Garanta que a Pessoa Realmente Saia do Seu App

Imagine uma cliente usando seu app no computador da família, no computador do trabalho ou em um celular emprestado. Ela pode fechar a aba e acreditar que ninguém mais verá sua conta. Teste essa ideia com uma conta criada apenas para testes. Entre, feche a aba, abra o app novamente e anote o que aparece. O resultado adequado depende do conteúdo do app. Dados de pagamento, endereços, informações de saúde e mensagens de clientes exigem mais cuidado do que conteúdo público comum.

O navegador pode guardar um pequeno registro dizendo ao app que aquela pessoa já entrou. Os desenvolvedores chamam o período lembrado de sessão. Lembrar a pessoa no celular dela pode ser prático, mas deve ser uma escolha consciente. O botão Sair precisa encerrar esse acesso lembrado, e não apenas trocar a tela. Teste o Sair em uma aba, use Voltar, atualize a página e abra o app novamente. As páginas da conta e os dados de clientes devem continuar indisponíveis até uma nova entrada.

As pessoas se afastam da mesa, deixam o celular sobre um balcão e esquecem janelas abertas durante a noite. Escolha por quanto tempo uma conta pode ficar aberta sem uso. Primeiro, teste com um período muito curto em um local sem clientes, como dois minutos. Depois desse tempo, tente ver o perfil, ler dados de clientes, salvar um endereço e enviar uma alteração. O app deve pedir claramente uma nova entrada antes de mostrar ou mudar informações protegidas, em vez de apresentar uma mensagem confusa no fim do trabalho.

Vale conferir dois relógios. Um encerra o acesso quando a pessoa para de usar o app; o nome técnico é limite por inatividade. O outro encerra o acesso após um período total fixo, mesmo quando a pessoa continua usando o app; o nome técnico é limite absoluto. Escolha ambos conforme o que a conta permite ver ou alterar. Dados de pagamento e registros comerciais pedem períodos menores que preferências de baixo risco. Explique o encerramento com clareza e não reabra informações protegidas sem nova entrada.

Algumas ações podem causar muito mais dano do que ler uma página comum. Entre elas estão trocar senha ou e-mail, adicionar um destino de pagamento, mostrar códigos de recuperação, apagar a conta ou dar poderes de administrador a outra pessoa. Teste cada ação depois que a conta estiver aberta há algum tempo. Logo antes da conclusão, o app deve pedir que a pessoa prove novamente quem é. Isso protege a dona da conta quando alguém encontra um computador destravado ou pega um celular sem supervisão.

Essa segunda confirmação de identidade tem um nome técnico: reautenticação. Apresente-a como uma etapa normal de segurança e informe qual mudança ela protege. Se a pessoa cancelar, errar a senha ou fechar a confirmação, a mudança solicitada não pode acontecer. Uma confirmação correta deve permitir somente a ação desejada e por pouco tempo. Ela não deve prolongar silenciosamente todos os acessos abertos. Confirme também que o e-mail anterior recebe um aviso quando os dados de propriedade mudarem, sem incluir senhas, chaves de pagamento ou códigos de recuperação.

Celulares e notebooks são perdidos, roubados, vendidos ou compartilhados. A dona da conta pode não ter o aparelho desaparecido em mãos para clicar em Sair. Ofereça uma página clara de segurança da conta onde ela possa encerrar o acesso em outros aparelhos. Em um app pequeno, um botão chamado Sair dos outros aparelhos pode ser suficiente. Se houver uma lista, mostre detalhes compreensíveis, como tipo de navegador, local aproximado e última atividade, explicando que essas pistas nem sempre identificam perfeitamente o aparelho.

Um registro de entrada copiado do navegador pode fazer outro navegador parecer a dona da conta. O nome técnico dessa situação é sessão roubada. Ações importantes de recuperação precisam fazer os registros antigos pararem de funcionar. Teste troca e redefinição de senha, recuperação da conta e encerramento dos outros acessos. Use dois navegadores com a mesma conta de teste. Depois da ação no primeiro, atualize o segundo e tente ver informações e salvar uma mudança. Não basta esconder a página ou trocar uma mensagem; o navegador antigo deve ser recusado.

Crie um roteiro escrito que qualquer pessoa da equipe consiga seguir. Comece fora da conta, entre, abra duas abas, saia em uma e teste a outra. Entre novamente, espere além dos dois períodos escolhidos e tente uma mudança importante. Depois, use um segundo navegador, troque a senha e confirme que o navegador antigo perde o acesso. Escreva o resultado esperado ao lado de cada etapa antes de testar. Assim, a praticidade no seu aparelho não vira o padrão para clientes em computadores compartilhados ou com celulares perdidos.

Repita o roteiro sempre que mudar as telas de entrada, configurações da conta, recursos de pagamento ou poderes dos usuários. O VibeCodeWall verifica o app público por fora e acompanha mudanças importantes ao longo do tempo; ele não precisa ver código particular. Junte essa verificação externa aos testes práticos da conta, pois você conhece o comportamento esperado. Mantenha senhas, chaves de pagamento, códigos de acesso e dados de clientes longe dos arquivos que o navegador de um visitante pode baixar. Se algo ficar confuso, peça uma explicação simples à sua ferramenta de IA, corrija e repita o roteiro inteiro.