Como proteger a sua conta de e-mail: guia completo

Atualizado em 23 de setembro de 2026

O seu endereço de e-mail é a chave de quase todas as suas contas: quem o controla pode repor as outras palavras-passe. Protegê-lo é a medida de segurança mais rentável que pode tomar.

Porque o e-mail é o alvo número um

O link «Esqueceu-se da palavra-passe?» da maioria dos sites envia uma mensagem para o seu endereço de e-mail. Um atacante que entra na sua caixa pode assim ficar em minutos com as suas redes sociais, compras online e por vezes serviços mais sensíveis. Encontra ainda faturas, documentos de identificação digitalizados e conversas privadas.

1. Uma palavra-passe longa e única

Única: não usada em mais lado nenhum. É a regra mais importante, porque as fugas de outros sites são usadas para testar as mesmas credenciais no seu e-mail.
Longa: pelo menos 16 caracteres aleatórios, ou uma frase de várias palavras sem relação.
Guardada num gestor de palavras-passe, integrado no navegador ou no telemóvel, em vez de num ficheiro ou caderno.

2. A autenticação de dois fatores é indispensável

A autenticação de dois fatores acrescenta uma segunda prova à palavra-passe. Mesmo que esta seja roubada, deixa de bastar.

Método	Nível de proteção	Nota
Chave de acesso (passkey)	Muito alto	Resistente ao phishing, ligada ao seu aparelho
Chave de segurança física	Muito alto	Resistente ao phishing, ideal para contas críticas
Aplicação de autenticação	Alto	Códigos gerados offline no telemóvel
Notificação no telemóvel	Alto	Recuse qualquer pedido que não tenha iniciado
Código por SMS	Médio	Melhor que nada, mas vulnerável à duplicação do cartão SIM

As chaves de acesso, já oferecidas pelos grandes fornecedores de e-mail, substituem a palavra-passe por uma verificação no aparelho (impressão digital, rosto, PIN do aparelho) e não podem ser escritas num site falso.

3. Opções de recuperação atualizadas

Nas definições de segurança, verifique:

o número de telemóvel e o e-mail de recuperação: têm de estar atuais e ser seus;
os códigos de recuperação da autenticação de dois fatores: imprima-os ou guarde-os no gestor de palavras-passe;
as perguntas de segurança, se o serviço ainda as usar: as respostas não devem poder ser encontradas nas suas redes sociais.

4. Reveja os acessos com regularidade

Uma vez por trimestre, percorra estas páginas de definições:

Aparelhos e sessões ligados: termine o que não reconhecer.
Aplicações de terceiros com acesso à conta: remova as que já não usa.
Regras de reencaminhamento e filtros: é essencial. Um atacante discreto acrescenta muitas vezes uma regra que reencaminha o seu correio para o endereço dele ou apaga os alertas de segurança. Elimine qualquer regra que não tenha criado.
Atividade recente: a maioria dos serviços de e-mail lista os últimos acessos com o país.

5. Hábitos do dia a dia

Nunca escreva a palavra-passe depois de clicar num link de um e-mail: abra você mesmo o site ou a aplicação.
Recuse pedidos de aprovação que não iniciou: se se repetem, alguém tem normalmente a sua palavra-passe.
Mantenha atualizados o telemóvel, o computador e o navegador.
Evite computadores públicos para o e-mail; se não houver alternativa, termine a sessão e não guarde nada.
Dê menos o seu endereço: um endereço descartável nos registos pontuais reduz as fugas e o phishing dirigido.

Sinais de uma caixa comprometida

Os seus contactos recebem mensagens que não enviou.
Há mensagens lidas, movidas ou apagadas sem ter sido você.
Recebe alertas inesperados de início de sessão ou de alteração de palavra-passe.
Chegam pedidos de reposição de palavra-passe de outros sites que não fez.

O que fazer se for pirateado

Mude a palavra-passe a partir de um aparelho limpo e termine todas as outras sessões.
Ative ou reponha a autenticação de dois fatores e gere novos códigos de recuperação.
Apague as regras de reencaminhamento e filtros suspeitos e verifique o e-mail e o número de recuperação.
Use o processo oficial de recuperação do fornecedor se já não conseguir entrar.
Mude as palavras-passe das contas importantes ligadas a esse endereço, começando pelo banco e pelas compras online.
Avise os seus contactos de que podem ter recebido mensagens fraudulentas em seu nome.

Obter um endereço descartável

Perguntas frequentes

A autenticação de dois fatores por SMS é suficiente?

Já trava a grande maioria dos ataques, mas um atacante pode desviar um número de telemóvel ou enganá-lo para obter o código. Uma aplicação de autenticação ou uma chave de acesso protegem muito melhor.

Devo mudar a palavra-passe do e-mail com frequência?

As recomendações atuais privilegiam uma palavra-passe longa e única com autenticação de dois fatores, mudada apenas se suspeitar de roubo ou fuga. Mudanças frequentes levam muitas vezes a escolher palavras-passe mais fracas.

Como sei se o meu endereço apareceu numa fuga de dados?

Serviços de alerta como o Have I Been Pwned indicam se o seu endereço consta de fugas conhecidas. Os gestores de palavras-passe integrados nos navegadores também avisam das palavras-passe comprometidas.