Conte as contas de que um escritório depende: o e-mail de cada pessoa, os sistemas dos tribunais, o banco, a nuvem de arquivos, o domínio e o site, as redes sociais, o gov.br, os fornecedores e o próprio sistema de gestão. Agora pense em onde essas senhas estão hoje. Em muitos escritórios, a resposta é uma planilha chamada “senhas”, um caderno na gaveta ou mensagens de WhatsApp perguntando “qual é a senha do…?”. Um gerenciador de senhas para advogados existe para tirar a equipe dessa situação sem exigir que ninguém decore cinquenta combinações.
Este guia explica por que os métodos improvisados falham numa equipe, como escolher a ferramenta, como organizar cofres por área, como criar senhas fortes sem sofrimento e o que fazer quando alguém sai. A verificação em duas etapas aparece ao longo do texto, porque as duas medidas funcionam juntas.
Por que planilha, caderno e mensagem não servem para a equipe
Para uso individual, o CERT.br admite três formas de guardar senhas: um aplicativo gerenciador, um papel guardado em local seguro ou um arquivo criptografado. O cenário, porém, muda quando várias pessoas precisam das mesmas credenciais.
| Método | O que dá errado na equipe | Como o gerenciador resolve |
|---|---|---|
| Planilha compartilhada | Circula por e-mail, fica em cópias e backups, quem tem o arquivo vê tudo | Cofres criptografados, com acesso por pessoa |
| Caderno ou papel | Não chega a quem trabalha de casa, se perde, não tem cópia | Acesso autorizado de qualquer lugar |
| Mensagem de WhatsApp ou e-mail | A senha fica no histórico de vários aparelhos | Compartilhamento dentro do cofre |
| Senha “padrão” com variações | Descoberta uma, as outras caem | Gerador cria senhas únicas |
| Memória de uma só pessoa | Férias, doença ou saída travam o trabalho | Acesso de emergência definido |
O CERT.br orienta a nunca repassar senhas ou códigos de verificação por mensagens, e-mails ou ligações. No escritório, além disso, pesa outro ponto: sem registro de quem acessou o quê, é impossível saber o que trocar quando alguém sai.
O que um gerenciador de senhas para advogados faz (e o que não faz)
O gerenciador é um cofre digital. Assim, as senhas ficam criptografadas e só se abrem com uma senha mestra, de preferência protegida também por um segundo fator. Os recursos que importam para a equipe:
- Gerador de senhas longas e aleatórias, diferentes para cada serviço.
- Preenchimento automático no navegador e no celular. Aliás, muitos gerenciadores só preenchem no endereço cadastrado, o que ajuda a perceber uma página falsa.
- Cofres compartilhados com permissões por pessoa ou grupo.
- Painel de administração para incluir e remover pessoas e definir regras.
- Alertas de senhas fracas, repetidas ou expostas em vazamentos.
- Registro de atividades, mostrando quem acessou cada item.
Ele não faz milagre. Por exemplo, não substitui a verificação em duas etapas, não impede quem ignora o aviso e digita a senha numa página falsa e não protege uma senha mestra anotada num papel colado no monitor. Além disso, o gerenciador embutido no navegador, prático para uso pessoal, não é o ideal para contas críticas: o CERT.br recomenda evitar salvar no navegador as senhas de contas importantes, como banco e e-mail, e não permitir login automático nelas.
Como escolher um gerenciador de senhas para advogados
Use esta lista na comparação e na conversa com o fornecedor:
- [ ] A criptografia é feita no seu dispositivo, de modo que nem o fornecedor consegue ler o cofre?
- [ ] O acesso ao cofre aceita verificação em duas etapas por aplicativo ou chave física?
- [ ] Há cofres compartilhados com níveis de permissão (ver, editar, gerenciar)?
- [ ] O painel permite remover uma pessoa na hora e ver o que ela acessava?
- [ ] Existe registro de atividades que possa ser exportado?
- [ ] Como funcionam a recuperação de conta e o acesso de emergência?
- [ ] É possível exportar todos os dados, caso o escritório troque de ferramenta?
- [ ] Funciona nos navegadores e celulares que a equipe usa?
- [ ] O contrato trata de onde os dados ficam, de comunicação de incidentes e do fim do serviço?
Desconfie, sobretudo, de ferramenta gratuita de origem desconhecida e de serviço que não explica como protege o cofre. O gerenciador vai guardar a chave de tudo, então a escolha merece o cuidado da contratação de um sistema jurídico.
Cofres por equipe: um desenho que funciona
O critério é o do menor privilégio, ou seja, ninguém recebe acesso além do que a função pede. Sempre que o serviço permitir, cada um tem login próprio, e a conta compartilhada fica como exceção, para serviços que não oferecem usuários individuais.
| Cofre | O que guarda | Quem acessa |
|---|---|---|
| Pessoal | Contas individuais, inclusive as ligadas ao certificado digital da pessoa | Só o titular |
| Administrativo | Bancos, fornecedores, domínio e hospedagem do site | Sócios e gestor administrativo |
| Comunicação | Redes sociais e painel do site | Responsável pela comunicação e um sócio |
| Área de atuação | Portais e serviços usados pela área | Integrantes da área |
| Integrações | Tokens e chaves de acesso entre sistemas | Quem administra as integrações |
| Emergência | Contas-mestre e códigos de recuperação | Duas pessoas, no máximo |
Organize, portanto, com o mesmo critério com que o escritório define quem acessa cada cliente, assunto desenvolvido em segurança da informação no escritório de advocacia.
