Como funciona o início de sessão social: tokens, permissões e alternativas

Um serviço novo e, no topo do formulário de registo, um botão: «Iniciar sessão com…», seguido do nome de uma rede social ou de um grande fornecedor de contas. Um toque, um ecrã de consentimento, e estás lá dentro, sem inventar nenhuma palavra-passe. Perceber como funciona o início de sessão social — o acesso a um serviço com uma conta que já tens noutro sítio, em vez de criares uma nova — ajuda a usar com critério uma das portas de entrada mais comuns da web.

Esse toque põe em marcha um mecanismo preciso: uma autorização que fica ativa no tempo, dados que passam de um serviço para outro, um laço entre a conta nova e a conta social. Conhecer o mecanismo não serve para deixar de o usar, mas para saber o que se está a conceder, quando compensa e quando não, e onde ir para retirar uma autorização.

Este artigo põe em fila as tecnologias envolvidas — as que estão por trás do botão e as que oferecem uma alternativa — com vantagens e limites reais, sem indicar produtos concretos. É o complemento tecnológico da recomendação de limitar o início de sessão através das redes sociais: as ferramentas dão o seu melhor quando acompanham essa escolha, não quando a substituem.

Nota de variante: este texto está em português europeu. Onde se lê palavra-passe, no Brasil diz-se senha; ecrã é tela e gestor de palavras-passe é gerenciador de senhas.

Como funciona o início de sessão social, em quatro passos

Primeiro, o mecanismo em poucas linhas. Por trás de quase todos os botões «Iniciar sessão com…» há duas normas abertas: OAuth (um protocolo, ou seja, um conjunto de regras partilhadas, que permite dar a uma aplicação um acesso limitado a uma conta sem lhe entregar a palavra-passe) e OpenID Connect (uma camada construída sobre o OAuth que serve para dizer à aplicação quem és). O percurso, simplificado, é este:

1. o serviço novo reencaminha-te para a página do fornecedor de identidade (a rede social ou o fornecedor de contas que vai confirmar quem és);
2. inicias sessão lá, se ainda não estiveres dentro, e vês um ecrã de consentimento com a lista dos dados pedidos;
3. se aceitares, o fornecedor entrega ao serviço um token (uma espécie de passe digital, com prazo e permissões definidas) juntamente com uma declaração da tua identidade;
4. o serviço usa o token para ler os dados concedidos e, a partir daí, reconhece-te sempre que voltas pelo mesmo botão.

Daqui resultam duas consequências. A primeira é tranquilizadora: a tua palavra-passe nunca chega ao serviço novo. A segunda pede atenção: a autorização não acaba quando fechas a aplicação, e a conta social torna-se a chave de todos os serviços ligados. Se um dia perderes o controlo dela, as consequências de uma conta social comprometida estendem-se a cada um deles.

Como ler esta lista

As tecnologias estão organizadas em quatro funções, as mesmas usadas no artigo sobre como desligar as aplicações do perfil social:

• prevenção — partilhar só o que faz falta, ou escolher uma alternativa ao botão;
• deteção — saber o que está ligado e dar pelo que acontece;
• resposta — retirar uma autorização e recuperar o controlo;
• governação — manter a ordem ao longo do tempo, mesmo quando há mais do que uma conta para acompanhar.

Para cada uma encontras o risco que reduz, as vantagens, os limites honestos e a complexidade.

1. Tecnologias de prevenção

Delegação do acesso com normas abertas

O coração do início de sessão social, assente no OAuth e no OpenID Connect: o serviço recebe um token em vez da tua palavra-passe.

• Risco reduzido: palavras-passe entregues a sites pouco conhecidos ou criadas à pressa.
• Vantagens: o serviço não guarda a tua palavra-passe, por isso não a pode perder numa violação; o token pode ser retirado sem mudares a palavra-passe.
• Limites: concentra tudo numa conta: se a conta social for bloqueada ou comprometida, os serviços ligados seguem-lhe a sorte; o fornecedor de identidade pode saber a que serviços acedes e quando.
• Exemplo de uso: inscreves-te numa aplicação para reservar o campo de ténis com o botão «Iniciar sessão com…». A aplicação recebe o nome e o endereço de e-mail, nunca a palavra-passe.
• Complexidade: básica, porque funciona sozinha.

