Backup de acesso sem senha no Notion: o que pode falhar no domingo

O domingo quebra o modelo que a agência de publicidade finge que funciona na sexta. O sênior não pega o telefone. A campanha estoura verba. O 2FA está no celular que está no cinema. A senha está numa página do Notion que o plantão não vê porque o guest expirou. Ou vê, porque o painel inteiro é “interno”, e aí o backup é um vazamento programado. Wiki não é cofre. Pessoa não é cofre. Grupo não é cofre.

Este texto separa o que pode falhar no plantão daquilo que o time chama de backup. O recorte de senha no WhatsApp cobre o incidente cultural. O de 2FA compartilhado versus cofre cobre o fator. Aqui o recorte é continuidade: como o acesso existe às 11 da noite sem publicar o segredo na wiki.

O que o time chama de backup e não é

Quatro falsos backups aparecem em toda mesa.

A página do Notion. Tabela com login, senha, código de backup do 2FA, às vezes o cookie. Permissão “everyone”. Histórico de página com a senha antiga e a nova. Export PDF no Drive. Guest do cliente. Estagiário com acesso de membro. Isso é documentação de incidente futuro.

O grupo do WhatsApp. Mesmo conteúdo, pior retenção. Print eterno. Participante que saiu. Dispositivo novo que baixa o histórico.

O sênior. “Me chama que eu te passo.” Backup de gente. Gente dorme, viaja, pede demissão, fica ofendida. SLA de domingo não pode depender de humor.

O admin com Gmail. “Se travar, entra com esse.” E-mail que não está no RH. 2FA no telefone de alguém que já não é da agência. Porta que a saída não vê.

Backup real é capacidade de operar o recorte sem revelar o segredo a quem não precisa, e de revogar no dia seguinte. O resto é cópia de senha.

Três camadas: rito, papel, segredo

Domingo precisa das três. Uma só falha.

Rito. O que o plantão pode fazer: pausar, subir teto até um limite, desligar conjunto, avisar o cliente com o texto X. O que não pode: nascer campanha, trocar pixel, convidar usuário, exportar público, trocar proxy de produção. Cartão de uma página, na wiki. Wiki é o lugar do rito. Não do password.

Papel. A pessoa do plantão já tem convite no perfil de navegação e na plataforma, com papel de operar. Não “pede a senha”. Abre o perfil. Se o papel não está concedido na sexta, o domingo pede senha. O pedido é o sintoma. A causa é a entrada preguiçosa.

Segredo. Senha e 2FA no cofre da operação, no browser do perfil. Lauth Pass existe pra isso: o fator não mora no WhatsApp nem na wiki. Quem tem papel abre o perfil e usa o cofre. Quem não tem papel não vê o segredo. Quem sai perde o perfil. A wiki continua descrevendo o rito, agora sem a coluna da senha.

Quando o time mistura as camadas — rito e senha na mesma página — a permissão da wiki vira permissão da BM. Painel de Notion não revoga sessão de anúncio.

O que pode falhar no domingo, item a item

2FA no celular único. O plantão abre o perfil, a senha até está no cofre, o SMS cai no telefone do sênior. Falha de fator, não de memória. Teste de plantão tem que incluir o segundo fator. Recuperação de 2FA no cofre, com dono, com reteste trimestral. Hardware key da agência pra identidades críticas, se o tamanho do risco pagar. SMS como único fator é gargalo e superfície.

Perfil só na máquina do sênior. Cofre no Chrome local do notebook que está em outro bairro. A operação deveria viver no sistema compartilhado. Perfil que só abre numa máquina não tem plantão. Tem dono único. Dono único adoece.

Proxy da ficha fora do ar, e o plantão cola o da casa. Continuidade de mídia não autoriza IP de residência do analista na conta de produção. Cartão do domingo: se a rede da identidade caiu, pausa e avisa. Não improvisa ASN. Improviso de proxy é incidente de ambiente disfarçado de plantão.

Verba estourada, mas o plantão só tem login de relatório. Olhar no Looker não pausa. Quem vê relatório não é quem abre o Ads Manager. Se o domingo precisa pausar, o papel de operar já deveria existir. Se o financeiro quis só olhar, o plantão de gasto é outra pessoa. O texto de aprovação de gasto cobre o recorte diário. No domingo, a mesma separação vale: quem pausa está nomeado na escala, com perfil.

Cliente no WhatsApp pedindo a senha “só hoje”. O atalho do cliente é o mesmo incidente com papel invertido. Resposta: convite com prazo, ou call compartilhada sem passar senha, ou espera a segunda. Senha no chat do cliente entra no print dele. Encerramento de contrato não apaga o celular dele.

Notion fora do ar, ou SSO da agência fora. Se o rito estava só na wiki e o segredo também, o plantão perde os dois. Rito crítico cabe em PDF interno curto no cofre — o procedimento, não a senha — e no treino. Ferramenta de wiki cai. Conta de anúncio não pode cair junto por causa de status page.

Troca de senha na sexta, wiki na segunda. Drift. A fonte do segredo é o cofre. Wiki que copia senha sempre está desatualizada. Pare de copiar. O drift some.

Como montar o backup que o jurídico aceita

Inventário: identidades de produção que podem precisar de ação fora do horário. Não é o parque inteiro. É o que fatura e o que o contrato de plantão cobre.

Pra cada uma: dono principal, dono temporário da escala, papel de operar já concedido, perfil no sistema, 2FA no cofre, rito de uma página, canal de aviso ao cliente, limite de gasto que o plantão pode tocar.

