Checklist de segurança para o administrador do CollaborAI
Os ajustes que o administrador da organização deve fazer no primeiro dia e revisar todo mês: segundo fator, poucos admins, convites, módulos por grupo, compartilhamento e sessões.
A plataforma pode ter passado na avaliação de segurança e mesmo assim ficar exposta: basta uma conta de administrador sem segundo fator e com a senha repetida de outro serviço. Boa parte da segurança de uma ferramenta corporativa depende de quem a administra.
Esta lista reúne os ajustes que o administrador da organização faz no primeiro dia e revisa depois. Todos os caminhos partem do menu do seu avatar, no canto inferior da barra lateral, que leva a Perfil e a Admin.
1. Ative o segundo fator na sua conta (é obrigatório)
Em Perfil, no bloco Segurança e Autenticação, clique em Ativar ao lado de Autenticação de Dois Fatores. Escaneie o QR code com um aplicativo autenticador e confirme com o código de seis dígitos.
Para administradores, isso deixou de ser recomendação. Desde a versão 1.4.37, de 22 de setembro, uma conta de administrador sem o segundo fator cadastrado não recebe os poderes de administração: o item Admin some do menu e o painel não abre. Depois de ativar, saia e entre de novo.
Quem entra pelo login corporativo (SSO) é exceção. Nesse caso, a autenticação acontece no provedor de identidade da empresa, como o Google Workspace ou o Microsoft Entra ID, e é lá que o segundo fator deve ser exigido. Se a sua empresa usa SSO, confira essa política com quem administra o provedor.
Peça o mesmo a todo o time. O segundo fator é a medida de maior retorno por minuto investido em qualquer plataforma.
2. Mantenha poucos administradores
Em Admin > Usuários, cada pessoa pode receber ou perder os privilégios de administrador. O número certo costuma ser dois: um administrador só é um ponto único de falha, e dez são dez contas que valem a pena atacar.
Quando alguém muda de função, revogue o privilégio no mesmo dia. A revogação remove todas as permissões de administrador de imediato.
3. Use “lembrar dispositivo” só no seu computador
Na tela do código, a opção de lembrar o dispositivo dispensa o segundo fator naquele navegador por 30 dias. É prática no computador do trabalho e perigosa em qualquer outro.
Uma vez por mês, abra Perfil > Dispositivos Confiáveis e remova os que você não reconhece ou não usa mais.
4. Convide pelo grupo certo
Em Admin > Grupos, abra o grupo e use Convite em Lote para cadastrar várias pessoas de uma vez pelo e-mail. Quem ainda não tem conta recebe um convite com uma senha temporária, e quem já tem entra direto no grupo.
A senha temporária vale 24 horas desde a versão 1.4.41. Antes valia sete dias, prazo longo demais para uma credencial que circula por e-mail. Avise as pessoas para fazerem o primeiro acesso no mesmo dia.
Com o SSO configurado, não há senha temporária: a pessoa entra com a conta da empresa.
5. Libere só os módulos que cada grupo usa
No mesmo grupo, a seção Acesso a Módulos define o que os membros podem usar: Chat, geração de imagens, geração de vídeos, Base de Conhecimento, transcrição, Artefatos, Especialistas, biblioteca de prompts, anexos e busca na web. Logo abaixo, Limites de Uso controla o consumo do grupo.
Comece pelo que cada área precisa. Um grupo de atendimento que vive no Chat, nos Especialistas e na Base de Conhecimento não precisa de geração de vídeos. Cada módulo desligado é uma superfície a menos e um custo a menos.
6. Decida a política de compartilhamento de bases
Em Admin > Organização, a aba Base de Conhecimento tem duas chaves, ambas ligadas por padrão:
| Chave | O que permite |
|---|---|
| Publicação para a organização | Uma base pode ficar visível para todos os usuários da organização |
| Compartilhamento com usuários específicos | O dono concede leitura a colegas escolhidos, sem tornar a base pública |
Ligadas, as duas tornam o conhecimento da empresa mais útil. O guia de especialista com base compartilhada mostra como o time usa o recurso. O que você decide aqui é se a empresa quer esse fluxo e quem responde pelo conteúdo publicado.
Em Admin > Bases de Conhecimento, você vê as bases públicas e as denúncias, e pode despublicar qualquer base. A ação fica registrada na auditoria.
7. Mantenha o link público de artefatos desligado
Em Admin > Organização, a aba Artefatos tem a chave Compartilhamento público. Ligada, ela permite publicar um artefato num link anônimo, aberto a qualquer pessoa que tenha o endereço. Ela vem desligada.
Desligada, a publicação de artefatos fica restrita a Somente usuários da organização: quem abre o link precisa estar logado no ambiente da empresa. Ligue só para um caso concreto, como uma página para um cliente, e acompanhe em Admin > Artefatos, onde ficam os publicados e o botão para revogar cada um.
8. Saiba encerrar sessões
Três situações cobrem quase todos os casos:
- Esqueceu a conta aberta num computador? Entre de outro dispositivo e clique em Sair. Desde a versão 1.4.29, sair revoga a sessão no servidor em todos os dispositivos. As telas que ficaram abertas não conseguem renovar o acesso e expiram em poucas horas.
- Desconfia que a senha vazou? Use Esqueceu sua senha? na tela de login. A redefinição derruba todas as outras sessões da conta.
- Alguém saiu da empresa? Com SSO, desative a conta no provedor de identidade. Sair do CollaborAI não encerra a sessão no Google ou na Microsoft, e o provedor é a porta de entrada.
Esse último caso é o argumento mais forte a favor do SSO: o desligamento acontece num lugar só, no mesmo dia em que o RH registra a saída.
9. Revise a auditoria todo mês
Admin > Auditoria registra as ações administrativas: privilégios concedidos e revogados, configurações alteradas, bases despublicadas. Dez minutos por mês bastam para notar uma mudança que ninguém lembra de ter feito.
Aproveite para abrir Admin > Analytics, que mostra o consumo por usuário. Um pico fora do padrão costuma indicar uma conta compartilhada entre várias pessoas, que é exatamente o que o segundo fator quer impedir.
A rotina em uma tabela
| Quando | O que fazer |
|---|---|
| No primeiro dia | Segundo fator na sua conta, dois administradores, grupos com os módulos certos, política de bases e de artefatos decidida |
| Quando alguém entra | Convite em lote pelo grupo certo e primeiro acesso no mesmo dia |
| Quando alguém sai | Revogar o privilégio de administrador, se houver, e desativar a conta no provedor de identidade |
| Todo mês | Auditoria, Analytics, dispositivos confiáveis, bases públicas e artefatos publicados |
Nenhum item da lista leva mais de cinco minutos. Juntos, eles fecham as falhas mais comuns de uma plataforma corporativa: conta sem segundo fator, administrador demais, convite esquecido e acesso que sobrevive ao desligamento. Para avaliar o outro lado, o do fornecedor, o guia de como avaliar a segurança de um fornecedor de IA mostra que evidências pedir.
