Segurança

O Share Auth guarda segredos que dão acesso a contas. Esta página descreve como são protegidos em cada etapa, e onde acabam as garantias da ferramenta.

As sementes ficam cifradas

Uma semente TOTP é cifrada em AES-256 antes de ser guardada, com uma chave própria da aplicação que não se encontra na base de dados. Só é decifrada no momento de calcular um código, em memória, e nunca é devolvida pela API, pela extensão de navegador ou pelo conector MCP: estes só recebem o código atual.

Cada equipa é isolada

Um segredo pertence a uma equipa. Cada pedido verifica que faz parte da equipa ativa da pessoa e, depois, que a sua função autoriza a ação pedida:

• leitor: consultar e copiar os códigos, sem ver a semente;
• editor: adicionar e alterar os segredos, e ver a respetiva semente;
• administrador: tudo isto, mais a eliminação e a faturação;
• proprietário: todos os direitos, incluindo os membros, a faturação e o registo de acessos.

A isto somam-se os limites do seu plano, que nunca eliminam nada.

Cada código fornecido fica registado

O registo de acessos anota quem obteve que código, quando e por que canal: site, API, Slack, Discord ou Microsoft Teams, com o endereço IP para o site e a API. Só o proprietário o pode consultar. As consultas repetidas do mesmo segredo pela mesma pessoa são agrupadas em períodos de cinco minutos, para que uma página deixada aberta não afogue o histórico.

Os bots de mensagens

Cada chamada de um bot é autenticada pela assinatura da plataforma (Slack, Discord ou Microsoft Teams), e o número de comandos por pessoa é limitado. Só o proprietário pode criar uma integração, e pode desativá-la a qualquer momento.

Uma integração abre o acesso a todo o espaço de trabalho ligado: a plataforma prova de onde vem o comando, não que conta Share Auth o lança, por isso as funções da equipa não se aplicam. As restrições por canal limitam os segredos que cada canal pode obter. Cada código fornecido por um bot fica no registo, com o nome indicado pela plataforma.

As contas estão protegidas

• Autenticação de dois fatores da sua conta Share Auth por aplicação TOTP, com códigos de recuperação.
• Sem aplicação de autenticação, cada novo navegador tem de ser confirmado por e-mail, por ligação ou por código. Um navegador confirmado é reconhecido durante 30 dias.
• A palavra-passe volta a ser pedida antes de ligar um novo aparelho, como a extensão de navegador.

Os tokens de API são limitados

Um token tem as permissões escolhidas na sua criação, e nada mais: um token que lista e lê códigos não pode alterar nada. A sua duração é de 1, 7, 30 ou 90 dias, revoga-se a partir do seu perfil, e a API limita cada utilizador a 60 pedidos por minuto.

Alojamento e transporte

Os dados estão alojados em França. Tudo passa por HTTPS, com HSTS, e as páginas da aplicação que mostram segredos nunca ficam em cache. Os detalhes dos prestadores constam da política de privacidade.

O que o Share Auth não faz

O Share Auth partilha códigos 2FA. Não substitui um gestor de palavras-passe nem uma estratégia de gestão de identidades, e não protege uma conta cuja palavra-passe já circula. Mantenha curta a lista dos seus editores: são eles que podem ver as sementes.