Proteger a identidade dos seus usuários

Objetivos de aprendizagem

Após concluir este módulo, você estará apto a:

• Configurar a autenticação multifator para seus usuários.
• Usar o aplicativo Salesforce Authenticator em logins de MFA.
• Receber as informações de login dos usuários que fazem o login na sua organização.

Proteger o acesso à conta com autenticação multifator e Salesforce Authenticator

Sozinhos, os nomes de usuário e senhas não são proteção suficiente contra ameaças cibernéticas, como ataques de phishing. Uma maneira eficaz de melhorar a segurança do seu processo de login e proteger os dados da sua organização é exigir que os usuários forneçam evidências adicionais para provar sua identidade ao fazer login. Especialistas em segurança chamam essa estratégia de autenticação multifator, ou MFA para abreviar. No Salesforce, acreditamos que a MFA é tão importante que exigimos isso para todos que acessam nossos produtos e serviços. Para saber mais sobre o requisito de MFA, confira as Perguntas frequentes sobre autenticação multifator do Salesforce.

O que é a autenticação multifator?

O nome dela parece uma equação matemática, né? Não importa se você ama matemática de paixão ou sente um calafrio só de pensar em fazer umas contas: a MFA não tem nada a ver com o que aprendemos nas aulas de álgebra. Mas ela tem tudo a ver com garantir que seus usuários realmente sejam quem alegam ser.

A propósito, você pode estar mais familiarizado com os termos autenticação de dois fatores ou 2FA. Não se preocupe! Embora a 2FA seja um subconjunto da MFA, estamos efetivamente falando sobre a mesma coisa.

Então, quais são exatamente os vários fatores? Eles são diferentes tipos de prova que os usuários fornecem ao fazer login para confirmar sua identidade.

• Um fator é algo que os usuários sabem. Para logins do Salesforce, essa é uma combinação de nome de usuário e senha.
• Outros fatores são métodos de verificação que um usuário tem em sua posse, como um dispositivo móvel com um aplicativo autenticador instalado ou uma chave de segurança física.

Talvez você não conhecesse o nome desse recurso, mas é provável que já tenha usado a autenticação multifator. Sempre que saca dinheiro no caixa eletrônico, você usa um item de sua posse (seu cartão do banco) e algum outro elemento do seu conhecimento (sua senha). 

Exigir outro fator além de nome de usuário e senha adiciona uma camada de segurança extra e importante à sua organização. Mesmo que a senha de um usuário seja roubada, as probabilidades de um invasor adivinhar ou imitar um fator que um usuário possua fisicamente são baixas.

Curtiu? Vejamos como isso funciona.

Como funciona a autenticação multifator

A MFA adiciona uma etapa extra ao seu processo de login do Salesforce.

1. Um usuário insere o nome de usuário e a senha, como de costume.
2. Em seguida, ele recebe uma solicitação para fornecer um dos métodos de verificação compatíveis com o Salesforce.

Você pode permitir um ou todos estes métodos de verificação.

Quando os usuários terão que concluir a autenticação multifator?

Quando você ativa a MFA, os usuários são obrigados a fornecer vários fatores toda vez que fazem login. Como parte dos termos de serviço do Salesforce, todos os clientes devem configurar a MFA para logins na interface do usuário. Isso garante que todas as organizações do Salesforce sejam protegidas com segurança adequada desde o início. 

Para intensificar ainda mais a segurança, você pode exigir a MFA em outras circunstâncias.

• Quando os usuários acessam APIs do Salesforce. Para saber sobre a configuração da MFA para acesso à API, confira o artigo de ajuda Definir requisitos de login de autenticação multifator para acesso à API.
• Quando os usuários acessam um aplicativo conectado, um painel ou um relatório. Esse processo é conhecido como autenticação avançada ou de alto nível.
• Isso pode acontecer antes que o usuário leia um acordo de licença durante um login personalizado ou dentro de um aplicativo personalizado, por exemplo. Falaremos sobre esse assunto a fundo mais tarde durante o módulo.

Suas opções para ativar a MFA

Existem duas maneiras de habilitar a MFA para seus usuários.

