Cofre de senha e 2FA no navegador da operação

O autenticador está no celular de uma pessoa. A senha está no grupo. O backup está num print. O plantão pede os três no privado. Alguém manda. Segunda-feira o coordenador troca o chip e a mesa inteira espera SMS. Isso não é 2FA. É um rito de fé com testemunhas.

Cofre de operação mora onde o time já trabalha: no browser da identidade, com papel, com revogação, com registro. Não no WhatsApp. Não no Notion. Não na extensão pessoal do gestor no Chrome da casa. A página de agência de publicidade descreve o recorte comercial. Este texto desce no Lauth Pass: senha e 2FA no navegador da operação, o que entra, o que nunca entra, como o plantão entra sem humilhar quem está offline.

Há um irmão sobre senha no WhatsApp e outro sobre 2FA compartilhado versus cofre. Aqui o objeto é o cofre no próprio fluxo de abrir o perfil.

O problema não é memória, é cópia

Gestor não esquece senha porque é desorganizado. Esquece porque a mesa pede que ele seja o cofre. Dez clientes, três plataformas, 2FA no bolso, plantão, férias. A solução informal é copiar. Grupo, planilha, gerenciador pessoal, e-mail para si mesmo, print.

Cópia resolve a memória. Cria o incidente. Cada cópia é uma saída que não aconteceu. Cada print é um 2FA eterno. Cada grupo é um admin informal.

Cofre da operação ataca a cópia. A senha vive num lugar. O 2FA TOTP vive no mesmo lugar, ou no autenticador da identidade com recuperação escrita. Quem opera recebe o segredo no fluxo de abrir o perfil, com papel. Quem sai perde o papel. Não precisa “lembrar de apagar o print”. O print não deveria existir.

Isso parece óbvio até a primeira urgência. Urgência é o teste. Se o modelo só funciona em terça às 11h, o modelo é teatro. Plantão e férias fazem parte do desenho, não da exceção.

Por que o cofre fica no browser da operação

O time já abre o perfil para operar ads. Se a senha está noutro app, noutro celular, noutro e-mail, o atalho vence. O atalho é o grupo.

Cofre no navegador da operação cola o segredo no mesmo objeto que isola a identidade. Abrir o perfil certo é a condição para preencher o login certo. Menos cola de senha da BM A no painel da BM B. Menos extensão pessoal injetando autofill no grafo do cliente.

Extensão de gerenciador pessoal no perfil do anunciante mistura dono. O cofre pessoal do gestor contém o banco dele, o Instagram dele, a BM do cliente. Quando o gestor sai, o Bitwarden dele não desliga. O perfil da agência, com cofre da agência, desliga o papel.

Há casos em que o admin usa gerenciador enterprise separado. Tudo bem se o procedimento disser isso, se o 2FA da identidade não ficar no bolso e se o plantão não depender de um vault que só um humano destrava no sofá. O fracasso clássico é “temos 1Password da empresa” e o 2FA da BM continua no WhatsApp. Dois sistemas. O informal ganha.

Lauth Pass entra nesse furo: senha e 2FA no browser que a mesa já abre, não no chat. Não é o autenticador do sócio. Não é o SMS da operadora como processo. É o cofre da identidade, com gente que entra e sai sem levar o segredo no bolso.

O que entra no cofre — e o que nunca entra

Entra: senha da plataforma, TOTP, código de recuperação em envelope digital com papel restrito, nota de qual identidade, URL do painel, quem é o dono.

Entra com cuidado: senha de e-mail que é o recovery da BM. Esse e-mail é chaves do reino. Poucos papéis. Nunca no grupo.

Não entra: cookie exportado “por precaução”. Cookie não é senha. Cookie é sessão. Sessão exportada é outro incidente.

Não entra: documento de identidade do cliente, cartão completo, selfie de verificação. Cofre de ads não é DP de gente. Verificação de identidade tem roteiro próprio e retenção própria.

Não entra: senha do proxy no mesmo item da senha da BM sem distinção. Pode viver no inventário da identidade. Misturar os dois no mesmo campo vira um copy-paste no lugar errado.

Não entra: conversa. Cofre não é wiki. Wiki explica o procedimento. Cofre guarda segredo. Quem mistura os dois volta ao Notion com senha.

Itens mortos saem. Conta encerrada, cliente antigo, login que ninguém usa. Cofre que nunca apaga vira arqueologia. Arqueologia é superfície. Revogação inclui apagar o item, não só “arquivar o cliente no comercial”.

Papéis: quem vê, quem preenche, quem rotaciona

Ver a campanha não exige ver a senha. Operar o perfil, no modelo certo, preenche o login sem mostrar o segredo em texto para todo mundo. Admin rotaciona, convida, revoga, vê recuperação.

Se o operador precisa copiar a senha para colar no painel, o desenho ainda é planilha. O fluxo é abrir perfil, autenticar, operar. Copiar para o Slack é regressão.

Estagiário: papel de operar no recorte, sem recuperação, sem export, sem rotacionar. 2FA que o estagiário vê em texto é 2FA que o estagiário leva embora.

Cliente: em geral não vê o cofre da agência. Vê o painel com o usuário dele, quando o contrato pede. Fim de contrato é entrega de acesso dele, não PDF das senhas que a agência usou.

Financeiro: relatório, não cofre.

