Glossário de gestores de palavras-passe: termos a compreender antes de escolher

Um gestor de palavras-passe pode ajudar a guardar credenciais e a utilizar palavras-passe diferentes em serviços diferentes sem depender da memória. Mas não substitui as medidas de segurança do site a que acede, nem decide por si o que fazer se perder um dispositivo, se esquecer a palavra-passe principal ou se alguém conseguir controlar a sua conta. A aplicação é apenas uma parte de uma cadeia: também importam o método de acesso, os dispositivos autorizados, a recuperação e a forma como os dados são sincronizados. Por isso, convém avaliar o gestor no contexto da sua utilização, em vez de o tratar como uma solução isolada.

É importante separar a proteção das credenciais guardadas da proteção da conta do gestor. Um cofre encriptado pode dificultar a leitura dos dados por outra pessoa caso esta obtenha uma cópia, mas isso, por si só, não demonstra que o início de sessão, a recuperação ou as aplicações do fornecedor são adequados às suas necessidades. O guia da NIST sobre autenticação descreve-a como o processo de verificar se quem tenta aceder controla os autenticadores associados a uma identidade. As orientações destinam-se a sistemas de identidade digital e não certificam gestores comerciais específicos. NIST SP 800-63B.

As definições deste glossário servem, por isso, para transformar expressões técnicas em verificações concretas, e não para declarar um produto vencedor. As fontes citadas documentam conceitos e recomendações gerais; não comparam todos os gestores disponíveis nem atestam o comportamento de uma versão específica. Um rótulo apelativo não substitui a explicação do mecanismo, das suas exceções e das consequências para quem perde o acesso. Ao comparar serviços, procure respostas sobre o funcionamento real, em vez de se basear apenas no nome de uma funcionalidade.

O cofre é o espaço digital onde são organizados elementos como nomes de utilizador e palavras-passe e, consoante o serviço, outros dados. Pergunte que tipos de informação aceita, como é bloqueado e o que acontece a uma sessão aberta se perder o dispositivo. O termo não garante que todos os elementos sejam encriptados da mesma forma, que todos os metadados estejam protegidos ou que o conteúdo exista apenas num dispositivo. Esses detalhes dependem da arquitetura e da documentação do fornecedor. Verifique o que a designação de cofre abrange na prática, em vez de presumir que todos os dados têm a mesma proteção.

A encriptação transforma os dados para que não possam ser lidos sem o material criptográfico necessário. A expressão “encriptação ponto a ponto” costuma indicar que os dados são protegidos de modo a que o fornecedor não deva conseguir ler o seu conteúdo, mas é necessário verificar como se aplica: antes ou depois da sincronização, em que dispositivos e que informação fica de fora. Uma afirmação de “conhecimento zero” também não deve ser automaticamente tratada como sinónimo de segurança total. Procure uma explicação técnica acessível, identifique os segredos que o utilizador controla e compreenda que capacidades o serviço mantém para funcionar ou recuperar a conta. O nome de uma técnica não descreve, por si só, todos os pormenores do sistema.

A palavra-passe principal — também chamada palavra-passe mestra em alguns produtos — é o segredo que pode desbloquear o cofre ou participar na derivação das chaves que o protegem. Não é simplesmente mais uma palavra-passe da lista: perdê-la pode ter consequências diferentes das de perder a palavra-passe de uma conta web. Antes de escolher, pergunte se o fornecedor a pode repor, se existe uma frase de recuperação e que dados se perdem ou permanecem disponíveis em cada cenário. A conveniência de um processo de reposição e a possibilidade de intervenção de terceiros podem envolver compromissos diferentes. Não presuma que a recuperação é sempre possível sem perda de dados; consulte o processo documentado.

A autenticação multifator (MFA) exige mais do que um fator para verificar a identidade. Na prática, os fatores podem basear-se em algo que sabe, algo que possui ou uma característica biométrica. Um segundo passo pode reduzir a dependência de uma palavra-passe exposta, mas os diferentes métodos não oferecem todos a mesma experiência nem as mesmas propriedades perante ataques. A CISA recomenda a adoção de MFA para acrescentar proteção além de uma palavra-passe; isso não significa que ativar qualquer opção elimine o risco. Considere também o que acontece quando o dispositivo habitual não está disponível. CISA: More than a Password.

Ao comparar gestores, distinga a MFA usada para aceder à conta do gestor da MFA que o produto guarda ou ajuda a utilizar noutros serviços. Pergunte que métodos são suportados, se existem códigos de recuperação e o que acontece se perder o telemóvel ou o dispositivo de autenticação. O guia da OWASP sobre autenticação aborda separadamente aspetos como o início de sessão e a recuperação segura; serve de referência de conceção, não de certificação de um fornecedor específico. Esta distinção é importante porque os métodos para proteger a conta do gestor podem ser diferentes das funcionalidades oferecidas para as credenciais de outros serviços. OWASP Authentication Cheat Sheet.

As passkeys são credenciais de início de sessão que permitem autenticar-se sem escrever uma palavra-passe tradicional, através das capacidades compatíveis do dispositivo, da plataforma e do serviço. Não são simplesmente uma palavra-passe guardada num cofre. A documentação da Google descreve a sua utilização e indica compatibilidade com Android e Chrome, mas a disponibilidade prática depende do ambiente, do serviço e da forma como a credencial é guardada ou sincronizada. Pergunte se o gestor pode guardar ou sincronizar passkeys, em que plataformas funciona e que alternativa existe se mudar de ecossistema. Verifique a compatibilidade com os seus dispositivos e serviços concretos. Google: Passkeys e ambientes suportados.