A ativação da MFA afeta a forma como os usuários fazem login na sua organização, então você pode querer começar com um programa piloto e gradualmente habilitar seus usuários ao longo do tempo. 

O benefício de implantar a MFA aos poucos é que você pode limitar o impacto do gerenciamento de alterações a grupos selecionados de usuários de uma só vez. Dessa forma, você pode coletar feedback de grupos iniciais e, em seguida, melhorar seu processo de implantação para o resto de seus usuários. E como menos usuários são afetados em cada fase, seus administradores têm um volume menor de casos de suporte relacionados à MFA para tratar ao mesmo tempo. Você pode realizar essa abordagem em fases atribuindo uma permissão de usuário de MFA para usuários selecionados.

Por outro lado, você pode estar pronto para ir adiante e ativar a MFA para todos os seus usuários ao mesmo tempo. Quanto mais cedo todos estiverem habilitados, mais cedo você estará em conformidade com o requisito de MFA do Salesforce (dica, dica). Quando você estiver pronto para entrar de cabeça, você pode ativar a MFA para toda a sua organização usando uma única configuração.

Exploramos ambos os métodos nesta unidade e mostramos os benefícios de cada um. Confira este vídeo para ver uma demonstração.   

Verificar se o nível de segurança da sessão está definido para MFA

Independentemente de como você decide ativar a MFA, você precisa ter certeza de que o nível de segurança certo está associado ao método de login de MFA. Na maioria das organizações de produção, essa configuração já está em vigor. Mas se não estiver, é importante ativá-la antes de configurar um requisito de MFA para os usuários administradores. Do contrário, você pode impedir o seu próprio login e o de outros administradores.

1. Em Configuração, insira Session Settings (Configurações de sessão) na caixa Busca rápida e selecione Configurações de sessão.
2. Em Níveis de segurança de sessão, verifique se a autenticação multifator está na categoria Alta garantia.

Com o nível de segurança da sessão configurado corretamente, você está pronto para iniciar sua jornada de MFA.

Ativar MFA para usuários selecionados

Digamos que você seja um administrador do Salesforce na Jedai Technologies, uma empresa que não fica em uma galáxia muito, muito distante. O chefe do departamento de segurança deu a você uma missão: fazer todos os funcionários não informarem apenas o nome de usuário e a senha toda vez que tentarem fazer login na organização do Salesforce da empresa.

Comece aos poucos ativando a MFA para uma nova funcionária da Jedai Technologies, Cê Treispeo. Você pode usar o feedback de Cê sobre a experiência para ter certeza de que tudo estará funcionando quando fizer a ativação para os outros funcionários da Jedai. Comece criando um usuário do Salesforce para Cê e habilitando MFA para sua conta.

Pronto para pôr a mão na massa?

Inicie seu Trailhead Playground agora para acompanhar e experimentar as etapas deste módulo. Para abrir seu Trailhead Playground, role até o desafio prático e clique em Iniciar. Você também poderá utilizar o Trailhead Playground quando for necessário concluir os desafios práticos.

Como mencionamos, você também precisa de um dispositivo móvel com Android ou iOS para completar algumas das tarefas.

Passo 1: Criar um usuário

1. Em Configuração, insira Users (Usuários) na caixa Busca rápida e selecione Usuários.
2. Clique em Novo usuário.
3. Nos campos de nome e sobrenome, insira Cê e Treispeo, respectivamente.
4. Insira seu endereço de e-mail no campo E-mail. Essa configuração fará a Cê receber notificações sobre o usuário.
5. Crie e insira um nome de usuário para a Cê no campo Nome de usuário. O formato deverá ser de um endereço de e-mail, mas não é necessário que seja real. Verifique se o endereço de e-mail é exclusivo em seu Trailhead Playground. Você insere este nome de usuário para fazer login como Cê mais tarde; por isso, sugerimos escolher um nome curto e fácil de lembrar. Precisa de ideias? Tente usar a inicial do primeiro nome, o sobrenome de Cê e a data atual, assim: CTreispeo.12202020@trailhead.com.
6. Edite ou aceite o valor do apelido.
7. Em Licença de usuário, selecione Salesforce Platform.
8. Em Perfil, selecione Plataforma padrão de usuário. Aproveite que está aqui para desativar as opções de receber alertas do Salesforce CRM Content. Não precisa lotar sua caixa de entrada com e-mails desnecessários do Salesforce.
9. Confira se a opção Gerar uma nova senha e notificar o usuário imediatamente está selecionada – essa opção encontra-se quase no final da página. O Salesforce enviará um e-mail para você falando sobre o novo usuário da Cê porque você inseriu seu endereço de e-mail no campo E-mail.
10. Clique em Salvar. O Salesforce enviará um e-mail para você com um link para confirmar o usuário e definir a senha da Cê. Nota: Se receber um erro informando que o nome de usuário já existe, crie um usuário com outro nome.
11. Faça o login como Cê e redefina a senha.

