Código de desbloqueio do telemóvel: escolher o método certo

Ficha complementar da lição “Código de desbloqueio: escolher o método certo” — curso Segurança Online

Um padrão, quatro dígitos, seis dígitos, um código alfanumérico, uma impressão digital, um rosto. No menu parecem equivalentes. Não são: o código de desbloqueio do telemóvel que escolhes decide quanto custa a alguém entrar quando o aparelho lhe fica na mão.

O CNCS, a autoridade nacional de cibersegurança, diz o essencial numa linha, nas boas práticas para telemóveis de abril de 2024: «Ative os mecanismos de bloqueio do seu smartphone através de um PIN ou de outra funcionalidade de autenticação». Diz que se bloqueie. Esta ficha é sobre o que nenhuma fonte portuguesa escolhe por ti: com quê.

A. Porque é que isto conta

O telemóvel tem as fotografias, as mensagens, a aplicação do banco, o correio eletrónico e, muitas vezes, os códigos que abrem as outras contas. A ficha «Bloqueio do ecrã do smartphone» trata de porque é que isso importa; esta trata da decisão que tomas ao configurar o bloqueio.

As opções aparecem na mesma lista, como se valessem o mesmo. Diferem em três coisas: quanto se deixam observar por quem está perto, quanto se deixam adivinhar, e quanto rasto deixam no ecrã.

O que a autoridade nacional diz, e o que não diz

No caderno «Ciber-higiene e boas práticas» de 2022 o CNCS junta duas notas: «Ativar bloqueio e não deixar dispositivos desbloqueados» e «Usar passwords e limite de tentativas». O limite de tentativas explica por que razão um código curto pode ainda assim proteger: o aparelho não deixa tentar milhares de vezes. A CNPD (Portugal), na DIRETRIZ/2023/1 de 10 de janeiro de 2023, exige a mesma mecânica aos serviços — «Bloquear as contas após várias tentativas inválidas de login» —, num documento dirigido a quem trata dados pessoais.

O que nenhuma fonte pública portuguesa faz é comparar os métodos, nem dizer quantos dígitos bastam. Essa parte vem das autoridades britânica e norte-americana e dos fabricantes, e está assinalada como tal.

B. Conceitos-chave

Os métodos, do mais fraco ao mais forte, e o que os distingue. Uma nota de vocabulário: em português europeu a forma desenhada entre pontos chama-se padrão, como escreve a Samsung Portugal; e «de origem» diz-se «por predefinição», nunca «por padrão».

O padrão

Uma forma desenhada com o dedo, ligando pontos no ecrã.

Porque é que isto te interessa: é a opção mais fraca. O desenho é grande, lento, e lê-se de vários metros porque é um movimento e não uma série de toques. E a maioria das pessoas escolhe dentro de um conjunto pequeno de formas.

Um PIN de quatro dígitos

A predefinição antiga de muitos aparelhos.

Porque é que isto te interessa: dez mil combinações parecem muitas até se saber que um punhado delas — datas, anos, repetições, sequências — cobre uma fatia surpreendente dos telemóveis reais. Seis dígitos é hoje o mínimo sensato.

Um PIN de seis dígitos

A predefinição atual na maioria dos telemóveis. A Apple di-lo em português europeu: «Por predefinição, os códigos têm seis dígitos, mas as opções disponíveis vão desde menos seguro (quatro dígitos) a mais seguro (alfanumérico)».

Porque é que isto te interessa: cem vezes mais combinações do que quatro dígitos, ao preço de dois toques. É o mínimo que vale a pena aceitar (R5).

Um código alfanumérico

Letras, números e símbolos, com o comprimento que quiseres. A Apple chama-lhe «código alfanumérico personalizado» e distingue-o da palavra-passe da conta: o código do dispositivo abre o aparelho, a palavra-passe abre o serviço.

Porque é que isto te interessa: é a opção mais forte, e a que faz sentido no aparelho que guarda o gestor de palavras-passe ou o correio de trabalho. Oito caracteres ou mais é a recomendação (MS4).

Biometria: impressão digital e reconhecimento facial

Uma leitura que abre o aparelho sem escrever nada. São estas as formas correntes em português; Face ID e Touch ID são nomes de produto, não categorias.

Porque é que isto te interessa: é cómoda e, em geral, boa, com duas ressalvas. A primeira está dita pela própria Apple, em português: «Para usar o Face ID, tem primeiro de configurar um código no iPhone ou iPad». A biometria é um por cima, nunca um em vez de. A segunda é que há momentos em que preferes forçar o pedido do código, e quase todos os telemóveis têm um atalho para isso.

As três categorias, para arrumar a ideia

O único vocabulário institucional português que classifica isto vem do Banco de Portugal, no «Guia sobre a autenticação forte do cliente»: conhecimento, o que só tu sabes; posse, o que só tu tens; inerência, o que tu és. O código é conhecimento, a impressão digital é inerência. Guarda o limite da expressão: autenticação forte do cliente é um termo jurídico do setor bancário, não o nome do bloqueio do telemóvel.

