Segurança e sessões#

Esta tela responde uma pergunta: quem está conectado agora? E permite fazer uma coisa: encerrar sessões.

Para o histórico — quem entrou, de onde, quando saiu, e as tentativas que não passaram — veja Auditoria de acessos. São perguntas diferentes, e cada uma tem a sua tela.

Como fazer#

1. Vá em Configurações → Segurança e sessões.
2. Veja a lista de sessões ativas.
3. Encerre uma sessão específica, ou todas.

Ao encerrar, as pessoas afetadas são desconectadas na hora, com aviso na tela.

Quando encerrar todas#

Depois de um incidente. Suspeita de credencial vazada, acesso indevido, ou qualquer coisa que faça você não confiar nas sessões abertas.

Depois de trocar um segredo do sistema. Reescrever o segredo de autenticação desloga todo mundo de qualquer forma — é melhor fazer isso de propósito do que descobrir pelo suporte.

Fora desses casos, encerrar todas é um transtorno para a operação inteira: cada atendente perde a tela em que estava. Prefira encerrar a sessão específica.

Desligar alguém: os dois passos#

Desativar o usuário impede login novo. Não derruba sessão já aberta.

Então o procedimento de desligamento tem dois passos, e o segundo é o que costuma faltar:

1. Desative o usuário em Usuários.
2. Encerre as sessões dele aqui.

Sem o passo 2, a pessoa continua dentro do painel — vendo conversas de clientes — até a sessão expirar sozinha.

Segundo fator#

O sistema oferece segundo fator de autenticação. Ative-o pelo menos para quem tem permissão de administração: são as contas que, comprometidas, dão acesso a tudo.

Guarde os códigos de recuperação num lugar que não seja o próprio celular que gera os códigos.

O que protege o login#

O login tem limite de tentativas: 5 por IP a cada 15 minutos e 10 por e-mail a cada hora. Isso atrasa muito um ataque de força bruta.

O que ele não protege é senha que já vazou em outro site. Contra isso, o que funciona é senha única por sistema e segundo fator ativo.

Se algo der errado#

Um atendente foi desconectado sem motivo. Confira se alguém encerrou as sessões, e veja a auditoria.

A sessão de uma pessoa não aparece na lista. Ela pode ter fechado o navegador sem sair; a sessão continua válida até expirar.

Você encerrou todas por engano. Não há como desfazer. As pessoas precisam entrar de novo — o trabalho salvo não se perde, mas a tela em que cada uma estava, sim.

Alguém entrou com credencial de outra pessoa. Encerre as sessões daquele usuário, troque a senha, e veja em Auditoria de acessos o que foi feito no período.