Cofre de Senhas no celular: o app de bolso

O Cofre de Senhas do Sonarview Boards tem um app de celular, pensado para o polegar e para quem está longe da mesa: aprovar liberações, revelar senhas e ter os códigos de 6 dígitos à mão. Este artigo explica como instalar sem loja de aplicativos, o que o app faz, como guardar o autenticador de um site lendo o QR com a câmera, o aviso na tela e a trava por digital. As regras são as mesmas do computador, descritas no artigo principal do Cofre de Senhas.

O app do celular

Além de abrir o Cofre no computador, existe um app do celular, pensado para o polegar e para o dia a dia de quem está longe da mesa. Ele não é o sistema inteiro na tela pequena, de propósito: abre em uma tela própria, sem a barra lateral do sistema, e faz só o essencial de bolso: aprovar liberações, revelar senhas e ter os códigos de 6 dígitos à mão, as tarefas que mais atrapalham quando obrigam a ligar o computador. Continua sendo o mesmo Cofre por trás, com as mesmas regras e as mesmas proteções, porque usa exatamente as mesmas funções do servidor. Nada de caminho paralelo: o app respeita as suas permissões (papéis, quem vê a pasta, acesso fino do item) do mesmo jeito que a tela do computador.

A entrada é a de sempre. Se a sua sessão cair, o app leva você ao portal de acesso e volta sozinho para onde estava. Se você usa o Cofre no computador, usa o app com o mesmo login.

Como instalar no celular

O app se instala a partir do próprio navegador do celular, sem loja de aplicativos:

• Android (Chrome e parecidos): abra o Cofre no celular e toque no botão "Instalar" que aparece. Pronto, o ícone vai para a tela de início como um aplicativo comum.

• iPhone (Safari): toque no botão de Compartilhar (o quadradinho com a seta para cima), role e escolha "Adicionar à Tela de Início". O ícone passa a ficar junto dos seus outros aplicativos.

Levando o app para o celular a partir do computador

Na tela do Cofre, no computador, há o card "Leve o cofre no celular" com um QR. Aponte a câmera do telefone para ele: o QR abre o endereço do app no navegador do celular, e só isso. Ele não instala nada sozinho, porque nenhum navegador instala um app sem a sua ordem.

Debaixo do QR aparece também o endereço curto do cofre (cofre.sonarview.com.br). Ele é curto de propósito: serve para quem não quer usar a câmera e prefere digitar direto no navegador do celular, e também para mandar por mensagem a um colega. O endereço curto leva exatamente ao mesmo lugar do QR: a tela do cofre no celular. Se você ainda não estiver logado, ele passa pelo login e devolve você ao cofre, sem precisar procurar nada no menu.

Quem instala é o botão. Assim que o app abrir no telefone, aparece no topo a faixa "Instale o Boards no celular": no Android, toque em Instalar e pronto; no iPhone, a faixa mostra os três passos do Safari (Compartilhar, "Adicionar à Tela de Início", Adicionar). Depois de instalado, o app abre em tela cheia, com o ícone do Sonarview Boards na sua tela de início, e a faixa não aparece mais. Se você dispensar a faixa, ela não volta a incomodar; o card do computador continua lá para quando você quiser.

Se você fechou o card no computador, ele vira o botão discreto "Levar o cofre no celular", que traz o QR de volta.

O botão de instalar só aparece no celular, não no computador. E, para quem preferir, há sempre no rodapé do app um link para abrir o sistema completo, com tudo o que o Cofre tem no computador.

O que o app faz

1. Aprovar liberações. Se você é aprovador de senhas com dupla custódia (ver o artigo sobre a liberação com aprovação de outras pessoas), a fila de pedidos aparece no app. Para cada pedido você vê de quem é, o motivo escrito por quem pediu e para qual senha, e decide ali mesmo: aprovar ou recusar. Para aprovar, você confirma com o seu próprio segundo fator, o código do seu app autenticador ou um código enviado ao seu e-mail. Recusar é um clique, sem código. Valem as mesmíssimas regras do sistema, sem exceção: quem pede nunca aprova o próprio pedido, as camadas são chamadas em ordem, uma recusa encerra o pedido inteiro na hora, e a liberação vale por 5 minutos para uma única revelação. Se você ainda não cadastrou o seu segundo fator, dá para fazer isso pelo próprio app, pela chave ou lendo o QR, do mesmo jeito da aba Autenticador.

