Segurança não é uma caixinha para marcar. São cinco camadas, e cada uma tem um punhado de ajustes concretos: conta, navegador, extensões, rede e dispositivo. Passar por todas leva uma noite, e a maior parte do ganho vem da primeira.
Este checklist de segurança digital foi escrito para quem tem contas que doem perder — a loja, o gerenciador de anúncios, o banco, o e-mail que recupera todo o resto. Ele serve para proteger contas na internet de forma prática, com um jeito de conferir cada item depois de ajustar.
Uma honestidade de partida: nada aqui elimina risco. Reduz, e reduz bastante — que é o máximo que qualquer configuração faz.
Do que exatamente você está se protegendo
Cinco cenários reais, um parágrafo cada:
Roubo de sessão. Alguém obtém os cookies de sessão da sua conta e entra sem precisar da senha. Acontece por malware, por extensão maliciosa ou por sessão deixada aberta em máquina de terceiro. A senha continua correta e inútil.
Vazamento de senha em serviço alheio. Um site qualquer é invadido, sua senha aparece numa base, e quem a comprou testa a mesma combinação em dezenas de serviços. Se você repete senha, o vazamento de um vira o vazamento de todos.
Extensão maliciosa. Uma extensão instalada por conveniência enxerga tudo o que aparece na sua tela, inclusive páginas logadas.
Interceptação em rede aberta. Wi-Fi de aeroporto, café e coworking. O risco caiu com o HTTPS quase universal, mas continua existindo para tráfego mal configurado e para redes que se disfarçam de outras.
Golpe e phishing. A porta de entrada mais usada, e a que não depende de falha técnica nenhuma. Página que imita o login do banco, mensagem sobre entrega dos Correios, cobrança falsa. No Brasil, o golpista vai atrás do que dá dinheiro rápido: acesso ao Nubank ou ao PicPay, à conta de vendedor no Mercado Livre, Shopee ou Magalu, à conta de produtor na Hotmart. E vai atrás do seu CPF ou CNPJ, que abre portas em cadastros de terceiros — número que não se digita em formulário que chegou por link.
Camada 1 — a conta: onde a maior parte dos golpes é barrada
Se você só tiver tempo para uma camada, faça esta: é aqui que se decide se você consegue proteger contas na internet.
Senha única por serviço e gerenciador de senhas
O que fazer: uma senha diferente em cada serviço, guardadas num gerenciador de senhas. Não precisa memorizar nada além da senha-mestra.
Por quê: anula o efeito dominó do vazamento em serviço alheio. É o único ajuste desta lista que transforma um problema grande em um problema pequeno.
Como conferir: o próprio gerenciador aponta senhas repetidas, fracas e presentes em vazamentos de dados conhecidos. Rode essa verificação — a lista costuma ser desconfortável. Comece pelo e-mail principal, que é quem recupera todos os outros.
Dois fatores: aplicativo autenticador ou chave física, não SMS
O que fazer: ative autenticação de dois fatores em tudo o que aceitar, preferindo aplicativo autenticador ou chave de segurança física. Use SMS só onde não houver alternativa.
Por quê: a verificação em duas etapas por SMS depende do seu número, e número se perde. O SIM swap — quando alguém convence a operadora a transferir sua linha para outro chip — é uma fraude conhecida no Brasil, e a clonagem de WhatsApp costuma começar por aí. Aplicativo autenticador e chave física não dependem da operadora.
Como conferir: entre na conta a partir de um navegador em que você não esteja logado e veja se o segundo fator é realmente pedido. Se entrou direto, não está ativo.
Códigos de backup e mapa de recuperação
O que fazer: gere os códigos de backup de cada conta importante e guarde fora do celular — impressos, ou no gerenciador de senhas se ele não for o mesmo lugar onde mora o segundo fator daquela conta. E desenhe o mapa: qual e-mail recupera qual conta, qual telefone está cadastrado onde.
Por quê: o dia em que você perde o celular é o dia em que descobre que o autenticador estava só ali.
Como conferir: se pergunte, para cada conta importante: se meu celular sumir agora, eu entro? Se a resposta for não, faltam códigos.
Sessões ativas, dispositivos conectados e apps de terceiros
O que fazer: abra as configurações de segurança de cada conta importante e revise três listas — sessões ativas, dispositivos conectados e aplicativos de terceiros com acesso autorizado. Encerre o que não reconhecer e revogue o que não usa mais.
