A forma mais comum de entregar uma caixa postal a alguém é criá-la, escolher uma senha e enviar os dois dados. Todos sabem que isso é errado, mas quase todos fazem assim porque, historicamente, a alternativa exigia mais trabalho. Os convites de configuração eliminam essa desculpa: o administrador nunca escolhe a senha e ninguém precisa compartilhá-la por e-mail ou chat.
Este artigo explica como os convites funcionam, por que a decisão de nunca compartilhar senhas é mais importante do que parece e o que ela representa para a autenticação em dois fatores e o desligamento de usuários.
Por que você nunca deve compartilhar senhas, mesmo quando nada dá errado
O motivo mais evidente para não compartilhar senhas é o risco de interceptação. Uma senha enviada por e-mail ou chat permanece indefinidamente em pelo menos duas caixas, pode ser encontrada em uma pesquisa e sobrevive a todos os backups. Qualquer pessoa que obtenha acesso a uma dessas contas no futuro encontrará a senha. Há anos, as orientações do NIST desaconselham a transmissão de segredos dessa forma.
O problema menos óbvio é que a senha nunca é alterada. Na teoria, o usuário define uma senha própria no primeiro acesso. Na prática, continua usando a que você enviou porque ela funciona e nada exige a troca. Meses depois, o administrador ainda conhece uma credencial válida da caixa postal de outra pessoa, o que compromete discretamente qualquer afirmação de que as ações naquela caixa foram realizadas pelo usuário.
Esse último ponto é essencial quando uma ação é contestada. Se duas pessoas conhecem a senha, não é possível atribuir com segurança a nenhuma delas o que foi feito por aquela conta. Uma configuração que dispensa o compartilhamento de senhas não é apenas mais segura. Ela é uma condição necessária para que a trilha de auditoria tenha algum valor.
Como os convites eliminam o compartilhamento de senhas
O administrador cria a caixa postal sem definir senha alguma. O sistema envia um link por e-mail ao futuro usuário, que abre a página e escolhe a própria senha. Em nenhum momento a credencial passa pelas mãos de outra pessoa.
Assim, a credencial nunca existe em uma forma que alguém além do usuário tenha visto. Não há nada em uma pasta de itens enviados, nada no histórico de um chat e nada que o administrador precise fingir que esqueceu.
Os convites podem ser enviados individualmente ou em massa, o que transforma uma boa ideia em uma solução realmente prática. Provisionar quarenta caixas para um novo cliente passa a exigir quarenta convites em uma única operação, em vez de quarenta senhas para gerar, registrar e transmitir. O processo em massa é explicado em criação de caixas postais em massa.
A autenticação em dois fatores completa a proteção
Decidir que senhas nunca serão compartilhadas fecha uma brecha, mas deixa outra aberta: mesmo uma senha conhecida apenas pelo usuário pode ser fraca ou reutilizada.
A autenticação em dois fatores fecha essa segunda brecha. O próprio usuário a ativa nas configurações do webmail, e não durante o convite. Como é uma solicitação e um hábito separados, a adoção depende de você pedir que ela seja ativada, pois o fluxo não a impõe.
Faça esse pedido ao enviar o convite e repita-o uma semana depois. A página de segurança das caixas no painel mostra quais delas têm a autenticação em dois fatores ativa e quando ela foi confirmada. Assim, basta acompanhar uma lista de pendências em vez de tentar adivinhar.
Exija também que os códigos de recuperação sejam guardados. Como o proprietário da conta não pode remover pelo painel o segundo fator de uma caixa postal, um usuário que perde o dispositivo e os códigos precisa abrir um chamado com o suporte. Explicamos todo o processo em como resolver um bloqueio de 2FA.
Como muda o trabalho do administrador
A decisão de nunca compartilhar senhas reduz, em grande parte, o trabalho do administrador, com apenas uma mudança de hábito.
Você deixa de custodiar credenciais, eliminando toda uma categoria de solicitações. A pergunta "Você pode me lembrar qual é a minha senha?" dá lugar a uma redefinição feita pelo próprio usuário. Você também deixa de ser a pessoa em quem todos precisam confiar, um alívio importante ao administrar caixas de clientes, e não apenas de colegas.
A mudança é que você já não pode entrar na caixa de outra pessoa para verificar alguma coisa. Isso pode causar desconforto na primeira vez, mas é sempre o correto. Se a empresa precisa acessar uma correspondência, a solução é uma caixa postal compartilhada com membros, não um administrador que conhece a senha de um usuário. São configurações diferentes, com responsabilidades distintas. Misturá-las é exatamente o que a prática de não compartilhar senhas pretende evitar.
Os casos que ainda exigem atenção
Duas situações precisam de acompanhamento, em vez de uma configuração feita uma vez e esquecida. Vale verificá-las periodicamente, sem depender da memória.
Usuários que nunca concluem o convite. Uma caixa ainda não assumida é uma caixa que ninguém lê, embora mensagens possam estar chegando. Os convites expiram, como devem, mas alguém precisa confirmar que a pessoa prevista realmente concluiu a configuração, em vez de apenas presumir que isso aconteceu.
Endereços que pertencem a algo, não a uma pessoa. Uma caixa de um imóvel ou número de serviço não tem um usuário para convidar. Ela deve nascer como caixa compartilhada com uma lista de membros, para que o acesso seja representado por essa lista, e não por uma credencial. Caso contrário, você acabará voltando a uma senha compartilhada por outro caminho.
Os convites expiram para evitar o compartilhamento acidental de senhas
Um link de configuração válido indefinidamente seria apenas uma senha com etapas adicionais. Por isso, os convites têm prazo de validade e deixam de funcionar quando ele termina.
Na prática, provisionar as caixas muito antes de as pessoas começarem a trabalhar produz links expirados e uma série de e-mails confusos na primeira manhã. Envie os convites quando os usuários estiverem prontos para utilizá-los. Se algum expirar, emita outro em vez de tentar recuperar o antigo, pois o reenvio leva apenas alguns segundos.
Não compartilhe senhas em nenhum outro lugar
Quando as credenciais das caixas postais deixam de circular entre as pessoas, a mesma questão aparece em outros sistemas e merece a mesma atenção.
Contas compartilhadas para armazenamento, uma senha de aplicativo usada em vários dispositivos ou um único token de API utilizado por três scripts têm a mesma fraqueza: revogar o acesso de uma parte significa interromper o uso de todas as outras. Credenciais individuais de armazenamento para cada dispositivo resolvem o problema equivalente, como mostramos em sincronização de arquivos entre dispositivos.
A regra vale para todos os casos: uma credencial conhecida por mais de uma parte não pode ser revogada apenas para uma delas nem permite atribuir uma ação com segurança. Organizar os acessos para que senhas nunca sejam compartilhadas não trata apenas de sigilo. Trata da possibilidade de mudar a decisão sobre uma pessoa sem interromper o trabalho de todas as outras.
