A Specialist Linux Solutions disponibiliza Autenticação em Dois Fatores (2FA) para acesso ao Webmail, adicionando uma camada adicional de segurança além da senha da conta.
Com o 2FA ativado, o usuário precisa informar sua senha e, em seguida, um código temporário de autenticação, reduzindo significativamente o risco de acesso indevido mesmo quando a senha da conta tenha sido comprometida.
A funcionalidade está disponível para todos os clientes e pode ser ativada individualmente pelos usuários ou, mediante solicitação ao nosso suporte, configurada como obrigatória para um domínio inteiro.
Métodos disponíveis
Existem atualmente duas formas de obter o código de autenticação.
Aplicativo autenticador — recomendado
É possível utilizar aplicativos geradores de códigos temporários, como:
- Google Authenticator
- Microsoft Authenticator
- Authy
- outros aplicativos compatíveis com TOTP (Time-based One-Time Password).
Após a configuração, o aplicativo passa a gerar códigos temporários que são solicitados durante o acesso ao Webmail.
Este é o método recomendado pela Specialist Linux Solutions, pois não depende de outro serviço de e-mail para o recebimento do código e oferece uma camada adicional de segurança para a autenticação.
Código enviado para outro endereço de e-mail
Também é possível receber o código de autenticação por e-mail.
O código é enviado para OUTRO endereço de e-mail que pertença ao usuário, e não para o próprio endereço que está sendo protegido.
Por exemplo, uma conta [email protected] pode utilizar como endereço de recuperação um endereço pessoal como [email protected], [email protected], [email protected] ou qualquer outro endereço ao qual o usuário tenha acesso.
É importante que esse seja realmente um endereço diferente e independente da conta protegida. Não faz sentido utilizar como segundo fator um endereço que dependa da própria conta que está sendo protegida.
Apesar de estar disponível, recomendamos preferencialmente o uso de um aplicativo autenticador no celular.
Atenção: o 2FA é exclusivo para acesso pelo Webmail
Ao ativar a Autenticação em Dois Fatores, o acesso à conta passará a ser realizado exclusivamente através do Webmail.
Isso inclui o acesso pelo navegador em:
- Computadores e notebooks;
- Tablets;
- Navegadores de celulares.
Por outro lado, programas e aplicativos que utilizam diretamente IMAP, POP3 ou SMTP deixarão de funcionar (aqueles onde você configurou os nomes como imap.seguromail.com.br e smtp.seguromail.com.br por exemplo).
Isso inclui, entre outros:
- Microsoft Outlook;
- Mozilla Thunderbird;
- Apple Mail;
- aplicativos de e-mail de smartphones;
- outros clientes de e-mail que utilizem IMAP, POP3 ou SMTP.
Esses programas passarão a apresentar erro de senha ao tentar receber ou enviar mensagens.
Portanto, antes de ativar o 2FA em uma conta, é fundamental verificar como essa conta é utilizada.
Se a conta estiver configurada em um Outlook, Thunderbird, aplicativo de celular ou outro cliente de e-mail, a ativação do 2FA fará com que esses acessos deixem de funcionar.
Obrigatoriedade de 2FA por domínio
Para empresas que utilizam exclusivamente o Webmail, disponibilizamos uma opção adicional de segurança: tornar a autenticação em dois fatores obrigatória para todo o domínio.
Nesse cenário, a empresa pode solicitar ao nosso suporte a ativação da obrigatoriedade.
Depois de habilitada:
- O usuário acessa normalmente o Webmail;
- O sistema verifica se a autenticação em dois fatores já foi configurada;
- Caso ainda não tenha sido configurada, o usuário será direcionado para a tela de ativação;
- O acesso ao Webmail permanecerá bloqueado até que a configuração do 2FA seja concluída.
Dessa forma, a empresa consegue garantir que todos os usuários do domínio utilizem autenticação em dois fatores, sem depender de cada usuário realizar a configuração voluntariamente.
Exceções à obrigatoriedade
Caso o domínio possua usuários que não possam utilizar o 2FA por questões operacionais, é possível solicitar ao suporte a criação de exceções específicas.
Por exemplo, uma empresa pode exigir 2FA para todos os funcionários que utilizam o Webmail, mas manter determinadas contas fora da obrigatoriedade porque:
- estão configuradas em Outlook;
- são utilizadas em aplicativos de celular;
- são contas de diretoria;
- são utilizadas por algum sistema ou equipamento;
- possuem alguma necessidade operacional específica.
As exceções são configuradas individualmente, permitindo que a empresa adote uma política de segurança mais rígida sem necessariamente interromper contas que dependam de clientes de e-mail tradicionais.
Ativação e desativação podem levar até 30 minutos
As alterações relacionadas ao 2FA não são necessariamente aplicadas de forma instantânea.
Após ativar ou desativar a autenticação em dois fatores, pode levar até 30 minutos para que a alteração seja propagada e aplicada completamente.
Isso é particularmente importante quando uma conta está sendo migrada entre os dois modelos de acesso.
Exemplo
Uma conta utiliza Outlook normalmente e o administrador decide ativar o 2FA.
Após a ativação, o Outlook poderá continuar tentando conectar por alguns minutos. Quando a alteração for efetivamente aplicada, o acesso via IMAP/SMTP será bloqueado e o Outlook passará a apresentar erro de autenticação/senha.
Da mesma forma, se o 2FA for posteriormente desativado para permitir novamente o uso do Outlook, pode ser necessário aguardar até 30 minutos para que o acesso via IMAP, POP3 e SMTP seja liberado novamente.
Portanto, não recomendamos alterar repetidamente a configuração em um curto intervalo de tempo. Após uma alteração, aguarde o prazo de propagação antes de realizar novos testes.
Recomendação de segurança
Para contas que utilizam exclusivamente o Webmail, recomendamos fortemente a utilização do 2FA com aplicativo autenticador, preferencialmente como política obrigatória para todos os usuários do domínio.
Uma senha comprometida pode permitir que terceiros tentem acessar uma conta de e-mail de qualquer lugar. Com o segundo fator habilitado, a senha deixa de ser suficiente para concluir a autenticação.
Para empresas, a combinação de senha forte + autenticação em dois fatores + política obrigatória de 2FA representa uma evolução significativa na segurança das contas de e-mail.
Importante: a ativação do 2FA deve ser planejada considerando a forma como cada conta é utilizada. Contas que dependem de Outlook, Thunderbird, aplicativos de celular ou outros sistemas que utilizem IMAP, POP3 ou SMTP não devem ter o 2FA ativado sem antes avaliar o impacto operacional.