A recuperação define as opções disponíveis quando não consegue desbloquear o cofre ou iniciar sessão. Pode incluir códigos de recuperação, dispositivos previamente autorizados, ajuda de um contacto ou um processo gerido pelo fornecedor; estas opções não são equivalentes. Apure se a recuperação restaura o acesso aos mesmos dados, se é necessário manter outro dispositivo disponível e se o processo altera o modelo de privacidade ou de confiança. Se o serviço não explicar o procedimento com clareza suficiente, não presuma que o apoio técnico consegue devolver o conteúdo. Uma descrição precisa das etapas e consequências é mais útil do que uma promessa genérica de recuperação.

A sincronização permite aceder à informação em mais do que um dispositivo e também levanta questões sobre o que é transmitido, onde é processado e como são protegidas as cópias sincronizadas. Não confunda “sincroniza” com “existe uma cópia de segurança recuperável”. Pergunte o que acontece se apagar um elemento num dispositivo, se as alterações são propagadas e como pode exportar ou conservar os dados. A NIST SP 800-63B inclui considerações sobre autenticadores sincronizáveis, mas dirige-se a fornecedores de serviços de credenciais e a sistemas de autenticação: não é uma avaliação de um gestor específico. Orientações sobre uma categoria de autenticadores não demonstram como um produto comercial implementa a sincronização. NIST SP 800-63B, apêndice sobre autenticadores sincronizáveis.

O acesso de emergência costuma descrever mecanismos que permitem a outra pessoa obter acesso sob determinadas condições. A designação, por si só, não revela quem pode pedir acesso, quanto tempo é necessário esperar, se o utilizador pode recusar o pedido ou que dados ficam expostos. Leia o processo completo dos dois pontos de vista e considere o que poderia acontecer em caso de perda de capacidade, disputa ou alteração da relação. Se precisar desta função, confirme se pode ser limitada a determinados elementos e revogada sem depender de um contacto inacessível. Compreenda as condições antes de confiar neste mecanismo.

Uma comparação útil começa pela sua situação: sistemas operativos e navegadores utilizados, número de dispositivos, necessidade de partilhar credenciais e disponibilidade para depender de uma conta na nuvem. Em seguida, compare o que o fornecedor documenta, não apenas os nomes das funcionalidades. Se afirmar que os dados são encriptados antes da sincronização, procure saber que informação fica excluída e como a chave é gerida. Se anunciar recuperação, verifique se o processo conserva os dados e que poderes tem o fornecedor ou o contacto designado. Informações escritas e específicas permitem uma comparação mais concreta do que rótulos semelhantes.

Para reduzir a comparação a perguntas verificáveis, pode usar esta lista:

• Que dados guarda o cofre e que categorias ficam fora da encriptação descrita?
• Como desbloqueio a conta e que opções de MFA ou passkeys estão disponíveis nos meus dispositivos?
• Que opções de recuperação existem e o que acontece aos dados em cada caso?
• Posso exportar as credenciais num formato utilizável e encerrar a conta sem perder o controlo dos dados?
• De que plataformas, navegadores e funcionalidades preciso, e onde estão documentadas as respetivas limitações?
• Quanto custa o plano de que preciso no meu mercado e que condições mudam se deixar de pagar?

Antes de se registar, confirme a compatibilidade real com os dispositivos e navegadores que utiliza: uma página geral de disponibilidade não garante que todas as funcionalidades existam em todas as versões. A documentação da Google sobre passkeys, por exemplo, mostra por que razão convém verificar a plataforma e o ambiente, em vez de tratar a compatibilidade como universal. Se depender de um sistema operativo específico, verifique também o funcionamento das extensões, do desbloqueio biométrico e da sincronização entre plataformas. Procure informações que correspondam à configuração que utiliza.

Analise a exportação e a saída do serviço com a mesma atenção que dedica ao registo. Apure se consegue exportar sem perder campos importantes, se o ficheiro é legível fora do gestor e como o apagar em segurança depois. Consulte os preços aplicáveis no país onde reside e distinga as funcionalidades incluídas, os limites de dispositivos e os planos familiares ou empresariais. A documentação das fontes citadas não estabelece preços nem disponibilidade de produtos comerciais; não seria correto deduzi-los ou apresentar um preço como atual sem uma fonte do fornecedor e uma data de verificação. Confirme estes pormenores diretamente junto do fornecedor.

Para a decisão final, dê prioridade aos requisitos cuja falha mais o afetaria: perder a palavra-passe principal, mudar de telemóvel, ficar sem acesso ao serviço ou precisar de partilhar acesso. Compare respostas escritas e atualizadas, não promessas vagas. Um gestor pode facilitar a utilização de credenciais diferentes e a organização dos acessos, mas a escolha também deve ter em conta a recuperação, as plataformas suportadas e a sua capacidade de abandonar o serviço. A melhor comparação não é uma pontuação abstrata: é saber o que acontece nos casos que realmente lhe causam preocupação.