Por que sem senha
Senhas têm dois problemas fundamentais: você esquece ou você reutiliza. Esqueceu: processo de recuperação. Reutilizou: se outro site vazar, sua conta aqui está comprometida.
Magic-link elimina esses problemas. Não há senha para esquecer nem para vazar. O acesso é provado pelo controle da sua caixa de email, que já é protegida por autenticação própria.
Como funciona
- Você informa seu email no CleverNote
- O sistema gera um token de uso único e, junto dele, um código de 6 dígitos
- Um email chega com os dois: um botão com o link e o código
- Você escolhe: clica no link, ou digita o código de 6 dígitos na tela de acesso
- O token é validado e invalidado, e sua sessão começa
O token expira em 15 minutos se não for usado. A sessão dura 30 dias.
O link é o caminho mais rápido no celular (abre o app direto). O código é prático quando você prefere não sair da caixa de email, ou está digitando num aparelho diferente do que recebeu a mensagem.
Segurança do token
Cada token só funciona uma vez: ao ser usado (pelo link ou pelo código), é imediatamente invalidado. Um link de phishing que tente reaproveitar o token depois que você já entrou não funciona. E todo token expira em 15 minutos.
O código de 6 dígitos ganha uma defesa a mais contra adivinhação: ele é invalidado depois de poucas tentativas erradas. Somado ao limite de 5 tentativas por minuto por IP, não sobra margem para um atacante automatizado acertar um código entre um milhão de possibilidades.
Sessões e dispositivos
A sessão é armazenada como cookie HttpOnly (não acessível a JavaScript) com assinatura HMAC-SHA256. Ela não fica registrada num banco: é um cookie autoverificável, sem estado no servidor.
Por isso não há um painel que lista seus dispositivos. Sair da conta (logout) encerra a sessão naquele dispositivo, e toda sessão expira sozinha em 30 dias. Se suspeitar de acesso indevido, o passo prático é sair da conta.
Taxa de limitação
O sistema aplica limite de 5 tentativas de login por minuto por IP. Isso previne ataques de enumeração de emails ou spam de tentativas de acesso.
Para acesso de emergência em demo
O CleverNote tem um modo de acesso de demonstração para revisores da App Store, que permite testar o app sem necessidade de email real. Esse modo usa credenciais separadas e não tem acesso a dados de usuários reais.
Dica: adicionar o email do CleverNote aos contatos
O email de magic-link vem de notify@clevernote.net. Adicionar esse endereço aos seus contatos evita que os links caiam no spam ou na pasta “Promoções” do Gmail.
Veja também: Privacidade e deleção, App iOS, Plano grátis vs pago
Perguntas frequentes
- O que acontece se o link expirar?
- Você simplesmente solicita um novo link. O processo leva segundos e o link anterior é invalidado automaticamente.
- Posso usar o mesmo email em vários dispositivos?
- Sim. Cada dispositivo tem sua própria sessão. Você pode estar logado simultaneamente no iPhone, no computador do trabalho e no pessoal.
- Como encerrar o acesso num dispositivo?
- Saia da conta (logout) naquele dispositivo para encerrar a sessão dele. A sessão também expira sozinha em 30 dias. Não há um painel que lista sessões por dispositivo: se suspeitar de acesso indevido, o passo prático é sair da conta.
Pronto para experimentar? O CleverNote é gratuito para começar, sem cartão de crédito.
Experimentar grátis