Como enviar arquivos com segurança: checklist com 15 boas práticas

Enviar arquivos com segurança depende de poucos hábitos: mandar só o necessário, para a pessoa certa, por um serviço com criptografia, com senha e prazo de validade, e retirar o acesso quando o trabalho termina. A criptografia protege os arquivos no caminho; o resto deste checklist protege contra os riscos bem mais comuns, como destinatário errado, link repassado adiante e compartilhamentos antigos de que ninguém se lembra.

Use a lista como rotina para documentos confidenciais, como referência para a sua equipe ou como uma auditoria rápida de como você compartilha arquivos hoje. Cada item é curto, e os detalhes estão nos links quando você precisar deles.

Antes de enviar: o que conferir

1. Classifique os arquivos. É público, interno, confidencial ou contém dados pessoais? A resposta define quantos passos abaixo você precisa seguir.
2. Envie o mínimo. Tire páginas, colunas ou fotos de que o destinatário não precisa. Dado que não foi enviado não vaza. A LGPD chama isso de princípio da necessidade (art. 6º, III).
3. Confira o destinatário. Verifique o e-mail letra por letra, principalmente quando o preenchimento automático sugere o endereço. A própria ANPD cita o envio de informações para o destinatário incorreto como exemplo de incidente de segurança.
4. Remova dados ocultos. Apague alterações controladas, comentários e propriedades de documentos do Office, e a localização GPS de fotos que revelem um endereço particular.
5. Escolha o canal certo. Arquivos grandes ou sensíveis devem ir por um serviço de transferência com criptografia, e não como anexos que ficam para sempre nas caixas de e-mail.

Na hora de enviar: criptografia, senha e validade

1. Use criptografia em trânsito e em repouso. Qualquer serviço sério usa TLS na conexão e criptografa os arquivos armazenados.
2. Ative a criptografia de ponta a ponta para material confidencial, para que os arquivos sejam criptografados no seu navegador e o serviço não consiga lê-los. Veja o que significa criptografia de ponta a ponta.
3. Coloque uma senha e envie por outro canal, por SMS ou telefone se o link foi por e-mail. A Cartilha de Segurança do CERT.br recomenda senhas longas, por exemplo três palavras aleatórias, e o guia de 2025 do NIST, órgão de padrões dos Estados Unidos, pede pelo menos 15 caracteres para uma senha usada sozinha.
4. Defina uma validade curta. Dias, e não meses, para arquivos sensíveis. O guia sobre como proteger link com senha e validade sugere prazos para cada situação.
5. Limite os downloads ao número de destinatários, para que um link repassado pare de funcionar.

Depois de enviar: feche a porta

1. Confirme o recebimento. Notificações de download, ou uma mensagem rápida, mostram que a pessoa certa recebeu os arquivos.
2. Retire o acesso quando terminar. Apague a transferência ou deixe expirar; remova compartilhamentos antigos na nuvem.
3. Não deixe cópias espalhadas. Limpe a pasta de enviados, o histórico de conversas e a cópia que ficou na área de trabalho só para o envio.
4. Registre o que foi enviado quando há dados regulados. Anote o quê, para quem e quando, se as suas obrigações exigirem. A LGPD pede que controlador e operador mantenham registro das operações de tratamento (art. 37).
5. Revise seus compartilhamentos com frequência. Uma vez por trimestre, confira os links e as pastas compartilhadas que ainda estão abertos.

O que um serviço de transferência segura precisa ter

Veja como esses recursos funcionam na página de transferência de arquivos segura e, para profissões reguladas, na página para escritórios de advocacia.

