Na maioria das empresas, o WhatsApp comercial nasceu no celular de alguém. Com o tempo, a senha do WhatsApp Web passou a ser conhecida por meio escritório, o aparelho ficou numa gaveta e ninguém sabe dizer quem mandou aquela mensagem de sábado à noite. Segurança no WhatsApp empresarial começa por três perguntas simples: o número está protegido contra roubo de conta? Cada pessoa tem o próprio acesso? E, quando alguém sai da empresa, o acesso dela termina no mesmo dia? Se alguma resposta for “não sei”, este checklist é para você.
Organizamos as medidas em camadas: proteger o número, proteger o acesso, controlar a equipe e saber reagir quando algo der errado.
Os riscos mais comuns no WhatsApp da empresa
Antes das soluções, vale nomear os problemas. Nós vemos estes com frequência:
| Risco | Como costuma acontecer | Medida principal |
|---|---|---|
| Roubo da conta | Golpista pede “o código que chegou por SMS” se passando por suporte | Verificação em duas etapas com PIN |
| Acesso compartilhado | Um WhatsApp Web aberto em vários computadores | Login individual por atendente |
| Acesso de fora | Atendente acessa de casa ou de rede pública | Restrição por IP |
| Acesso fora de hora | Mensagens enviadas de madrugada sem supervisão | Horários de acesso |
| Ex-funcionário com acesso | Sessão continua aberta no celular ou navegador dele | Roteiro de desligamento |
| Sem rastro | Ninguém sabe quem apagou ou enviou algo | Registros de atividades |
Camada 1: proteja o número
Ative a verificação em duas etapas
A verificação em duas etapas cria um PIN que o WhatsApp pede quando o número é registrado em um novo aparelho. Na página oficial de segurança do WhatsApp, a orientação é criar um PIN secreto e nunca compartilhá-lo, para impedir que alguém roube a conta.
No aplicativo, o caminho é Configurações, Conta, Confirmação em duas etapas. Algumas recomendações para empresas:
- Use um e-mail corporativo de recuperação, não o pessoal de quem configurou.
- Guarde o PIN em um cofre de senhas da empresa, com acesso restrito ao gestor.
- Não use datas óbvias, CNPJ ou sequências.
Nunca repasse códigos de verificação
O golpe mais comum de roubo de conta é alguém ligar ou mandar mensagem pedindo o código de verificação que chegou por SMS. Treine a equipe: nenhum fornecedor, banco ou “suporte do WhatsApp” vai pedir esse código. Se você quer reconhecer os sinais de uma conta tomada, temos um artigo sobre WhatsApp clonado.
Proteja também a conta Meta, se usa a API oficial
Na API oficial, o número fica ligado ao portfólio empresarial da Meta. Quem administra esse portfólio controla o número. Ative autenticação em dois fatores nas contas de administradores, mantenha pelo menos dois administradores da própria empresa e revise periodicamente quem tem acesso.
Camada 2: segurança no WhatsApp empresarial começa pelo acesso
Senha compartilhada é o maior buraco de segurança que encontramos. Quando todo mundo usa o mesmo WhatsApp Web, ninguém é responsável por nada, e tirar o acesso de uma pessoa significa trocar a senha de todas.
Um login por pessoa
Conecte o número a uma plataforma de atendimento e crie um usuário para cada atendente. Assim, cada mensagem tem autor, cada pessoa tem sua senha e desativar alguém não afeta o resto da equipe. É a base do multiatendimento no WhatsApp.
Permissão mínima
Atendente vê a fila dele. Supervisor vê o departamento. Só o gestor mexe em conexões, campanhas e configurações. Quanto menos pessoas com acesso amplo, menor o estrago de uma senha vazada.
Restrição por IP
Se a equipe trabalha no escritório, faz sentido permitir login só a partir do IP da empresa. Para quem trabalha remoto, libere o IP da VPN corporativa. Um detalhe prático: internet móvel troca de IP com frequência, então essa medida funciona melhor com conexão fixa.
Horários de acesso
Defina em que dias e horários o login é permitido. Fora do expediente, ninguém entra. Isso reduz uso indevido e também protege o atendente de ser cobrado para responder à noite. Para o cliente que escreve fora do horário, uma mensagem automática resolve, como mostramos no guia de mensagem fora do horário de atendimento.
Segurança boa é a que funciona sem depender de alguém lembrar. Configure uma vez e deixe a regra trabalhar.
Camada 3: desligamento de funcionário sem susto
O momento mais delicado é a saída de alguém da equipe, principalmente se foi uma saída difícil. Tenha um roteiro escrito e execute no mesmo dia:
- Desative o usuário na plataforma de atendimento antes ou no momento da comunicação.
