Segurança

A segurança da conta tem duas camadas:

• Regras da organização, que valem para todos os usuários da conta: Política de Acesso, Política de Senha e restrição de IP na API.
• Segurança do seu login, que cada usuário configura para si: senha, Dupla Autenticação, autenticador, passkeys, códigos de backup, dispositivos, notificações e código anti-phishing.

Política de Acesso

Onde fica

Menu do usuário > Organização > Política de Acesso. A tela tem três blocos, cada um com o botão Salvar Alterações. As alterações ficam registradas na Auditoria.

Permissão necessária: Segurança > Política de Acesso.

Método de Autenticação

Define o nível de segurança exigido no login de todos os usuários da conta.

Opção	O que exige
Padrão	Apenas a senha.
Autenticação de dois fatores (2FA)	Senha e uma segunda etapa: código do aplicativo autenticador ou passkey.

Com a 2FA, você pode informar uma data no campo de calendário: a exigência começa nessa data ("Forçar o uso da autenticação de dois fatores a partir desta data"). A tela mostra o estado atual:

• sem exigência: aviso recomendando exigir a 2FA;
• com data futura: "Os usuários serão obrigados a realizar login com a autenticação de dois fatores a partir de" a data;
• em vigor: "No momento os usuários são obrigados a realizar login com a autenticação de dois fatores."

Quando a exigência está em vigor, o usuário que ainda não tem autenticador nem passkey é levado, depois do login, para a tela Dupla Autenticação (2FA) para configurar uma das duas. Enquanto a exigência valer, o usuário não consegue desligar a própria Dupla Autenticação.

Acesso do Suporte

A chave Permitir o acesso do time da Kobana autoriza a equipe de suporte da Kobana a entrar na sua conta por 8 horas. Depois desse prazo, a permissão expira sozinha. Para dar acesso individual e sem prazo a um funcionário da Kobana, cadastre-o como usuário.

Restringir IPs

A chave Limitar o acesso por IP faz com que só acessos vindos dos IPs informados entrem no painel. A tela mostra o seu IP atual.

• Informe um IP por linha. A lista não pode ficar vazia com a chave ligada, e cada linha precisa ser um IP válido.
• A comparação é feita com o endereço exato. Uma faixa em notação CIDR (por exemplo, 10.0.0.0/8) é aceita na gravação, mas não libera os IPs da faixa: liste os endereços um a um.
• A verificação acontece no login. Mudar a lista, ou mudar de IP, só tem efeito no próximo login.
• O usuário bloqueado é levado à tela Usuário Bloqueado, com a mensagem "Seu IP (...) não está liberado para acessar esta conta."

cuidado

Se você ativar a restrição sem incluir o IP correto, todo o time pode ficar sem acesso ao painel.

Política de Senha

Onde fica

Menu do usuário > Organização > Política de Senha. A tela resume a política atual e classifica como fraca, moderada ou boa conforme o número de regras ligadas. Clique em Alterar Configurações para editar e em Salvar Configurações para gravar.

Permissão necessária: Segurança > Política de Senhas.

Regras

Regra	Valores
Exigir comprimento mínimo de senha	Entre 8 e 128 caracteres. Sem a regra, o mínimo é 8.
Exigir pelo menos uma letra maiúscula do alfabeto latino (A-Z)	Liga/desliga.
Exigir pelo menos uma letra minúscula do alfabeto latino (a-z)	Liga/desliga.
Exigir pelo menos um número	Liga/desliga.
Exigir pelo menos um caractere não alfanumérico	Liga/desliga.
Habilitar expiração de senhas	Mínimo de 15 dias. A tela sugere 60.
Permitir que os usuários alterem a própria senha	Liga/desliga. Desligada, a tela Senha da Conta Kobana não oferece a troca.
Impedir a reutilização de senhas	Lembra de 3 a 30 senhas anteriores.

As regras valem para todos os usuários da conta. As regras de composição e de reutilização são verificadas quando o usuário define uma nova senha.

Segurança da API

Onde fica

Menu Integrações > API > Segurança.

Permissão necessária: Segurança > Segurança da API (Ações Básicas para ver, Alterar para salvar).

Restringir IPs no Acesso à API

A chave Limitar o acesso por IP faz com que a API só aceite requisições vindas dos IPs informados, mesmo com credenciais corretas. A tela lista os últimos IPs que acessaram a API, com botão para copiar.

• Informe um IP por linha. A comparação é por endereço exato, como na Política de Acesso.
• A requisição de um IP fora da lista é recusada com "Acesso negado: IP não autorizado".
• A restrição é independente da restrição de IP do painel: uma não liga a outra.

cuidado

Se você ativar a restrição sem incluir os IPs dos seus servidores, as integrações pela API param de funcionar.

Detalhes de autenticação na API estão em Autenticação.

Segurança do seu login

Onde fica

Menu do usuário > Gerenciar Conta > Segurança, na Conta Kobana. Cada usuário configura a própria segurança; não há permissão a conceder.

Item	O que faz
Senha	Mostra a data da última troca e permite trocar a senha (se a Política de Senha permitir). Um alerta aparece quando a senha nunca foi trocada ou foi trocada há mais de 6 meses.
Dupla Autenticação (2FA)	Liga ou desliga a segunda etapa no login.
Autenticador	Configura um aplicativo de códigos temporários (TOTP).
Passkeys e chaves de segurança	Cadastra passkeys e chaves físicas.
Códigos de Backup	Gera códigos de uso único para entrar sem o autenticador.
Notificações de Segurança	Escolhe por quais canais receber alertas de segurança.
Código Anti-Phishing	Define uma palavra que aparece nos e-mails e mensagens oficiais da Kobana.
Dispositivos	Lista os dispositivos conectados e permite esquecer, bloquear ou limitar o acesso.
Atividades	Histórico das suas ações e acessos.

