Alguém não consegue acessar o seu laptop. Antes de você pegar uma chave de recuperação, descubra qual das quatro coisas está realmente acontecendo — porque três delas são rápidas e uma delas apaga a máquina. A primeira regra é fazê-los parar de adivinhar.
Funcionalidade
Visão Geral
Quatro causas cobrem quase todos os casos:
- Eles se esqueceram, geralmente após um tempo fora ou uma mudança recente.
- Estão digitando corretamente em um teclado errado. AZERTY e QWERTY produzem caracteres diferentes a partir das mesmas teclas.
- Uma política mudou — comprimento, complexidade ou rotação — e forçou uma mudança que eles não terminaram.
- No Mac, o prompt não está pedindo a senha deles. Algumas telas pedem uma conta que possui um SecureToken, que pode ser uma conta totalmente diferente.
Diga a eles para parar de tentar antes de fazer qualquer outra coisa. Tentativas repetidas e falhas em um Mac podem colocar a máquina em modo de recuperação, o que transforma uma correção de cinco minutos em uma longa tarde.
Como usar — elimine primeiro as causas mais simples
Faça-os digitar onde possam ver. Qualquer campo visível serve — a caixa de nome de usuário, por exemplo. Metade dessas chamadas termina aqui.
Então verifique o layout do teclado, que é a causa que as pessoas nunca suspeitam:
- macOS: Configurações do Sistema > Idioma & Região > Método de entrada
- Windows: Configurações > Hora & Idioma > Idioma & Região
Então verifique se você mudou as regras para eles. Vá para Configurações > Segurança > Políticas de senha e veja o que se aplica àquele dispositivo. Uma política que foi implementada na semana passada pode ter exigido uma mudança que eles nunca completaram.
Como usar — o caso do Mac que parece uma senha errada
No macOS, alguns prompts — desbloqueando o FileVault, ações em nível de administrador, qualquer coisa após uma mudança de política — querem uma conta com um SecureToken, não a senha de login comum. Um funcionário pode saber sua senha perfeitamente e ainda assim ficar preso, porque o prompt é para uma conta diferente.
Verifique no dispositivo:
sysadminctl -secureTokenStatus <username>A saída diz ENABLED ou DISABLED para aquele usuário. Se estiver desabilitado, uma conta de administrador que já possui um token pode conceder um:
sysadminctl -secureTokenOn <user> -password <password> -adminUser <admin> -adminPassword <admin_password>A correção duradoura não é por dispositivo: use MDM > Perfis > Gerenciamento de Usuário Administrador para que cada Mac tenha uma conta de administrador inicial com um token já nela.
Se alguém não consegue desbloquear o FileVault com uma senha que você sabe que está correta, essa é quase certamente a razão.
Como usar — as quatro maneiras de voltar
Escolha pelo estado do dispositivo, nesta ordem:
| Opção | Use-a quando | Custo |
|---|---|---|
| Redefinir remotamente | O dispositivo está online e tem uma sessão de administrador | Nada |
| A conta Apple ou Microsoft vinculada | Uma conta está vinculada ao dispositivo | Nada, mas está nas mãos do funcionário |
| A chave de recuperação | O dispositivo está offline ou não está se comunicando com você, e o disco está criptografado | Nada, se a chave foi guardada |
| Redefinição completa | Nada mais funciona | Tudo local é apagado |
Para a rota da chave de recuperação, abra o registro do dispositivo e vá para Informações > Chave de recuperação, desbloqueie a sessão localmente com ela, e então defina uma nova senha. Isso só funciona se a criptografia estava ativada e a chave realmente alcançou o servidor — o que é decidido meses antes de você precisar dela.
A redefinição completa é o fim da linha, e é irreversível.
Dicas e Melhores Práticas
- "Pare de tentar" é a primeira coisa que você diz na chamada. Tudo o mais fica mais fácil se o Mac não tiver ido para a recuperação.
- Verifique o teclado antes da política de senha. Isso custa dez segundos e é uma parte surpreendente dos casos.
- Implemente uma conta de administrador inicial com um SecureToken em cada Mac agora. É a diferença entre uma correção remota e uma limpeza, e você não pode adicioná-la durante o incidente.
- Verifique se as chaves de recuperação estão guardadas, não apenas que a criptografia está ativada. Um disco criptografado sem chave no servidor é o caminho da redefinição completa.
- Anuncie mudanças nas políticas de senha antes que elas entrem em vigor. A maioria desses chamados chega na manhã seguinte a uma mudança silenciosa.
Solução de Problemas e FAQ
Solução de Problemas
A senha está definitivamente correta e o Mac ainda a recusa. O prompt quer uma conta com SecureToken. Verifique o status do token antes de qualquer outra coisa.
O Mac foi para a recuperação após tentativas repetidas. A recuperação agora é mais difícil e pode precisar da chave de recuperação. É para isso que serve o aviso no topo.
Não há chave de recuperação no registro do dispositivo. Ou a criptografia nunca foi ativada ou o escrow nunca foi completado. Nenhuma das duas pode ser corrigida retroativamente — o caminho restante é uma redefinição completa.
A redefinição remota está cinza. Ela precisa que o dispositivo esteja online e uma sessão de administrador presente nele. One das duas está faltando.
FAQ
-
Podemos redefinir uma senha em um dispositivo que está offline?
Não remotamente. Use a chave de recuperação localmente, ou a conta Apple ou Microsoft vinculada. -
O que é um SecureToken, em uma linha?
Uma permissão em uma conta macOS que permite desbloquear o disco criptografado. Sem ele, a senha correta ainda é recusada. -
Usar a chave de recuperação apaga algo?
Não. Ela desbloqueia a sessão para que uma nova senha possa ser definida. -
Como podemos evitar que isso aconteça?
Criptografia com chaves guardadas, uma conta de administrador inicial em cada Mac, e avisar as pessoas antes de mudar as regras.