Caso de uso · equipas técnicas
A 2FA das contas de infraestrutura, para equipas técnicas
Conta root da cloud, registrar, DNS, organização GitHub: torne os códigos 2FA das contas críticas acessíveis à equipa de piquete, pela web, pela API ou por um agente, com um registo de cada acesso.
As contas mais sensíveis de uma equipa técnica são também as menos usadas: a conta root do fornecedor de cloud, o registrar, o DNS, o proprietário da organização GitHub. A sua 2FA é muitas vezes configurada uma vez, no telemóvel de uma só pessoa, e depois esquecida até ao dia em que algo corre mal.
O que corre mal sem um cofre partilhado
- Um incidente às 3 da manhã exige a conta root, e a semente está no telemóvel de alguém que está a dormir.
- O domínio expira, e a conta do registrar está protegida pelo telemóvel de um antigo sócio.
- A semente foi colada numa wiki ou numa variável de ambiente «para desenrascar», e já ninguém sabe quem a copiou.
Como o Share Auth resolve
O piquete tem o código, não a semente. Os membros de piquete são leitores: obtêm o código atual sem poderem copiar aquilo que o gera. As sementes permanecem cifradas no cofre.
Cada acesso deixa rasto. O registo de acessos diz quem obteve o código da conta root, quando e a partir de que endereço. Depois de um incidente, é com isso que se reconstitui quem fez o quê.
Pela ferramenta adequada. O site para um acesso pontual, a API para um script, o conector MCP para um agente de IA, o Slack ou o Discord para o canal de piquete, limitado pelas restrições por canal apenas às contas úteis.
Tokens que só servem para isso. Um token de API pode ser limitado à leitura dos códigos, por uma duração de 1 a 90 dias, e revogado a qualquer momento.
Para saber mais
Perguntas frequentes
Sim, pela API, com um token limitado à leitura dos códigos. Não pode alterar nada, expira ao fim da duração escolhida e cada código obtido figura no registo de acessos, em nome da pessoa a quem pertence o token.
O menos possível. Mas no dia em que for preciso usá-la, a equipa de piquete tem de o conseguir fazer sem procurar quem tem o telemóvel. O Share Auth torna esse acesso possível e regista-o, sem multiplicar as cópias da semente.
O conector MCP dá-lhes o código de uma conta, nunca a sua semente. Mantenha a confirmação humana ativada no seu cliente para cada código pedido.