A morada, a chave e o porteiro

Domingo, seis da tarde. Tudo parecia pronto. Nos sites de uma pequena empresa que acompanho, quem quisesse um PDF tinha de deixar o e-mail, e o documento seguia pelo correio eletrónico. Nos artigos funcionava. Na música, não: os ficheiros descarregavam-se sem pedir nada a ninguém.

O programa estava certo. O que estava errado era o sítio de uma chave. Tinha ficado no cofre do quarto 101, e o hóspede pediu-a na receção do quarto 102.

Este artigo explica, com coisas que toda a gente conhece (uma carta, um prédio, um hotel, um multibanco), cinco ideias que qualquer pessoa precisa de ter antes de encomendar, desenhar ou proteger um site: a morada, a chave, o porteiro, o bilhete com carimbo e o lado para onde se cai quando algo falha. No fim, mostra porque é que tudo isto é o que a lei europeia de cibersegurança, a NIS2, pede às empresas.

Este é o n.º 1 da newsletter «A Chave e o Porteiro», sobre cibersegurança em linguagem simples. No fim explico para quem é, como se lê e o caminho das próximas edições.

Para lembrar. Não é preciso saber informática para ler este artigo. Se sabe enviar uma carta, usar um multibanco e deixar o casaco num bengaleiro, já sabe o essencial.

1. A morada: o prédio, o andar e a sala

Quando escreve uma carta à sua avó, escreve a morada de baixo para cima: o nome, a rua, o andar, a cidade, o país. O carteiro lê ao contrário: primeiro o país, depois a cidade, depois a rua e só no fim a porta.

Os endereços da Internet funcionam da mesma maneira. Veja este: artigos.exemplo.pt/musica/cancao/.

• .pt é o país (ou a categoria, como .com).
• exemplo é o prédio. Juntos, exemplo.pt chamam-se o domínio: é a morada que a empresa comprou e que mais ninguém pode usar, como um lote registado na conservatória.
• artigos. é o andar. Chama-se subdomínio: um andar com porta e campainha próprias, dentro do mesmo prédio. Escreve-se antes do domínio, separado por um ponto.
• /musica/cancao/ é a sala dentro do andar. Chama-se caminho e escreve-se depois, separado por barras.

A Tabela 1 põe estas peças lado a lado.

O que a Figura 1 mostra. No topo está o prédio, exemplo.pt. Por baixo estão quatro andares: o da empresa (sem prefixo), o dos artigos do autor, um painel de dados e um segundo painel. Ao lado de cada andar há um cofre. O que se guarda num cofre não aparece nos outros, tal como num hotel o cofre do quarto 101 não abre com o código do 102. Isto é bom, porque se alguém arrombar um quarto os outros ficam fechados. Mas obriga a pôr cada chave no cofre do quarto que a vai usar. Foi aí que falhámos no domingo.

Quem sabe onde fica cada andar? A agenda do telemóvel

No telemóvel, carrega em «Mãe» e ele marca o número. Não precisa de saber o número de cor. Na Internet, essa agenda chama-se DNS: quando escreve painel.exemplo.pt, o DNS procura o número do computador que guarda esse andar e liga-o a ele. Abrir um andar novo é acrescentar um contacto à agenda.

Para lembrar. Domínio = o prédio. Subdomínio = o andar. Caminho = a sala. DNS = a agenda que transforma nomes em números.

2. Antes de desenhar: as cinco perguntas do arquiteto

Ninguém constrói uma casa a começar pela cor das paredes. Primeiro pergunta-se quem lá vai viver, por onde se entra, onde se guardam os valores, quem tem as chaves e por onde se sai se houver um incêndio. Um site é igual.

