Segurança e autenticação
Papel da funcionalidade
Section titled “Papel da funcionalidade”Além do login com e-mail e senha, o xLumen oferece duas camadas extras de proteção no acesso à conta: o link mágico (confirmação por e-mail) e a verificação em duas etapas (2FA) com aplicativo autenticador. Elas reforçam a segurança da conta contra acessos indevidos, mesmo que a senha de alguém vaze.
As duas são opcionais e independentes: a operação pode ligar nenhuma, uma ou as duas ao mesmo tempo. Com as duas ligadas, o usuário passa pelas duas etapas ao entrar.
Onde configurar
Section titled “Onde configurar”A opção fica em Configurações > Segurança e autenticação, onde é possível ligar ou desligar cada camada.
A ativação vale para a conta inteira: ao ligar o link mágico ou a verificação em duas etapas, a exigência passa a valer para todos os usuários da operação. Não há ativação individual por usuário.
Quem pode ativar
Section titled “Quem pode ativar”Somente administradores acessam a tela de Segurança e autenticação e ligam ou desligam as camadas. Na edição de um usuário, a aba de segurança tem apenas a opção de remover o autenticador (veja Remover o autenticador de um usuário).
Como fica o login
Section titled “Como fica o login”O acesso começa sempre igual: o usuário informa e-mail e senha. Em seguida, conforme o que estiver ativado, vêm as etapas extras — primeiro o link mágico, depois a verificação em duas etapas quando as duas estão ligadas.
Link mágico
Section titled “Link mágico”Com o link mágico ativado, depois de informar e-mail e senha o usuário não entra direto: o sistema avisa que enviou um link de acesso para o e-mail cadastrado na criação daquele usuário.
O e-mail chega de [email protected], com o botão Acessar minha conta (ou o link direto). Ao clicar, o usuário é levado já autenticado para dentro da conta.
Pontos importantes:
- o link vale por 15 minutos e é de uso único;
- não há botão de reenviar o e-mail — se o link expirar ou se perder, o caminho é refazer o login para gerar um novo.
Verificação em duas etapas (2FA)
Section titled “Verificação em duas etapas (2FA)”A verificação em duas etapas usa um aplicativo autenticador (padrão TOTP, os mesmos apps usados por outros serviços).
No primeiro login com o 2FA ativado, o sistema exibe um QR code e uma chave equivalente. O usuário cadastra esse código no aplicativo autenticador e confirma informando o número gerado pelo app. Nos logins seguintes, basta informar o código atual mostrado no aplicativo.
Pontos importantes:
- após 5 tentativas de código erradas, o acesso fica bloqueado por 15 minutos;
- não há código ou backup de recuperação. Se o usuário perde o acesso ao aplicativo autenticador, a única saída é um administrador remover o autenticador desse usuário — no login seguinte, ele cadastra o aplicativo de novo.
Remover o autenticador de um usuário
Section titled “Remover o autenticador de um usuário”Quando um usuário perde o aparelho ou troca de aplicativo autenticador, o administrador libera um novo cadastro removendo o autenticador atual:
Configurações > Equipe > Usuários e Atendentes > editar o usuário > aba Segurança > Remover autenticador.
Remover o autenticador não desliga a verificação em duas etapas da conta — apenas zera o cadastro daquele usuário. No próximo login, ele passa de novo pela etapa de cadastro do aplicativo (QR code) descrita acima.
Perguntas frequentes
Section titled “Perguntas frequentes”Posso usar o link mágico e a verificação em duas etapas ao mesmo tempo?
Section titled “Posso usar o link mágico e a verificação em duas etapas ao mesmo tempo?”Sim. As duas camadas são independentes e podem ficar ligadas juntas. Nesse caso, depois do e-mail e senha o usuário passa primeiro pelo link mágico e depois pela verificação em duas etapas.
Quem pode ativar ou desativar essas proteções?
Section titled “Quem pode ativar ou desativar essas proteções?”Apenas administradores da conta, em Configurações > Segurança e autenticação. A ativação vale para todos os usuários da operação, não é definida usuário a usuário.
O link de acesso por e-mail expira?
Section titled “O link de acesso por e-mail expira?”Sim. O link mágico vale por 15 minutos e só pode ser usado uma vez. Não existe botão de reenviar: se ele expirar, refaça o login para receber um novo.
Perdi o celular com o aplicativo autenticador. Como recupero o acesso?
Section titled “Perdi o celular com o aplicativo autenticador. Como recupero o acesso?”Não há código de recuperação. Um administrador precisa remover o autenticador do seu usuário em Configurações > Equipe > Usuários e Atendentes > editar o usuário > aba Segurança. No login seguinte, você cadastra o aplicativo novamente.
Errei o código do autenticador várias vezes e travou. O que aconteceu?
Section titled “Errei o código do autenticador várias vezes e travou. O que aconteceu?”Após 5 tentativas erradas, o acesso fica bloqueado por 15 minutos. Depois desse período, é possível tentar de novo com o código atual do aplicativo.