Você está em um novo site. O formulário de inscrição é longo. Você clica em um botão que diz “Faça login com o Google”. Funciona. Você está dentro.
Este é o logon único (SSO).
É a experiência padrão da web moderna. A maioria das plataformas oferece isso. Facebook, Google, Apple, LinkedIn e até Twitter. Todos eles permitem que você pule a etapa de criação de senha. Mas você deveria?
A resposta não é simples. Depende do que você valoriza mais: velocidade ou controle.
Como o logon único realmente funciona
Ao clicar nesse botão, você não está apenas fazendo login. Você está autorizando uma transferência de dados.
O novo site pede permissão ao seu provedor social para compartilhar detalhes específicos. Normalmente, isso inclui seu nome e endereço de e-mail. Às vezes, ele captura sua foto de perfil.
Em alguns casos, ele extrai dados mais profundos. Datas de nascimento. Números de telefone. Histórico de localização.
Quem decide o que é compartilhado? Tudo se resume a duas políticas. A política do aplicativo ao qual você está ingressando. E a política da sua conta social principal.
“Aplicativos e sites menores provavelmente têm menos segurança do que grandes redes sociais, portanto, renunciar à entrega de senha e endereço de e-mail em favor de um login social pode ser uma opção mais segura.” — Paul Bischoff, especialista em privacidade da Comparitech
Antes de clicar, procure uma caixa de texto. Deve listar exatamente quais dados estão sendo expostos. Se você não vê, presuma o pior.
Por que você deve usar o login social
O tempo é o principal ponto de venda.
Imagine preencher dez formulários diferentes. Nome. E-mail. Telefone. Endereço. Aniversário. É tedioso. SSO ignora isso. Ele extrai suas informações existentes e as despeja na nova conta.
Também simplifica a memória. Você tem centenas de contas. De quantas senhas você realmente se lembra? O SSO atua como uma chave mestra. Você faz login no Google uma vez. Você pode acessar dezenas de serviços vinculados sem inserir credenciais novamente.
A segurança é outro fator. Sites menores geralmente têm segurança fraca. As grandes empresas de tecnologia têm equipes de segurança enormes. Se um pequeno aplicativo solicitar sua senha, você estará confiando um segredo a ele. Se eles usarem SSO, você estará confiando neles apenas uma chave de API. Eles nunca veem sua senha social real.
Também existem benefícios funcionais. O Dropbox pode colocar suas fotos do Facebook diretamente no armazenamento em nuvem. O Zoom sincroniza com o seu Google Agenda. O Slack importa seus contatos.
Você pode fazer algumas dessas coisas sem SSO. Mas o SSO os torna instantâneos.
Os custos ocultos da conveniência
A conveniência tem um preço. Você perde o controle.
Ao criar uma conta manualmente, você decide o que compartilhar. Com o SSO, o aplicativo pode pegar o que quiser. Você pode concordar em compartilhar sua idade e interesses apenas para entrar no aplicativo.
Esses dados não são apenas para o aplicativo.
“Usar um login social cria uma rede de sites que possuem um identificador compartilhado com você. Esse identificador pode ser usado para criar um perfil de publicidade compartilhado com base em sua atividade em cada um dos sites.” — Dan Fritcher, CTO da Sysfi Cloud Services
Esse perfil cresce com o tempo. Ele rastreia seus movimentos na web. Quem sabe para que servirá daqui a cinco anos?
Há também uma questão de confiança. Grandes marcas têm políticas de privacidade. Sites aleatórios podem não. Um site sem reputação pode pegar suas informações de contato e vendê-las para golpistas. Isso acontece.
O SSO amplifica o risco se sua conta principal for comprometida.
Se um hacker roubar sua senha do Google, ele não receberá apenas seu e-mail. Eles obtêm todos os serviços vinculados a esse login. Uma violação. Muitas perdas.
As interrupções no serviço são outra dor de cabeça. Se o Facebook cair, todos os aplicativos que usam login do Facebook travam com ele. Suas próprias contas estão bloqueadas devido a um erro no servidor corporativo.