Permissões (scopes) e ecrã de consentimento

Os scopes são os itens de permissão que uma aplicação pede, um a um: nome, e-mail, fotografia, contactos, possibilidade de publicar no teu lugar.

• Risco reduzido: partilha de mais dados do que o necessário.
• Vantagens: mostra, antes de aceitares, o que passa de um serviço para outro; muitas vezes é possível desmarcar algumas permissões.
• Limites: as formulações são muitas vezes vagas («aceder às informações básicas»); o ecrã aparece uma única vez e depois esquece-se; uma permissão concedida continua válida até a retirares.
• Exemplo de uso: uma aplicação de questionários pede acesso aos teus contactos e autorização para publicar. Para um questionário, são dois pedidos sem sentido, e um bom motivo para parar.
• Complexidade: básica.

Passkey

Uma passkey (chave de acesso) é uma credencial associada ao dispositivo, desbloqueada com a impressão digital, o rosto ou um PIN, que substitui a palavra-passe.

• Risco reduzido: a dependência de uma única conta social e o roubo de credenciais através de sites falsos.
• Vantagens: a mesma comodidade de um toque, sem prender o serviço a outra conta; resiste por construção aos sites falsos, porque só funciona no site legítimo; cada serviço tem a sua credencial, e um problema não se propaga.
• Limites: ainda não é oferecida por todos os serviços; exige cuidado na gestão dos dispositivos e das cópias de segurança; se perderes o único dispositivo que a guardava, entras pelo procedimento de recuperação do serviço.
• Exemplo de uso: no momento do registo, em vez de «Iniciar sessão com…», escolhes criar uma passkey. A partir daí entras com a impressão digital.
• Complexidade: básica, onde estiver disponível.

Gestor de palavras-passe

Uma ferramenta que gera palavras-passe aleatórias, as guarda cifradas (ou seja, ilegíveis para quem não tem a chave) e as preenche quando fazem falta. É a alternativa mais difundida ao início de sessão social, e o tema da recomendação sobre como guardar as palavras-passe em segurança. O conceito está resumido na entrada de glossário gestor de palavras-passe.

• Risco reduzido: o início de sessão social escolhido só para não decorar mais uma palavra-passe, e a reutilização de palavras-passe.
• Vantagens: cada serviço fica independente; torna praticável uma palavra-passe para cada conta; só preenche no endereço correto; muitos gestores guardam também as passkeys.
• Limites: concentra valor num só ponto, por isso a palavra-passe mestra do gestor tem de ser bem protegida; pede um período de habituação.
• Exemplo de uso: para a farmácia online registas-te com e-mail e palavra-passe; o gestor gera uma aleatória e guarda-a.
• Complexidade: básica.

Endereços de e-mail mascarados e alias

Endereços de e-mail alternativos que reencaminham as mensagens para a tua caixa verdadeira sem a revelar. Alguns fornecedores de identidade já os propõem no próprio ecrã de consentimento; a ideia aproxima-se da do endereço de e-mail descartável.

• Risco reduzido: o mesmo e-mail usado em todo o lado, que permite ligar as tuas contas entre si e atrai spam e phishing (mensagens que se fazem passar por fiáveis para obter dados ou dinheiro).
• Vantagens: cada serviço conhece um endereço diferente; se um deles começar a receber spam, sabes de onde vem e podes desativá-lo.
• Limites: se o serviço que reencaminha deixar de funcionar, recuperar as contas complica-se; alguns sites recusam os alias.
• Exemplo de uso: no ecrã de consentimento escolhes «ocultar o meu endereço». O serviço recebe um endereço aleatório que reencaminha tudo para a tua caixa.
• Complexidade: intermédia.

2. Tecnologias de deteção

Painel das aplicações ligadas

A secção das definições da conta social que enumera as aplicações e os sites a que deste acesso, com as permissões de cada um.

• Risco reduzido: autorizações esquecidas que ficam ativas durante anos.
• Vantagens: um quadro direto e verificável, útil mesmo quando não aconteceu nada.
• Limites: tem de ser procurado ativamente e o caminho muda de plataforma para plataforma; os nomes das aplicações nem sempre são reconhecíveis.
• Complexidade: básica.

Notificações de nova ligação e alertas de acesso

E-mails ou notificações que o fornecedor envia quando uma aplicação nova é ligada à conta, ou quando alguém entra a partir de um dispositivo invulgar: são os mesmos alertas de início de sessão nas contas que convém manter ativos em todo o lado.