Teste: uma vez por trimestre, o dono temporário abre o perfil sem ajuda do sênior, pausa uma campanha de teste, registra no log, desfaz. Se precisa pedir senha no teste, o domingo vai pedir também.

Revogação: fim da escala devolve o recorte extra. Plantão de agosto não continua admin em dezembro. Acesso de plantão eterno é admin órfão com desculpa nobre.

Log: abertura de perfil no domingo deve aparecer no histórico de atividades. Se o cliente perguntar quem pausou, a resposta é pessoa e horário. Não “alguém do plantão”.

Wiki: o que entra e o que nunca entra

Entra: naming da identidade, qual perfil abrir, o que o plantão pode fazer, texto de mensagem ao cliente, quem é o backup humano pra decisão de marca — não pra senha —, link pro roteiro de restrição versus comprometimento.

Não entra: senha, seed de 2FA, cookie, CSV de público, print de cartão, token de API.

A tentação é “só o plantão vê a página”. Painel muda. Pessoa é adicionada na entrada com template amplo. Busca global acha “senha”. Export de backup do Notion sai do perímetro. Cofre de senha e wiki de rito têm modelos de permissão diferentes. Respeite a diferença.

Documentar operação não é planilha de senha. O domingo é o teste dessa frase.

Cofre no browser versus cofre genérico da empresa

Empresas sérias já têm um cofre corporativo. Ótimo pra SSO, VPN, painel interno. Conta de ads tem um extra: o segredo precisa estar no fluxo do perfil de navegação, com 2FA, sem extensão solta que lê todas as abas, sem o analista colar no Chrome pessoal.

Lauth Pass no browser da operação cola o segredo no perfil certo. O plantão abre o perfil A e vê o fator de A. Abre B e vê B. Não vê o painel inteiro de senhas da agência numa extensão de consumo. Extensão de password manager pessoal no perfil de ads é o outro falso backup: mistura banco da pessoa com BM do cliente.

Cofre genérico da empresa ainda vale pra recuperação de emergência com papel admin, auditado, raro. O caminho do domingo deve ser o perfil, não o vault enorme com vinte cliques e um código que só o TI tem, e o TI não faz plantão de mídia.

Recuperação de desastre: quando o cofre em si falha

Raro, e precisa de papel escrito. Se o sistema de perfil cai, o plantão não volta pro Notion com a planilha “só dessa vez” a não ser que o jurídico e o ops tenham aceito um envelope de emergência. Envelope: poucos acessos, papel, lacre, dois donos, log de abertura, rotação no dia seguinte. É chato. É melhor que vinte senhas na wiki.

Se o 2FA da identidade de anúncio foi perdido de verdade — sem recuperação no cofre —, o caminho é o da plataforma, no horário comercial, com titular. Domingo sem fator não se resolve com senha no grupo. Resolve com pausa por outro eixo, se existir, ou com espera. Aceitar a espera é operação madura. Inventar Gmail de backup às 23h é o incidente.

Métrica de plantão que não é ROAS

Tempo até o dono temporário abrir o perfil certo, sem pedir senha.

Número de identidades de produção cujo 2FA ainda está em celular único.

Número de páginas de wiki que ainda contém string de senha — busque. Apague. Rode de novo.

Aberturas de perfil no fim de semana versus convites ativos de plantão. Divergência é gente operando com credencial que não está na escala.

Incidentes de “me passa a senha” no chat. Cada um é falha de entrada, não de educação moral.

Quando esses números caem, o domingo fica chato. Chato é o objetivo. O objetivo não é um Notion colorido com todos os logins. É o plantão pausar o que deve, no perfil certo, e o segredo continuar onde a saída consegue matar na segunda de manhã.

Feriado, fuso e a escala que mente

Domingo é o caso-teste. Feriado prolongado é o caso real. Três dias com o sênior offline. A escala precisa cobrir o recorte inteiro de produção, não “quem responder no grupo”. Nome, identidade, horário. Fuso de time remoto: o plantão em Lisboa não herda o 2FA no celular em São Paulo. O cofre no perfil resolve o fator. A escala resolve o humano que decide marca.

Cobertura cruzada entre contas: o gestor A cobre o cliente do B. Só funciona se o papel de A naquele perfil já existe. Conceder papel na sexta à noite porque o feriado começa é o mesmo bug da senha no grupo, com timestamp de calendário. Conceda na semana. Teste. Revogue quando o dono voltar, se o recorte extra não for permanente.

A segunda-feira que fecha o domingo

Plantão sem review vira lenda. Quinze minutos na segunda: o que foi aberto, o que foi pausado, o que pediu senha no chat — cada pedido é falha —, o que o cliente autorizou por escrito, o que ficou pro dono principal.

Se o plantão subiu teto, o extra aparece no log e no canal de verba. Se pausou, a retomada é do dono, não do plantão no automático. Se usou envelope de emergência, a senha já rodou e o envelope foi relacrado. Se nada disso está escrito, o domingo não existiu pra operação. Existiu pro WhatsApp.

Dois donos temporários, um segredo

Identidade crítica — a que fatura o mês — não pode ter um único humano com fator. Dois papéis de operar, 2FA no cofre do perfil, não dois SMS. Teste dos dois. A tentação é o segundo humano “só no Notion, por precaução”. Essa precaução é o vazamento. O segundo humano entra no perfil. Não na wiki.