Como separar o trabalho de clientes no macOS e reduzir trocas de conta

Comece pelo erro que precisa de evitar

«Manter os clientes separados» pode ter vários significados:

• impedir que um operador publique, compre ou altere definições na conta do cliente errado;
• impedir que um trabalhador veja os ficheiros locais ou o histórico do navegador de outro trabalhador;
• impedir que credenciais, transferências, extensões ou notificações atravessem o limite de um cliente;
• limitar os danos após a perda ou o comprometimento de um Mac; ou
• cumprir um requisito contratual do cliente relativo a um ambiente dedicado.

Nenhuma mudança de perfil resolve, por si só, estes cinco problemas. Escolha o limite em função das consequências de uma falha, não do número de contas.

Quatro níveis de separação úteis

Limite	Útil para	O que não estabelece
Janela, grupo de separadores ou espaço de trabalho	Organização visual dentro de um contexto de navegação	Cookies, credenciais, ficheiros, extensões ou direitos de acesso separados
Perfil do navegador	Reduzir trocas de sessão e de histórico para um operador de confiança	Proteção contra outra pessoa que possa utilizar a mesma conta do macOS
Utilizador separado no macOS	Separar a pasta pessoal, as definições da conta e a sessão de início de sessão de cada pessoa	Proteção contra administradores, um sistema operativo comprometido ou riscos partilhados de rede e hardware
Dispositivo dedicado e gerido ou máquina virtual aprovada	Trabalho de alto impacto ou com isolamento contratual	Autorização do cliente, imunidade a comprometimento ou aceitação garantida por terceiros

Os perfis do navegador são úteis, mas o limite exato depende do produto. O Safari 17 e versões posteriores separam por perfil o histórico, os cookies, os dados de sites, os grupos de separadores e algumas opções de extensões. A Apple também documenta que as informações de preenchimento automático e Palavras-passe, as definições de segurança, as definições de sites e as definições de privacidade são partilhadas entre perfis do Safari. Os marcadores permanecem disponíveis entre perfis no menu ou na barra lateral Marcadores. Analise todo o comportamento dos perfis do Safari antes de os utilizar para trabalho de clientes.

O Chrome também separa marcadores, histórico, palavras-passe e definições por perfil. A Google avisa expressamente que uma pessoa com acesso ao dispositivo pode mudar para outro perfil do Chrome e consultar as respetivas informações. Um perfil do Chrome é, portanto, um mecanismo de conveniência e separação de estado, não um controlo de acesso entre pessoas. Consulte as orientações da Google sobre perfis do Chrome.

Ao nível do armazenamento, o Chromium coloca os perfis em subdiretórios de um diretório de dados do utilizador que também contém estado local relativo à instalação. Isto é importante ao conceber cópias de segurança ou iniciadores personalizados: o nome visível de um perfil não representa todo o limite de armazenamento. A documentação do Chromium sobre o diretório de dados do utilizador explica esta estrutura.

Escolha um limite para o fluxo real

Um operador de confiança, várias contas de clientes com menor impacto

Utilize um perfil do navegador com um nome inequívoco para cada cliente quando o principal risco for uma troca acidental de sessões e a mesma pessoa de confiança estiver autorizada a utilizar todas as contas. Mantenha o número de perfis suficientemente reduzido para permitir a sua revisão e manutenção. Repita uma cor ou um ícone no nome do perfil, no tema do navegador, na pasta de marcadores e na pasta de transferências aprovada.

Este padrão não é suficiente se um cofre de palavras-passe partilhado, um certificado do sistema operativo, uma ligação externa, uma extensão ou um ficheiro local puder violar o limite exigido.

Várias pessoas a partilhar um Mac

Dê a cada pessoa uma conta individual do macOS. A Apple recomenda uma conta distinta por pessoa, para que cada uma possa personalizar as definições sem afetar as outras. Para o trabalho corrente, uma conta padrão costuma ser o ponto de partida adequado, pois não pode adicionar outros utilizadores nem alterar as definições destes. A Apple documenta os tipos de conta e os respetivos limites em Adicionar um utilizador ou grupo no Mac.

Não utilize um início de sessão partilhado no macOS nem uma palavra-passe de administrador como método de transferência. A mudança rápida de utilizador da Apple pode reduzir o incómodo das contas individuais, mas cada pessoa deve continuar a autenticar-se com a sua própria identidade.

Trabalho de alto impacto, regulamentado ou contratualmente dedicado

Pergunte ao cliente ou ao responsável pela segurança se o limite aprovado é uma conta gerida do macOS, uma máquina virtual ou um dispositivo separado. Registe quem gere as atualizações, a proteção do endpoint, as cópias de segurança, a eliminação remota, os certificados e o acesso de administrador. Um dispositivo dedicado sem estes controlos pode criar mais risco não gerido, apesar de parecer separado.

Trate o perfil como um limite de trabalho completo

Um ícone de perfil não consegue, por si só, evitar uma troca. Analise todos os percursos pelos quais o contexto de um cliente entra ou sai do navegador.

Identidade e autenticação

Utilize o processo de gestão de identidades e credenciais aprovado pelo cliente. Evite partilhar palavras-passe, cookies de sessão, códigos de utilização única ou passkeys em bruto entre trabalhadores. Registe o proprietário e o percurso de recuperação de cada conta sem colocar o segredo numa folha de cálculo ou numa nota do perfil.