2. Revelar senhas. Na aba "Senhas", o app lista as senhas que você já pode ver e deixa revelar cada uma ali mesmo, sem ligar o computador. A revelação segue as mesmas regras do sistema (o mesmo código de verificação, a mesma janela de 30 segundos com o botão de copiar, a mesma alçada quando a senha exige aprovação) e ainda soma uma barreira a mais, própria do celular: a sua digital a cada revelação. Ou seja, para ver uma senha no celular você confirma o código (do app ou do e-mail) e, logo depois, a digital do aparelho. As pastas trancadas também aparecem no app: para abrir uma, o app envia um código ao seu e-mail e você o confirma, e só então as senhas de dentro ficam visíveis para revelar. Se a senha exige aprovação de outras pessoas e você ainda não pediu, o app mostra o botão "Pedir acesso" ali mesmo.

Para revelar pelo celular é preciso ter a trava por digital ligada (veja adiante): é ela que fornece a digital exigida a cada revelação. Sem a trava ligada, o app avisa e não revela. Importante: a digital soma ao código, nunca o substitui, do mesmo jeito que a aprovação de dupla custódia soma ao código sem substituí-lo.

3. Códigos no bolso. A outra aba do app traz os códigos de 6 dígitos das contas com verificação em duas etapas, os mesmos da aba Autenticador do sistema. Ficam ocultos por padrão, e cada um tem o botão de copiar, que funciona mesmo com o código escondido. É o autenticador da empresa, sempre à mão, sem depender do celular de uma pessoa só. Você guarda um código aqui de duas formas: junto de uma senha, ou sozinho (à parte), lendo o QR com a câmera, como em um app autenticador comum, explicado logo abaixo.

4. Organizar em pastas. Direto do celular você pode criar uma pasta e mover várias senhas de uma vez para ela, sem abrir o computador. Marque as senhas na lista, toque em Organizar, escolha (ou crie) a pasta de destino e confirme. Valem as mesmas regras do sistema: a senha pessoal de outra pessoa nunca se move, nem para quem gerencia o cofre; e criar pasta é ação de quem gerencia o cofre.

Guardar o autenticador de um site lendo o QR com a câmera

Quando você liga a verificação em duas etapas em um site (o banco, o Google, a Receita), ele mostra um QR na tela e espera que você o leia com um aplicativo autenticador. O app do celular lê esse QR direto, sem precisar da opção "não consigo escanear" do site nem de copiar a chave escrita para o computador.

Como fazer, com o QR do site aberto na tela do computador:

1. Abra o app do celular e vá na aba Códigos.

2. Toque em "Ler QR com a câmera". A câmera abre na hora.

3. Aponte a câmera para o QR e encaixe-o na moldura. A leitura é automática: não há botão de tirar foto.

4. O app lê o nome da conta de dentro do próprio QR e mostra o que fazer: se você já tem uma senha salva com aquele nome, oferece guardar o código nela, com um toque; se não houver, guarda o código à parte (sozinho), e você só confirma o nome, que já vem sugerido.

A câmera vem primeiro e o próprio QR diz de qual conta se trata: não é preciso garimpar em uma lista antes de escanear. Se o código for guardado à parte e for da empresa (e você gerencia o cofre), o app pergunta se ele é "Meu" ou "Da empresa". O da empresa nasce privado; depois, no computador, na aba Autenticador, você libera o quem vê.

Pronto. A chave entra cifrada no Cofre e o código de 6 dígitos passa a aparecer na aba Códigos do celular e na aba Autenticador do computador, para quem tem acesso a ele. A leitura acontece dentro do seu aparelho: nenhuma foto sai do celular, e a chave nunca volta para a tela depois de guardada.

Detalhes que valem saber:

• Se a senha já tem um autenticador, o app não troca em silêncio: ele avisa e pede a sua confirmação ("Trocar o autenticador desta senha"). É a proteção contra ler o QR errado e derrubar um segundo fator que estava funcionando.

• Se o site usa um autenticador fora do padrão (código de 8 dígitos, troca a cada 60 segundos, ou por contador em vez de tempo), o Cofre recusa e explica. Guardar essa chave só produziria códigos que o site sempre recusaria. Nesses casos, use o aplicativo indicado pelo próprio serviço.

• Se a câmera não abrir (permissão negada no celular), a mesma tela oferece o campo para colar a chave escrita, que continua funcionando como antes.

• Se você apontar para um QR que não é de autenticador, o app avisa e continua procurando: é só virar a câmera para o QR certo.