• Risco reduzido: ligações ou acessos feitos sem saberes.
• Vantagens: chegam sem ser preciso procurá-los; uma notificação sobre uma aplicação que não reconheces é um dos sinais de aplicações ligadas suspeitas mais claros.
• Limites: nem todos os fornecedores os enviam; podem ser imitados por mensagens falsas, por isso convém confirmar a partir da aplicação ou do site oficial, e não pela ligação recebida.
• Complexidade: básica.

3. Tecnologias de resposta

Revogação do acesso

O botão «Remover» ou «Revogar acesso» no painel das aplicações ligadas: invalida os tokens da aplicação.

• Risco reduzido: aplicações que leem dados anos depois de as teres deixado de usar.
• Vantagens: imediata, não mexe nas outras aplicações; se a aplicação ainda te fizer falta, volta a pedir consentimento.
• Limites: desinstalar a aplicação do telemóvel não retira a autorização, porque ela vive nos servidores do fornecedor; a revogação não apaga os dados já copiados, e para esses é preciso fazer um pedido ao serviço; se só entras nesse serviço através da rede social, define antes credenciais tuas.
• Complexidade: básica.

Credenciais próprias num serviço criado com o início de sessão social

Muitos serviços permitem, nas definições do perfil, acrescentar uma palavra-passe ou uma passkey e depois desligar a rede social.

• Risco reduzido: perder o acesso a um serviço importante se a conta social for bloqueada ou encerrada.
• Vantagens: torna o serviço independente; faz-se uma única vez.
• Limites: nem todos os serviços o permitem; se o endereço registado era mascarado, é preciso ter acesso a esse alias.
• Complexidade: intermédia.

Proteção da conta social

Quando a dúvida recai sobre a própria conta social: mudança da palavra-passe, ativação da autenticação multifator (MFA, uma segunda verificação além da palavra-passe), fim de todas as sessões (os acessos que ficaram abertos nos dispositivos), revisão das aplicações ligadas. O porquê está explicado na recomendação sobre como proteger as contas com um segundo fator.

• Risco reduzido: um acesso não autorizado que se propaga a todos os serviços ligados.
• Vantagens: atua no ponto que segura tudo.
• Limites: a ordem conta — primeiro palavra-passe e MFA, depois sessões, depois aplicações; mudar a palavra-passe nem sempre invalida os tokens já emitidos, por isso o painel tem de ser verificado na mesma.
• Complexidade: intermédia.

4. Tecnologias de governação

Contam quando as contas não são só tuas — a família, uma pequena equipa, uma associação — e quando a ordem tem de durar.

Privilégio mínimo e permissões incrementais

O princípio do privilégio mínimo: a cada aplicação, só as permissões necessárias. Muitos fornecedores aplicam-no com permissões incrementais, pedidas só quando uma função precisa delas.

• Risco reduzido: aplicações que acumulam permissões «para o que der e vier».
• Vantagens: reduz o que uma aplicação comprometida pode ler ou fazer.
• Limites: depende de como a aplicação foi desenhada; continua a caber-te dizer que não aos pedidos desproporcionados.
• Complexidade: básica.

Expiração automática dos tokens e das autorizações inativas

Os tokens de acesso duram pouco e são renovados por um token de atualização (um segundo passe, mais duradouro, que só serve para obter novos). Alguns fornecedores suspendem as autorizações das aplicações que não são usadas há muito tempo.

• Risco reduzido: autorizações esquecidas que ficam válidas para sempre.
• Vantagens: funciona sozinha; limita a duração de um token roubado.
• Limites: não é universal; enquanto a aplicação usar o token de atualização, o acesso continua.
• Complexidade: básica, porque é automática.

Início de sessão único gerido pela organização (SSO)

O início de sessão único (single sign-on) usa o mesmo mecanismo do início de sessão social, mas com uma conta da organização em vez da pessoal.

• Risco reduzido: aplicações de trabalho ligadas a perfis pessoais, acessos que ficam ativos depois de uma pessoa sair.
• Vantagens: a organização decide que aplicações se ligam e revoga tudo de uma só vez.
• Limites: concentra o risco na identidade principal; é desproporcionado para uso pessoal.
• Complexidade: avançada.