Dupla Autenticação (2FA)

A chave Exigir segunda etapa ao entrar só fica disponível depois que você configura um autenticador ou cadastra uma passkey. Com ela ligada, depois da senha você confirma o login com uma passkey ou com o código do autenticador. Quem entra direto com passkey não passa pela segunda etapa.

Na tela de segunda etapa, Tentar com outro método oferece Receber link por e-mail: a Kobana envia um link que conclui o login. O link vale por 10 minutos, é de uso único e só funciona no mesmo navegador em que você digitou a senha.

Se a Política de Acesso da organização exige 2FA, a chave aparece ligada e bloqueada, com o aviso "Obrigatória pela política da sua organização".

Um administrador com a permissão Administração > Usuários > Alterar pode desativar a Dupla Autenticação de outro usuário em Administração > Usuários (por exemplo, quando ele perdeu o celular).

Autenticador

1. Instale um aplicativo autenticador (a tela sugere o Google Authenticator; Authy e 1Password também funcionam).
2. Escaneie o QR Code ou digite o código mostrado abaixo dele.
3. Informe o Código de confirmação gerado pelo aplicativo e a sua Senha.

Para remover, use Remover Autenticador. A remoção fica bloqueada quando o autenticador é a sua única segunda etapa e a 2FA está exigida; cadastre uma passkey antes.

Passkeys e chaves de segurança

Uma passkey usa a impressão digital, o rosto ou o bloqueio de tela do dispositivo. Uma chave de segurança é um dispositivo físico, como uma YubiKey.

• Criar passkey cadastra uma passkey do dispositivo atual.
• Adicionar chave de segurança cadastra uma chave física.
• A lista separa Suas passkeys e Chaves de segurança, e cada item pode ser renomeado ou removido.
• Uma passkey cadastrada serve como segunda etapa e também para entrar sem senha, pelo botão Acessar com passkey da tela de login.
• A remoção da última passkey fica bloqueada quando ela é a sua única segunda etapa e a 2FA está exigida.

Códigos de Backup

Clique em Gerar códigos de backup e guarde os códigos em local seguro: eles são exibidos apenas no momento da geração e podem ser baixados em arquivo. Cada código serve uma vez para entrar caso você perca o acesso ao autenticador. Gerar de novo invalida os códigos antigos.

Notificações de Segurança

A tabela lista os eventos e os canais E-mail, SMS e WhatsApp, cada um com uma chave. A primeira linha liga ou desliga uma coluna inteira. SMS e WhatsApp exigem celular cadastrado nas suas informações pessoais. Listar Notificações mostra o histórico de notificações enviadas.

Evento
Notificação de Login
Tentativa de login bloqueada
Senha alterada
Dupla Autenticação (2FA) ativada
Dupla Autenticação (2FA) desativada
Autenticador removido
Nova chave de acesso (passkey) cadastrada
Chave de acesso (passkey) removida
Novo dispositivo autorizado
Dispositivo revogado

Código Anti-Phishing

Defina uma palavra ou frase. Ela aparece no topo dos e-mails e mensagens oficiais da Kobana. Se uma mensagem que diz vir da Kobana não tem o seu código, desconfie.

Dispositivos e novo dispositivo

A tela Dispositivos lista os dispositivos que acessaram a sua conta nos últimos 90 dias, agrupados por tipo, com IP e último acesso. Cada dispositivo aparece como Sessão atual, Confirmado, Pendente de confirmação ou Bloqueado.

Quando você entra por um navegador ou sistema que a Kobana ainda não conhece, o login acontece normalmente e você recebe um e-mail de alerta com um link para confirmar o dispositivo. O link vale por 24 horas. Enquanto o dispositivo não for confirmado, cada novo login por ele gera um novo alerta.

Ação	O que faz
Esquecer	Remove o dispositivo da lista.
Bloquear	Recusa novos logins vindos dele.
Liberar	Desfaz o bloqueio.
Limitar Acesso	Disponível no dispositivo da sessão atual. Deixa só ele liberado e bloqueia todos os outros; novos dispositivos já nascem bloqueados.
Remover Limitação	Desfaz a limitação de acesso.

Atividades

Mostra as suas ações e acessos na conta, com data, ação, recurso, IP e navegador.

Auditoria da conta

Onde fica

Menu Administração > Auditoria. Mostra as atividades de todos os usuários da conta.

Permissão necessária: Segurança > Histórico de Atividades.

Colunas: Ocorrida em, Ação, Recurso, Usuário, Conta do usuário, IP, SO, Navegador e Device.

Filtros:

Filtro	Descrição
ID do Recurso	Atividades de um registro específico.
Ocorrida em	Período (De, Até).
Usuário	Um usuário da conta, ou todos.
Ação	Um tipo de ação, ou todas.

Entre as ações registradas estão login e logout, entrada e saída de subconta, criação e alteração de usuários e permissões, mudanças na Política de Acesso, na Política de Senha e na Segurança da API, criação, alteração e exclusão de conexões, certificados, tokens e etiquetas.