Depois de definir a senha, é hora de ativar a MFA para a conta de usuário da Cê. 

Passo 2: Criar um conjunto de permissões para a autenticação multifator

Habilite a MFA para usuários selecionados atribuindo a permissão de usuário Autenticação multifator para logins de interface de usuário. Você pode realizar essa etapa editando perfis ou criando um conjunto de permissões para atribuir a usuários específicos.

Um conjunto de permissões é um conjunto de configurações e permissões que dá aos usuários acesso a várias funções do Salesforce. Vamos criar um conjunto de permissões com a permissão da MFA.

1. Se tiver feito o login como Cê, faça o logout. Faça login de novo como administrador do sistema do seu Trailhead Playground.
2. Em Configuração, insira Permission (Permissão) na caixa Busca rápida e selecione Conjuntos de permissões.
3. Clique em Novo.
4. Chame esse conjunto de permissões de MFA Authorization for User Logins (Autorização MFA para logins de usuário).
5. Clique em Salvar.
6. Em Sistema, clique em System Permissions (Permissões do sistema).Agora você está na página de detalhes do conjunto de permissões “Autorização MFA para logins de usuário”.
7. Clique em Editar.
8. Selecione Autenticação multifator para logins de interface de usuário.
9. Clique em Salvar e em Salvar novamente para confirmar as alterações de permissão.

 Estamos quase lá! Só falta atribuir o conjunto de permissões.

Passo 3: Atribuir o conjunto de permissões ao usuário da Cê

Por enquanto, atribua o conjunto de permissões apenas à Cê. Mais tarde, quando você estiver pronto para distribuir a MFA para o próximo grupo, poderá atribuir o mesmo conjunto de permissões a outros usuários.

Caso não esteja na página de detalhes do seu novo conjunto de permissões, volte para lá.

1. Nela, clique em Gerenciar atribuições.
2. Clique em Adicionar atribuições. Na lista de usuários, marque a caixa de seleção ao lado do usuário da Cê (se fosse o caso, seria possível atribuir até mil usuários por vez).
3. Clique em Atribuir.
4. Clique em Concluído.

Ótimo! Você ativou a autenticação multifator para a Cê. Na próxima vez em que ela fizer o login, terá que fornecer um método de verificação como segundo fator além do nome de usuário e da senha.

Ativar a MFA para todos em sua organização

Vamos avançar no tempo: Você completou um programa piloto de MFA para a Cê e vários outros usuários em sua organização. Nos meses seguintes, você implementou cuidadosamente a MFA para mais usuários, um grupo de cada vez. Agora você está pronto para dar o salto final: exigir a MFA para todos.

Você pode concluir rapidamente sua implementação de MFA com uma única caixa de seleção. E se você não precisa de uma abordagem em fases, você pode pular direto para este passo! 

Aqui está a maneira mais rápida e fácil de habilitar a MFA para todos em sua organização.

1. Em Configuração, insira Identity (Identidade) na caixa Busca rápida e selecione Verificação de identidade.
2. Marque a caixa de seleção Require multi-factor authentication (MFA) for all direct UI logins to your Salesforce org (Exigir autenticação multifator para todos os logins diretos de interface do usuário na sua organização do Salesforce).
   