Por quê: é aqui que um roubo de sessão aparece, e é aqui que aquele aplicativo autorizado em 2019 continua com permissão de leitura da sua conta.
Como conferir: depois de encerrar as sessões, a lista deve mostrar apenas os seus dispositivos atuais. Vale repetir a revisão a cada poucos meses, ou sempre que trocar de aparelho.
Onde encontrar isso, sem depender do nome do menu: em praticamente todo serviço, essas três listas ficam na área de segurança da conta, e o caminho mais curto costuma ser a busca das próprias configurações — procure por sessão, dispositivo e aplicativo. Se a conta oferece a opção de encerrar todas as sessões de uma vez, é ela que você quer: sair de tudo e entrar de novo apenas nos aparelhos que usa.
Camada 2 — o navegador
Atualizações automáticas ligadas. A maior parte das correções de segurança chega por aí. Confira na página “sobre” do navegador se a versão instalada é a atual.
HTTPS obrigatório. Os navegadores têm uma opção de exigir HTTPS sempre e avisar quando um site tenta carregar sem criptografia. Ative. Para conferir, tente abrir um site antigo em http:// — deve aparecer um aviso.
Senhas salvas no navegador. Funcionam, e são melhores do que repetir senha. São piores que um gerenciador dedicado: quem tem acesso ao seu perfil desbloqueado tem acesso a elas, e malware voltado para navegador procura exatamente esse arquivo. Se usar, proteja o perfil e não deixe a máquina destravada. Para conferir, abra a lista de senhas salvas: se ela abre sem pedir a senha do sistema, qualquer um com a máquina aberta tem tudo.
Preenchimento automático de dados de pagamento. Desative o salvamento de cartão no navegador se a máquina não é exclusivamente sua. É dois segundos de comodidade contra uma exposição permanente.
Permissões de site. Câmera, microfone, localização e notificações. A lista de sites com permissão concedida costuma ter dezenas de entradas esquecidas. Abra as configurações de permissões, revise e revogue tudo o que não for de uso corrente. Confira depois abrindo um dos sites removidos: ele deve pedir permissão de novo.
Cookies. Bloquear tudo quebra sites; o meio-termo razoável é permitir cookies das páginas que você usa e limpar os demais periodicamente. Para conferir, limpe os cookies e repare em quais serviços você precisa entrar de novo — essa lista de logins refeitos é exatamente o conjunto de sessões que vale a pena preservar da próxima limpeza; todo o resto pode ir embora sem custo.
“Navegação segura” do Chrome: o que esse botão faz de verdade
A opção chamada Navegação segura no Chrome é a proteção contra sites, downloads e extensões reconhecidamente perigosos. Ela fica em Configurações, na seção de privacidade e segurança, e tem três níveis, não dois: proteção aprimorada, proteção padrão e sem proteção. A padrão é um híbrido: o Chrome mantém no aparelho uma cópia da lista de páginas de phishing e malware e, em paralelo, faz uma checagem em tempo real através de um servidor de privacidade que oculta o seu IP do Google. A aprimorada vai além — envia mais informação ao Google, analisa downloads em profundidade e cobre ameaças ainda não catalogadas. A terceira opção, sem proteção, desliga tudo isso.
Ela é útil e não substitui nada desta lista: protege contra páginas já conhecidas como maliciosas, e não contra a página criada esta manhã, nem contra a senha repetida.
Camada 3 — as extensões
O que fazer: abra a lista de extensões instaladas e faça três coisas. Remova as que não usa há meses e revogue o acesso delas. Para as que ficam, abra os detalhes e olhe a permissão pedida — a mais grave é “ler e alterar todos os seus dados nos sites que você visita”, que significa acesso ao conteúdo de qualquer página logada. E confira de onde vieram: loja oficial, com desenvolvedor identificável e atualização recente.
Por quê: extensão é o único software que roda dentro do seu navegador com acesso ao que você vê. E extensões mudam de dono — uma ferramenta inofensiva pode ser vendida e receber, na atualização seguinte, um código que ninguém pediu.
Como conferir: depois da limpeza, cada extensão restante deve ter uma resposta sua para “por que ela precisa dessa permissão?”. Se não tiver, ela sai. Onde for possível, restrinja a extensão a rodar só em sites específicos, em vez de em todos.