Quem rotaciona: admin, com cadência e com evento. Rotação sem registro é paranoia. Rotações só depois do ban é atraso. Rode quando alguém sai, quando há suspeita, quando o procedimento manda no trimestre para contas críticas. Não rode todas as senhas toda sexta para parecer seguro. Cansaço vira grupo de novo.

2FA: SMS, app, hardware — o que a mesa sustenta

SMS é frágil e ainda é o default de muita plataforma. Se a plataforma só oferece SMS, o número não pode ser o celular pessoal do gestor. Número da operação, SIM controlado, ou outro fator que a plataforma aceite. SMS no grupo é pior que SMS pessoal: é SMS público.

App TOTP é o meio-termo que a agência sustenta. A semente vive no cofre da operação, não em dez celulares. Celular extra é cópia. Cópia é o problema que você estava tentando sair.

Hardware key é o teto para admin da mesa e para o titular. Duas chaves. Uma na gaveta com registro. Plantão que não tem a chave física não pode depender só dela para a BM que fatura no sábado. Desenhe o segundo fator que o plantão usa, com papel menor se preciso.

Recuperação. Códigos de backup impressos no cofre restrito, testados uma vez. Recuperação que ninguém testou não existe. Recuperação no e-mail pessoal do sócio é o sócio.

Não misture 2FA da pessoa física do gestor (e-mail da agência, GitHub, banco) com 2FA da identidade do cliente. São cofres diferentes. Gestor sai. Identidade fica.

Plantão, férias e o teste de domingo

O modelo passa se uma pessoa some e a mesa continua.

Férias: dono temporário com papel, 2FA no cofre, perfil que abre. Não “manda o print se precisar”.

Plantão: operador já no perfil, já no cofre, já com o que o procedimento autoriza pausar. Sem DM. Sem SMS no grupo. Sem “liga no WhatsApp do coordenador”.

Saída: revogação no dia. Papel some. Sessões morrem. Item de recuperação não fica com quem saiu. Histórico de quem abriu o cofre existe.

Isso custa assento e disciplina. Custa menos que a conta no grupo de um ex-funcionário. O comercial que recusa o custo está comprando o grupo. O grupo é barato até o primeiro jurídico.

Teste de verdade: escolha um cliente, tire o dono por um dia, peça para o plantão pausar uma campanha. Se pedir senha no privado, o cofre é slide. Se abrir o perfil e pausar, o cofre existe.

Migração: o que fazer com o histórico tóxico

Quase toda agência já tem o veneno. Grupo antigo, planilha, Notion, e-mail. Migrar não é “a partir de hoje usamos o cofre” e deixar o grupo vivo.

Inventarie. Quais identidades, onde está a senha hoje, onde está o 2FA.

Rotacione. Senha que viveu no WhatsApp é senha comprometida. Troque. Não mova o mesmo segredo para o cofre e chame de higiene. Você moveu o vazamento.

Mate o canal. Pin do grupo some. Planilha some. Diga em voz alta que mandar senha é incidente, não “jeitinho”.

Registre quem ainda pode ter o print. Você não apaga o celular dos outros. Apaga o valor do print: a senha nova não está lá.

Não migre em dia de campanha crítica. Migre numa janela. Uma plataforma por vez se a mesa for grande. Perfeição adiada é grupo eterno. Janela curta com rotação vale mais que projeto de seis meses.

Cofre no browser da operação não é sofisticação. É o lugar onde o segredo encontra o perfil, o papel e a revogação. WhatsApp encontra testemunha. Testemunha não revoga. O plantão de domingo escolhe entre os dois. O procedimento só precisa deixar de fingir que os dois são iguais.

Recuperação, perda de celular e o envelope que ninguém testa

O dia em que o autenticador some chega. Celular na água. Conta Google do gestor bloqueada. Hardware key na mala da viagem. Se a recuperação for “a gente pede para o cliente resetar”, você transformou o anunciante no seu help desk. Se for “manda o SMS no grupo”, você voltou ao início deste texto.

Envelope de recuperação: códigos da plataforma no cofre com papel restrito. Teste semestral numa identidade de menor risco. O teste é chato. O teste prova que o envelope não é um PDF ilegível de 2023.

Número de SMS da operação: SIM no nome da empresa, não no CPF do coordenador. Quando o coordenador sai, o número não sai junto. Portabilidade de 2FA no desligamento é o tipo de tarefa que ninguém agenda e todo mundo paga no domingo.

E-mail de recovery: não é o Gmail pessoal. Não é o mesmo e-mail que recebe o newsletter da agência. É um objeto da identidade, no inventário, com senha no mesmo cofre. Dois humanos com papel de admin sabem que ele existe. O estagiário não.

Perda coletiva. Incêndio no cofre — ferramenta fora, ransomware, admin único que saiu com a chave mestra. Isso é incidente de acesso, não de mídia. O plano é o mesmo de qualquer incidente: revogar o que der, rotacionar o que restar, comunicar o que o contrato pede. O plano não é “a senha estava no WhatsApp antigo, ainda bem”. Se o plano B for o grupo, o grupo nunca morre.

Assento. Cofre que só o head destrava não é cofre de mesa. É cofre de pessoa com UX melhor. Premium e Plus mudam quanta gente entra no mesmo dia. O desenho de papel precisa caber no plantão real, não no organograma de pitch. Se o plantão não entra sem o head, o 2FA ainda está no bolso. Só mudou o bolso.