Segurança da sua conta

1. Ligue a verificação em duas etapas

Com ela, entrar na sua conta pede duas coisas: a senha e um código de 6 números que muda a cada 30 segundos no seu celular. Mesmo que alguém descubra sua senha, não entra sem o seu celular.

Do que você precisa

Um app autenticador no celular. Qualquer um destes serve, todos são gratuitos:

• Google Authenticator (Android e iPhone)
• Microsoft Authenticator (Android e iPhone)
• Ou o gerenciador de senhas que você já usa, se ele tiver códigos de verificação (1Password, Bitwarden, Senhas do iPhone)

Passo a passo

1. Entre no Mapa da Conta pelo computador ou pelo celular e abra Minha conta (no fim do menu lateral; no celular, no menu ☰).
2. Em Verificação em duas etapas, toque em Ativar. Aparece um QR code.
3. No app autenticador, toque em + e escolha Ler código QR. Aponte a câmera para o QR code.
   Está no celular e não dá para apontar a câmera para a própria tela? Toque em Não consegue ler?: aparece uma chave. No app, escolha Inserir chave e digite essa chave.
4. O app passa a mostrar Mapa da Conta com 6 números. Digite esses números no campo do passo 3 e toque em Ligar.
5. Guarde os códigos de recuperação que aparecem em seguida. São 8 códigos de uso único que servem para entrar se você perder o celular. Anote no papel ou salve no seu gerenciador de senhas. Não deixe só no próprio celular.

Pronto. Da próxima vez que entrar, depois da senha o Mapa da Conta pede o código do app.

Perguntas comuns

• Troquei de celular. Antes de trocar, a maioria dos apps transfere as contas (Google Authenticator: "Transferir contas"; Microsoft: backup na nuvem). Se já trocou, entre com um código de recuperação, desligue as duas etapas em Minha conta e ligue de novo no celular novo.
• Perdi o celular e os códigos. Fale com o suporte (contato@energias-sc.com.br). Vamos confirmar que é você antes de desligar a verificação, então isso leva algum tempo. É por isso que vale guardar os códigos.
• O código não confere. Confira se a hora do celular está no automático: o código depende do relógio.
• Usei vários códigos de recuperação. Em Minha conta, abra Gerar novos códigos de recuperação e confirme com o código do app. Os antigos deixam de valer.

2. Use uma senha só daqui

• Pedimos no mínimo 12 caracteres. Uma frase fácil de lembrar funciona bem, como Café-com-pão-às-7h.
• Não use a mesma senha do e-mail, do banco ou de redes sociais. Quando um site vaza, os golpistas testam a mesma senha em todos os outros.
• Um gerenciador de senhas (o do Google, do iPhone, Bitwarden, 1Password) cria e lembra senhas fortes por você.
• Esqueceu? Use Esqueci minha senha na tela de entrada. O link chega no seu e-mail e vale 60 minutos. Ao trocar a senha, todas as outras sessões abertas são encerradas.

3. Cuidado com golpes

• Nunca pedimos sua senha nem o código do app, nem por e-mail, nem por WhatsApp, nem por telefone. Quem pedir é golpista.
• Nossos e-mails só têm links para o endereço do Mapa da Conta. Na dúvida, não clique: digite o endereço no navegador.
• O Mapa da Conta não movimenta dinheiro e não pede dados de cartão nem senha de banco. Pagamento de plano é só por Pix, na tela Assinar dentro da sua conta.

4. Acompanhe os acessos

• Avisamos por e-mail quando sua conta é aberta num navegador ou aparelho novo, quando a senha muda, quando as duas etapas são desligadas, quando um código de recuperação é usado e quando seus dados são baixados. Se não foi você, o e-mail diz o que fazer.
• Em Minha conta → Aparelhos e acessos você vê os navegadores que entraram na sua conta e os últimos acontecimentos.
• Viu algo estranho? Toque em Sair de todos os outros aparelhos, troque a senha e ligue as duas etapas.
• Em computador compartilhado, use Sair ao terminar. Mesmo sem sair, a sessão fecha sozinha depois de 30 minutos parada.
• Quem você convida para um espaço entra com a própria senha e vê só aquele espaço, com o papel que você escolheu: editor ou só leitura. Dá para remover a qualquer momento em Pessoas.

O que fazemos do nosso lado

• Conexão sempre criptografada (https), inclusive dentro do aplicativo instalado.
• Senhas guardadas só em formato irreversível (Argon2id): nem nós conseguimos ler.
• As descrições dos lançamentos ficam criptografadas no banco de dados.
• Cada cliente só enxerga o próprio espaço. Testamos isso a cada versão, com tentativas de acesso cruzado entre contas.
• Limite de tentativas no login, no código de verificação, no cadastro e na recuperação de senha, contra quem tenta adivinhar.
• Proteção contra formulários falsos (CSRF), contra páginas que tentam se passar pela nossa (CSP) e contra injeção de comandos no banco de dados.
• Cópia de segurança diária do banco de dados, cifrada: nem o próprio servidor consegue abri-la. A chave fica guardada fora dele.
• Monitoramento de tentativas de invasão, com alerta imediato para a nossa equipe.
• Você pode baixar todos os seus dados ou apagar sua conta quando quiser, em Minha conta (LGPD). Veja a Política de privacidade.

Achou uma falha de segurança? Conte para nós em contato@energias-sc.com.br. Respondemos e corrigimos com prioridade.