- Transfira os tickets abertos dele para outro atendente ou de volta para a fila, em lote.
- Revise acessos externos: portfólio da Meta, e-mail corporativo, cofre de senhas.
- Se ele tinha um aparelho da empresa, recolha e desconecte sessões do WhatsApp Web que estiverem abertas.
- Troque o PIN e senhas compartilhadas que ele conhecia, se houver.
- Consulte os registros de atividades dos últimos dias, se a saída foi conflituosa.
- Avise os clientes-chave de quem vai assumir o atendimento, pelo número oficial.
Com o atendimento centralizado, o histórico das conversas continua com a empresa. O novo responsável abre o contato e vê tudo o que foi combinado.
Camada 4: rastreabilidade e reação
Mesmo com tudo configurado, incidentes acontecem. O que diferencia uma empresa preparada é conseguir responder rápido a três perguntas: o que aconteceu, quem fez e quando.
- Registros de atividades: permitem filtrar ações por usuário e período.
- Histórico centralizado: nenhuma conversa some porque alguém apagou no celular.
- Canal interno de alerta: a equipe precisa saber a quem avisar se receber algo suspeito. Um chat interno da ferramenta evita que isso se perca em grupos pessoais.
Se um incidente envolver dados pessoais de clientes, acione o responsável por privacidade da empresa, que vai avaliar as obrigações previstas na LGPD. Para ir além do acesso e olhar a proteção dos dados em si, veja nosso guia de segurança de dados no WhatsApp.
Como aplicar a segurança no WhatsApp empresarial com o ClikChat
Boa parte deste checklist vira configuração no ClikChat, no perfil da empresa e no cadastro de usuários:
- Usuários individuais com senha própria e vários atendentes no mesmo número.
- Permissões por usuário e departamentos, para que cada um veja só o que precisa.
- Gerenciar IPs de acesso: lista de IPs autorizados, como o fixo do escritório ou o da VPN.
- Acesso por horário: dias da semana e faixas de horário em que o login é permitido.
- Horário de trabalho por atendente, que controla quando cada um recebe tickets.
- Registros de atividades com filtros por usuário e período.
- Transferência em lote para redistribuir a carteira de quem saiu.
- Chat interno para a equipe falar sem levar assuntos de clientes para números pessoais.
O número em si continua exigindo os cuidados do aplicativo e da conta Meta, como o PIN e a autenticação dos administradores. A plataforma cuida da camada de acesso da equipe.
Perguntas frequentes
A verificação em duas etapas impede que clonem meu WhatsApp?
Ela dificulta muito, porque o golpista precisaria do PIN além do código de SMS. Não é garantia absoluta, mas é a medida mais simples e eficaz para proteger o número. Combine com treinamento para ninguém repassar códigos.
É seguro vários atendentes usarem o mesmo WhatsApp Web?
Não é o ideal. Com uma sessão compartilhada, não dá para saber quem enviou cada mensagem nem tirar o acesso de uma pessoa sem afetar as outras. Uma plataforma com login individual resolve isso.
O que é restrição por IP?
É uma regra que só permite o login a partir de endereços de internet autorizados, como a rede do escritório ou a VPN da empresa. Tentativas de outros lugares são bloqueadas, mesmo com a senha correta.
O que fazer primeiro quando um funcionário é desligado?
Desativar o usuário dele na plataforma de atendimento e transferir os tickets abertos. Depois, revise acessos à conta Meta, senhas compartilhadas e sessões abertas em aparelhos da empresa.
Como saber se alguém da equipe usou o WhatsApp de forma indevida?
Com registros de atividades e histórico centralizado. Você filtra por usuário e período e vê as ações realizadas. Sem isso, a investigação depende de relatos e prints.
Segurança no WhatsApp empresarial exige a API oficial?
Não necessariamente. Login individual, permissões, IP e horário funcionam tanto com conexão por QR Code quanto pela API oficial. A API oficial traz outras vantagens de estabilidade, mas a proteção de acesso vem da plataforma e dos processos.
Conclusão
Segurança no WhatsApp empresarial não depende de uma ferramenta mágica, e sim de camadas simples bem configuradas: PIN no número, um login por pessoa, permissão mínima, restrição por IP e horário, rastreabilidade e um roteiro de desligamento executado no mesmo dia. Comece pelo que está mais exposto hoje, provavelmente a senha compartilhada, e avance item a item. Para colocar essas regras em prática com a sua equipe, teste o ClikChat grátis por 3 dias.