🗝️ Senhas e extensões

Neste curso, segredo é qualquer coisa que prove para um sistema que "sou eu": a senha do e-mail, a chave de um serviço de IA, o código que liga o agente à sua planilha.

Quem tem o segredo entra como você. Não precisa saber seu nome, sua senha do banco ou onde fica a clínica. O segredo, sozinho, basta.

Como ler o desenho: a caixa da esquerda diz "você ou outro" de propósito. As três portas à direita se abrem para quem apresentar o segredo do meio, sem conferir a pessoa. É por isso que um segredo vazado vale o mesmo que o seu login.

Quando alguém instala um agente no computador ou num servidor, as chaves costumam ficar guardadas num arquivo de configuração. O mais comum se chama .env (lê-se "ponto env").

O ponto é este: se o agente tem acesso à pasta, ele consegue ler o arquivo de chaves como lê qualquer outro. E, se alguém pedir — você por descuido, ou uma ordem escondida —, ele pode mostrar o conteúdo na tela.

Como ler o desenho: as quatro setas azuis saem do agente e chegam em todos os arquivos — não há seta "proibida". O arquivo âmbar é o de chaves. Repare que o exemplo usa SUA_CHAVE_AQUI: em qualquer material, print ou conversa, uma chave de verdade nunca deve aparecer.

Tudo o que você escreve num chat de IA fica no histórico da conversa. Pode ser lido por quem abrir a sua conta, pode ir para um print, pode aparecer num resumo. Segredo colado no chat passa a morar no chat.

A regra vale nos dois sentidos: você não cola a chave, e o agente não mostra a chave. Nem "só para conferir", nem "só os primeiros dígitos".

REGRA: SEGREDOS
1. Nunca me peça senha, chave de API, token ou código de verificação. Se precisar de um acesso, diga qual e eu configuro fora do chat.
2. Nunca mostre, copie, resuma ou repita o conteúdo de arquivos de configuração (.env e parecidos), nem em parte, nem "só para conferir".
3. Se você encontrar algo que pareça um segredo em qualquer texto, escreva [SEGREDO OCULTO] no lugar e me avise.
4. Se eu mesmo colar um segredo aqui por engano, me alerte na hora e não o repita na resposta.

Extensão do navegador, plugin do chat, "habilidade" ou "app" que se instala no agente: os nomes mudam, a ideia é a mesma. É um pedaço de programa feito por outra pessoa que passa a rodar com as suas permissões.

Se o seu agente pode ler o e-mail, a extensão instalada nele também pode. Se ele enxerga o arquivo de chaves, ela também enxerga. Você não está instalando uma ferramenta; está contratando um desconhecido para trabalhar dentro do seu escritório.

O que olhar na tabela: compare cada linha da coluna do meio com a promessa da extensão. Um pedido que não combina já é motivo para não instalar — não precisa descobrir o porquê. Renata desistiu dessa e achou outra que pedia só a primeira linha.

Antes de clicar "instalar" ou "permitir", passe por três perguntas: quem publicou?, o que pede? e preciso mesmo?. Leva dois minutos e evita a maior parte dos problemas.

A terceira pergunta é a que mais gente pula. Muita extensão resolve algo que o próprio chat de IA já faz sem instalar nada.

Vazou quando o segredo apareceu onde não devia: colado num chat, num print mandado no grupo, num arquivo compartilhado, na tela durante uma chamada. Não importa se "ninguém viu".

Apagar a mensagem não resolve: a cópia pode já estar em outro lugar. O que resolve é tornar aquela chave inútil. A ordem importa — primeiro corta, depois arruma.

Como ler o desenho: leia da esquerda para a direita. A caixa com brilho é a única que não pode esperar: enquanto a chave velha funciona, quem a tem pode usar. Os passos 2 e 3 põem o negócio de pé de novo; o 4 mostra se alguém chegou a usar.

CHECKLIST DE VAZAMENTO DE SEGREDO — <nome do negócio>
Qual segredo vazou: <ex.: chave do serviço de IA / senha do e-mail>
Onde apareceu: <ex.: colado no chat, print no grupo>
Data e hora: <____>

[ ] 1. REVOGAR — entrar em <onde se gerencia a chave, ex.: painel da conta > Chaves> e apagar/desativar a chave vazada.
[ ] 2. CRIAR NOVA — gerar outra chave, só com as permissões que a tarefa precisa.
[ ] 3. TROCAR — atualizar a chave nova em: <lista de lugares, ex.: agente de e-mail, planilha automática>.
       Quem troca: <você ou o técnico, com telefone>.
[ ] 4. CONFERIR — olhar gasto e histórico de uso dos últimos 30 dias. Algo que não reconheço? <sim/não>
[ ] 5. SENHA — se foi senha de login, trocar e ligar a verificação em duas etapas.
[ ] 6. AVISAR — se dados de clientes podem ter sido acessados, falar com <responsável> (ver módulo 4.3).
[ ] 7. REGISTRAR — anotar o que aconteceu e a menor correção para não repetir.