• Para quem é cada andar? Um andar por público. O site da empresa, os artigos de um autor e um painel de dados servem pessoas diferentes. Se estiverem todos no mesmo andar, uma obra num deles incomoda os outros.
• Por onde se entra? Cada página tem uma só morada oficial. Quando muda de sala, deixa-se aviso, como quem pede aos correios o reencaminhamento das cartas ao mudar de casa. Na Internet chama-se redirecionamento 301: quem tiver a morada antiga, num PDF, num e-mail ou numa publicação antiga, chega sempre à nova.
• O que fica fechado à chave? Tudo o que se lê fica aberto, como a montra de uma loja. O que se leva para casa (um PDF, um pacote de música) entrega-se a quem deixa o e-mail, como o talão de garantia que só se passa a quem dá o nome.
• Quem guarda as chaves? Nunca o código do site. O código é lido por várias pessoas e ferramentas, como uma planta da casa que se mostra aos empreiteiros. Escrever uma chave no código é colar a chave de casa na planta.
• Para que lado se cai quando algo falha? É a pergunta que quase ninguém faz. Foi a que nos apanhou no domingo, e tem a secção 6 só para ela.

3. A chave: um PIN que não pertence a uma pessoa

Para enviar um e-mail em nome de [email protected], o site não vai aos correios a pé. Entrega as cartas a um serviço de envio de e-mails, a que chamamos o correio. O correio carimba cada carta com um selo eletrónico do domínio, para que o Gmail ou o Outlook saibam que a carta vem mesmo da empresa e não de um impostor.

O correio não aceita cartas de qualquer um. Pede uma chave: uma sequência comprida de letras e algarismos, como um PIN muito longo. Quem a tiver pode enviar cartas em nome da empresa. Por isso se chama segredo. É um PIN que não pertence a uma pessoa, mas a um programa.

Um bom segredo segue quatro regras, e todas existem já na nossa vida. A Tabela 2 mostra-as.

• Vê-se uma vez. O PIN de um cartão novo chega numa carta fechada; decora-se e deita-se fora. A chave do correio também só aparece no momento em que é criada. Se se perder, não se pede uma cópia: faz-se uma nova e anula-se a velha. O porteiro faz o mesmo: depois de guardada, a chave aparece só como «valor criptografado», e nem o dono a volta a ler.
• Abre só o que precisa. Quando deixa o carro no arrumador de um hotel, dá-lhe a chave que liga o motor, não a que abre o porta-luvas e a bagageira. As nossas chaves fazem duas coisas: enviar e-mails e gerir contactos. Não mexem em pagamentos nem apagam a conta.
• Tem prazo. O cartão de cidadão e o cartão do banco têm validade. As nossas chaves valem um ano e deixam de funcionar mais cedo se ficarem muito tempo sem uso. Uma chave esquecida numa gaveta acaba por morrer sozinha.
• Uma por porta. Ninguém usa a mesma chave para a casa, o carro e o escritório. Os artigos têm uma chave e a música tem outra. Se uma tiver de ser anulada, a outra continua a trabalhar.

Para criar a chave nova, o correio pediu ainda um código de seis algarismos, gerado no telemóvel. É o que acontece no multibanco: é preciso ter o cartão e saber o PIN. A isto chama-se autenticação de dois fatores. Quem roubar a palavra-passe, sem o telemóvel, fica à porta.

Para lembrar. Um segredo é um PIN para programas: vê-se uma vez, abre só o que precisa, tem validade e há um para cada porta. Para o criar, é preciso ter o telemóvel na mão.

4. O porteiro: a receção do hotel

O serviço de alojamento e proteção dos sites, a que chamamos o porteiro, faz o papel da receção de um hotel. Recebe toda a gente, a qualquer hora, de qualquer país, e decide o que fazer com cada visitante.

• Dá a cada um o quarto que pediu, isto é, a página. Tem cópias das páginas em receções espalhadas pelo mundo, para que abram depressa em Lisboa ou em São Paulo.
• Guarda um cofre por quarto. Em cada andar há uma lista de «variáveis e segredos», separada para o hotel a funcionar (Produção) e para o quarto de ensaio (Pré-visualização).
• Tem empregados que fazem recados: pequenos programas, chamados «funções», que trabalham quando um hóspede pede algo especial, como receber um PDF por e-mail. São eles que abrem o cofre e usam a chave.
• Aplica as regras da casa à porta: o aviso de mudança de morada (301), o cadeado no endereço (HTTPS) e a lista do que cada página pode ou não carregar.