3. Clique em Salvar.

Pronto! Todos em sua organização, independentemente de você ter atribuído anteriormente a permissão de usuário de MFA, agora são obrigados a completar a MFA ao fazer login. 

Neste ponto, você pode ter uma pergunta na sua cabeça: E se algumas contas de usuário na minha organização da vida real, como contas de ferramentas de automação de testes, estiverem isentas do requisito de MFA? Essa configuração também as afeta?

É verdade que o requisito de MFA do Salesforce não se aplica a alguns tipos de usuários. Se você tiver algum usuário isento, exclua-os da MFA antes de ativar a configuração em toda a organização que você acabou de ver. Para saber quais tipos de usuário estão isentos e como excluí-los, consulte Excluir usuários isentos da MFA na Ajuda do Salesforce.

Como os usuários registram o Salesforce Authenticator para logins com MFA

Assim como chegar de surpresa na casa de alguém que vive em uma cidade nas nuvens, a exigência da autenticação multifator sem ajudar seus usuários a obter pelo menos um método de verificação é uma péssima ideia. Talvez você não seja congelado nem transformado em um prisioneiro, mas é possível que receba várias ligações na pior hora possível – por exemplo, quando estiver assistindo a um filme épico. Por sorte, o Salesforce ajuda você a facilitar a vida dos seus usuários. É só pedir para eles baixarem um aplicativo autenticador no dispositivo móvel e conectarem-se à conta do Salesforce. 

Caso os usuários não queiram baixar um aplicativo na hora, isso não será o fim do mundo. Eles receberão as instruções de como registrar um método de verificação quando fizerem o login pela primeira vez após a ativação do requisito de MFA.

Cê Treispeo, sua nova funcionária, quer usar o aplicativo móvel Salesforce Authenticator para poder aproveitar o recurso de notificação por push para autenticação rápida. Vamos ver como o processo de registro e login funciona. Pegue seu dispositivo móvel Android ou iOS e imagine que ele é o celular da Cê. Você baixará o aplicativo Salesforce Authenticator e fará a conexão dele com a conta do Salesforce da Cê.

Já vou avisando que você ficará alternando entre dois aparelhos nas próximas etapas. Quando estiver no CELULAR, você está atuando como a Cê no aplicativo Salesforce Authenticator. Quando estiver no DESKTOP, você terá feito um login como a Cê no seu Trailhead Playground em um navegador da Web.

1. TELEFONE: Baixe e instale o Salesforce Authenticator para iOS na App Store e para Android no Google Play.
2. Dê um toque no ícone do aplicativo para abrir o Salesforce Authenticator.
3. DESKTOP: Caso ainda esteja em seu login do Trailhead Playground como administrador do sistema, faça logout.
4. DESKTOP: Use o nome de usuário e a senha da Cê para entrar.
5. DESKTOP: O Salesforce solicita que você conecte o Salesforce Authenticator à conta da Cê.
6. TELEFONE: Dê uma olhada rápida no tour para aprender como o Salesforce Authenticator funciona.
7. TELEFONE: Digite o (seu) número do celular da Cê para criar um backup das contas que estão conectadas ao Salesforce Authenticator. Em seguida, toque na notificação quando solicitado para concluir a verificação. Você pode pular a criação de uma senha por enquanto. (Mais tarde, a Cê pode criar uma senha se quiser configurar um backup para restaurar suas contas.)
8. Toque na seta para adicionar a conta da Cê ao Salesforce Authenticator. O aplicativo exibirá uma frase de duas palavras (aliás, você viu alguma frase bastante poética ou divertida? Conte para a gente! #Trailhead #AwesomePhrase #SalesforceAuthenticator.)
9. DESKTOP: Insira a frase no campo Frase de duas palavras. 
10. DESKTOP: Clique em Conectar.
11. TELEFONE: O Salesforce Authenticator mostra detalhes sobre a conta da Cê: o nome de usuário e o nome do provedor de serviços dela que, nesse caso, é o Salesforce.
    
12. TELEFONE: Dê um toque em Conectar.
13. DESKTOP: A Cê está conectada à conta do Salesforce! Ela pode ir fazer o que quiser agora.