Como as principais plataformas lidam com dados de terceiros
Nem todos os provedores de SSO são criados iguais.
Google
O Google oferece controles granulares. Você pode revisar quais aplicativos têm acesso à sua conta nas configurações da sua Conta do Google. Você pode revogar o acesso instantaneamente. Eles geralmente limitam os dados compartilhados ao que o aplicativo solicita explicitamente.
Facebook (Meta)
O Facebook reforçou suas políticas após escândalos como o Cambridge Analytica. Os aplicativos devem passar por um rigoroso processo de revisão para acessar os dados do usuário. Você pode ver exatamente quais permissões um aplicativo solicitou. Meta permite que você veja e remova aplicativos conectados.
Maçã
O “Sign in with Apple” da Apple foi projetado para privacidade. Ele permite que você oculte seu endereço de e-mail real usando um e-mail aleatório somente para encaminhamento. Também oferece a opção “Ocultar meu e-mail”. A Apple exige que os aplicativos revelem por que precisam de dados e oferece aos usuários maneiras fáceis de revogar o acesso.
Twitter (X)
A integração do Twitter é menos transparente. Embora forneça SSO, a profundidade do compartilhamento de dados e dos recursos de rastreamento de terceiros pode ser menos clara do que a Apple ou o Google. Os usuários devem analisar cuidadosamente as telas de permissão.
O Veredicto
O logon único é uma ferramenta. Não é inerentemente bom ou ruim.
É rápido. É conveniente. Pode ser mais seguro do que usar uma senha fraca em um site incompleto.
Mas cria uma rede de compartilhamento de dados. Ele fornece aos aplicativos mais informações do que você pretende fornecer. Ele vincula sua identidade digital a algumas corporações gigantes.
Se você se preocupa com velocidade, use-o.
Se você se preocupa com privacidade, tome cuidado.
Verifique as permissões. Leia a política de privacidade. Revogue o acesso quando não precisar mais do aplicativo. Vale a pena proteger seus dados.
Ao clicar em “Login com Facebook”, você não está apenas entregando uma chave. Você está abrindo uma porta para toda a sua pegada digital. As empresas que oferecem Single Sign-On (SSO) têm filosofias muito diferentes sobre quais dados são “necessários” para compartilhar com aplicativos de terceiros. Alguns tratam sua privacidade como um cofre. Outros o tratam como um quadro de avisos público.
Veja como os grandes players realmente lidam com suas informações quando você as usa como provedor de identidade.
Política de compartilhamento de dados do Facebook
A postura padrão do Facebook é agressiva. Durante o início do SSO, a plataforma fornece ao terceiro seu nome, endereço de e-mail e foto do perfil. Mas isso é apenas a ponta do iceberg.
A exposição real vem da classificação de “perfil público” do Facebook. Este termo abrangente abrange tudo em seu perfil que não está explicitamente bloqueado. Se estiver visível para amigos, provavelmente estará visível para o aplicativo. Estamos falando de idade, sexo, data de nascimento e status de relacionamento. Isso se estende a detalhes familiares, hobbies e até mesmo aos dispositivos que você usa.
Pior ainda, o Facebook pode mostrar sua cidade natal, histórico profissional, formação educacional, religião e tendências políticas. A empresa coleta dados extensos e está notoriamente disposta a compartilhá-los com parceiros, fato destacado por recentes escândalos e ações judiciais.
No entanto, você não está totalmente impotente. As configurações de privacidade do Facebook permitem sinalizar certos detalhes como não públicos. Se você selecionar cuidadosamente o que é público versus privado, poderá limitar o sangramento. Mas a maioria dos usuários não.
Política do Google
O Google adota uma abordagem mais segmentada. No mínimo, a gigante da tecnologia compartilha seu nome, endereço de e-mail e foto de perfil. Esse é o custo básico de entrada.
Mas os aplicativos do Google e as integrações de terceiros geralmente tentam obter mais. Eles podem tentar recuperar arquivos, fotos, mensagens ou eventos da agenda armazenados em seu Google Drive. O problema? Eles não podem fazer isso por padrão. Esses serviços devem solicitar especificamente permissões para acessar as camadas mais profundas da sua vida. Se você negar esses pedidos, eles não receberão nada. É um limite mais claro do que o modelo de perfil público do tipo tudo ou nada do Facebook.
