Configure logo no início a autenticação de dois fatores, os dispositivos de login, as informações de recuperação e as permissões empresariais. Esses quatro pontos ajudam a evitar muitas invasões de conta e verificações forçadas, além de definir uma ordem clara de ação diante de um login suspeito.
Uma conta invadida, restringida ou desativada muitas vezes não é apenas questão de azar; em vários casos, algumas configurações importantes nunca foram feitas. Assim que a conta entra em operação, há quatro pontos que realmente vale a pena concluir: autenticação de dois fatores, atividade de login e dispositivos autorizados, informações de recuperação e permissões vinculadas a contas empresariais. Com esses quatro pontos ajustados, diante de um login anormal basta seguir uma sequência fixa, sem precisar improvisar no momento da crise.
Qual método de autenticação de dois fatores escolher?
A plataforma oferece vários métodos de verificação. Na escolha, o critério não deve ser apenas a conveniência, mas também se você consegue recuperar o acesso por conta própria quando algo falha.
Um aplicativo autenticador, ou seja, uma ferramenta no celular que gera códigos dinâmicos, é uma das opções mais simples de manter. Ele não depende do canal de SMS, portanto trocar de dispositivo, região ou número não interrompe automaticamente o acesso. Os códigos por SMS são muito práticos, mas, se o número for desativado ou a sua região não receber mensagens internacionais, a própria verificação pode se transformar em obstáculo e tornar a recuperação mais demorada. Métodos de hardware, como chaves de segurança, oferecem o nível mais alto de proteção e servem para algumas contas críticas, mas precisam ser guardados com cuidado; se forem perdidos, pode ser necessário passar por um processo de recurso.
Uma prática comum é usar um aplicativo autenticador como método principal e salvar o código de recuperação imediatamente quando ele é gerado, mantendo também uma cópia offline. Esse código aparece apenas uma vez no momento da geração e não pode ser visto novamente depois.
Quando várias pessoas administram a mesma conta, evite também encaminhar códigos de verificação para um grupo e compartilhá-los. Assim que o código é distribuído para todos, a autenticação de dois fatores vira pouco mais que uma formalidade. É melhor usar um sistema de permissões que atribua níveis de acesso diferentes a cada pessoa, em vez de entregar a todos as mesmas credenciais de login.
Atividade de login e dispositivos autorizados
A página de atividade de login mostra os dispositivos usados recentemente e suas localizações aproximadas. Vale a pena consultá-la regularmente, concentrando-se em dois pontos: se aparecem dispositivos ou cidades desconhecidos e se aplicativos que deixaram de ser usados há muito tempo ainda continuam autorizados.
Ferramentas antigas de análise, plugins de sorteio e serviços de publicação de terceiros costumam manter a autorização mesmo depois de deixar de ser usados. Manter essa permissão só preserva uma rota adicional de entrada na conta. Se não é mais necessário, revogue o acesso.
Não espere um problema para configurar as informações de recuperação
O e-mail e o número de telefone de recuperação determinam se você conseguirá retomar a conta por conta própria depois de um problema. Há dois detalhes que são especialmente fáceis de esquecer.
O e-mail deve continuar acessível no longo prazo. Não use um endereço temporário ou abandonado e confirme que você ainda sabe a senha dele. O número de telefone também não deve ser um número que possa ser cancelado a qualquer momento, principalmente se for emprestado. Se as informações de recuperação deixarem de ser válidas, a autenticação de dois fatores pode acabar se tornando justamente a barreira que impede você de entrar na própria conta.
Permissões vinculadas a contas empresariais
Se a conta do Instagram estiver vinculada a uma Página do Facebook, uma plataforma de gestão empresarial ou uma conta de anúncios, o limite de segurança vai além da própria conta do Instagram. Verifique três pontos: quem são os administradores e se pessoas que saíram da empresa ou mudaram de função foram removidas a tempo; quais aplicativos de terceiros e ferramentas de publicidade foram autorizados; e se alguém mantém ativos essenciais em uma conta secundária pessoal que ninguém conseguirá assumir depois que essa pessoa sair.
A regra básica é usar funções e permissões sempre que possível, em vez de senhas compartilhadas. Se várias pessoas precisam operar a mesma conta, cada membro pode ter uma identidade independente e um ambiente de navegador separado. Isso torna as ações rastreáveis e reduz os problemas de verificação que podem ser acionados por logins simultâneos em locais diferentes. Esse também é um uso comum do PurpleMark em cenários com várias contas.
Em caso de login suspeito, siga esta ordem
- Enquanto ainda conseguir entrar, altere a senha e escolha nas configurações de segurança a opção para sair de todos os outros dispositivos;
- Verifique se a autenticação de dois fatores foi alterada e se o número vinculado e o aplicativo autenticador continuam sob seu controle;
- Confira o e-mail e o número de recuperação para ver se foram substituídos pelas informações de outra pessoa;
- Revogue os dispositivos e aplicativos autorizados que você não reconhece;
- Verifique os ativos empresariais vinculados e veja se surgiram novos administradores em Páginas ou contas de anúncios;
- Depois de concluir as etapas, acompanhe os alertas de login por algum tempo para confirmar que a atividade anormal não voltou.
A ordem não deve ser invertida. Alterar a senha só expulsa a sessão atual; se as informações de recuperação já tiverem sido trocadas, a outra pessoa poderá voltar rapidamente pelo processo de recuperação. Primeiro corte as rotas de acesso deixadas na conta, depois confirme que as informações de recuperação e verificação permanecem sob seu controle e só então organize os ativos empresariais.
Quais pontos são mais fáceis de deixar de lado no final?
Dos quatro pontos, a autenticação de dois fatores é o mais visível e, por isso, quase todos lembram de configurá-la. As informações de recuperação e as permissões empresariais são mais fáceis de ignorar porque raramente causam problemas no uso diário. No entanto, quando ocorre um incidente de verdade, são justamente esses dois pontos que determinam se a conta poderá ser recuperada. O verdadeiro valor das configurações de segurança é manter você capaz de resolver o problema por conta própria quando algo acontecer com a conta.