Há um pormenor que custa a perceber. Trocar o que está no cofre não muda logo nada. O porteiro só começa a usar a chave nova quando o site é publicado outra vez. É como mudar a fechadura de um hotel: os cartões dos quartos só passam a abrir quando a receção os volta a programar.

Para lembrar. O porteiro recebe os visitantes, guarda um cofre por andar e tem empregados que usam as chaves. Uma chave nova só conta depois de o site ser publicado outra vez.

5. O bilhete com carimbo: como se entrega um PDF por e-mail

Pense num bengaleiro de um teatro. Deixa o casaco e recebe um bilhete com um número e um carimbo. No fim, entrega o bilhete e recebe o casaco. Sem bilhete não há casaco, e um bilhete desenhado à mão, sem o carimbo da casa, não serve de nada.

A entrega de um PDF por e-mail é um bengaleiro. A Figura 2 mostra os sete passos.

O que a Figura 2 mostra. (1) O leitor carrega em «Descarregar». (2) Abre-se uma janela que pede só o e-mail; as newsletters são opcionais e vêm desmarcadas. (3) O pedido chega a um empregado do porteiro, que abre o cofre do andar e tira a chave do correio. (4) O empregado prepara o bilhete com carimbo: uma ligação que só serve para aquele ficheiro e vale sete dias. (5) O correio envia o e-mail, com o selo do domínio. (6) O leitor carrega na ligação do e-mail. (7) O porteiro confere o carimbo e só então entrega o ficheiro. Quem tentar ir diretamente ao ficheiro, sem o bilhete, é mandado de volta à página, com um aviso.

Porque é que ninguém consegue falsificar o carimbo: as contas, passo a passo

O carimbo é uma sequência de 32 caracteres, calculada a partir do nome do ficheiro, da data de validade e de um segredo que só o porteiro conhece. Cada caracter pode ser um de 64 símbolos: 26 letras maiúsculas, 26 minúsculas, 10 algarismos, o hífen e o sublinhado.

• Cada caracter tem 64 hipóteses. 64 = 2 × 2 × 2 × 2 × 2 × 2 = 2⁶. Em linguagem de computadores, cada caracter vale 6 «bits» (6 perguntas de sim ou não).
• 32 caracteres valem 32 × 6 = 192 bits.
• O número de carimbos possíveis é 2¹⁹², cerca de 6,3 × 10⁵⁷: um 6 seguido de 57 algarismos.
• Imagine uma máquina que experimenta mil milhões (10⁹) de carimbos por segundo, sem parar, durante os 7 dias em que o bilhete vale. Uma semana tem 7 × 24 × 3600 = 604 800 segundos. Ao todo, 604 800 × 10⁹ ≈ 6,0 × 10¹⁴ tentativas.
• A probabilidade de acertar é 6,0 × 10¹⁴ ÷ 6,3 × 10⁵⁷ ≈ 1 × 10⁻⁴³: zero vírgula, seguido de 42 zeros, e depois um 1.

Para dar uma ideia: a Terra inteira tem cerca de 10⁵⁰ átomos. Os carimbos possíveis são tantos que davam para numerar cada átomo de 47 milhões de planetas Terra. Adivinhar o carimbo certo é escolher, de olhos fechados, um único átomo nesses 47 milhões de planetas. E é cerca de 200 vezes menos provável do que ganhar o Euromilhões cinco semanas seguidas.

Para lembrar. A segurança não vem de esconder o ficheiro. Vem de o carimbo ser impossível de adivinhar sem o segredo, tal como o bilhete do bengaleiro sem o carimbo da casa.

6. Para que lado se cai: a lição do domingo

Pense em duas portas. A saída de emergência de um cinema, quando falta a luz, tem de abrir: ninguém pode ficar fechado lá dentro. A cancela de uma passagem de nível, quando falta a luz, tem de descer: é melhor um carro à espera do que um carro na linha. A primeira falha aberta; a segunda falha fechada. Nenhuma está errada. Errado é trocá-las.

