Gestão de palavras-passe em operação própria (Self-Hosted)

O que é um Self-Hosted Password Manager?

Self-Hosted significa: a componente de servidor da gestão de palavras-passe é executada em infraestrutura que a própria empresa controla – no próprio centro de dados, numa Private Cloud ou no próprio tenant do Azure. A operação, as vias de acesso e o armazenamento dos dados ficam assim nas mãos da própria TI e não de um serviço externo.

Para ambientes Enterprise, isto é mais do que uma questão de gosto: quem controla a operação pode integrá-la nos processos de TI existentes – da gestão de utilizadores à monitorização, passando pela estratégia de backups. A ponderação de arquitetura face às soluções Cloud foi analisada em detalhe no artigo Gestor de palavras-passe On-Premises – aqui concentramo-nos no lado Enterprise: administração, escala e operação.

O que significa “Enterprise” num gestor de palavras-passe?

“Enterprise” não é um rótulo de dimensão, mas sim um perfil de funcionalidades. Descreve o que uma gestão de palavras-passe tem de oferecer para funcionar numa organização com equipas, departamentos e processos definidos:

• Administração central: Utilizadores, bases de dados, políticas e permissões são geridos num único ponto – e não por instalação.
• Gestão de utilizadores e grupos: Equipas e departamentos recebem acessos como grupo; a estrutura organizacional determina a atribuição de permissões.
• Funções e permissões: Permissões escalonadas regulam ver, utilizar e alterar – segundo o princípio do menor privilégio.
• Partilhas seguras: Os acessos comuns passam por bases de dados encriptadas e autorizadas, em vez de circularem informalmente.
• Auditabilidade: Os logs de auditoria documentam inícios de sessão, acessos e alterações – analisáveis para controlos internos e auditorias.
• Integração de identidades: Ligação a Active Directory, Microsoft Entra ID, SSO e MFA, para que não surja um segundo universo de utilizadores.
• Escalabilidade: A solução cresce com equipas, departamentos e localizações.
• Operação e suporte: Processo de atualização claro, modelo de manutenção e suporte do fabricante acessível para a utilização a longo prazo.
• Onboarding e offboarding como processo: A entrada e a saída de colaboradores seguem um fluxo central e rastreável.

Porque as empresas usam um gestor de palavras-passe Enterprise Self-Hosted

Na prática, as empresas chegam a esta solução por dois caminhos. Um é o controlo: os dados de acesso são os dados mais sensíveis da organização, e a infraestrutura, o armazenamento dos dados e os processos de operação devem permanecer na esfera de responsabilidade própria – também para reduzir dependências de serviços de Cloud externos. O outro é a profissionalização: as listas de Excel e as partilhas improvisadas não escalam, e as diretrizes de conformidade exigem controlo central e rastreabilidade.

As soluções Enterprise Self-Hosted respondem às duas exigências em simultâneo: integram-se nos processos de TI e de segurança existentes (serviço de diretório, SIEM, monitorização), documentam os acessos para auditorias e dão aos setores regulados a possibilidade de assumir totalmente a responsabilidade pelo local de armazenamento e pela operação. O que distingue tudo isto, em princípio, da gestão privada de palavras-passe é mostrado na nossa visão geral Gestor de palavras-passe para empresas.

Self-Hosted vs. Cloud vs. gestores de palavras-passe privados

Os três modelos dirigem-se a situações diferentes – uma comparação objetiva:

Em resumo: as ferramentas privadas foram feitas para particulares, as soluções Cloud podem servir empresas sem requisitos de controlo especiais – o Self-Hosted Enterprise é o modelo para organizações que têm de conjugar administração central, conformidade e processos de TI próprios.

Funcionalidades importantes de um Enterprise Password Manager

• Bases de dados de palavras-passe centrais: Bases de dados de equipa e de departamento encriptadas, em vez de cofres individuais dispersos.
• Grupos de utilizadores, funções e permissões: Acesso segundo o princípio do menor privilégio – escalonado até ao nível da base de dados e da entrada.
• Partilhas seguras: Acessos partilhados com permissões claras, em vez de e-mail e messenger.
• Logs de auditoria: Inícios de sessão, acessos e alterações registados, com possibilidade de exportação.
• Integração de identidades: Active Directory e Microsoft Entra ID para a importação de utilizadores e grupos, mais Active Directory, SSO e MFA em conjunto.
• Automação: Uma API para workflows de DevOps e automação, onde os secrets são necessários de forma programática.
• Conceitos de operação: Cópias de segurança agendadas das bases de dados, integradas na estratégia de backups própria, e mecanismos de alta disponibilidade.