Revisão periódica e consciência partilhada

Um lembrete recorrente para abrir o painel das aplicações ligadas, e o hábito de falar disso em família.

• Risco reduzido: a acumulação lenta de ligações de que ninguém se lembra.
• Vantagens: transforma uma verificação ocasional numa rotina; é o que torna estável o comportamento, o pilar em que assenta o Framework Cyber Welfare.
• Limites: exige continuidade.
• Complexidade: básica.

Tabela comparativa

Como escolher

Se usas os serviços só para ti. Início de sessão social para os serviços leves — jogos, fóruns, aplicações à experiência —, lendo o ecrã de consentimento. Para e-mail, banco, saúde e cloud, credenciais tuas (gestor ou passkey) com a MFA ativa.

Se ajudas um familiar. Abram juntos o painel das aplicações ligadas e removam o que não reconhecem; ativem a MFA e as notificações; combinem uma regra: «os questionários não recebem os nossos contactos».

Se trabalhas por conta própria ou geres um pequeno grupo. Nenhuma aplicação de trabalho ligada a um perfil social pessoal. Se o grupo crescer, um início de sessão único gerido pela organização passa a fazer sentido.

Uma regra prática. Nenhuma tecnologia elimina o risco sozinha. A combinação que dá o melhor resultado para o esforço é início de sessão social só onde perder o acesso seria um incómodo, e não um problema + credenciais próprias com MFA nos serviços importantes + uma olhadela periódica ao painel das aplicações ligadas.

Ligação ao Framework Cyber Welfare

Este artigo trabalha sobretudo as competências: perceber uma ferramenta o suficiente para a usar com critério.

Níveis de maturidade digital.

• FL1 – Básico. Para ti, o botão é uma caixa preta: carregas e entras, sem ideia do que fica autorizado.
• FL2 – Inicial. Lês o ecrã de consentimento e sabes que a autorização sobrevive à desinstalação da aplicação.
• FL3 – Autónomo. É o nível de referência deste artigo: percebes a ferramenta o suficiente para a usares com critério e para encontrares sozinho onde retirar uma autorização.
• FL4 – Hábil. Combinas passkeys, gestor e endereços mascarados conforme o valor de cada serviço, e reconheces um pedido de scopes desproporcionado à primeira vista.
• FL5 – Especialista-Guia. Explicas o mecanismo a familiares ou colegas e ajudas a montar as regras de uma pequena equipa, incluindo a decisão sobre um SSO.

Lista breve

• ☐ Leio o ecrã de consentimento antes de tocar em «Iniciar sessão com…»
• ☐ Os serviços importantes têm credenciais próprias, com gestor ou passkey
• ☐ A conta social tem MFA e notificações de nova ligação ativas
• ☐ Sei onde fica o painel das aplicações ligadas e revogo o que não uso
• ☐ Nenhuma ferramenta de trabalho está ligada a um perfil social pessoal

Conclusão

O início de sessão social não é uma armadilha nem um atalho inofensivo: é uma delegação, construída sobre normas sólidas, que dura até a retirares. Saber como funciona o início de sessão social é escolher uma alternativa quando o serviço conta, e saber onde retirar uma autorização. Se queres perceber por onde começar, a Autoavaliação de Resiliência Digital dá-te uma referência.

Para experimentar. Abre o painel das aplicações ligadas da conta social que mais usas e remove as aplicações que não reconheces ou que não usas há mais de um ano.

Conteúdos relacionados

• limitar o início de sessão através das redes sociais — a escolha que estas tecnologias acompanham
• desligar as aplicações do perfil social — como pôr estas tecnologias em prática, pela ordem certa
• ataques através das aplicações ligadas — os abusos contra os quais estas tecnologias foram pensadas
• sinais de aplicações ligadas suspeitas — o que observar quando algo não bate certo
• riscos do início de sessão por rede social — o que se põe em jogo com cada ligação

Recursos relacionados

Leituras que completam este artigo:

• protocolo — o que quer dizer, em geral, um conjunto de regras partilhadas como o OAuth
• verificar as permissões das aplicações — como ler um pedido de acesso e decidir se é proporcionado, também fora do ecrã de consentimento
• rever as permissões concedidas — onde se retiram, nas definições, as autorizações que já não fazem falta

Dá o primeiro passo: o Programa «Protege a Tua Privacidade Digital» acompanha-te gratuitamente, uma recomendação de cada vez.