No domingo, a chave do correio estava no cofre do andar dos artigos. A música vive noutro andar, o da empresa. Quando um leitor pediu um pacote de música, o empregado desse andar abriu o seu cofre, não encontrou chave e respondeu «o envio por e-mail está desligado». A janela tinha sido desenhada como uma saída de emergência: para nunca deixar o leitor sem nada, entregou o ficheiro diretamente. Um cofre que se comportou como uma saída de emergência.

Corrigiram-se duas coisas:

• A chave foi para o cofre certo. O andar da empresa tem agora a sua própria chave, criada só para ele, com as mesmas duas permissões e o mesmo prazo.
• Os ficheiros passaram a falhar fechados. Se o e-mail não puder seguir, o ficheiro não sai por outra porta: o leitor vê «Não foi possível enviar agora. Tente de novo dentro de momentos.» E sem o bilhete com carimbo, o porteiro não abre, mesmo a quem saiba o nome do ficheiro.

Pelo caminho houve dois enganos, que se contam porque são os mais comuns. O primeiro: no correio há dois tipos de chave, como há chaves da porta e chaves da caixa do correio. Parecem iguais e não abrem o mesmo. O segundo: quando não se sabe se uma chave guardada é a certa, não se tenta adivinhar. Faz-se uma nova e cola-se logo no cofre, como quem muda a fechadura quando não sabe quem tem cópias. Uma chave de origem duvidosa não se usa.

Para lembrar. Portas de pessoas falham abertas. Cofres falham fechados. Antes de desenhar, pergunte de que tipo é cada porta.

7. E a NIS2, o que tem a ver com isto?

A NIS2 é a lei europeia da cibersegurança: a Diretiva (UE) 2022/2555. Em Portugal chegou pelo Decreto-Lei n.º 125/2025, de 4 de dezembro, o novo Regime Jurídico da Cibersegurança, em vigor desde 3 de abril de 2026. Quem fiscaliza é o Centro Nacional de Cibersegurança (CNCS).

Pense na inspeção periódica dos automóveis. É obrigatória para alguns veículos e não para outros. Mas quem tem juízo verifica os travões mesmo quando a lei não o obriga. A NIS2 é parecida: aplica-se às entidades «essenciais» e «importantes» dos setores que enumera (energia, transportes, saúde, água, infraestruturas digitais, serviços de tecnologias da informação, fornecedores de serviços digitais, entre outros) e, em regra, deixa de fora as micro e pequenas empresas. A empresa que mantém estes sites é uma microempresa e, em princípio, não está hoje obrigada à NIS2 (conclusão técnica, a confirmar com jurista: o decreto-lei abrange algumas entidades seja qual for a dimensão, como certos prestadores de nomes de domínio e de serviços de confiança).

Então, porque cumprir? Por três razões.

• Porque é boa engenharia, e custa quase nada quando se faz desde o início, como pôr tomadas com terra quando se faz a instalação elétrica.
• Porque os clientes vão exigir. A NIS2 obriga as entidades abrangidas a vigiar a segurança dos seus fornecedores. Um hospital já pede ao fornecedor de refeições o certificado de higiene alimentar. Um porto, um operador de energia ou um hospital vão pedir aos fornecedores informáticos provas de cibersegurança.
• Porque um dia vai correr mal. E nesse dia, a diferença entre «a chave estava no cofre certo, com prazo e permissões mínimas» e «a chave estava no código» é a diferença entre um susto e um desastre.

O artigo 21.º, n.º 2, da diretiva enumera dez medidas, das alíneas a) a j). A Tabela 3 põe-nas ao lado do que já se fez e do que falta. Não é uma declaração de conformidade: é um ponto de situação honesto, que serve de lista de trabalho.

Para quem está obrigado, há prazos para comunicar ao CNCS os incidentes significativos: um alerta nas 24 horas seguintes à deteção, uma atualização até às 72 horas e um relatório final até 30 dias úteis depois do fim do impacto. É como o seguro automóvel: a participação do acidente tem prazo. As coimas para as entidades essenciais vão até 10 milhões de euros ou 2 % do volume de negócios mundial, conforme o que for mais alto.

