Como separar o trabalho de clientes no macOS e reduzir trocas de conta

Comece pelo erro que precisa de evitar

«Manter os clientes separados» pode ter vários significados:

• impedir que um operador publique, compre ou altere configurações na conta do cliente errado;
• impedir que um trabalhador veja os arquivos locais ou o histórico do navegador de outro trabalhador;
• impedir que credenciais, transferências, extensões ou notificações atravessem o limite de um cliente;
• limitar os danos após a perda ou o comprometimento de um Mac; ou
• cumprir um requisito contratual do cliente relativo a um ambiente dedicado.

Nenhuma mudança de perfil resolve, por si só, estes cinco problemas. Escolha o limite em função das consequências de uma falha, não do número de contas.

Quatro níveis de separação úteis

Limite	Útil para	O que não estabelece
Janela, grupo de abas ou espaço de trabalho	Organização visual dentro de um contexto de navegação	Cookies, credenciais, arquivos, extensões ou direitos de acesso separados
Perfil do navegador	Reduzir trocas de sessão e de histórico para um operador de confiança	Proteção contra outra pessoa que possa usar a mesma conta do macOS
Usuário separado no macOS	Separar a pasta pessoal, as configurações da conta e a sessão de início de sessão de cada pessoa	Proteção contra administradores, um sistema operacional comprometido ou riscos compartilhados de rede e hardware
Dispositivo dedicado e gerenciado ou máquina virtual aprovada	Trabalho de alto impacto ou com isolamento contratual	Autorização do cliente, imunidade a comprometimento ou aceitação garantida por terceiros

Os perfis do navegador são úteis, mas o limite exato depende do produto. O Safari 17 e versões posteriores separam por perfil o histórico, os cookies, os dados de sites, os grupos de abas e algumas opções de extensões. A Apple também documenta que as informações de preenchimento automático e senhas, as configurações de segurança, as configurações de sites e as configurações de privacidade são compartilhadas entre perfis do Safari. Os marcadores permanecem disponíveis entre perfis no menu ou na barra lateral Marcadores. Analise todo o comportamento dos perfis do Safari antes de os usar para trabalho de clientes.

O Chrome também separa marcadores, histórico, senhas e configurações por perfil. A Google avisa expressamente que uma pessoa com acesso ao dispositivo pode mudar para outro perfil do Chrome e consultar as respectivas informações. Um perfil do Chrome é, portanto, um mecanismo de conveniência e separação de estado, não um controle de acesso entre pessoas. Consulte as orientações da Google sobre perfis do Chrome.

No nível do armazenamento, o Chromium coloca os perfis em subdiretórios de um diretório de dados do usuário que também contém estado local relativo à instalação. Isto é importante ao conceber backups ou iniciadores personalizados: o nome visível de um perfil não representa todo o limite de armazenamento. A documentação do Chromium sobre o diretório de dados do usuário explica esta estrutura.

Escolha um limite para o fluxo real

Um operador de confiança, várias contas de clientes com menor impacto

Use um perfil do navegador com um nome inequívoco para cada cliente quando o principal risco for uma troca acidental de sessões e a mesma pessoa de confiança estiver autorizada a usar todas as contas. Mantenha o número de perfis suficientemente reduzido para permitir a sua revisão e manutenção. Repita uma cor ou um ícone no nome do perfil, no tema do navegador, na pasta de marcadores e na pasta de transferências aprovada.

Este padrão não é suficiente se um cofre de senhas compartilhado, um certificado do sistema operacional, uma conexão externa, uma extensão ou um arquivo local puder violar o limite exigido.

Várias pessoas a compartilhar um Mac

Dê a cada pessoa uma conta individual do macOS. A Apple recomenda uma conta distinta por pessoa, para que cada uma possa personalizar as configurações sem afetar as outras. Para o trabalho atual, uma conta padrão costuma ser o ponto de partida adequado, pois não pode adicionar outros usuários nem alterar as configurações destes. A Apple documenta os tipos de conta e os respectivos limites em Adicionar um usuário ou grupo no Mac.

Não use um início de sessão compartilhado no macOS nem uma senha de administrador como método de transferência. A mudança rápida de usuário da Apple pode reduzir o incômodo das contas individuais, mas cada pessoa deve continuar a autenticar-se com a sua própria identidade.

Trabalho de alto impacto, regulamentado ou contratualmente dedicado

Pergunte ao cliente ou ao responsável pela segurança se o limite aprovado é uma conta gerenciada do macOS, uma máquina virtual ou um dispositivo separado. Registre quem gere as atualizações, a proteção do endpoint, os backups, a eliminação remota, os certificados e o acesso de administrador. Um dispositivo dedicado sem estes controles pode criar mais risco não gerenciado, apesar de parecer separado.

Trate o perfil como um limite de trabalho completo

Um ícone de perfil não consegue, por si só, evitar uma troca. Analise todos os caminhos pelos quais o contexto de um cliente entra ou sai do navegador.

Identidade e autenticação

Use o processo de gestão de identidades e credenciais aprovado pelo cliente. Evite compartilhar senhas, cookies de sessão, códigos de uso único ou passkeys em bruto entre trabalhadores. Registre o proprietário e o caminho de recuperação de cada conta sem colocar o segredo numa planilha ou numa nota do perfil.

