Contas de emergência no Microsoft 365 são a chave suplente da empresa. Se o único administrador fica bloqueado — porque perdeu o telemóvel da autenticação, porque uma regra de acesso mal configurada fechou a porta a todos, ou porque saiu da empresa sem passar as credenciais — é com estas contas que se volta a entrar. Sem elas, a recuperação depende de pedidos ao suporte da Microsoft e de provas de propriedade, enquanto o email, o Teams e os ficheiros ficam sem gestão.
Este artigo explica, em linguagem de gestão, o que são, quantas ter, onde guardar as chaves e quem deve ter acesso a elas.
Como uma empresa fica sem administrador
Não é preciso um ataque. Os cenários que mais vemos são banais:
- O telemóvel da autenticação perdeu-se ou foi trocado e era o único método de segundo fator do único administrador.
- Uma regra de acesso condicional (as regras que dizem “só entra a partir de Portugal” ou “só de computadores da empresa”) foi ativada com um erro e bloqueou toda a gente, incluindo quem a criou.
- O administrador saiu — um colaborador, ou o anterior fornecedor de informática — e as credenciais saíram com ele.
- A conta de administrador foi comprometida e o atacante mudou a palavra-passe e os métodos de autenticação.
Em todos, a pergunta é a mesma: quem consegue entrar agora, sem depender da conta que falhou?
Em linguagem simples: uma conta “break-glass” é como o martelo atrás do vidro na carruagem do comboio. Não se usa no dia a dia, toda a gente sabe onde está, e partir o vidro faz soar um alarme. Se alguém o usar, é porque houve uma emergência — e fica registado.
O que a Microsoft recomenda
A documentação oficial da Microsoft sobre contas de acesso de emergência no Microsoft Entra (o sistema de identidades por trás do Microsoft 365) é clara. Resumimos as recomendações principais:
| Recomendação | Na prática |
|---|---|
| Duas ou mais contas | Se uma falhar ou for comprometida, ainda existe a outra. |
| Só na cloud, no domínio .onmicrosoft.com | Não dependem do servidor local, da sincronização de contas nem do domínio da empresa. |
| Não associadas a uma pessoa | Nada de “joao.admin”. Nem telemóvel pessoal como segundo fator. |
| Autenticação sem palavra-passe e resistente a phishing | Chave de segurança física (passkey FIDO2), recomendada pela Microsoft, ou certificado. Método diferente do usado pelas contas normais de administração. |
| Excluídas das regras que bloqueiam o acesso | Para que um erro numa regra de acesso condicional não as bloqueie também. |
| Função de administrador global permanente | Ativa de forma permanente, e não “elegível” mediante pedido de ativação. |
| Credenciais guardadas em locais seguros e separados | Por exemplo, cofres em locais diferentes, com acesso só de pessoas autorizadas. |
| Alerta a cada utilização | Qualquer início de sessão gera um alerta crítico para quem deve saber. |
| Testadas pelo menos a cada 90 dias | E sempre que muda a equipa de IT ou a subscrição. |
A autenticação multifator também é obrigatória para estas contas
Durante anos, muitas empresas guardavam a conta de emergência só com uma palavra-passe longa num envelope. Isso acabou. A Microsoft passou a exigir autenticação multifator para entrar nos portais de administração — no centro de administração do Microsoft 365, a partir de fevereiro de 2025 — e a documentação diz expressamente que as contas de emergência também são abrangidas, sem exceção.
Os métodos que a Microsoft indica para cumprir esse requisito nestas contas são a chave de segurança física (FIDO2) ou a autenticação por certificado. Na prática, para uma PME, a solução mais simples é ter duas chaves físicas por conta de emergência, guardadas em locais diferentes. Explicámos os vários métodos no artigo sobre MFA na empresa.
Quem guarda as chaves
Esta é uma decisão de administração, não técnica. Recomendamos uma regra simples: as chaves de emergência pertencem à empresa, não ao fornecedor de informática.
- Uma chave no cofre da empresa, com acesso da administração.
- Uma segunda chave noutro local — outro escritório, o cofre de um administrador, ou um cofre bancário.
- Registo escrito de quem tem acesso, onde estão e quando foram testadas pela última vez.
- Qualquer palavra-passe associada num gestor de passwords empresarial, numa área restrita à administração.
O fornecedor gere o dia a dia com as contas de administração nominais, cada técnico com a sua. As contas de emergência são a garantia de que a empresa nunca fica refém de ninguém — incluindo de nós. É também uma das cláusulas que recomendamos verificar em qualquer contrato, como explicámos no artigo sobre cláusulas de saída e dados num contrato de informática.
DataRoad IT Unlimited
Fale com a DataRoad. Avaliamos a sua operação e propomos o plano certo.
Checklist: está preparado?
- Existem pelo menos duas contas de emergência, no domínio .onmicrosoft.com?
- Nenhuma está associada a uma pessoa ou a um telemóvel pessoal?
- Usam chave de segurança física ou certificado, e não SMS ou aplicação no telemóvel?
- Estão excluídas das regras de acesso condicional que bloqueiam entradas?
- A administração sabe onde estão as chaves, e estão em locais separados?
- Uma entrada numa destas contas gera alerta imediato?
- Foram testadas nos últimos 90 dias?
- Os técnicos usam contas de administração próprias, e não partilhadas?
Se respondeu “não” ou “não sei” a duas ou mais, o risco é real. A maior parte das falhas que encontramos na segurança do email no Microsoft 365 começa precisamente na administração.
Um caso real: 50 caixas de correio, migração com o controlo do lado do cliente
Na União das Freguesias de Massamá e Monte Abraão, a DataRoad migrou cerca de 50 caixas de correio para o Microsoft 365 (Exchange Online), com a transferência integral do conteúdo, a reconfiguração dos postos de trabalho e dos telemóveis e a validação depois da migração. Numa entidade pública, a administração do ambiente deve continuar a pertencer à entidade, independentemente de quem presta o serviço.
É o modelo que recomendamos nos ambientes Microsoft 365 que gerimos: contas de administração nominais para a equipa técnica, contas de emergência na posse do cliente e um registo claro de quem tem acesso a quê.
Perguntas frequentes
Quantas contas de emergência deve ter uma empresa?
A Microsoft recomenda duas ou mais. Com duas, se uma falhar ou for comprometida, a empresa continua a conseguir entrar.
Posso usar o telemóvel do administrador como segundo fator?
Não é recomendado. As contas de emergência não devem estar associadas a nenhuma pessoa nem a nenhum dispositivo pessoal. A Microsoft recomenda chave de segurança física (FIDO2) ou autenticação por certificado.
A conta de emergência pode ficar só com palavra-passe?
Não. A Microsoft exige autenticação multifator nos portais de administração e indica que as contas de emergência também estão abrangidas.
Quem deve guardar as chaves das contas de emergência?
A própria empresa, em dois locais seguros e separados, com registo de quem tem acesso. O fornecedor de informática deve trabalhar com contas de administração próprias e nominais.
Revisão da administração do seu Microsoft 365 em 5 dias úteis
Verificamos as contas de administração, as contas de emergência, os métodos de autenticação e as regras de acesso do seu Microsoft 365, e entregamos a lista de correções com prioridades. Para empresas com mais de 10 postos · contrato de assistência · suporte remoto, local e telefónico. Conheça a nossa gestão de Microsoft 365 para empresas e os planos IT Unlimited.