Manter o sistema atualizado

Os mecanismos de desbloqueio e a cifragem por baixo deles melhoram com as atualizações do sistema. O CNCS diz o mesmo em cinco palavras: «Mantenha o sistema e as aplicações atualizados».

Porque é que isto te interessa: um código forte num aparelho que não recebe correções há dois anos protege menos do que parece (R6).

C. Um exemplo concreto: o mesmo telemóvel, três definições

O telemóvel fica dez minutos sobre uma mesa, num escritório partilhado.

• Com um padrão: a forma esteve visível da última vez que a desenhaste, e reproduz-se de memória — ou a partir das marcas dos dedos, que num desenho contínuo apontam o caminho.
• Com um PIN de seis dígitos: teria de ter sido observado com precisão, e não fica rasto nenhum para reconstruir.
• Com um código alfanumérico: observá-lo bem de relance é difícil, e não há nada para reconstituir.

Nenhum destes cenários envolve um atacante sofisticado: envolvem alguém que estava perto, alguns segundos de atenção, e um telemóvel fácil ou difícil de abrir. É aqui que o limite de tentativas do CNCS trabalha — quem tem o aparelho na mão não pode experimentar à vontade. O que decide não é o número de combinações no papel, é se o teu código está entre os primeiros que alguém tentaria.

A escolha não é entre seguro e inseguro. É entre um código que sobrevive a ser visto uma vez e um código que não sobrevive.

D. Experimenta: escolher e definir o teu método

10 minutos, uma só vez, e depois não voltas a pensar nisso.

Passo 1 — Decidir o que este aparelho contém

• Tem o gestor de palavras-passe? A aplicação de autenticação? O correio de trabalho?
• Quanto mais dessas coisas tiver, mais forte deve ser o código. Este passo decide o seguinte.

Passo 2 — Definir o método

• Mínimo: um PIN de seis dígitos.
• Melhor, se guarda credenciais ou dados de trabalho: um código alfanumérico de oito caracteres ou mais.
• Evita o padrão, e evita datas, dígitos repetidos e sequências. Uma data de nascimento em seis dígitos é seis dígitos que alguém tentaria primeiro.
• O caminho: nos Android, «Definições > Bloqueio de ecrã»; no Windows, «Definições > Contas > Opções de início de sessão».

Passo 3 — Juntar a biometria por cima, não em vez

• Acrescenta a impressão digital ou o reconhecimento facial para o dia a dia.
• Aprende o atalho que força o desbloqueio só por código — antes do momento em que o queres usar.

Passo 4 — Verificar as atualizações

• Confirma que as atualizações automáticas estão ativas e continuam a chegar a este aparelho.
• Um telemóvel que o fabricante já não apoia deixa de receber estas correções — conta no dia em que decidires se o substituis.

O código alfanumérico parece mais lento uns dois dias. Depois é memória dos dedos, e é a maior melhoria desta página.

E. Vídeos, artigos e outros recursos

Fontes institucionais portuguesas, fabricantes em pt-PT e fontes internacionais independentes.

CNCS — Boas práticas no uso de smartphones (15 de abril de 2024)
A recomendação da autoridade nacional sobre os mecanismos de bloqueio.
https://www.cncs.gov.pt/pt/boas-praticas-para-smartphones/

CNCS — Ciber-higiene e boas práticas de cibersegurança (PDF, 2022)
De onde vem o «limite de tentativas».
https://www.cncs.gov.pt/docs/2ciberhig.pdf

CNPD (Portugal) — DIRETRIZ/2023/1, medidas de segurança
«Bloquear as contas após várias tentativas inválidas de login.»
https://www.cnpd.pt/umbraco/surface/cnpdDecision/download/122048

Banco de Portugal — Guia sobre a autenticação forte do cliente (PDF)
Conhecimento, posse e inerência, em contexto bancário.
https://www.bportugal.pt/sites/default/files/anexos/pdf-boletim/guia_autenticacao_forte.pdf

Apple (pt-PT) — Definir um código ou uma palavra-passe de dispositivo exclusiva
Os seis dígitos por predefinição, e as opções até ao alfanumérico.
https://support.apple.com/pt-pt/guide/personal-safety/ipsd0a253dd5/web

Apple (pt-PT) — Proteger o iPhone ou iPad com Face ID
https://support.apple.com/pt-pt/guide/personal-safety/ips037f76104/web

Microsoft (pt-PT) — Opções de início de sessão do Windows
https://support.microsoft.com/pt-pt/windows/op%C3%A7%C3%B5es-de-in%C3%ADcio-de-sess%C3%A3o-do-windows-e-prote%C3%A7%C3%A3o-de-contas-7b34d4cf-794f-f6bd-ddcc-e73cdf1a6fbf