Vale o mesmo aqui: em vez de decorar caminho, abra a página de extensões do navegador e entre nos detalhes da extensão. É nessa tela que aparecem as permissões concedidas e a opção de limitar em quais sites ela pode rodar — se você não encontra a opção, a extensão provavelmente exige acesso a todos os sites, e isso por si só já é uma informação sobre ela.
Camada 4 — a rede
Wi-Fi público. O risco maior hoje não é alguém ler seu tráfego HTTPS, é conectar-se a uma rede falsa com nome parecido com a legítima. Confirme o nome com o estabelecimento, desative a conexão automática a redes abertas e esqueça as redes públicas que você já usou, e evite operações sensíveis em rede alheia. Se precisar trabalhar, os dados móveis do celular são mais confiáveis que o Wi-Fi do café.
DNS criptografado. As opções DoH e DoT cifram suas consultas de DNS, o que dificulta que a rede em que você está monte a lista de domínios acessados. Não é invisibilidade: o IP do destino continua visível e, sem ECH, o nome do site ainda aparece no início da conexão. É uma configuração do navegador ou do sistema, ligada em um clique. Para conferir, existem páginas de teste de DNS que mostram qual resolvedor está sendo usado.
VPN. Serve para dois casos: rede não confiável e necessidade de sair por outro país. Não protege contra senha fraca, extensão maliciosa nem phishing — e uma VPN gratuita significa que alguém está pagando a conta de outro jeito, geralmente com os seus dados.
Camada 5 — o dispositivo
Bloqueio de tela com senha ou biometria, no computador e no celular, com bloqueio automático em poucos minutos. É o item mais simples e o mais ignorado. Como conferir: deixe a máquina parada pelo tempo que você configurou e veja se ela pede a senha ao voltar.
Criptografia de disco ativada. A ressalva importa: não é exatamente “de fábrica” em todo lugar. O Windows Home não traz o BitLocker completo — o que existe ali é a Criptografia de Dispositivo, que só é ativada quando o aparelho atende aos requisitos de hardware (no Windows 11 24H2 esses requisitos ficaram mais brandos, então mais máquinas passam a ter). Nas edições Pro e Enterprise há BitLocker; no macOS, o FileVault; no Linux, LUKS. Sem criptografia, um notebook perdido é uma pasta aberta. Como conferir: nas informações do sistema, o disco deve aparecer como criptografado — se não aparecer, ative na mão.
Perfil separado do sistema operacional para trabalho, sem conta de administrador no uso diário. Assim, um programa executado por engano não instala nada sozinho. Como conferir: tente instalar qualquer coisa no perfil de trabalho — o sistema tem que pedir a senha de administrador.
Atualizações do sistema ligadas. Como conferir: abra a tela de atualizações e olhe a data da última que foi instalada.
Backup automático do que você não pode perder, com uma cópia fora do computador. Como conferir: restaure um arquivo a partir do backup — backup não testado não é backup.
No celular, valem as mesmas ideias: bloqueio, atualização, e cuidado com o que se instala fora das lojas oficiais.
E o rastreamento por anúncios?
Parte das configurações de navegador diz respeito a redes de anúncios acompanharem sua navegação entre sites — mecânica diferente da segurança de conta, com ferramentas próprias e efeitos colaterais próprios sobre o funcionamento das páginas. Vale tratar esse assunto separadamente, porque as decisões ali são de privacidade, e não de proteção contra invasão.
O que esse checklist não resolve
Navegação privada não é anonimato. A janela anônima esconde histórico do seu computador. O site continua vendo seu IP, e a plataforma em que você loga continua sabendo exatamente quem você é.
Configuração de um navegador não separa contas. Se você opera várias contas da mesma plataforma — lojas, gerenciadores de anúncios, contas de clientes —, todas saem do mesmo IP, com a mesma impressão digital de navegador e, muitas vezes, com cookies convivendo. Nenhum ajuste desta lista muda isso: o que muda é operar cada conta em um ambiente isolado.
É esse o problema que ferramentas como o 🔥 Dolphin Anty resolvem — um aplicativo desktop para Windows, macOS e Linux, em que cada conta fica em um perfil próprio, com sua impressão digital, seus cookies e seu proxy, e em que a equipe recebe acesso por permissão em vez da senha do dono circulando pelo grupo. É isolamento de sessões e organização de acesso, e não proteção contra invasão: senha fraca continua sendo senha fraca dentro de qualquer perfil. Os detalhes de perfis e permissões estão na documentação oficial do Dolphin Anty, e as condições de cada plano, na página de planos do site.
