Contas de emergência no Microsoft 365: o que fazer se o administrador ficar bloqueado

7 min de leitura · DataRoad

Contas de emergência no Microsoft 365 são a chave suplente da empresa. Se o único administrador fica bloqueado — porque perdeu o telemóvel da autenticação, porque uma regra de acesso mal configurada fechou a porta a todos, ou porque saiu da empresa sem passar as credenciais — é com estas contas que se volta a entrar. Sem elas, a recuperação depende de pedidos ao suporte da Microsoft e de provas de propriedade, enquanto o email, o Teams e os ficheiros ficam sem gestão.

Este artigo explica, em linguagem de gestão, o que são, quantas ter, onde guardar as chaves e quem deve ter acesso a elas.

Como uma empresa fica sem administrador

Não é preciso um ataque. Os cenários que mais vemos são banais:

• O telemóvel da autenticação perdeu-se ou foi trocado e era o único método de segundo fator do único administrador.
• Uma regra de acesso condicional (as regras que dizem “só entra a partir de Portugal” ou “só de computadores da empresa”) foi ativada com um erro e bloqueou toda a gente, incluindo quem a criou.
• O administrador saiu — um colaborador, ou o anterior fornecedor de informática — e as credenciais saíram com ele.
• A conta de administrador foi comprometida e o atacante mudou a palavra-passe e os métodos de autenticação.

Em todos, a pergunta é a mesma: quem consegue entrar agora, sem depender da conta que falhou?

O que a Microsoft recomenda

A documentação oficial da Microsoft sobre contas de acesso de emergência no Microsoft Entra (o sistema de identidades por trás do Microsoft 365) é clara. Resumimos as recomendações principais:

A autenticação multifator também é obrigatória para estas contas

Durante anos, muitas empresas guardavam a conta de emergência só com uma palavra-passe longa num envelope. Isso acabou. A Microsoft passou a exigir autenticação multifator para entrar nos portais de administração — no centro de administração do Microsoft 365, a partir de fevereiro de 2025 — e a documentação diz expressamente que as contas de emergência também são abrangidas, sem exceção.

Os métodos que a Microsoft indica para cumprir esse requisito nestas contas são a chave de segurança física (FIDO2) ou a autenticação por certificado. Na prática, para uma PME, a solução mais simples é ter duas chaves físicas por conta de emergência, guardadas em locais diferentes. Explicámos os vários métodos no artigo sobre MFA na empresa.

Quem guarda as chaves

Esta é uma decisão de administração, não técnica. Recomendamos uma regra simples: as chaves de emergência pertencem à empresa, não ao fornecedor de informática.

• Uma chave no cofre da empresa, com acesso da administração.
• Uma segunda chave noutro local — outro escritório, o cofre de um administrador, ou um cofre bancário.
• Registo escrito de quem tem acesso, onde estão e quando foram testadas pela última vez.
• Qualquer palavra-passe associada num gestor de passwords empresarial, numa área restrita à administração.

O fornecedor gere o dia a dia com as contas de administração nominais, cada técnico com a sua. As contas de emergência são a garantia de que a empresa nunca fica refém de ninguém — incluindo de nós. É também uma das cláusulas que recomendamos verificar em qualquer contrato, como explicámos no artigo sobre cláusulas de saída e dados num contrato de informática.

Checklist: está preparado?

1. Existem pelo menos duas contas de emergência, no domínio .onmicrosoft.com?
2. Nenhuma está associada a uma pessoa ou a um telemóvel pessoal?
3. Usam chave de segurança física ou certificado, e não SMS ou aplicação no telemóvel?
4. Estão excluídas das regras de acesso condicional que bloqueiam entradas?
5. A administração sabe onde estão as chaves, e estão em locais separados?
6. Uma entrada numa destas contas gera alerta imediato?
7. Foram testadas nos últimos 90 dias?
8. Os técnicos usam contas de administração próprias, e não partilhadas?

Se respondeu “não” ou “não sei” a duas ou mais, o risco é real. A maior parte das falhas que encontramos na segurança do email no Microsoft 365 começa precisamente na administração.

Um caso real: 50 caixas de correio, migração com o controlo do lado do cliente

Na União das Freguesias de Massamá e Monte Abraão, a DataRoad migrou cerca de 50 caixas de correio para o Microsoft 365 (Exchange Online), com a transferência integral do conteúdo, a reconfiguração dos postos de trabalho e dos telemóveis e a validação depois da migração. Numa entidade pública, a administração do ambiente deve continuar a pertencer à entidade, independentemente de quem presta o serviço.

É o modelo que recomendamos nos ambientes Microsoft 365 que gerimos: contas de administração nominais para a equipa técnica, contas de emergência na posse do cliente e um registo claro de quem tem acesso a quê.

Perguntas frequentes

Quantas contas de emergência deve ter uma empresa?

A Microsoft recomenda duas ou mais. Com duas, se uma falhar ou for comprometida, a empresa continua a conseguir entrar.

Posso usar o telemóvel do administrador como segundo fator?

Não é recomendado. As contas de emergência não devem estar associadas a nenhuma pessoa nem a nenhum dispositivo pessoal. A Microsoft recomenda chave de segurança física (FIDO2) ou autenticação por certificado.

A conta de emergência pode ficar só com palavra-passe?

Não. A Microsoft exige autenticação multifator nos portais de administração e indica que as contas de emergência também estão abrangidas.

Quem deve guardar as chaves das contas de emergência?

A própria empresa, em dois locais seguros e separados, com registo de quem tem acesso. O fornecedor de informática deve trabalhar com contas de administração próprias e nominais.

Revisão da administração do seu Microsoft 365 em 5 dias úteis

Verificamos as contas de administração, as contas de emergência, os métodos de autenticação e as regras de acesso do seu Microsoft 365, e entregamos a lista de correções com prioridades. Para empresas com mais de 10 postos · contrato de assistência · suporte remoto, local e telefónico. Conheça a nossa gestão de Microsoft 365 para empresas e os planos IT Unlimited.

Fontes

• Microsoft Learn — Manage emergency access admin accounts (Microsoft Entra ID)
• Microsoft Learn — Mandatory multifactor authentication for Azure and admin portals