Perguntas frequentes

O XFA verifica coisas como se o disco está cifrado, se o ecrã bloqueia automaticamente, se o sistema operativo e o navegador estão atualizados e se há antivírus ou firewall ativos, entre outras verificações. A lista exata é definida pela política da sua organização, e o XFA lê apenas essas definições concretas, nunca os seus ficheiros nem a sua atividade.

Não. O XFA não pode assumir o controlo do seu dispositivo e nunca altera uma definição por si próprio: a aplicação funciona sem direitos de administrador. Não lê os seus ficheiros, mensagens nem histórico de navegação. Para detetar aplicações de risco, vê que aplicações estão instaladas e partilha apenas quantas encontrou, não os nomes. Se alguma coisa falhar uma verificação, o XFA mostra-lhe como a resolver. Em algumas verificações pode também iniciar a correção a partir da aplicação XFA, por exemplo para voltar a ligar a proteção de instalação. Isso só acontece depois de confirmar. Quando a alteração precisa de direitos de administrador, o seu Mac pede a sua palavra-passe de administrador e o Windows pede a sua autorização.

Instalar o XFA leva apenas alguns minutos e não precisa de conta. Quando a sua organização lhe pedir para verificar um dispositivo, siga a ligação e transfira a aplicação XFA: a Desktop Application no Windows, macOS e Linux, ou a Mobile App no iOS e Android. Abra o instalador, siga as indicações e volte depois ao ecrã de verificação para ligar. No Linux, incluindo o NixOS, execute antes o comando de instalação de Como instalar o XFA.

Se a sua organização vir um dispositivo como "Ligação perdida", abra a aplicação XFA nesse dispositivo (instale-a ou atualize-a primeiro, se for preciso) e confirme que a sua organização continua ligada. Se não estiver, aceite o convite outra vez ou siga o e-mail de verificação que a sua equipa de TI enviou. O XFA partilha depois um estado novo automaticamente.

Pode nem precisar de desinstalar. Para deixar de partilhar o estado do seu dispositivo, basta desligar-se da organização dentro da aplicação XFA. Para remover o XFA por completo, desligue-se primeiro de todas as organizações e desinstale depois a aplicação pelo processo de remoção normal do seu sistema operativo, no Windows, macOS, Linux, iOS ou Android.

Não. Tanto no macOS como no Windows, o antivírus e a firewall integrados dão um bom nível de segurança e chegam por si sós; no Mac, sempre foi assim. Estão normalmente ligados por predefinição mas, se você ou outra pessoa os desligar, o XFA assinala isso nas suas verificações.

Sim, no Windows. O XFA lê o que a própria Segurança do Windows comunica, por isso qualquer antivírus aí registado conta, e não apenas o Microsoft Defender. O nome do produto que vê no XFA é o que o Windows mostra em "Quem me está a proteger". O Windows mantém o Microsoft Defender registado em modo passivo ao lado do seu antivírus, o que é normal e não afeta a verificação. Se o XFA disser que não há antimalware ativo e o seu antivírus parecer bem, abra a Segurança do Windows e confirme que a proteção em tempo real está ligada para ele, e volte a abrir o XFA para repetir a verificação. No macOS, o XFA lê o XProtect integrado da Apple em vez de um produto de um fornecedor específico.

Num computador, a aplicação XFA verifica o seu dispositivo e comunica o estado de 4 em 4 horas. Também verifica quando arranca, quando escolhe Recheck security status no menu e depois de iniciar sessão através do XFA. Num telemóvel, a aplicação XFA verifica quando a abre e de 6 em 6 horas em segundo plano.

A verificação Secrets in Environment do XFA procura variáveis de ambiente cujos nomes sugerem que contêm credenciais, como chaves de API, tokens ou palavras-passe, em ficheiros de configuração da shell, processos em execução e definições do sistema. Regista apenas o nome da variável, nunca o valor real, e assinala os casos em que essas credenciais poderiam ficar expostas a qualquer processo no dispositivo.

observação

Esta verificação está atualmente em beta e vem desligada por predefinição. A sua organização pode ligá-la e escolher se avisa ou bloqueia quando forem detetados segredos.

Procuramos nomes de variáveis que contenham padrões como:

• KEY (por exemplo, API_KEY, PRIVATE_KEY, AWS_ACCESS_KEY)
• TOKEN (por exemplo, AUTH_TOKEN, GITHUB_TOKEN)
• SECRET (por exemplo, CLIENT_SECRET, JWT_SECRET)
• PASSWORD / PASSWD (por exemplo, DB_PASSWORD)
• CREDENTIAL (por exemplo, AWS_CREDENTIAL)
• OAUTH (por exemplo, OAUTH_TOKEN)
• ENCRYPTION_KEY, SIGNING_KEY

Onde procuramos?

• Ambiente do processo: variáveis herdadas por todos os processos filhos
• Ambientes de shell (bash, zsh, fish): variáveis definidas em ficheiros de configuração da shell
• Linhas de comando de processos em execução: segredos passados como argumentos (por exemplo, docker run -e API_KEY=xxx)
• Sessão launchd do macOS: variáveis herdadas por aplicações gráficas (IDE, assistentes de IA)
• Registo do Windows: variáveis de ambiente ao nível do utilizador e do sistema

Os segredos guardados em variáveis de ambiente ficam acessíveis a todos os processos que correm nesse contexto, incluindo assistentes de programação com IA, plugins de IDE e qualquer ferramenta aberta a partir do terminal ou do ambiente de trabalho. Isto é uma superfície de ataque considerável.

O XFA regista apenas o nome da variável (por exemplo, OPENAI_API_KEY), nunca o valor do segredo propriamente dito. As variáveis conhecidas e seguras, como PATH, HOME, SSH_AUTH_SOCK e as definições de idioma, são ignoradas para evitar falsos alarmes.

A verificação procura o TeamViewer, o AnyDesk e o Chrome Remote Desktop configurados para acesso não assistido: uma palavra-passe ou um PIN permanente que permite a alguém ligar-se sem que aceite no ecrã. Ter uma destas ferramentas instalada não basta para falhar a verificação. Se o XFA não conseguir confirmar se o acesso não assistido está configurado, o dispositivo indica que não foi possível concluir a verificação, e não conta como conforme até o XFA o conseguir confirmar.

Para passar, remova a palavra-passe ou o PIN permanente nas definições da própria ferramenta, ou desinstale a ferramenta se já não precisar dela. A sua organização decide se uma verificação falhada apenas o avisa ou bloqueia o início de sessão.

Esta verificação é distinta das verificações de acesso remoto do próprio sistema operativo: partilha de ecrã, início de sessão remoto, gestão remota e execução remota de scripts.