Como proteger uma aplicação de mensagens com biometria

Emprestas o telemóvel para alguém ver uma fotografia e, de repente, as tuas conversas estão à vista. A biometria — impressão digital ou reconhecimento facial — permite trancar uma aplicação de mensagens, ou apenas algumas conversas, sem teres de escrever um código sempre que a abres. Neste artigo explicamos como funciona, quando é segura e como a ativar.

Como funciona a biometria no telemóvel

Quando registas a impressão digital ou o rosto, o telemóvel guarda uma representação matemática dos teus traços numa zona protegida do processador (no iPhone, o Secure Enclave; no Android, um ambiente de execução seguro). Essa informação não sai do aparelho e não é entregue às aplicações.

Quando uma aplicação pede biometria, o sistema faz a verificação e responde apenas «é a pessoa certa» ou «não é». A aplicação nunca vê a tua impressão digital nem a tua cara. Nas aplicações web, como o JaPassa, isto é feito pela norma WebAuthn — a mesma das chaves de acesso (passkeys) — com o mesmo princípio: os dados biométricos ficam no telemóvel.

Biometria: vantagens e limites

Vantagens

• Rapidez: desbloqueias em menos de um segundo, por isso tens menos tentação de desligar a proteção.
• Ninguém a vê por cima do ombro, ao contrário de um PIN escrito num café ou nos transportes.
• Os dados não saem do telemóvel.

Limites

• Não é um segredo: o teu dedo e a tua cara estão sempre contigo. Alguém pode obrigar-te a pôr o dedo no sensor ou apontar o telemóvel à tua cara enquanto dormes.
• Nem toda a biometria é igual. O Android classifica a biometria em classes: a Classe 3 (forte) é a única aceite para operações sensíveis. O desbloqueio facial que usa só a câmara frontal, comum em telemóveis mais baratos, é normalmente menos seguro do que a impressão digital ou o Face ID.
• Precisa sempre de um código de reserva. Se o sensor falhar ou a biometria for alterada, é o PIN ou o código que te deixa entrar — por isso, a segurança final depende dele.

Proteção ao nível do telemóvel

iPhone

Desde o iOS 18, podes exigir Face ID ou Touch ID para abrir qualquer aplicação: faz um toque longo no ícone e escolhe Exigir Face ID (ou Touch ID). Também podes esconder a aplicação numa pasta oculta. Funciona com qualquer aplicação, incluindo o JaPassa instalado no ecrã principal.

Android

No Android 15 chegou o Espaço privado, uma área separada, trancada com o bloqueio do telemóvel ou outro diferente, onde podes instalar aplicações que não aparecem na lista normal. Muitas marcas têm soluções próprias, como a Pasta Segura da Samsung ou o bloqueio de aplicações de outros fabricantes. Os nomes e menus variam de marca para marca.

Proteção dentro das aplicações de mensagens

• WhatsApp: tem bloqueio da aplicação com biometria nas definições de privacidade e o Bloqueio de conversas, que move conversas para uma pasta protegida, que pode ser escondida com um código secreto.
• Telegram: permite definir um código de acesso para a aplicação, que pode ser desbloqueado com a impressão digital ou o rosto.
• Signal: tem bloqueio de ecrã que usa o bloqueio do próprio telemóvel, incluindo a biometria.

Biometria no JaPassa: conversas trancadas

No JaPassa, a biometria serve para abrir as conversas trancadas, uma pasta com as conversas mais sensíveis, protegida por PIN. Para ativar:

1. Abre uma conversa → ⋮ → Mais → Trancar.
2. Cria um PIN de 4 a 8 algarismos e confirma-o.
3. Quando o JaPassa perguntar «Queres abrir também com a impressão digital ou o rosto?», aceita e confirma com o sensor do telemóvel.

Mais tarde podes ligar ou desligar a biometria em Definições → Segurança → Conversas trancadas → Impressão digital / rosto. No mesmo sítio defines o trancamento automático, escondes a pasta e crias um PIN de pânico, que mostra a pasta vazia se fores obrigado a abri-la — uma resposta direta ao principal limite da biometria.

Um pormenor técnico: nos telemóveis compatíveis, a biometria abre diretamente a chave que cifra as conversas trancadas no aparelho. Noutros, a impressão digital só confirma quem és e o JaPassa pede também o PIN para ler as mensagens. O JaPassa avisa-te quando é esse o caso. O passo a passo completo está em como proteger conversas privadas no JaPassa.

E no computador?

A biometria também existe nos computadores: o Windows Hello (impressão digital ou câmara de infravermelhos) e o Touch ID dos Mac funcionam com a mesma norma WebAuthn usada pelos navegadores, e os dados biométricos também ficam no próprio aparelho. Num computador partilhado, porém, a melhor proteção continua a ser terminar a sessão quando acabas e não deixar aplicações de mensagens abertas.

Boas práticas

• Bloqueio de ecrã sempre ligado, com um PIN de 6 algarismos ou mais, ou uma palavra-passe.
• Não registes impressões digitais de outras pessoas no teu telemóvel: quem tiver o dedo registado entra em tudo o que usa biometria.
• Revê os rostos e dedos registados nas definições do telemóvel de vez em quando.
• Em situações de risco (atravessar uma fronteira, uma manifestação, um telemóvel que pode ser apreendido), desliga temporariamente a biometria e usa só o PIN.
• Atualiza o sistema: as correções de segurança também abrangem os sensores e o armazenamento seguro.
• Combina camadas: bloqueio do telemóvel, bloqueio da aplicação ou das conversas e encriptação de ponta a ponta. Mais ideias em como proteger as conversas no telemóvel.