O que a Figura 3 mostra. As três casas onde vive o sistema. À esquerda, o repositório de código: a planta da casa, com o histórico de todas as obras, que várias pessoas leem, e por isso sem nenhum segredo lá dentro. Ao centro, o porteiro: a receção, com um cofre por andar. À direita, o correio: quem emite as chaves, guarda as listas de contactos e sela as cartas com o nome do domínio. As setas contam a viagem de uma chave: nasce no correio, vai para o cofre do porteiro pela mão do administrador, e nunca passa pela planta. Para entrar em cada uma das casas deve pedir-se o segundo fator, o código do telemóvel.

Quem faz cada um destes papéis? Há muitos fornecedores, em vários países. A Tabela 5 dá exemplos de cada papel, para que o leitor reconheça os nomes quando os encontrar. São exemplos ilustrativos, por ordem alfabética, sem recomendação.

Como escolher. Não pelo nome, mas pelo que cada um garante: onde guarda os dados (dentro ou fora da União Europeia, o que pesa no RGPD e na NIS2), que segundo fator exige para entrar e se permite chaves com permissões mínimas e com validade. É como escolher um banco: o que interessa não é o logótipo, é o cofre.

8. O que propus à autoridade, e porque continua a importar

Há uma diferença entre o que a lei obriga e o que a engenharia aconselha. O Código da Estrada diz que o limite é 120 km/h; não diz a que velocidade se guia com nevoeiro. Esse juízo fica com o condutor.

A 14 de abril de 2026, durante a consulta pública do regulamento que põe o Decreto-Lei n.º 125/2025 em prática, entreguei ao CNCS dez propostas, publicadas no artigo «Da Conformidade Normativa à Resiliência Operacional: 10 Propostas para o Novo Regime de Cibersegurança». A consulta decorreu de 10 de março a 22 de abril de 2026 e recebeu contributos de 56 entidades e particulares. No relatório final, de junho, as dez foram classificadas como «Não acolhido». Contei o balanço no artigo «O Novo Regime de Cibersegurança: o que ficou por fazer».

Os factos, sem adjetivos. O CNCS fundamentou as recusas com três argumentos: o regulamento já fixa medidas mínimas obrigatórias e abrangentes; a sua verificação segue o princípio da proporcionalidade; e cada entidade pode adotar medidas mais exigentes conforme a sua análise de risco. Seis das dez propostas (1, 2, 4, 5, 8 e 9) foram também defendidas, por outras palavras, por operadores e fabricantes de infraestruturas críticas. Três (6, 7 e 10) foram apresentadas só por mim. E num ponto, a formação de pessoal especializado (o controlo PR.FC-2, centro da Proposta 9), o texto acabou por mudar, por via de outros contributos.

O que isto quer dizer para o leitor deste artigo? Que a lei é o chão e não o teto. O regulador disse, com todas as letras, que ir além do mínimo é decisão de cada empresa. E é aqui que as dez propostas voltam a servir: não como lei, mas como lista do que uma empresa cuidadosa pode fazer por iniciativa própria. A Tabela 6 explica-as com as imagens deste artigo e diz onde cada uma toca no caso dos andares e dos cofres.

Três ligações que merecem destaque.

• A Proposta 5 corrige este próprio artigo. O código de 6 algarismos do telemóvel é bom, mas não é o melhor. Um site falso pode pedi-lo e usá-lo no mesmo minuto, como quem ouve um PIN dito em voz alta. As chaves físicas e as «chaves de acesso» do telemóvel (normas FIDO2) funcionam como uma chave de casa: só rodam na fechadura verdadeira e não servem numa porta falsa. Para quem administra, é o passo seguinte.
• A Proposta 6 olha para os cofres do futuro. Os computadores quânticos, quando existirem em escala, vão abrir certas fechaduras que hoje usamos: as que protegem o cadeado do endereço (HTTPS) e o selo das cartas (DKIM). O carimbo do bengaleiro, feito com uma chave secreta partilhada, resiste muito melhor. Saber que fechaduras se tem é o primeiro passo para as trocar a tempo: chama-se inventário criptográfico.
• A Proposta 1 é a lição dos andares, à escala de um porto. Separámos os sites em andares, cada um com o seu cofre, para que um assalto num não abra os outros. Num porto ou numa subestação elétrica, a mesma ideia separa os escritórios (o Wi-Fi, o e-mail) das máquinas que mexem em gruas, comportas e disjuntores. Se um vírus entra pelo e-mail, não pode ter escada até à casa das máquinas.

