"Manda a senha do servidor pro João?" "Tá no grupo, na mensagem de quinta." Esse padrão é a operação real de 80% das pequenas empresas brasileiras. Funciona — até o dia em que para de funcionar.
Este artigo mostra os 4 métodos errados que vimos em centenas de auditorias e o método correto que custa zero a mais e resolve definitivamente.
Os 4 jeitos errados (e o que cada um quebra)
1. WhatsApp / Telegram do grupo
Por que parece bom: instantâneo, todo mundo já usa.
O que quebra:
- Backup em iCloud/Drive de cada participante — fora do controle da empresa
- Quando alguém sai, leva o histórico inteiro para sempre
- SIM swap de qualquer participante expõe tudo
- Sem auditoria de quem usou cada senha
- Após 6 meses, ninguém acha mais a senha (vira "rola pra cima até achar")
2. E-mail interno
Por que parece bom: "está dentro do nosso domínio".
O que quebra:
- E-mail é arquivado para sempre — vaza com qualquer comprometimento da conta
- Forward acidental para destinatário externo é trivial
- E-mail corporativo migrado, conta antiga continua acessível
- Provedor (Google Workspace, Microsoft 365) lê tecnicamente
3. Planilha compartilhada (Excel/Sheets)
Detalhamos os 7 cenários em por que parar de usar planilha de senhas. Resumo: backup eterno no Drive, "compartilhar com link" expõe acidentalmente, ex-funcionário leva cópia local.
4. Post-it ou caderno físico no escritório
Por que parece bom: "ninguém de fora vê".
O que quebra:
- Foto rápida com celular = vazamento permanente
- Faxineiro, técnico de TI, visita, cliente — todos entram no espaço
- Em open offices, está exposto a câmeras de monitoramento próprias
O método correto: cofre com compartilhamento granular
Cofre dedicado (Virtuault e outras opções consagradas no mercado) resolve o problema de uma vez:
Como funciona
- Cada colaborador tem sua própria conta com chave mestra individual (Zero-Knowledge real — nem a empresa decifra sem o funcionário)
- Credenciais "compartilhadas" são duplicadas cifradas, uma cópia por destinatário
- Quando o funcionário sai, sua chave mestra é descartada e os acessos compartilhados são removidos da conta dele instantaneamente
- Auditoria registra quem acessou qual credencial, quando
Granularidade que importa
| Cenário | Configuração |
|---|---|
| Senha do roteador (todos do escritório) | Compartilhar com grupo "todos" |
| Acesso AWS de produção (só DevOps) | Compartilhar com grupo "devops", somente leitura |
| Conta de marketing (só time de mkt) | Compartilhar com grupo "marketing" |
| Senha do certificado e-CNPJ (só sócios + contador) | Compartilhar individual com 3 pessoas |
| Senha temporária para freelancer (3 meses) | Compartilhar com expiração automática |
Setup em 1 hora para PME (5-30 funcionários)
- Sócio admin cria conta master, define chave mestra forte (5+ palavras aleatórias), anota fisicamente
- Cria grupos lógicos: ex. "todos", "devops", "marketing", "comercial", "financeiro"
- Importa as senhas atuais da planilha/WhatsApp via CSV ou cópia manual
- Compartilha cada credencial com o grupo correto
- Convida funcionários: cada um cria sua conta, define própria chave mestra
- Treinamento 30 min: como usar a extensão do navegador, como acessar credencial compartilhada
- Apaga as fontes antigas: planilha, mensagens do WhatsApp, posts-it
Política de senhas que funciona
Documente 1 página de regras simples:
- Toda credencial corporativa fica no cofre (nada em WhatsApp, e-mail ou planilha)
- Nenhum funcionário compartilha senha por outro canal — pede acesso pelo cofre
- Senhas críticas (banco, AWS, etc) trocam a cada 6 meses
- Funcionário que sai = revogar acesso dele e trocar senhas críticas que ele teve acesso
- Auditoria mensal: revisar quem tem acesso ao quê
Offboarding em 5 minutos
Quando alguém sai (demitido, pediu demissão, fim de contrato):
- Admin entra no cofre → Membros → revogar acesso da pessoa
- Trocar senhas das credenciais críticas que ela tinha acesso (ela pode ter cópia mental ou em outro lugar)
- Documentar a troca
- Em planilha, esse processo nunca existe — você nunca tem certeza do que ele tem cópia
Conformidade LGPD
Cofre dedicado demonstra "medidas técnicas adequadas" (Art. 46) com:
- Cifragem AES-256-GCM em repouso
- TLS 1.3 em trânsito
- Controle de acesso individualizado
- Logs de auditoria de acesso
- Processo formal de offboarding
Em caso de incidente reportado à ANPD, esse pacote é defensável. Planilha + WhatsApp não é.
Custo real
R$ 24,90/usuário/mês (Virtuault) = R$ 750/mês para empresa de 30 pessoas. Compare com:
- 1 dia de TI consertando estrago de senha vazada: R$ 800-2.000
- 1 multa LGPD por falta de medidas adequadas: até 2% do faturamento
- 1 cliente perdido por incidente de segurança: incalculável
Funciona como seguro: parece custo até precisar.
Comece grátis pela sua equipe
Crie conta no Virtuault, teste com 2-3 colaboradores e migre gradualmente. Criar conta corporativa →