Isso guarda o autenticador de um site dentro do Cofre. Não confunda com o seu segundo fator (o código que você usa para revelar senhas e aprovar liberações), que se cadastra em "O seu segundo fator", na mesma aba.

Ligar o aviso na tela (notificação push)

Para não precisar ficar conferindo o app, ele pode avisar na tela do celular quando chega um pedido de aprovação para você: o celular apita, como qualquer aplicativo. O aviso é ativado por aparelho, em um botão dentro do próprio app, então cada celular seu que quiser ser avisado precisa ligar o aviso uma vez.

O e-mail continua valendo como rede de segurança: mesmo com o aviso na tela ligado, o pedido também chega por e-mail, como sempre chegou. Um cuidado especial vale para o iPhone: nele, o aviso na tela só existe se o app tiver sido instalado na Tela de Início (a etapa "Adicionar à Tela de Início", acima). Quem abre o Cofre pelo Safari sem instalar não recebe o apito, mas continua recebendo o pedido por e-mail, normalmente.

Ligar a trava por digital

O celular anda pela rua, então o app pode exigir a digital ou o rosto (a biometria do próprio aparelho) para ser aberto. É o padrão seguro dos celulares modernos: a sua digital nunca sai do aparelho, o app apenas pede ao celular que confirme que é você.

Essa trava é levada a sério, não é só esconder a tela: enquanto você não desbloqueia, o servidor não entrega a fila de pedidos nem os códigos. Ou seja, quem pega o celular na mão e abre o app não vê nada até passar a digital.

Vale entender bem o que a trava por digital protege, e o que ela não substitui. Ela é a porta do app de bolso: controla quem consegue abrir o app naquele aparelho. Ela não substitui o código na hora de agir: para revelar uma senha ou para aprovar um pedido, o Cofre continua pedindo o seu segundo fator (o código do app ou o código por e-mail), no celular como no computador. No celular, a digital ganha ainda um segundo uso: além de abrir o app, ela autoriza cada revelação de senha, sempre somada ao código, nunca no lugar dele. Por isso, para revelar senhas no celular, a trava por digital precisa estar ligada.

Usa o Cofre em mais de um celular, ou o aparelho diz que não há chave para este site? A página A trava por digital do app de bolso tem os dois caminhos, passo a passo.

Não estou conseguindo

• No iPhone, o app pede para escanear um QR Code no outro celular. Isso é o iPhone tentando buscar, no seu outro aparelho, uma digital que ainda não existe neste. Feche esse aviso do celular, toque em Abrir e depois em Usar a digital deste aparelho: é o caminho de cadastrar o Face ID (ou a digital) daqui, sem mexer no outro aparelho.

• O app abre mas não mostra nada (nem fila, nem códigos). Provavelmente você não tem acesso ao Cofre nesta organização. O app segue as suas permissões: sem acesso ao Cofre, não há o que mostrar. A correção é a mesma do sistema no computador, pedir acesso a quem administra a organização, e não é coisa do app.

• Não consigo revelar senha no celular. Ligue a trava por digital no rodapé do app: é ela que fornece a digital exigida a cada revelação, e sem ela o app não revela. Se o aparelho não tem biometria configurada (ver o item abaixo), a trava não é oferecida, e aí a revelação segue pelo sistema no computador. Lembre também que senhas de pastas trancadas não aparecem na lista do celular, de propósito.

• O aviso na tela não chega. Confira duas coisas, nesta ordem: primeiro, se você instalou o app na Tela de Início (no iPhone isso é obrigatório para o aviso existir); segundo, se você ligou o aviso no botão dentro do app e liberou as notificações quando o celular perguntou. Enquanto isso não estiver resolvido, o pedido continua chegando por e-mail, então você não fica sem saber.

• A opção da digital não aparece. Isso acontece em aparelhos sem biometria configurada (sem digital nem reconhecimento de rosto cadastrados no próprio celular). Configure a biometria nos ajustes do aparelho e a trava passa a ser oferecida no app.

Veja também

• Cofre de Senhas: como guardar senhas e certificados digitais com segurança (o que é o Cofre, as pastas e quem vê o quê)

• Cofre de Senhas: liberar uma senha com aprovação de outras pessoas (dupla custódia) (as regras da aprovação que o app respeita)

• Cofre de Senhas: o código de verificação e a aba Autenticador (o seu segundo fator e a aba Autenticador no computador)