é um risco: quem abrir esse browser a seguir entra na sua caixa de correio. Pode ler o seu correio, enviar mensagens em seu nome e, através da opção "esqueci-me da palavra-passe" de outros serviços, pedir que lhe sejam enviadas novas palavras-passe. A sua caixa de correio é a chave de muitas das suas outras contas.

Num computador partilhado

Se trabalhar no computador de outra pessoa, numa biblioteca ou no PC de um cliente, siga este procedimento:

1. Abra uma janela privada (no Chrome, uma janela de navegação anónima; no Firefox, uma janela privada; no Safari, uma janela privada). Uma janela privada começa sem cookies e elimina-os quando fecha todas as janelas privadas. Não protege contra spyware nesse computador, mas protege contra cookies esquecidos.
2. Desative as duas caixas de verificação.
3. Não deixe o browser guardar a sua palavra-passe. Quando surgir a pergunta "Guardar palavra-passe?", escolha Nunca ou Agora não.
4. Clique em Sair quando terminar e feche depois a janela privada.

Depois de terminar sessão, o botão Voltar do browser pode por vezes ainda mostrar uma página antiga. Essa página vem da memória do browser, não do servidor. Se clicar em algo, vai parar à página de início de sessão, porque a sessão já não existe.

Guardar a palavra-passe no browser?

No seu próprio dispositivo, com bloqueio de ecrã, uma palavra-passe guardada num gestor de palavras-passe (incluindo o do browser) não é problema. Ajuda até contra o phishing: um gestor de palavras-passe só preenche a palavra-passe no endereço verdadeiro do webmail, não num site falso (lição 2.4). Num dispositivo partilhado ou num computador sem conta de utilizador própria, nunca guarde nada.

Demasiadas tentativas com palavra-passe errada

Os servidores de correio são atacados durante todo o dia por programas que tentam adivinhar palavras-passe. Por isso, a firewall do servidor bloqueia um endereço IP que tente demasiadas vezes uma palavra-passe errada. Isso protege a sua caixa de correio, mas também o pode afetar a si.

O exemplo clássico: o Daan altera a palavra-passe do correio, mas esquece-se do seu tablet antigo guardado na gaveta. Esse tablet tenta, de poucos em poucos minutos, iniciar sessão com a palavra-passe antiga. Passado algum tempo, a firewall bloqueia o endereço IP do escritório. A partir daí, o webmail deixa de funcionar para todos no escritório, e muitas vezes o site também, enquanto no telemóvel através de 4G funciona. Esse último pormenor é a pista: o problema está no endereço da sua ligação, não na sua caixa de correio.

A solução tem sempre duas partes: configure a palavra-passe correta em todos os dispositivos e depois peça o levantamento do bloqueio.

Na prática: como funciona no webmail

Abre o webmail da WebOké em webmail.weboke.nl. Para terminar sessão, usa o botão Sair no canto inferior esquerdo do menu. Os passos estão descritos no manual do Roundcube, nas secções Iniciar sessão no webmail, O campo Servidor e Manter sessão iniciada e terminar sessão. Se não conseguir iniciar sessão, consulte a secção Não consigo iniciar sessão. Com a verificação em dois passos (lição 8.1), o webmail pede ainda um código depois da palavra-passe. Noutros webmails, como o Gmail ou o Outlook.com, funciona de forma semelhante: também aí existe uma caixa de verificação do género Manter sessão iniciada e aplicam-se as mesmas regras num computador partilhado.

Resumo

• Inicia sessão com o seu endereço de e-mail completo e a palavra-passe da caixa de correio, não com a palavra-passe de cliente ou do painel.
• Deixe o campo Servidor vazio, a menos que o seu domínio esteja alojado noutro lado, e inicie sessão sempre da mesma forma.
• Uma sessão é um cookie com o qual o servidor o reconhece; quem tiver o cookie é, para o webmail, o próprio utilizador.
• Manter sessão iniciada (30 dias) apenas no seu próprio dispositivo; num computador partilhado: janela privada, caixas de verificação desativadas, terminar sessão.
• Um dispositivo com uma palavra-passe antiga pode provocar o bloqueio do seu endereço IP.

Questionário

Exercício

Exercício D1.3: Praticar o início e o fim de sessão. Abra uma janela privada no seu browser e inicie sessão no webmail. Veja que caixas de verificação existem por baixo da palavra-passe e o que aparece quando ativa Manter sessão iniciada (desative-a novamente antes de iniciar sessão). Inicie sessão, abra uma mensagem e clique em Sair. Em seguida, prima o botão Voltar do seu browser e clique em algo na página que vê. Depois, responda a estas perguntas: O que aconteceu quando, depois de terminar sessão, premiu Voltar e clicou, e porquê? Em que dispositivos que utiliza ativaria Manter sessão iniciada, e em quais não? Tem algum dispositivo onde possa estar guardada uma palavra-passe de correio antiga?

Para saber mais

Os passos descritos para o webmail aplicam-se ao webmail da WebOké; noutros webmails funciona de forma semelhante.

• Roundcube Webmail 1.2: Entrar no webmail
• Roundcube Webmail 1.3: O campo Servidor: quando deve preenchê-lo?
• Roundcube Webmail 1.4: Manter sessão iniciada e sair
• Roundcube Webmail 13.1: Não consegue iniciar sessão
• Aceder ao webmail e o que fazer se não conseguir iniciar sessão
• Alterar a palavra-passe ou os limites de um endereço de e-mail
• Gestor de palavras-passe e passkeys: como gerir os seus acessos com segurança
• Curso gratuito Seguro online para empresários 5.2: Utilizar o portátil e o telemóvel com segurança