Na quarta-feira, Marek, dono de um gabinete de contabilidade com 11 pessoas, recebe de um cliente a pergunta: "O que é que alguém vê se levar uma cópia da vossa base de dados do alojamento?". A encriptação de dados num programa de tarefas pode ocultar dessa pessoa o conteúdo das mensagens e das descrições de tarefas - se o administrador também tiver abrangido os registos anteriores.
A encriptação de dados num programa de tarefas protege a cópia da base de dados, não todos os locais com dados
A encriptação de conteúdos no Task Manager protege contra a leitura de mensagens e descrições de tarefas por alguém que tenha obtido apenas a cópia da base de dados. Não encripta todo o conteúdo da aplicação e não substitui o controlo de acesso às contas nem ao servidor.
Imagine que Marek fica a saber que uma cópia antiga da base de dados do alojamento foi exposta. Se o administrador tiver ativado a encriptação e esta tiver abrangido também os registos anteriores, em vez do conteúdo coberto por este mecanismo, a base de dados contém texto cifrado AES-256-GCM, ou seja, um registo ilegível sem a chave correta. A chave encontra-se no ficheiro .env no servidor, e não na própria base de dados. Se alguém também obtivesse a chave, a situação seria diferente - uma simples cópia da base de dados não é o mesmo que uma cópia da base de dados juntamente com os ficheiros do servidor.
O Task Manager funciona no alojamento do cliente como ficheiros PHP e base de dados MySQL, pelo que os dados da aplicação ficam no seu servidor. O administrador da empresa ativa a encriptação nas definições e guarda uma cópia da chave fora do servidor, por exemplo num gestor de palavras-passe da empresa.
Separadamente, a aplicação suspende o início de sessão durante 15 minutos após cinco palavras-passe erradas para a mesma conta; também limita as tentativas a partir de um único endereço IP a 20 falhas em 15 minutos. Estes mecanismos dizem respeito ao início de sessão, não à leitura de uma base de dados exfiltrada.
O que é encriptado e o que permanece visível?
Depois de ativar a encriptação, o Task Manager guarda como texto cifrado o conteúdo das mensagens, as descrições de tarefas, os itens adicionados às listas de tarefas, as mensagens de ausência e o conteúdo dos e-mails no Correio. Não encripta, entre outros, os assuntos das tarefas, os nomes dos chats e Workspaces, as notas, os ficheiros nem as conversas na janela do Assistente de IA.
| Encriptado após ativação | Permanece visível |
|---|---|
| Conteúdo das mensagens em tarefas e chats, incluindo respostas do Assistente de IA guardadas no tópico, mensagens do Agente de IA, entradas de Automações e n8n e respostas automáticas de ausência | Assuntos das tarefas e nomes dos chats e Workspaces |
| Descrições de tarefas, incluindo as criadas por Automações e n8n | Notas e ficheiros |
| Itens adicionados às listas de tarefas através do botão "+ Adicionar item" | Entradas do sistema no tópico, por exemplo informação sobre alteração de estado, prazo, nome da tarefa ou participantes |
| Mensagens de ausência, por exemplo sobre férias ou doença | Conversas na janela do Assistente de IA, incluindo perguntas sobre e-mails no Correio, e planos do Agente de IA |
| Conteúdo dos e-mails no módulo Correio | Assuntos e remetentes dos e-mails |
A diferença entre a resposta do Assistente de IA no tópico da tarefa e uma conversa na janela do Assistente de IA é importante: a primeira faz parte das mensagens encriptadas, a segunda permanece visível. A resposta a uma pergunta sobre um e-mail pode também citar o seu conteúdo numa conversa não encriptada. Os planos do Agente de IA podem conter o conteúdo de mensagens e e-mails programados, e não estão abrangidos por esta encriptação.
Pode encriptar o conteúdo dos e-mails da mesma forma que as mensagens, mas o módulo Correio está disponível apenas na variante Pro. Independentemente do interruptor em questão, o Task Manager encripta sempre, através de um mecanismo separado, as palavras-passe SMTP, as chaves API dos fornecedores de IA e os segredos dos webhooks do n8n; isto aplica-se também às palavras-passe das caixas de correio e aos tokens do Google Agenda.
Como ativar a encriptação sem perder o acesso aos conteúdos?
A encriptação é ativada pelo administrador na secção Definições → Avançado → Encriptação de dados. Primeiro tem de gerar a chave e descarregar a sua cópia, só depois ativar a encriptação de novos dados e, separadamente, encriptar os registos já guardados.
Apenas a conta de administrador vê esta secção. A ordem é importante:
- Clique em "Gerar chave de encriptação".