Para lembrar. A lei é o chão, não o teto. O que o regulador não tornou obrigatório continua a ser boa engenharia, e cada empresa pode fazê-lo por iniciativa própria.

9. Para levar no bolso

• Uma morada, vários andares. Um subdomínio por público. Cada andar com o seu cofre.
• Uma morada oficial por página, e um reencaminhamento (301) sempre que mudar. As ligações publicadas nunca se partem.
• Nenhuma chave na planta. Chaves no cofre do andar que as usa, com permissões mínimas, validade e dois fatores para as criar.
• Cofres falham fechados. Quando falta uma peça, a porta fica fechada e o leitor recebe uma mensagem clara.
• A lei é o chão, não o teto. O mínimo obrigatório é o ponto de partida; o resto decide-se pela consequência de cada falha.
• Prove a sopa antes de a servir. O erro do domingo só se viu porque alguém pediu um pacote de música como qualquer leitor faria. O teste final é sempre de ponta a ponta: pedir, receber o e-mail, abrir a ligação, tentar o atalho e ver a porta fechada.

A Tabela 4 é um dicionário de bolso com as palavras deste artigo.

Nada disto é exclusivo de um site pequeno. É a mesma lógica de um porto, de uma estação onde um cabo submarino chega a terra ou do centro de controlo de uma rede elétrica: a morada é pública, as portas são poucas e conhecidas, cada chave abre só o que deve, e quando algo falha, falha para o lado seguro.

10. O caminho desta newsletter

Para quem é. Para quem tem de decidir sobre segurança sem ser especialista: o dono de uma pequena empresa, o gestor que encomenda um site, o técnico de outra área, o professor e o estudante, o decisor público. E para as empresas que querem ser fornecedoras de quem a lei já obriga: portos, operadores de energia, hospitais, transportes.

A promessa. Em cada edição, uma ideia, uma imagem do dia a dia que não se esquece e três coisas que se podem fazer amanhã de manhã. Sem jargão por explicar, sem política e sem medo como argumento: só factos, com as contas feitas à vista.

Como se lê cada edição. Todas têm as mesmas sete partes, para que o leitor saiba sempre onde está:

• A história: um caso real, contado sem nomes de empresas.
• A imagem: o conceito comparado com algo que toda a gente conhece.
• As contas, quando as houver, passo a passo, como se fossem feitas à mão.
• O que diz a lei: a alínea da NIS2 ou do Decreto-Lei n.º 125/2025 a que o tema corresponde.
• Para lembrar: o essencial em duas frases.
• Amanhã de manhã: três ações concretas, por ordem de facilidade.
• A pergunta: uma questão aos leitores, para continuar a conversa nos comentários.

As regras da casa. Os exemplos técnicos são sempre anónimos, como exemplo.pt neste número, para que nenhuma edição sirva de mapa a quem quer atacar alguém. Os fornecedores aparecem só como exemplos, misturados e por ordem alfabética. Cada edição sai primeiro no site, com o PDF a pedido do e-mail, e depois no LinkedIn, onde se faz a discussão. Saem a cada duas semanas.

As próximas edições. A Tabela 7 mostra um caminho possível para os próximos seis meses. Segue a ordem das dez medidas da NIS2 e retoma, uma a uma, as dez propostas que entreguei ao CNCS: começa pelo que qualquer pessoa pode fazer em casa e acaba nas infraestruturas críticas.

O caminho não é fixo. Se os leitores pedirem um tema antes de outro, muda-se a ordem. Que tema quer ver no n.º 2? Diga nos comentários.