No macOS, as palavras-passe, passkeys e códigos de verificação podem residir na aplicação Palavras-passe e ser sincronizados através do Porta-chaves em iCloud quando essa opção está ativa. A Apple descreve este armazenamento ao nível do sistema operativo em Utilizar palavras-passe no Mac. Se for necessário isolar entre si as credenciais dos clientes, teste diretamente os limites do fornecedor de palavras-passe e do preenchimento automático. Não presuma que um perfil do navegador cria um Porta-chaves separado.

Ficheiros, área de transferência e capturas de ecrã

Escolha um local de transferências aprovado para cada cliente, com regras claras de retenção e partilha. Teste os carregamentos, além das transferências, pois um seletor de ficheiros pode expor uma parte maior da pasta pessoal do macOS. A área de transferência e as ferramentas de captura de ecrã são recursos do sistema operativo dentro de uma sessão de utilizador; os perfis do navegador não os separam.

Evite incluir identificadores de clientes ou segredos nos nomes de ficheiros quando estes possam aparecer em listas de itens recentes, cópias de segurança, partilhas de ecrã ou notificações.

Extensões e auxiliares nativos

Instale apenas extensões e aplicações auxiliares aprovadas para o trabalho. Registe os perfis em que cada extensão está ativa e reveja o acesso aos sites após as atualizações. O Safari disponibiliza as extensões a todos os perfis, mas permite ativá-las ou desativá-las em cada um; a desinstalação afeta todos os perfis. Outros navegadores têm comportamentos diferentes.

Definições de rede

Utilize apenas configurações de VPN, proxy, DNS e certificados aprovadas pelo cliente. Um perfil do navegador não separa automaticamente o DNS do sistema operativo, a visibilidade na rede local, a postura do dispositivo nem uma VPN que abranja todo o sistema. Teste o encaminhamento e o comportamento em caso de falha sem procurar ocultar ou deturpar a autorização do operador.

Ligações abertas a partir de outras aplicações

O e-mail, o chat, os gestores de palavras-passe e as aplicações para computador podem abrir uma ligação num contexto inesperado do navegador. O Safari pode associar sites a um perfil, mas a Apple indica que uma ligação externa pode permanecer noutro perfil quando o site já estiver aberto nesse perfil. Inclua as ligações externas e os retornos de autenticação nos testes do fluxo.

Transferências de responsabilidade

Transfira a responsabilidade através do sistema de acesso aprovado pelo cliente. Prefira a reatribuição, alterações de função e uma nova autenticação à cópia de uma sessão ativa do navegador. O operador cessante deve perder o acesso através do fornecedor de identidade ou do serviço, não apenas pela eliminação de um atalho local.

Utilize uma verificação breve antes de agir

Antes de uma ação com consequências, o operador deve conseguir responder a cinco perguntas com base em elementos visíveis:

1. Que cliente autorizou este trabalho?
2. Que perfil do navegador ou conta do macOS está ativo?
3. Que conta do serviço tem sessão iniciada?
4. Que objeto, campanha, loja, repositório ou inquilino vai ser alterado?
5. Para onde vai o resultado, o ficheiro transferido ou a mensagem?

Numa ação de alto impacto, acrescente uma pré-visualização ou a aprovação de uma segunda pessoa. Uma nova autenticação também pode criar uma pausa útil. Estes controlos reduzem o erro humano; nenhum deles garante que não ocorrerá um erro.

Teste o limite sem dados de clientes

Crie contas sintéticas e marcadores inofensivos semelhantes ao fluxo real. Não utilize cookies, credenciais, registos de clientes nem capturas de ecrã de produção.

Verifique que:

• um perfil novo começa sem sessão iniciada na conta sintética utilizada noutro perfil;
• o preenchimento automático não sugere a credencial de um cliente não autorizado;
• as ligações externas e os retornos de início de sessão abrem no contexto esperado;
• as transferências e os carregamentos utilizam o local aprovado previsto;
• as extensões estão ativas apenas nos locais aprovados;
• as notificações identificam claramente o cliente e a conta sem expor conteúdo sensível;
• fechar e reabrir o navegador preserva apenas o estado esperado; e
• outro trabalhador não consegue entrar na conta do macOS sem se autenticar.

Repita o teste após alterações importantes ao navegador, macOS, gestor de palavras-passe, extensões ou gestão de dispositivos. Registe as versões e as verificações que falharam. Uma lista de verificação sem registo de falhas não demonstra que o limite continua a funcionar.

Limites que permanecem

Os perfis do navegador não criam anonimato, não alteram as regras de um serviço nem garantem acesso ininterrupto a uma conta. Contas separadas do macOS continuam a partilhar um sistema operativo, administradores, hardware e rede. Um endpoint comprometido pode observar dados depois de o utilizador autorizado o desbloquear.

O FileVault protege os dados no disco de arranque contra determinados cenários de acesso sem ligação ao sistema. Não separa dois perfis do navegador numa conta do macOS que já esteja desbloqueada. A Apple explica as opções de proteção e recuperação em Proteger os dados do Mac com o FileVault.

Por fim, verifique se o próprio perfil do navegador é sincronizado. Os perfis do Safari podem ser sincronizados através do iCloud quando o Safari está ativo para a mesma Conta Apple, e os dados do Chrome podem ser guardados numa Conta Google. Um perfil que parece local pode, portanto, ter um limite de nuvem que a equipa deve analisar.