Senhas fortes, únicas e com segundo fator
Com um gerenciador de senhas para advogados, a única senha a memorizar é a mestra, e por isso ela precisa ser longa. O CERT.br sugere, por exemplo, juntar três palavras aleatórias e acrescentar caracteres diferentes, sem sequências de teclado nem informações pessoais como nomes e datas. Para todas as outras contas, deixe o gerador criar senhas longas e únicas: reusar senha é arriscado, porque basta descobrir uma para abrir as demais.
Em seguida, combine o cofre com a verificação em duas etapas. No fascículo sobre autenticação, o CERT.br aponta a chave de segurança física como a opção mais segura, recomenda dar preferência a ela ou ao aplicativo gerador de códigos e deixa o SMS para quando não houver alternativa. Gere também os códigos de reserva de cada serviço e guarde-os em local seguro. Os das outras contas podem ficar no cofre, mas os do próprio gerenciador, não. Imprima-os e trate o papel como um documento original.
Sempre que um serviço que você usa sofrer vazamento, troque a senha dele na hora. Os alertas do gerenciador ajudam a descobrir isso cedo.
Implantação em quatro semanas
- Semana 1: escolha a ferramenta, configure o painel, crie os cofres e, por fim, escreva uma política de uma página.
- Semana 2: sócios e administrativo migram primeiro. As senhas que estavam na planilha são trocadas, porque já circularam, e a planilha é eliminada, inclusive das cópias.
- Semana 3: toda a equipe entra, depois de uma conversa de 30 minutos sobre senha mestra, extensão do navegador e compartilhamento.
- Semana 4: revise o relatório de senhas fracas ou repetidas e ligue a verificação em duas etapas onde ainda falta.
Saída de colaboradores: checklist do último dia
O cofre mostra seu valor principalmente quando alguém deixa o escritório. No último dia:
- [ ] Remova a pessoa do gerenciador e dos cofres compartilhados.
- [ ] Consulte o registro de atividades e troque as senhas compartilhadas que ela acessava.
- [ ] Desative as contas individuais dela, sem apagar dados que o escritório precisa guardar.
- [ ] Revogue tokens de integração e sessões abertas.
- [ ] Verifique se alguma conta do escritório, como uma rede social, tem o segundo fator no celular pessoal de quem saiu, e transfira para um aparelho institucional.
O tema faz parte do cuidado maior com a saída de pessoas, tratado em gestão de pessoas no escritório de advocacia.
Como o LexFlow se encaixa na política de senhas
No LexFlow, cada pessoa entra com o próprio usuário, e o que ela enxerga é definido por um perfil de acesso em árvore: módulos, ações permitidas e seções de cada ficha. Logo, não há motivo para login compartilhado. O usuário novo recebe uma senha provisória, que convém trocar no primeiro acesso e guardar no cofre pessoal.
Na saída, o administrador inativa o usuário, item que entra no checklist do último dia. Se a pessoa voltar, o usuário pode ser reativado.
A conexão do Claude ou do ChatGPT pelo MCP é autorizada na tela “Permitir”, e o assistente só alcança o que o perfil de acesso da pessoa que conectou permite. Para outros clientes MCP, o sistema gera tokens de integração, exibidos uma única vez e revogáveis: o lugar deles é o cofre de integrações, no momento em que aparecem. Por fim, a página Integrações lista os aplicativos conectados e permite desconectar o que não se usa mais.
Se o escritório envia os e-mails das Automações por um SMTP próprio, as credenciais desse servidor também pertencem ao cofre, e não a uma anotação solta.
Perguntas frequentes
O que acontece se o fornecedor do gerenciador for invadido?
Nos serviços que criptografam o cofre no dispositivo, o desenho busca garantir que quem invade o servidor encontre apenas dados ilegíveis sem a senha mestra. Por isso a senha mestra longa e o segundo fator são indispensáveis. Pergunte ao fornecedor como ele trata e comunica incidentes.
Posso usar o gerenciador do navegador?
Para contas pessoais de baixo risco, ele é melhor do que repetir senhas. Para contas do escritório e contas críticas, porém, prefira um gerenciador dedicado, com cofres compartilhados e painel de administração.
E se eu esquecer a senha mestra?
Depende da ferramenta, mas em muitas ela não pode ser recuperada pelo fornecedor. Configure antes o método de recuperação ou o acesso de emergência previsto e guarde os códigos impressos em local seguro.
Vale a pena para quem advoga sozinho?
Vale, pois o advogado autônomo também acumula dezenas de contas e é alvo dos mesmos golpes. Nesse caso, o acesso de emergência permite que alguém de confiança entre nas contas numa ausência inesperada.
Conclusão
Um gerenciador de senhas para advogados troca a planilha e o caderno por cofres criptografados, com acesso por pessoa, senhas únicas e registro do que cada um usa. Somado à verificação em duas etapas e a um checklist de saída, ele reduz um risco que aparece com frequência nas invasões: a senha fraca, repetida ou compartilhada sem controle.
Portanto, comece pelo inventário das contas do escritório e pela escolha da ferramenta. Na semana seguinte, enfim, a planilha de senhas pode ir para onde já deveria estar: a lixeira, esvaziada.