A partir desse momento, a Cê receberá uma notificação no celular sempre que fizer login em sua conta do Salesforce. Ela abre o Salesforce Authenticator e confere as informações da atividade. Se tudo parece correto, ela toca em Aprovar e conclui o login. 

E se outra pessoa tentar fazer login com o nome de usuário e senha da Cê? Você adivinhou: ela recebe uma notificação sobre isso também e pode indicar ao Salesforce Authenticator para negar a solicitação de login. Ufa!

Vejamos em mais detalhes quais são os dados que o Salesforce Authenticator monitora.

1. O serviço que esse usuário está querendo acessar. Além do Salesforce, você pode usar o Salesforce Authenticator com o gerenciamento de senhas LastPass ou com outros serviços que exijam uma autenticação mais robusta.
2. O usuário que está tentando fazer o login.
3. A ação que o Salesforce Authenticator está avaliando. Talvez outras ações sejam exibidas aqui se você configurar uma segurança bem severa. Por exemplo: você pode exigir autenticação quando alguém tenta acessar um registro ou painel. Esse processo é chamado de autenticação "avançada".
4. Informações sobre o navegador ou aplicativo no qual está ocorrendo a tentativa de login, incluindo o dispositivo utilizado.
5. A localização do celular.

Automatizar o processo de autenticação

Digamos que a Cê faça um login no mesmo lugar (como no escritório, em casa ou na lanchonete favorita dela) com bastante frequência. Com o passar do tempo, talvez ela fique cansada de ter que clicar em Aprovar todas as vezes em seu celular. Se ela deixar o Salesforce Authenticator usar os serviços de localização do celular, será possível ordenar ao aplicativo para monitorar a atividade dela automaticamente quando ele reconhecer todos os detalhes. Em outras palavras, se ela fizer login de um local específico usando o mesmo dispositivo e o mesmo navegador ou aplicativo, não precisará sequer tirar o celular do bolso. O Salesforce Authenticator pode lidar com a exigência da MFA automaticamente! 

Vamos testar.

1. DESKTOP: Faça o logout da conta da Cê e realize o login de novo.
2. TELEFONE: No prompt, selecione Confiar e automatizar esta solicitação. Em seguida, toque em Approve (Aprovar).
   O Salesforce Authenticator salva esses detalhes como uma solicitação de confiança.
3. DESKTOP: Faça logout da conta da Cê e faça login novamente. Tcharam! Você verá que ninguém lhe pede aprovação. O Salesforce Authenticator reconhece que todos os detalhes correspondem à solicitação de confiança que você salvou anteriormente. O acesso foi concedido automaticamente!

Sempre que ela tentar realizar o login em um navegador ou dispositivo diferente, ou de um novo local, poderá adicionar os novos detalhes à lista de solicitações de confiança do Salesforce Authenticator. Ela pode salvar quantas solicitações de confiança quiser, inclusive para outras contas e ações. Para visualizar as solicitações de confiança de uma conta, Cê toca o ícone de seta que abre a página de detalhes da conta.

A página de detalhes da conta lista as solicitações de confiança e o histórico de atividades de login. A opção item Atividades monitoradas exibe quantas vezes o Salesforce Authenticator monitorou o login da Cê no Salesforce. A opção Automações exibe quantas vezes o Salesforce Authenticator realizou o login da Cê de forma automática com uma solicitação de confiança.

O que acontecerá caso a Cê pare de confiar em uma solicitação? Simples. É só excluí-lo (deslizando para a esquerda). Ela poderá eliminar todas as solicitações de confiança de uma só vez selecionando e depois Remove All Trusted Requests (Remover todas as solicitações de confiança).

Às vezes, uma verificação automática pode não funcionar, como quando a conexão de dados não está funcionando. Tudo bem. A Cê só precisará inserir o código TOTP exibido pelo Salesforce Authenticator.

Quer restringir as verificações automáticas dos usuários apenas a endereços de IP que sejam de confiança, como a rede da sua empresa? Ou prefere evitá-las completamente? Pode ser também. Após fazer o login como administrador, vá até as Configurações de verificação de identidade da sua organização e altere o que for permitido.