Política do Twitter
O processo de SSO do Twitter é enxuto por natureza. Os aplicativos registrados pelo Twitter recebem acesso somente leitura a pontos de dados específicos: seu nome de tela, foto do perfil, biografia, localização geral, idioma preferido e fuso horário.
O aplicativo também pode visualizar suas análises de tweets, bem como suas listas de seguidores, silenciados e bloqueados. Notavelmente, o Twitter não compartilha seu endereço de e-mail durante o login, a menos que o aplicativo solicite explicitamente e você conceda permissão.
Isso torna o Twitter uma opção surpreendentemente favorável à privacidade para alguns. Se o seu gráfico social for em sua maioria público, haverá dados “privados” menos confidenciais para um aplicativo roubar.
Política da Apple
O processo SSO da Apple se destaca por seu design centrado no usuário. É único entre os principais fornecedores. Quando o registro é iniciado, a Apple compartilha seu nome e e-mail. Mas os usuários têm controle.
Você pode editar seu nome antes de enviá-lo. Você pode optar por ocultar totalmente seu e-mail. A Apple irá então gerar um endereço fictício que encaminhará automaticamente os e-mails de volta para sua conta real. Você pode desativar esse encaminhamento mais tarde se quiser cortar relações e evitar spam.
A autenticação de dois fatores é obrigatória. A Apple também afirma que não coleta nenhum dado sobre sua interação com o aplicativo. Isso cria um buffer entre sua identidade e o terceiro.
A Apple parece ser um dos melhores serviços para usar quando se trata de SSO porque dá aos usuários mais controle sobre quais dados são compartilhados.
O que fazer com o SSO
Se você planeja usar o logon único, deve estar ciente de quais informações são transportadas. Você tem uma escolha de empresas. Escolha o serviço que compartilha a menor quantidade de dados.
Com base no compartilhamento de dados e no controle do usuário, a Apple é sem dúvida a aposta mais segura. Você não precisa de um dispositivo Apple para criar um ID Apple. Isso o torna acessível para usuários de Android e Windows que desejam melhores controles de privacidade.
Alternativamente, alguns especialistas preferem o Twitter. Bischoff, por exemplo, observa que, como quase tudo em sua conta no Twitter é público, não há muito mais dados que um aplicativo possa coletar dele fazendo login no Twitter. É uma estratégia de “nada a esconder”. Mas nem todo aplicativo oferece todas as opções de login. Muitas vezes você está limitado ao que o desenvolvedor integrou.
Alternativas seguras para SSO
Existe uma maneira melhor de gerenciar o acesso sem abrir mão de sua identidade. Use um gerenciador de senhas dedicado como 1Password.
Este programa armazena todos os seus dados de login em uma pasta criptografada. A única forma de acessá-lo é com uma “senha mestra” definida por você. Esta chave mestra é armazenada localmente e offline. É praticamente impossível para os hackers obterem esses dados sem acesso físico ao seu computador.
Muitos navegadores da web também fornecem gerenciadores de senhas integrados. Eles usam seus próprios métodos de criptografia, que são melhores do que texto simples, mas menos robustos do que uma ferramenta dedicada de terceiros.
Noções básicas de segurança
Reforce a segurança da sua mídia social. Habilite a autenticação de dois fatores (2FA). Isso gera uma senha temporária enviada para seu e-mail pessoal ou número de telefone.
É um dos métodos mais rápidos e eficazes para impedir o acesso online indesejado. Ele também protege suas contas de logon único. Se alguém roubar sua senha, ainda assim não conseguirá entrar sem esse segundo fator.
A prática mais segura continua sendo a criação de senhas exclusivas para cada serviço que você usa. É tedioso. É irritante. Mas funciona. Use um gerenciador de senhas criptografadas para controlar todas elas. Pare de tentar lembrar das coisas. Comece a gerenciá-los.