No Grupo Aprecisa.com aplicamos estas cinco regras nos nossos próprios sites, e ajudamos outras empresas a fazê-lo: as que têm de cumprir a NIS2 e as que querem ser fornecedoras de quem cumpre. Este artigo abre a newsletter «A Chave e o Porteiro»: cibersegurança em linguagem simples, a cada duas semanas.

Nota metodológica

Factos verificados. As dez medidas do artigo 21.º, n.º 2, foram confirmadas no texto da Diretiva (UE) 2022/2555 (JO L 333, 27/12/2022). As datas, os prazos de notificação e as coimas do Decreto-Lei n.º 125/2025 foram confirmados em duas sínteses jurídicas independentes (PLMJ e Cuatrecasas) e a data de entrada em vigor em ECIJA; recomenda-se a leitura do texto oficial no Diário da República para qualquer decisão jurídica. O autor não é jurista; este artigo é técnico.

Factos observados. O episódio de 25 de outubro de 2026, as permissões, o prazo e a caducidade por inatividade das chaves do serviço de envio de e-mails, a verificação em dois fatores, a separação dos segredos por projeto e por ambiente no serviço de alojamento e a necessidade de nova publicação para o segredo produzir efeito foram observados diretamente nos painéis de administração e nos testes de ponta a ponta feitos pelo autor nesse dia.

Conta da assinatura. A assinatura usa HMAC-SHA-256 (uma função de assinatura com chave secreta), cortada a 32 caracteres em base64url (64 símbolos, 6 bits cada): 32 × 6 = 192 bits; 2¹⁹² = 6,277 × 10⁵⁷. Tentativas em 7 dias a 10⁹ por segundo: 7 × 86 400 × 10⁹ = 6,048 × 10¹⁴. Probabilidade: 6,048 × 10¹⁴ ÷ 6,277 × 10⁵⁷ = 9,6 × 10⁻⁴⁴. A comparação com o Euromilhões usa 1 em 139 838 160 por aposta: cinco semanas seguidas dão (1/139 838 160)⁵ ≈ 1,9 × 10⁻⁴¹, que é cerca de 200 vezes mais provável do que acertar na assinatura.

Comparação com os átomos da Terra. Usa-se a estimativa corrente de cerca de 1,33 × 10⁵⁰ átomos na Terra: 6,277 × 10⁵⁷ ÷ 1,33 × 10⁵⁰ ≈ 4,7 × 10⁷, ou seja, cerca de 47 milhões de planetas Terra. É uma ordem de grandeza, para dar ideia do tamanho.

O que não se mostra. Por segurança, o artigo não indica valores de chaves, identificadores de conta nem endereços internos de administração.

Referências

1. Gaspar do Amaral — Da Conformidade Normativa à Resiliência Operacional: 10 Propostas para o Novo Regime de Cibersegurança (14/04/2026) — as dez propostas submetidas na consulta pública
2. Gaspar do Amaral — O Novo Regime de Cibersegurança: o que ficou por fazer (25/06/2026) — balanço do Relatório de Consulta Pública do CNCS: 10 «Não acolhido», 6 com convergência de terceiros
3. Diretiva (UE) 2022/2555 (NIS2), artigo 21.º — Medidas de gestão dos riscos de cibersegurança — texto das alíneas a) a j)
4. PLMJ — Transposição da Diretiva NIS 2: o novo Regime Jurídico da Cibersegurança — Decreto-Lei n.º 125/2025, âmbito, prazos de notificação, coimas e registo no CNCS
5. Cuatrecasas — Novo Regime Jurídico da Cibersegurança — síntese do Decreto-Lei n.º 125/2025: gestão de risco, autenticação multifator, cifragem
6. ECIJA — Novo Regime Jurídico da Cibersegurança entrou em vigor em Portugal — entrada em vigor a 3 de abril de 2026

Gaspar do Amaral · 26 de outubro de 2026 · Versão original publicada neste site; partilhada no LinkedIn para discussão · Figuras, tabelas © Aprecisa.com · Com recurso a IA