Como identificar golpes de “arquivo compartilhado com você”

Avisos de compartilhamento de arquivos são um disfarce clássico de phishing. A Cartilha de Segurança para Internet do CERT.br, o centro de resposta a incidentes mantido pelo NIC.br, resume a regra em três verbos: desconfie, informe-se, verifique. A agência americana CISA e o NCSC britânico também documentaram campanhas que usavam links parecidos com mensagens seguras ou com páginas de login de serviços de arquivos, levando a telas falsas de acesso. Desconfie quando:

• Você não esperava arquivos desse remetente, ou a mensagem tem tom de pressa, ameaça ou oportunidade imperdível, sinais que o CERT.br aponta como típicos de golpe.
• A página de download pede para você entrar com a senha do seu e-mail ou da sua conta Microsoft ou Google para ver um arquivo.
• O endereço (URL) do link não corresponde ao serviço citado no e-mail. O CERT.br recomenda conferir a URL antes de acessar e, na dúvida, não acessar.
• O “documento” é um executável, um script ou um arquivo compactado com senha que você não pediu.

Na dúvida, fale com o remetente por outro canal, de preferência um contato que você já conhece, antes de abrir qualquer coisa. Um link de transferência legítimo deixa você baixar os arquivos sem fazer login em nada.

Checklist para quem recebe os arquivos

Se você está do lado de quem recebe arquivos sensíveis, alguns hábitos protegem você e o remetente:

• Baixe logo, antes de o link expirar, e confirme o recebimento ao remetente.
• Salve os arquivos em um local seguro, e não em um computador compartilhado ou público.
• Não repasse o link: peça ao remetente que envie um link novo para quem mais precisar.
• Apague os arquivos quando não precisar mais deles, principalmente se tiverem dados pessoais.
• Avise o remetente imediatamente sobre qualquer coisa estranha, como arquivos que não eram para você.

Passos extras para equipes e empresas

• Defina uma ferramenta oficial para que ninguém volte a usar contas pessoais.
• Escreva uma regra curta: quais dados pedem senha, quais pedem criptografia de ponta a ponta e quais nunca saem da empresa.
• Formalize a relação com o fornecedor quando compartilhar dados pessoais. Na LGPD, o serviço que trata dados em seu nome é um operador e deve seguir as suas instruções; veja o guia sobre LGPD e envio de arquivos.
• Ative a verificação em duas etapas em todas as contas que podem enviar arquivos. O CERT.br lembra que, com ela, quem descobrir a sua senha ainda precisa de outra informação para entrar.
• Personalize suas páginas de download para que os destinatários reconheçam links verdadeiros da sua equipe; veja personalização com sua marca.

Quanta proteção cada tipo de arquivo precisa?

Escrever essa tabela para a sua equipe, com os seus próprios exemplos, costuma ser a medida de segurança mais eficaz de todas: as pessoas param de adivinhar e usam a mesma proteção para o mesmo tipo de arquivo.

Erros comuns que anulam a segurança

• Colocar a senha no mesmo e-mail do link. Uma única mensagem repassada entrega as duas coisas.
• Compartilhar uma pasta inteira quando o destinatário precisava de um arquivo só.
• Usar links de nuvem “qualquer pessoa com o link” sem data de fim para dados pessoais.
• Mandar arquivos confidenciais grandes em vários anexos de e-mail, multiplicando as cópias em servidores e caixas de entrada.
• Compactar com uma criptografia antiga e fraca achando que está seguro; veja se vale a pena compactar arquivos para enviar.
• Reusar a mesma senha em vários lugares. Como explica o CERT.br, basta descobrir a senha de uma conta para acessar todas as outras onde ela é usada.
• Esquecer o lado de quem recebe: um arquivo baixado no computador da família ou em uma máquina pública sai do seu controle, então diga ao destinatário como tratar arquivos sensíveis.

Para uma visão geral das formas de enviar arquivos pesados e das vantagens de cada uma, leia como enviar arquivos grandes.

Como receber arquivos com segurança

A segurança vale nos dois sentidos. Quando clientes precisam mandar documentos para você, envie um link de solicitação de arquivos com senha e validade em vez de pedir anexos por e-mail, e baixe os arquivos logo para os seus próprios sistemas. O guia sobre como receber arquivos de clientes mostra o passo a passo.

O checklist em uma linha por etapa

• Classifique · envie o mínimo · confira o destinatário · remova dados ocultos · escolha um serviço com criptografia.
• Ponta a ponta quando for confidencial · senha por outro canal · validade curta · limite de downloads.
• Confirme o recebimento · retire o acesso · apague as cópias · registre · revise os compartilhamentos.