Para conhecer os meandros da automação com o Salesforce Authenticator, confira a Ajuda do Salesforce: Automatizar a autenticação multifator com o Salesforce Authenticator e Otimizar e solucionar problemas de automação no Salesforce Authenticator. 

O que aconteceria se a Cê perdesse o celular?

Bela pergunta. Como você já sabe, os usuários ficam perdidos e isolados em planetas desabitados e acabam perdendo o celular. Isso acontece toda hora. Caso a Cê perca o celular, compre um celular novo ou exclua o Salesforce Authenticator sem querer, ela tem algumas opções. A Cê pode restaurar suas contas do backup que fez anteriormente, ou você pode desconectar sua conta do Salesforce Authenticator para ela poder registrar o aplicativo novamente.

Se a Cê habilitou os backups de conta em seu aplicativo Salesforce Authenticator, ela não terá problemas. Basta reinstalar o Salesforce Authenticator em seu novo celular. Ao abrir o aplicativo, ela verá a opção de restaurar suas contas do backup. A Cê digita a senha usada quando o backup das contas foi feito e suas contas aparecem no celular.

E se a Cê não fez backup das contas? Eis o que você pode fazer para ajudar.

1. Faça o login como administrador.
2. Em Configuração, insira Users (Usuários) na caixa Busca rápida e selecione Usuários.
3. Clique no nome da Cê.
4. Na página de detalhes do usuário da Cê, clique em Desconectar junto de Registro do aplicativo: Salesforce Authenticator.

Da próxima vez que a Cê fizer o login, o sistema pede para ela conectar o Salesforce Authenticator de novo se ela não tiver outro método de verificação conectado.

Monitorar quem está fazendo login na sua organização

Uma parte importante do trabalho do administrador é saber quem está fazendo um login na sua organização. É para isso que serve o histórico de verificação de identidade.

1. Faça login como administrador do sistema do seu Trailhead Playground.
2. Em Configuração, insira Verification (Verificação) na caixa Busca rápida e selecione Histórico de verificação de identidade.

Confira a coluna Localização. Nela, você verá o país do usuário na configuração padrão, mas é possível obter mais detalhes criando uma exibição personalizada.

Parabéns, administrador! Você viu como é fácil ativar a MFA para seus usuários. Incentivamos você a explorar outras opções de implementação da MFA, por exemplo, a ativação de chaves de segurança ou autenticadores embutidos como opções de método de verificação alternativas. Ambas essas opções são uma ótima escolha se os usuários não têm um dispositivo móvel ou quando os celulares não são permitidos nas instalações. Agora vamos ver como ter ainda mais controle sobre seu processo de login na próxima unidade chamada “Como personalizar seu processo de login com o recurso Meu domínio”.

Recursos

• Ajuda do Salesforce: Habilitar a MFA para logins diretos do usuário
• Ajuda do Salesforce: Decidir como os usuários selecionam um método de verificação durante o processo de registro
• Ajuda do Salesforce: Salesforce Authenticator
• Ajuda do Salesforce: Requisitos para o Salesforce Authenticator (Versões 2 e 3)
• Ajuda do Salesforce: Conectar o Salesforce Authenticator (Versão 3 ou posterior) à sua conta para verificação de identidade
• Ajuda do Salesforce: Verificar sua identidade com um aplicativo autenticador TOTP
• Ajuda do Salesforce: Habilitar chaves de segurança U2F ou WebAuthn para verificação de identidade
• Ajuda do Salesforce: Registrar uma chave de segurança U2F ou WebAuthn para verificação de identidade
• Ajuda do Salesforce: Habilitar autenticadores embutidos para verificação de identidade
• Ajuda do Salesforce: Registrar um autenticador embutido para verificação de identidade
• Ajuda do Salesforce: Fluxos de login personalizado
• Ajuda do Salesforce: Monitorar o histórico de verificação de identidade
• Ajuda do Salesforce: Fazer backup das contas conectadas no aplicativo móvel Salesforce Authenticator