Samsung Portugal — O que é a Pasta Segura e como a posso usar?
Onde «Padrão», «PIN», «Palavra-passe» e «Impressões digitais» aparecem juntos em português europeu. Só para os Galaxy.
https://www.samsung.com/pt/support/mobile-devices/o-que-e-a-pasta-segura-e-como-a-posso-usar/

NCSC (Reino Unido) — Cyber security advice for you and your family
Em inglês: a comparação entre métodos e o comprimento aconselhado, que nenhuma fonte portuguesa cobre.
https://www.ncsc.gov.uk/section/advice-guidance/you-your-family

EFF — Keeping your data safe
Em inglês: a ligação entre o código e a cifragem do aparelho.
https://ssd.eff.org/module/keeping-your-data-safe

Links verificados em setembro de 2026. Para os passos exatos no teu modelo, as páginas do fabricante são a referência prática.

F. O Framework Cyber Welfare: Competências, Consciência, Comportamento Seguro

Esta lição assenta no pilar Comportamento Seguro, ao nível FL1: uma decisão, tomada uma vez, que se mantém durante anos.

Competências

• Definir um PIN de seis dígitos ou um código alfanumérico no telemóvel e no tablet.
• Acrescentar a biometria como conforto, mantendo um código sólido por baixo.
• Encontrar o atalho que força o desbloqueio só por código.

Para profissionais e organizações

• Fixar um mínimo de desbloqueio para os aparelhos com acesso a dados da entidade, como a CNPD (Portugal) faz: medida, não sugestão.

Consciência

• Perceber que a biometria acaba sempre a pedir o código.
• Reconhecer que o padrão se lê à distância e deixa marcas no ecrã.
• Saber que o código de desbloqueio é parte do que cifra o aparelho.

Para futuros formadores e embaixadores

• Mostrar, a dois metros, quanto se vê de um padrão. Convence mais depressa do que uma explicação.

Comportamento Seguro

• Usar seis dígitos como mínimo absoluto, e um código alfanumérico onde o aparelho guarda credenciais.
• Manter o sistema atualizado, como pede o CNCS.
• Evitar datas, dígitos repetidos e sequências.

Para organizações

• Aplicar o mínimo pela gestão dos aparelhos, não por uma política que se lê uma vez.

G. Perguntas para levar contigo

1. O que abre o teu telemóvel agora — um padrão, quatro dígitos, seis, ou um código completo?
2. Esse código tem uma data, uma repetição ou uma sequência que alguém tentaria primeiro?
3. O gestor de palavras-passe ou a aplicação de autenticação estão neste aparelho? O código reflete isso?
4. Sabes como forçar o desbloqueio só por código?

H. O que fazer agora

As recomendações (R) e as medidas de segurança (MS) da base Cyber Welfare que se aplicam ao acesso ao aparelho.

O método de desbloqueio

• R5 — Define um PIN de seis dígitos nos dispositivos móveis, como mínimo.
• MS4 — Usa um código alfanumérico de 8 caracteres ou mais onde o aparelho guarda credenciais ou dados de trabalho.
• MS3 — Prefere um código ao padrão, e pensa quando é que a biometria é, e não é, a predefinição certa.

Compromisso mínimo: seis dígitos sem significado. Um código que ninguém tentaria primeiro vale mais do que um comprido que é a tua data de nascimento.

Manter isto eficaz

• R7 — Põe o bloqueio do ecrã por inatividade no intervalo mais curto que aguentes.
• R6 — Mantém o sistema operativo atualizado, com as atualizações automáticas ativas.

Uma mudança, hoje

1. Abre as definições de segurança do telemóvel.
2. Passa de um padrão ou de quatro dígitos para pelo menos seis — ou para um código alfanumérico, se o telemóvel guarda o gestor de palavras-passe.
3. Mantém a biometria ativa.

Dois minutos agora, e é a definição a que não vais voltar.

Em resumo

• O CNCS diz que se bloqueie o telemóvel; com quê é a decisão que fica do teu lado.
• A biometria não substitui o código: o código por baixo é a proteção verdadeira.
• O padrão é a opção mais fraca — vê-se à distância e deixa rasto no ecrã.
• Seis dígitos é o mínimo; o código alfanumérico é a melhoria que vale a pena.
• Um telemóvel sem apoio do fabricante deixa de receber as correções que sustentam isto.

Outros recursos deste curso

O que o bloqueio protege, e os dois hábitos à volta dele:

• Bloqueio do ecrã do smartphone: a barreira por trás da qual está tudo
• Bloqueio automático do ecrã: quanto tempo o deixas aberto
• Desbloquear o telemóvel em público: olhares indiscretos

Descobre mais fichas complementares dos cursos do programa Proteja a Sua Privacidade Digital.