Como é protegida a minha conta?

Que camadas protegem a conta?

• Passkeys: a forma de entrada mais forte. A chave privada fica no seu dispositivo e só funciona no endereço verdadeiro do serviço.
• Aprovação no telemóvel com número: o telemóvel só aprova se escrever o número mostrado no browser, o que trava pedidos enviados por terceiros.
• Política de acesso: a organização decide que métodos são exigidos para cada aplicação, rede, horário e postura do dispositivo.
• Confirmações recentes: ações sensíveis (mudar a segurança, remover um telemóvel, apagar dados) pedem uma confirmação com passkey de há poucos minutos.
• Controlo a dois: alterações críticas podem exigir a aprovação de um segundo administrador.

Que segredos guarda o serviço?

Nenhum segredo que permita entrar por si:

• palavras-passe: só um verificador Argon2id;
• passkeys e telemóveis: só as chaves públicas;
• códigos de recuperação: só resumos;
• sementes de códigos e credenciais privilegiadas: seladas com chaves geridas à parte.

Como sei o que aconteceu na minha conta?

A organização tem um registo de auditoria encadeado e verificável: cada evento depende do anterior, por isso apagar ou alterar um evento é detetável. Decisões importantes recebem recibos assinados.

O que faço se suspeitar de uma tomada de conta?

1. Recuse qualquer pedido que não fez, com «Não fui eu».
2. Entre com a passkey e mude a palavra-passe.
3. Reveja os dispositivos de confiança e as sessões, e termine as que não reconhece.
4. Avise de imediato a segurança da sua organização.

Uma suspeita de tomada de conta é sempre tratada por uma pessoa, nunca só por um assistente automático.

Quem pode ver os meus dados?

Os administradores da sua organização, dentro das funções que lhes foram dadas. O fornecedor do serviço só acede para suporte e operação, e esse acesso fica registado.