Guia
Esse link de login é seguro? Como conferir um magic link
Cada vez mais sites mandam um link por e-mail em vez de pedir a sua senha: é o magic link. Veja como ele funciona e como saber se um link de login é seguro antes de clicar.
Por Uros Gazvoda · ·
Você digita o seu e-mail e o site responde: “Confira sua caixa de entrada.” Pouco depois chega um e-mail com um botão: Fazer login, Entrar no Slack ou Confirmar que é você. Esse botão é um magic link. Um clique e você está dentro.
Resposta curta: só clique num link de login que você acabou de pedir. Antes de clicar, confira se ele abre o site em que você está fazendo login. Se uma das duas coisas não bater, não clique. Abra o site por conta própria e peça um novo link.
O que é um magic link
Um magic link é um link de login com uma chave secreta de uso único dentro dele. O e-mail só chega na sua caixa de entrada, então abrir o link prova que ela é sua. É isso que substitui a senha.
- Em geral, ele funciona uma vez só.
- Expira rápido: muitas vezes vale só de 10 a 30 minutos.
- Em muitos sites, quem abre o link entra na conta. Por isso, nunca encaminhe um link desses nem compartilhe uma captura de tela dele.
Cada site chama de um jeito: magic link, link mágico, link de login, link de acesso, “link de uso único” ou aquele e-mail “É você?”. Todos funcionam do mesmo jeito.
Por que tanta gente cai em link falso
Quem está esperando um e-mail desses clica rápido. O falso tem a mesma cara, mas o botão abre uma cópia do site verdadeiro. Essa cópia pede a sua senha, um código ou o seu cartão. Tudo o que você digitar vai para quem montou o golpe. Isso é phishing.
Como saber se um link de login é seguro, em cinco passos
- Você acabou de pedir esse link? Se você não tentou fazer login agora, não clique. Alguém digitou o seu e-mail, por engano ou de propósito. Sem o link, essa pessoa não entra, então ignore o e-mail.
- Olhe o endereço do remetente, não o nome. O nome pode ser qualquer coisa. Veja o que vem depois do @.
- Veja para onde o botão leva, sem clicar. Na maioria dos apps de e-mail, basta deixar o ponteiro sobre o botão para o endereço aparecer. No Gmail aberto no navegador, ele aparece no canto de baixo da janela. Ou clique no botão com a tecla Control pressionada, escolha Copiar Link e cole o link numa nota.
- Leia o nome do site do jeito certo. Ache a primeira barra simples depois de
https://. O site é o que vem logo antes dela, lido da direita para a esquerda. Veja os exemplos abaixo. - Depois de clicar, olhe antes de digitar. Um magic link de verdade faz o login sozinho. Se a página pedir a sua senha ou o seu cartão, feche.
Como verificar um link: verdadeiro ou falso?
O site é formado pelas duas últimas partes do nome, antes da primeira barra simples. Quando o final do endereço tem duas partes, como o .com.br de banco.com.br, são as três últimas.
Digamos que você pediu um link de login ao Notion:
https://www.notion.so/loginwithemail?token=…abre notion.so. É o Notion.https://notion.so.sign-in.example/verifyabre sign-in.example. O “notion.so” é só o começo do nome do site.https://notion-so.com/loginabre notion-so.com. É um nome parecido, mas é outro.https://example.com/r?u=notion.soabre example.com. O Notion só aparece depois da barra.
Mas tem um porém: alguns e-mails verdadeiros passam os links antes por um serviço de envio de e-mails. Aí o endereço pode parecer não ter nada a ver, mesmo que o e-mail seja legítimo. Só de olhar, não dá para diferenciar. Na dúvida, abra o site por conta própria e peça um novo link.
Se você já clicou num link falso
- Você não digitou nada: feche a página. Só abrir uma página raramente causa estrago.
- Você digitou uma senha: troque essa senha agora no site verdadeiro e em todo lugar onde você usa a mesma. Ative a verificação em duas etapas.
- Você digitou um código ou dados do cartão: fale com o serviço ou com o seu banco. Veja se há aparelhos ou pagamentos que você não reconhece na conta.
Como o CodeCatch ajuda no Mac
Criei o CodeCatch para pegar códigos de verificação, e os links de login dão o mesmo trabalho. Ele lê o Apple Mail, o Gmail e outras contas de e-mail e mostra cada novo link de login junto dos seus códigos. Assim você vê qual site o link abre antes de decidir.
- Ele nunca abre um link sozinho. Quem clica em Open Link ou Copy Link é você.
- Mostra o site que o link abre, lido do jeito certo.
- Se esse site não bate com o endereço do remetente, ele avisa, como na imagem acima.
- Pega só o botão de login, não os links de descadastro ou de ajuda. E só pega links seguros, com
https. - Links para redefinir a senha passam pela mesma verificação.
É uma pista, não uma garantia. O aviso compara o link com o endereço do remetente, e esse endereço pode ser falsificado. O passo 1 continua sendo o mais importante: só clique em links que você pediu.
Perguntas frequentes
Como saber se um link de login é seguro?
Confira duas coisas antes de clicar: se você acabou de pedir esse link e se ele abre o site em que você está fazendo login. Se uma das duas não bater, não clique. Abra o site por conta própria e peça um novo link.
Magic links são mais seguros que senhas?
Em um ponto, sim: não existe senha para alguém adivinhar, para você repetir em outros sites ou para vazar. Em compensação, a sua caixa de entrada vira a chave da conta. Proteja o seu e-mail com uma senha forte e com a verificação em duas etapas.
Por que recebi um link de login que eu não pedi?
Alguém digitou o seu e-mail nesse site, por engano ou de propósito. Essa pessoa não consegue entrar sem abrir o link que está na sua caixa de entrada. Não clique nele. É só apagar o e-mail.
Quanto tempo dura um magic link?
Em geral, minutos, não horas. Muitos valem só de 10 a 30 minutos, e a maioria funciona uma vez só. Se o link expirou, peça um novo ao site.
Dá para verificar um link sem clicar nele?
Dá. Deixe o ponteiro sobre o botão para ver o endereço, ou clique nele com a tecla Control pressionada e escolha Copiar Link. Depois leia o nome do site como explicado acima.
É seguro encaminhar um link de login?
Não. Em muitos sites, quem abre o link entra na sua conta. Trate esse link como uma senha.
Cliquei num link falso. E agora?
Se você não digitou nada, feche a página. Se digitou uma senha, troque essa senha agora no site verdadeiro e em todo lugar onde você usa a mesma, e ative a verificação em duas etapas. Se digitou um código ou dados do cartão, fale com o serviço ou com o seu banco e veja se há aparelhos ou pagamentos que você não reconhece na conta.