- De imediato, clique em "Descarregar cópia da chave" e guarde-a fora do servidor, por exemplo num gestor de palavras-passe da empresa.
- Ative "Encriptar novos dados" e clique em "Guardar".
- Clique em "Encriptar dados existentes" para abranger também os registos anteriores.
Sem a chave dos dados encriptados, ninguém os consegue recuperar, nem mesmo o fabricante do programa. Por isso, não deixe a cópia da chave para depois da migração. O próprio interruptor atua sobre os conteúdos gravados a partir do momento da ativação; não encripta retroativamente todo o histórico. Pode pausar a ferramenta para os dados anteriores com o botão "Parar" e retomá-la mais tarde, e o contador nas definições mostra o progresso separadamente para cada grupo de registos.
Se um dia quiser desativar permanentemente a encriptação, utilize primeiro "Desencriptar tudo". Esta operação grava os conteúdos abrangidos de volta na base de dados como texto simples. Por isso, não trate a desativação do interruptor como forma de resolver um problema de chave em falta.
Quando ativar a encriptação e quando preparar primeiro a chave?
Ative a encriptação quando guarda, em mensagens ou descrições de tarefas, conteúdos que uma eventual fuga da própria base de dados não deveria revelar. Prepare primeiro um local para a cópia da chave e defina a pessoa responsável pela sua guarda; sem isto, arrisca-se a perder o acesso aos registos encriptados.
Na quarta-feira, o Marek abre a tarefa de um cliente: no assunto consta o seu nome e, na descrição, os acordos estabelecidos. Depois de ativar a encriptação e de encriptar os registos anteriores, a descrição ficará protegida na própria cópia da base de dados, mas o assunto continuará legível. O Marek verifica ainda uma nota - o seu conteúdo não é abrangido por este interruptor.
Se a sua empresa ainda não decidiu onde guardar a cópia da chave, comece por essa decisão, e não pelo interruptor. O mesmo se aplica ao organizar dados transferidos de outra ferramenta: verifique o que regista nas descrições e mensagens e o que fica em campos que permanecem legíveis. Abordamos isto com mais detalhe no artigo sobre o programa de tarefas, o RGPD e o servidor próprio.
Depois de ativar a encriptação, os registos mais antigos podem escapar ao motor de pesquisa
O motor de pesquisa do Task Manager tem em conta o conteúdo encriptado, mas verifica-o entre cerca de 200 mensagens mais recentes e cerca de 200 tarefas. Por isso, pode não encontrar um registo mais antigo, mesmo quando ainda consegue abri-lo na conversa correspondente.
Esta limitação nota-se quando, meses depois, tenta encontrar uma palavra escondida apenas numa mensagem antiga. O filtro separado da lista de tarefas e conversas por uma frase introduzida considera assuntos, nomes e conteúdos não encriptados - não pesquisa dessa forma as mensagens encriptadas. Um assunto legível ajuda a localizar a conversa, mas não coloque nele informação que pretende esconder de quem tiver acesso a uma cópia da base de dados.
Há também duas mensagens que o administrador deve conhecer. "[Encriptado - sem chave]" significa que, no servidor, falta o ficheiro .env com a chave, por exemplo após uma migração do programa. É preciso restaurar o ficheiro ou introduzir nele a chave a partir de uma cópia guardada. "[Erro de desencriptação]" indica que o registo foi encriptado com uma chave diferente da disponível no servidor; a sugestão da chave na secção de definições ajuda a compará-la com a cópia.
Rode a chave só depois de encriptar os registos anteriores
Pode alterar a chave através da função "Rodar chave", por exemplo se suspeitar que a sua cópia chegou a uma pessoa não autorizada. Antes da rotação, execute "Encriptar dados existentes", já que a operação exige que os registos abrangidos estejam encriptados.
A nova chave só é mostrada uma vez, por isso guarde logo uma cópia. Durante a rotação, o Task Manager continua a ler os registos ainda não convertidos para a nova chave utilizando a antiga; esta permanece no servidor apenas até ao final da operação. Se a interromper, pode concluí-la através de "Continuar rotação". Durante este período, o interruptor de encriptação e a migração normal ficam bloqueados.
Por vezes a rotação recusa iniciar porque, entretanto, surgiram novos registos legíveis do sistema. Nesse caso, execute novamente "Encriptar dados existentes" mesmo antes da rotação. É mais uma razão para consultar os contadores antes de mudar a chave, em vez de presumir que uma migração já realizada encerrou o assunto.