No macOS, as senhas, passkeys e códigos de verificação podem residir no aplicativo Senhas e ser sincronizados através do Chaves em iCloud quando essa opção está ativa. A Apple descreve este armazenamento no nível do sistema operacional em Usar senhas no Mac. Se for necessário isolar entre si as credenciais dos clientes, teste diretamente os limites do fornecedor de senhas e do preenchimento automático. Não presuma que um perfil do navegador cria um Chaves separado.

Arquivos, área de transferência e capturas de tela

Escolha um local de transferências aprovado para cada cliente, com regras claras de retenção e compartilhamento. Teste os carregamentos, além das transferências, pois um seletor de arquivos pode expor uma parte maior da pasta pessoal do macOS. A área de transferência e as ferramentas de captura de tela são recursos do sistema operacional dentro de uma sessão de usuário; os perfis do navegador não os separam.

Evite incluir identificadores de clientes ou segredos nos nomes de arquivos quando estes possam aparecer em listas de itens recentes, backups, compartilhamentos de tela ou notificações.

Extensões e auxiliares nativos

Instale apenas extensões e aplicativos auxiliares aprovados para o trabalho. Registre os perfis em que cada extensão está ativa e reveja o acesso aos sites após as atualizações. O Safari disponibiliza as extensões a todos os perfis, mas permite ativá-las ou desativá-las em cada um; a desinstalação afeta todos os perfis. Outros navegadores têm comportamentos diferentes.

Configurações de rede

Use apenas configurações de VPN, proxy, DNS e certificados aprovadas pelo cliente. Um perfil do navegador não separa automaticamente o DNS do sistema operacional, a visibilidade na rede local, a postura do dispositivo nem uma VPN que abranja todo o sistema. Teste o encaminhamento e o comportamento em caso de falha sem procurar ocultar ou deturpar a autorização do operador.

Conexões abertas a partir de outros aplicativos

O e-mail, o chat, os gerenciadores de senhas e os aplicativos para computador podem abrir uma conexão num contexto inesperado do navegador. O Safari pode associar sites a um perfil, mas a Apple indica que uma conexão externa pode permanecer em outro perfil quando o site já estiver aberto nesse perfil. Inclua as conexões externas e os retornos de autenticação nos testes do fluxo.

Transferências de responsabilidade

Transfira a responsabilidade através do sistema de acesso aprovado pelo cliente. Prefira a reatribuição, alterações de função e uma nova autenticação à cópia de uma sessão ativa do navegador. O operador cessante deve perder o acesso através do fornecedor de identidade ou do serviço, não apenas pela eliminação de um atalho local.

Use uma verificação breve antes de agir

Antes de uma ação com consequências, o operador deve conseguir responder a cinco perguntas com base em elementos visíveis:

1. Que cliente autorizou este trabalho?
2. Que perfil do navegador ou conta do macOS está ativo?
3. Que conta do serviço tem sessão iniciada?
4. Que objeto, campanha, loja, repositório ou inquilino vai ser alterado?
5. Para onde vai o resultado, o arquivo transferido ou a mensagem?

Numa ação de alto impacto, acrescente uma pré-visualização ou a aprovação de uma segunda pessoa. Uma nova autenticação também pode criar uma pausa útil. Estes controles reduzem o erro humano; nenhum deles garante que não ocorrerá um erro.

Teste o limite sem dados de clientes

Crie contas sintéticas e marcadores inofensivos semelhantes ao fluxo real. Não use cookies, credenciais, registros de clientes nem capturas de tela de produção.

Verifique que:

• um perfil novo começa sem sessão iniciada na conta sintética usada em outro perfil;
• o preenchimento automático não sugere a credencial de um cliente não autorizado;
• as conexões externas e os retornos de início de sessão abrem no contexto esperado;
• as transferências e os carregamentos utilizam o local aprovado previsto;
• as extensões estão ativas apenas nos locais aprovados;
• as notificações identificam claramente o cliente e a conta sem expor conteúdo sensível;
• fechar e reabrir o navegador preserva apenas o estado esperado; e
• outro trabalhador não consegue entrar na conta do macOS sem se autenticar.

Repita o teste após alterações importantes ao navegador, macOS, gerenciador de senhas, extensões ou gestão de dispositivos. Registre as versões e as verificações que falharam. Uma lista de verificação sem registro de falhas não demonstra que o limite continua a funcionar.

Limites que permanecem

Os perfis do navegador não criam anonimato, não alteram as regras de um serviço nem garantem acesso ininterrupto a uma conta. Contas separadas do macOS continuam a compartilhar um sistema operacional, administradores, hardware e rede. Um endpoint comprometido pode observar dados depois de o usuário autorizado o desbloquear.

O FileVault protege os dados no disco de inicialização contra determinados cenários de acesso sem conexão ao sistema. Não separa dois perfis do navegador numa conta do macOS que já esteja desbloqueada. A Apple explica as opções de proteção e recuperação em Proteger os dados do Mac com o FileVault.

Por fim, verifique se o próprio perfil do navegador é sincronizado. Os perfis do Safari podem ser sincronizados através do iCloud quando o Safari está ativo para a mesma Conta Apple, e os dados do Chrome podem ser guardados numa Conta Google. Um perfil que parece local pode, portanto, ter um limite de nuvem que a equipe deve analisar.