Password Depot Enterprise Server como Self-Hosted Password Manager

O Password Depot Enterprise Server cobre este perfil de forma abrangente – desenvolvido em Darmstadt desde 1998, utilizado por mais de 100.000 clientes:

• Self-Hosted sem obrigação de Cloud: Operação On-Premises, numa Private Cloud ou no próprio tenant do Azure – a soberania dos dados permanece totalmente consigo.
• Administração central: Utilizadores, grupos, funções e políticas são geridos no Enterprise Server – com três níveis de permissão para partilhas seguras.
• Integração de identidades: Importação e sincronização do AD (mesmo em vários domínios de uma floresta, manualmente ou por agendamento), Microsoft Entra ID e fornecedores OpenID Connect; SSO com Kerberos e MFA com FIDO2/WebAuthn (por exemplo, YubiKey) e TOTP.
• Auditabilidade: Trilho de auditoria à prova de manipulação e encadeado criptograficamente para inícios de sessão, alterações e ações administrativas; exportação para o seu SIEM via Syslog (RFC 5424) por UDP, TCP ou TLS. Funções dedicadas (Audit Reader, Security Officer, Backup Operator) permitem a separação de tarefas sem acesso ao conteúdo das bases de dados.
• Escala: De 5 a 50.000 utilizadores – até 3 utilizadores, permanentemente gratuito. Licença de compra em vez de subscrição, manutenção opcional; as Security-Updates gratuitas não são afetadas por isso.
• Alta disponibilidade: Espelhamento em tempo real para uma instância de servidor secundária – se o servidor primário falhar, o servidor mirror assume automaticamente.
• Robusto em operação e migrável: As chaves de configuração e auditoria ficam em Key Vaults recuperáveis em vez de estarem permanentemente vinculadas à máquina. Com Recovery Keys, a configuração encriptada resiste a uma migração do servidor ou substituição de hardware – uma vantagem central no funcionamento próprio. Escalonamentos alertam adicionalmente em caso de espaço crítico, erros de backup ou expiração iminente da licença.
• REST API v2.0: Utilizar secrets em pipelines de DevOps, automação e workflows internos de IA.
• Todas as plataformas: Windows, macOS, iOS, Android, Linux e cliente web – sempre contra o seu servidor, com a mesma lógica de permissões.

A arquitetura de segurança é verificável: AES-256 (FIPS 197), TLS 1.3, teste de penetração da SySS (12/2025) com o resultado “não foram identificadas vulnerabilidades de segurança graves” e um ISMS do fabricante AceBIT certificado segundo a ISO/IEC 27001:2022 (TÜV NORD) – todas as evidências em Proteção de dados e segurança no Trust Center.

Cenários de utilização típicos

• Departamentos de TI gerem acessos de administração e de serviço centralmente – com funções, em vez de contas coletivas partilhadas.
• Empresas substituem listas de Excel e partilhas inseguras por bases de dados encriptadas e autorizadas.
• Equipas e localizações distribuídas acedem de forma controlada a acessos comuns, através de clientes e do cliente web – sempre contra o próprio servidor.
• Agências organizam os acessos de clientes por equipas e projetos, com partilhas documentadas.
• Empresas industriais mantêm os acessos a sistemas de produção e de fornecedores na infraestrutura própria.
• Entidades públicas apostam num controlo de acesso rastreável em infraestrutura própria.
• Empresas orientadas para a conformidade documentam os acessos a palavras-passe para controlos internos, auditorias ISO e a preparação para a NIS2.

Ao que as empresas devem prestar atenção na seleção

• Modelo de implementação e armazenamento dos dados: A solução suporta uma verdadeira operação própria (centro de dados, Private Cloud, tenant próprio) – e quem controla os dados?
• Conceito de permissões e funções: Permissões escalonadas, grupos de utilizadores, políticas.
• Integrações: Active Directory/Entra ID, SSO, MFA e ligação a SIEM como padrão para ambientes empresariais.
• Logs de auditoria: Registo com exportação – as perguntas das auditorias têm de poder ser respondidas a partir do sistema.
• Administração e facilidade de utilização: Gestão central para a TI, barreiras baixas para a equipa – em todas as plataformas.
• Escalabilidade: A solução cresce com o número de utilizadores, os departamentos e as localizações?
• Manutenção, suporte e documentação: Processo de atualização claro, suporte acessível, documentação sólida.
• Modelo de licenciamento: Compra ou subscrição, manutenção opcional ou obrigatória – relevante para a segurança de operação a longo prazo e para o planeamento orçamental.