A encriptação da base de dados não impede o envio de conteúdo ao fornecedor de IA
Antes de enviar um pedido ao fornecedor de IA, o Task Manager desencripta o conteúdo necessário. O pedido, com o respetivo contexto, é enviado ao fornecedor do modelo configurado pelo administrador com a chave API da empresa, pelo que a encriptação da base de dados não significa que os dados utilizados pela IA permaneçam apenas no seu servidor.
O administrador escolhe o fornecedor em Definições de IA: OpenAI, Google Gemini, Anthropic Claude ou xAI Grok. Quando a IA está desativada, não é enviado nada ao fornecedor do modelo. O correio eletrónico como fonte de conhecimento da IA está desativado por predefinição e exige uma decisão separada do administrador. As fontes de conhecimento - tarefas, calendário, workspace, notas ou ficheiros - são indicadas pelo próprio utilizador na sua conversa com o Assistente; o administrador ativa a IA separadamente para tarefas, conversas e janela do Assistente, e o Assistente só vê aquilo a que o utilizador que pergunta tem acesso. Encontra mais pormenores no artigo o que chega ao fornecedor de IA e na descrição do princípio O seu modelo, a sua chave.
Standard ou Pro? A encriptação está disponível em ambas as variantes
A encriptação de conteúdos funciona tanto na variante Standard como na Pro. Não precisa de escolher a Pro apenas para encriptar mensagens e descrições de tarefas; a Pro acrescenta o Correio, os Ficheiros e as Automatizações, e o conteúdo dos e-mails é encriptado se utilizar o Correio e ativar este mecanismo.
Para a empresa do Marek, com 11 pessoas, a questão não é "quanto custa só a encriptação?", mas sim "a equipa precisa do Correio e das restantes funcionalidades Pro?". Detalhámos esta decisão na comparação entre as variantes Standard e Pro; pode consultar os valores atuais no tarifário do Task Manager. A licença não tem prazo de validade, inclui 12 meses de atualizações e tem renovação anual opcional. Paga uma única vez pelo plano correspondente ao número de postos, e não uma mensalidade por cada pessoa.
Amanhã comece por definir onde guardar a cópia da chave
Antes de o administrador clicar no interruptor, nomeie a pessoa responsável pela chave e decida onde a empresa guardará a sua cópia. Depois, verifique com a equipa se as informações que exigem proteção chegam aos conteúdos encriptados, e não a assuntos, notas ou ficheiros legíveis. Se quiser ver como o Task Manager organiza tarefas e conversas no seu próprio alojamento, abra a Demo.
Perguntas mais frequentes
O Task Manager encripta por predefinição as mensagens e descrições de tarefas?
Não, a encriptação destes conteúdos é ativada pelo administrador em Definições → Avançado. Independentemente deste interruptor, são sempre encriptadas, entre outras coisas, as palavras-passe SMTP, as chaves API dos fornecedores de IA e os segredos dos webhooks do n8n.
O que acontece se perder a chave de encriptação?
Sem a chave, ninguém consegue recuperar os dados encriptados, nem sequer o fabricante do programa. Descarregue a cópia logo após gerar a chave e guarde-a fora do servidor, por exemplo num gestor de palavras-passe da empresa.
O motor de pesquisa continua a funcionar depois de ativar a encriptação?
Sim, mas os conteúdos encriptados são pesquisados apenas entre as cerca de 200 mensagens mais recentes e cerca de 200 tarefas mais recentes. A filtragem da lista por uma frase tem em conta os assuntos, os nomes e os conteúdos não encriptados.
O Assistente de IA pode utilizar mensagens encriptadas?
Sim, quando esse conteúdo é uma fonte de conhecimento indicada pelo utilizador: antes de enviar o pedido com o contexto ao fornecedor de IA configurado, o programa desencripta o conteúdo necessário, e o Assistente vê apenas aquilo a que o utilizador tem acesso. Com a IA desativada, nada é enviado ao fornecedor do modelo.
A encriptação de dados num programa de tarefas funciona apenas no Pro?
Não, a encriptação de mensagens e descrições de tarefas funciona no Standard e no Pro. O módulo Correio, cujo conteúdo dos e-mails também pode ser encriptado, está disponível no Pro.
Fontes
A equipa do Task Manager escreve sobre trabalho em equipa, IA nas empresas e organização das tarefas, com exemplos do Task Manager, um programa instalado no servidor da própria empresa. O Task Manager é desenvolvido desde 2013 pela Blue Creation Group (Piotr Łącz) e é utilizado, entre outros, pela Neonet, pela Wojskowa Akademia Techniczna e pela Polpharma - consulte as opiniões dos clientes. Verificamos os textos com base no manual e na versão atual do programa.