Checklist final — para salvar ou imprimir
Conta
- Senha única em cada serviço, guardadas em gerenciador de senhas
- Verificação do gerenciador rodada: nenhuma senha repetida, fraca ou vazada
- Dois fatores ativo em e-mail, banco, redes e contas de trabalho
- Segundo fator por aplicativo autenticador ou chave física, não SMS
- Códigos de backup gerados e guardados fora do celular
- Mapa de recuperação escrito: qual e-mail e qual telefone recuperam o quê
- Sessões ativas revisadas e desconhecidas encerradas
- Dispositivos conectados revisados
- Aplicativos de terceiros sem uso revogados
Navegador
- Atualização automática ligada e versão atual confirmada
- HTTPS obrigatório ativado
- Decisão consciente sobre senhas salvas no navegador
- Preenchimento automático de cartão desativado em máquina compartilhada
- Permissões de site revisadas: câmera, microfone, localização, notificações
- Política de cookies definida e limpeza periódica
Extensões
- Extensões sem uso removidas
- Permissões de cada extensão restante revisadas e justificadas
- Origem e data de atualização conferidas
- Acesso restrito a sites específicos onde for possível
Rede
- Conexão automática a redes abertas desativada e redes públicas antigas esquecidas
- Nada de operação sensível em Wi-Fi público
- DNS criptografado ativado e testado
- VPN usada com propósito definido, de um fornecedor com política de logs pública
Dispositivo
- Bloqueio de tela com bloqueio automático
- Criptografia de disco ativada
- Perfil de trabalho sem conta de administrador no uso diário
- Atualizações do sistema automáticas
- Backup automático com cópia externa
Perguntas frequentes
O que é a navegação segura?
No Chrome, é o recurso que compara os endereços que você abre com listas de sites de phishing e malware e avisa antes de carregar. Em sentido amplo, é o conjunto de práticas deste checklist.
Como ativar a navegação segura?
Nas configurações do Chrome, na seção de privacidade e segurança, existe a opção “Navegação segura” com níveis de proteção. Escolha o nível e salve. Outros navegadores têm proteções equivalentes com outros nomes.
Como desativar a navegação segura do Google Chrome?
No mesmo lugar, escolhendo o nível “sem proteção”. O Chrome avisa do risco ao fazer isso, e o aviso procede: você perde o alerta contra páginas maliciosas conhecidas.
Qual é o navegador mais seguro?
Não existe um. Todos os navegadores atualizados de grandes fabricantes têm base de segurança comparável, e o que separa um usuário exposto de um protegido são as configurações, as extensões instaladas e os hábitos — não a marca. Um navegador reputado com dez extensões duvidosas é menos seguro que um comum bem configurado.
Preciso pagar por gerenciador de senhas, antivírus ou VPN?
Depende do uso. Gerenciadores de senhas têm opções gratuitas competentes e opções pagas com sincronização e compartilhamento. Antivírus: os sistemas atuais já vêm com proteção integrada razoável. VPN é o caso em que o gratuito costuma sair mais caro, porque o modelo de negócio recai sobre seus dados. Não há preço a citar aqui: compare o plano gratuito com o pago na página do próprio fornecedor e pergunte o que o pago acrescenta ao seu caso — se você não souber responder, o gratuito basta.
Meus dados têm alguma proteção legal?
Sim. A LGPD (Lei 13.709/2018) dá a você direitos sobre os dados pessoais que empresas tratam — acesso, correção, exclusão — e obriga quem trata a informar incidentes de segurança. O Marco Civil da Internet (Lei 12.965/2014) é a moldura geral. Em compra online, o Código de Defesa do Consumidor garante ainda o direito de arrependimento em sete dias, no art. 49.
Fechando
Volte no checklist final e faça só o bloco “Conta” hoje. São alguns minutos, e ele responde por quase tudo o que costuma dar errado — as outras quatro camadas podem esperar o fim de semana. E uma nota que a lista não cobre: configuração protege você, não substitui as regras. Contas em plataformas seguem os termos de cada uma, e o tratamento de dados de terceiros que passam pelas suas contas segue a lei — isso continua sendo responsabilidade de quem opera, com ou sem checklist.