Gestor de palavras-passe Enterprise Self-Hosted e RGPD

A operação própria apoia as empresas no controlo dos dados e nos requisitos internos de proteção de dados: os dados permanecem em infraestrutura própria, não há transferência para países terceiros através do gestor de palavras-passe e os acessos são registados. Importa, porém, o enquadramento: a conformidade com o RGPD não resulta de uma ferramenta isolada, mas depende da operação, da configuração, dos processos e das responsabilidades – a gestão de palavras-passe pode ser parte das medidas técnicas e organizativas. Uma análise detalhada do ponto de vista da proteção de dados é apresentada no nosso artigo Gestor de palavras-passe RGPD.

Conclusão: funcionalidades Enterprise mais operação própria

Um Self-Hosted Password Manager é a escolha certa para empresas que querem operar a gestão de palavras-passe de forma central, controlada e integrada na TI existente: funções e permissões, ligação a sistemas de identidade e auditabilidade ao nível empresarial – combinadas com uma operação pela qual a própria TI é responsável. O Password Depot Enterprise Server oferece exatamente esta combinação, escala de 5 a 50.000 utilizadores e permanece totalmente sob o seu controlo.

Verifique por si mesmo: teste o Enterprise Server gratuitamente durante 30 dias no seu ambiente, conheça a solução numa demonstração ao vivo ou solicite uma proposta sem compromisso para o seu número de utilizadores.

Perguntas frequentes sobre o gestor de palavras-passe Enterprise Self-Hosted

O que é um Self-Hosted Password Manager?

Uma gestão de palavras-passe cuja componente de servidor é operada pela própria empresa – no próprio centro de dados, numa Private Cloud ou no próprio tenant do Azure. A operação, as vias de acesso e o armazenamento dos dados permanecem sob controlo da própria TI.

O que significa Enterprise Password Manager?

Um perfil de funcionalidades para a utilização empresarial: administração central, gestão de utilizadores e grupos, funções e permissões, partilhas de equipa seguras, logs de auditoria e integração em sistemas de identidade como o Active Directory – escalável por equipas, departamentos e localizações.

Qual é a diferença entre Self-Hosted e On-Premises?

On-Premises designa a operação no próprio centro de dados, em hardware próprio; Self-Hosted é o termo genérico para qualquer instalação operada pela própria empresa – incluindo numa Private Cloud ou no próprio tenant do Azure. A ponderação de arquitetura é tratada no nosso artigo Gestor de palavras-passe On-Premises.

Para que empresas é adequado um gestor de palavras-passe Self-Hosted?

Para organizações com infraestrutura de TI própria, requisitos elevados de controlo ou de conformidade e necessidade de administração central – das médias empresas às empresas industriais, passando por entidades públicas e setores regulados.

Um Self-Hosted Password Manager é mais seguro do que uma solução Cloud?

Transfere o controlo para si: o local de armazenamento, as vias de acesso, as atualizações e os backups ficam a cargo da própria TI, e as evidências nascem em casa. Se o sistema no seu todo é mais seguro depende, adicionalmente, da encriptação, do modelo de funções e da qualidade da operação – em qualquer arquitetura.

Um gestor de palavras-passe Enterprise suporta Active Directory, SSO e MFA?

No Password Depot, sim: importação e sincronização do AD (mesmo em vários domínios), Microsoft Entra ID e fornecedores OIDC, SSO com Kerberos e MFA com FIDO2/WebAuthn e TOTP. Detalhes no artigo Active Directory, SSO e MFA.

O Password Depot Enterprise Server pode ser utilizado como gestor de palavras-passe Self-Hosted?

Sim – esse é o seu modelo central: operação On-Premises, numa Private Cloud ou no próprio tenant do Azure, sem obrigação de Cloud externa. Administração central, funções, logs de auditoria e integração de identidades estão incluídas; a licença escala de 5 a 50.000 utilizadores.