Palavras-passe e passkeys: proteger as suas contas
A reutilização da mesma palavra-passe em vários sites continua a ser uma das causas mais frequentes de pirataria de contas. Três ferramentas resolvem o essencial do problema: um gestor de palavras-passe, a autenticação de dois fatores e as passkeys.
Equipa editorial Kayzen Security4 min de leitura
O que faz uma boa palavra-passe
O comprimento conta mais do que a complexidade aparente. Uma frase-passe com várias palavras sem relação entre si é ao mesmo tempo longa e fácil de memorizar. A CNIL publica uma recomendação detalhada sobre palavras-passe (deliberação n.º 2022-100 de 21 de julho de 2022), adaptada consoante sejam utilizadas sozinhas ou com um segundo fator.
- Única para cada conta.
- Longa: uma frase-passe ou uma sequência gerada aleatoriamente.
- Nunca baseada em informações pessoais (nomes próprios, datas, nome do animal de estimação).
- Alterada sem demora em caso de fuga conhecida ou de dúvida.
O gestor de palavras-passe
Um gestor guarda as suas credenciais num cofre cifrado, protegido por uma palavra-passe mestra única. Gera palavras-passe aleatórias, preenche-as automaticamente e só as propõe no site certo, o que também limita o risco de phishing.
Escolha uma ferramenta reconhecida, proteja cuidadosamente a palavra-passe mestra e ative a autenticação de dois fatores no próprio cofre. Na empresa, um gestor de equipa permite partilhar acessos sem os enviar por e-mail.
A autenticação de dois fatores
- Aplicação de autenticação ou chave de segurança física: as opções mais seguras.
- Código por SMS: melhor do que nada, mas mais exposto (desvio de linha, phishing em tempo real).
- Nunca comunique um código recebido a alguém que lho peça, mesmo que se apresente como o seu banco ou um suporte técnico.
- Guarde os códigos de recuperação num local seguro, fora do dispositivo principal.
As passkeys: o passo seguinte lógico
Uma passkey (chave de acesso) assenta nas normas da FIDO Alliance e do W3C. O seu dispositivo cria um par de chaves próprio para cada site: a chave privada nunca é transmitida ao site e fica no seu dispositivo ou no seu gestor, que a sincroniza de forma cifrada; desbloqueia-a com a sua impressão digital, o seu rosto ou o seu código.
Como a chave está associada ao verdadeiro nome de domínio, um site falso não a pode utilizar: é uma proteção forte contra o phishing. Ative-as quando um serviço o propuser, mantendo um meio de recuperação.
Na empresa
- Impor a autenticação de dois fatores no correio eletrónico, nos acessos remotos e nas ferramentas de administração.
- Fornecer um gestor de palavras-passe de equipa em vez de folhas de cálculo partilhadas.
- Desativar rapidamente as contas das pessoas que saem.
- Utilizar palavras-passe de administrador local diferentes em cada posto.
Fontes oficiais
- CNIL (novo separador) — Mots de passe : une nouvelle recommandation pour maîtriser sa sécurité
- FIDO Alliance (novo separador) — Passkeys (clés d'accès)
- Cybermalveillance.gouv.fr (novo separador) — Assistance et prévention en sécurité numérique (fiches réflexes, prestataires ExpertCyber)
Os recursos citados são publicados pelos respetivos autores na língua original. A Kayzen não está associada a nenhum destes organismos.
Este guia é informativo e geral. Não substitui um aconselhamento jurídico nem a intervenção de um profissional de segurança informática.