Revisão de acessos é uma lista com duas colunas: cada conta que a empresa usa e cada pessoa que consegue entrar nela. Feita uma vez por ano, em uma tarde, ela responde a pergunta que ninguém faz até dar problema: o funcionário que saiu em março ainda entra no Instagram? O sobrinho que fez o site é o titular do domínio? A senha do Mercado Pago está no grupo de WhatsApp de 2023?
Em dezembro, as entradas e saídas do ano já aconteceram e a operação desacelera depois do Natal. Janeiro costuma trazer gente nova, e é melhor entregar acesso numa casa arrumada.
Como montar a lista sem esquecer nenhuma conta?
Comece pelas contas que movimentam dinheiro ou falam com o cliente, e siga até as que só guardam dado. Para cada uma, anote quem entra, com que perfil, e quem é o titular (o e-mail ou CPF dono da conta).
Deslize a tabela para os lados para ver todas as colunas.
| Conta | Quem entra | Titular | Risco se ficar errado |
|---|---|---|---|
| Banco, Mercado Pago, maquininha | Dinheiro | ||
| E-mail da empresa e caixas individuais | Recupera todas as outras | ||
| WhatsApp Business e WhatsApp Business API | Fala com o cliente em seu nome | ||
| Instagram, Facebook, gerenciador de anúncios | Publica e gasta em seu nome | ||
| Loja virtual e site (painel) | Muda preço, produto, conteúdo | ||
| Domínio (Registro.br) e hospedagem | Derruba tudo | ||
| Perfil da Empresa no Google | Horário, telefone, avaliações | ||
| Sistema, CRM, planilhas compartilhadas | Cadastro de clientes | ||
| Contador, emissor de nota, certificado digital | Fiscal | ||
| Serviços de assinatura (ferramentas) | Cobrança e dado |
Para achar as contas que faltam, use o mesmo método das assinaturas esquecidas: extrato do cartão e busca no e-mail por "bem-vindo", "sua conta", "convite". O que aparece lá e não está na lista é conta esquecida com acesso esquecido.
A coluna do titular é a que mais surpreende. É comum o domínio estar no CNPJ da agência, o Instagram vinculado ao e-mail pessoal de um ex-sócio, e o gerenciador de anúncios no perfil de um freelancer. Enquanto está tudo bem, ninguém nota. Quando a relação acaba, a conta vai junto.
O que fazer com o que a lista mostra?
Na ordem:
- Remover quem saiu. Em cada conta, tirar o acesso de quem não está mais na empresa. Não é falta de confiança; é que a pessoa não deveria carregar essa responsabilidade depois de sair.
- Trocar senha compartilhada. Toda conta cujo acesso é "a senha que todo mundo sabe" ganha senha nova, gerada por um gerenciador de senhas, e o compartilhamento passa a ser pela pasta do gerenciador, não pelo grupo.
- Corrigir o titular. Domínio, Instagram, gerenciador de anúncios e Perfil da Empresa no Google no nome da empresa ou do dono, com o e-mail da empresa como contato. É burocrático e leva dias em alguns casos; comece agora.
- Ligar a verificação em duas etapas nas contas de dinheiro, e-mail e WhatsApp, com os códigos de recuperação guardados.
O que evitar: dar acesso de administrador para todo mundo por praticidade. Quem atende precisa responder no WhatsApp, não mudar a senha do WhatsApp. Quem posta no Instagram precisa publicar, não remover o dono. A maioria dos serviços tem perfis com menos poder; use.
Como manter isso em dia sem repetir a tarde inteira?
A lista feita em dezembro vira o documento de entrada e saída de pessoas. Entrou alguém em fevereiro: a lista diz quais contas ela recebe, com que perfil. Saiu alguém em agosto: a lista diz de onde remover no mesmo dia. Sem a lista, o desligamento remove o que alguém lembra, e o resto fica.
Guarde a lista no gerenciador de senhas ou em um documento que só o dono e mais uma pessoa de confiança acessam. A lista de acessos é, por definição, o mapa do que proteger. Não vai para o grupo.
Uma revisão de dez minutos a cada trimestre, só conferindo se a coluna "quem entra" ainda está certa, evita que a tarde do próximo dezembro comece do zero.
O que fazer agora
Preencha a tabela hoje, mesmo com lacunas. Remova quem saiu ainda esta semana. Abra o processo de correção de titular do domínio e do Instagram antes do recesso, porque eles demoram. Se preferir que alguém olhe o conjunto e diga o que está exposto, a gente faz esse diagnóstico em uma conversa: https://avilaops.com/contato/ ou chame no WhatsApp: https://wa.me/5517997811471.
Perguntas frequentes
O funcionário que saiu pode ser responsabilizado se usar o acesso? Pode, mas a responsabilidade de retirar o acesso é sua, e o prejuízo acontece antes de qualquer processo. Remover no dia do desligamento é mais barato que qualquer disputa.
A agência se recusa a transferir o domínio ou o Instagram. O que fazer? Para o domínio .com.br, o Registro.br tem procedimento de transferência de titularidade que exige concordância do titular atual; se ele se recusa e o nome é a sua marca registrada, há via administrativa e judicial. Para o Instagram, a Meta tem canal de denúncia por uso de marca registrada, mas o resultado não é garantido. Nos dois casos, comece pelo pedido formal por escrito, com data.
Preciso de um sistema para controlar acessos? Não. A tabela deste guia em um documento protegido e um gerenciador de senhas com pastas resolvem para empresa pequena. Sistema de controle de acesso é para quando a lista passa de algumas dezenas de pessoas.
