SSPR do Microsoft Entra: redefinição de senha, writeback híbrido e identidade visual

radio_button_uncheckedshort_text1. Reduza atrasos de redefinição sem enfraquecer a identidade

Uma rede varejista usa o Microsoft Entra ID para dar aos funcionários acesso a aplicativos de software como serviço, Microsoft 365, Azure e outros recursos federados. Redefinir senhas manualmente consome a central de suporte e deixa pessoas esperando. A redefinição de senha por autoatendimento (SSPR) permite que um usuário elegível comprove a identidade e defina outra senha sem intervenção do administrador.

O capítulo cobre a decisão completa: avaliar a SSPR, implantar um piloto, registrar e testar um usuário, entender o writeback híbrido e criar uma entrada com a identidade visual da organização.

• Diferenciar alteração, redefinição, desbloqueio e writeback de senha.
• Configurar escopo, métodos, registro, notificações e suporte da SSPR.
• Executar os exercícios de grupo, usuário, registro, redefinição, marca e limpeza.
• Aplicar licenciamento, funções e a política centralizada de métodos de autenticação vigente.

radio_button_uncheckedshort_text2. Alteração, redefinição, desbloqueio e writeback são operações diferentes

Um usuário de nuvem conectado pode alterar uma senha conhecida até no Microsoft Entra ID Free. Redefinir uma senha de nuvem esquecida exige licença de SSPR elegível. Para um usuário híbrido sincronizado, também são necessários uma edição com writeback e um caminho configurado pelo Microsoft Entra Connect ou pela sincronização na nuvem.

radio_button_uncheckedshort_text3. Por que a SSPR melhora a operação e a produtividade

A SSPR transfere uma recuperação urgente e repetitiva da central de suporte para o usuário sem abandonar a comprovação definida pelo administrador. O fluxo pode começar no portal de redefinição, no link “Não consegue acessar sua conta?” ou “Esqueci minha senha” e em experiências compatíveis de entrada do Windows.

• O usuário não espera um agente de suporte ficar disponível.
• A equipe de identidade reduz chamados repetitivos.
• Notificações aumentam a percepção de atividades inesperadas.
• Um link personalizado conduz falhas ao canal de suporte aprovado.

radio_button_uncheckedshort_text4. A transação completa da SSPR

1. Localização: o portal usa o idioma do navegador; o parâmetro mkt pode solicitar uma localidade compatível.
2. Identificação e defesa contra bots: o usuário informa a ID e conclui o CAPTCHA.
3. Elegibilidade: o Microsoft Entra ID verifica escopo, métodos registrados, quantidade exigida, política de administrador e onde a senha é gerenciada.
4. Autenticação: o usuário satisfaz uma ou duas verificações aprovadas.
5. Redefinição ou desbloqueio: depois da prova, informa e confirma uma nova senha compatível ou segue a opção de desbloqueio.
6. Notificação: as mensagens configuradas confirmam o evento ao usuário e, em cenários privilegiados, aos administradores adequados.

O serviço interrompe o fluxo e indica o suporte se a conta não estiver no escopo, não tiver métodos suficientes ou depender de uma senha local sem writeback. O portal nunca contorna a política de recuperação.

radio_button_uncheckedshort_text5. Métodos de autenticação: módulo fornecido e política atual

O módulo fornecido mostra seis escolhas da política legada de SSPR. Os conceitos continuam úteis, porém o gerenciamento de métodos nas políticas legadas de MFA e SSPR foi desativado em 30 de setembro de 2025. Locatários atuais devem usar a política centralizada de Métodos de autenticação e o registro combinado de informações de segurança. Confirme a interface vigente antes de repetir uma captura antiga.

A documentação vigente lista push do Microsoft Authenticator, tokens OATH de software e hardware em versão prévia, SMS, chamada de voz e OTP por email. Organizações de avaliação podem limitar chamadas, e a disponibilidade varia conforme conta, nuvem, política e estágio de migração.

radio_button_uncheckedshort_text6. Registro e quantidade mínima de métodos

O usuário só é considerado registrado quando armazena informações suficientes para a quantidade de métodos exigida, não apenas por abrir a página. A política pode exigir uma ou duas verificações. Elevar de uma para duas impede temporariamente a recuperação de quem só possui um método elegível.

• Solicite o registro durante uma entrada interativa compatível ou envie o usuário a https://aka.ms/ssprsetup.
• Mantenha os contatos atualizados; o intervalo de reconfirmação vai de 0 a 730 dias, e 0 desativa a reconfirmação periódica.
• Para perguntas de segurança, defina quantas são registradas e quantas precisam ser respondidas.
• Ao retirar um método da política, usuários que dependiam dele podem deixar de cumprir o mínimo.

radio_button_uncheckedshort_text7. Recomendações de segurança e diferença para administradores

Prefira comprovação resistente a phishing ou baseada em aplicativo e mantenha uma alternativa independente. SMS pode sofrer troca de SIM ou interceptação; respostas pessoais podem ser descobertas. O módulo recomenda Microsoft Authenticator como principal, email ou telefone comercial como alternativa, e perguntas de segurança apenas em conjunto com outro método.

Contas com funções administrativas do Azure abrangidas usam uma política forte de duas verificações, qualquer que seja a configuração dos usuários comuns. Perguntas de segurança não ficam disponíveis para essas contas. Teste a experiência normal com usuário sem função administrativa.

radio_button_uncheckedshort_text8. Notificações e rota personalizada de suporte

O destino do suporte aceita email ou URL. Valide listas de remetentes, antispam, caixa monitorada e procedimento de resposta; marcar a opção como habilitada não garante uma operação eficaz.

radio_button_uncheckedshort_text9. Licenciamento: associe recurso e edição

Cada usuário que se beneficiará da SSPR deve receber a licença correta, mesmo que o serviço ainda não bloqueie tecnicamente toda conta sem licença. Assim, a afirmação ampla do material de que planos gratuitos ou pré-pagos não usam SSPR deve ser lida por recurso: o Free altera senha conhecida, mas não cobre redefinição esquecida nem writeback híbrido.

radio_button_uncheckedshort_text10. Writeback híbrido e opções de implantação

Se o Active Directory local for a autoridade da senha sincronizada, atualizar apenas a nuvem não basta. Configure writeback pelo Microsoft Entra Connect ou pela sincronização na nuvem. Sem isso, usuários federados, de autenticação de passagem ou com hash sincronizado cuja senha seja local são encaminhados ao administrador.

• Microsoft Entra Connect pode atender o domínio conectado já existente.
• A sincronização na nuvem pode atender outros conjuntos ou domínios desconectados e evitar dependência de uma única instância do Microsoft Entra Connect.
• As duas opções podem coexistir em domínios diferentes, como empresa original e domínio adquirido em fusão.
• A política pode permitir desbloqueio local sem troca de senha ou exigir desbloqueio e redefinição juntos.

Para usuários federados, a sincronização do hash para a nuvem pode levar até o intervalo programado. A SSPR também não exibe toda a política de senha local, pois os agentes não enviam esses detalhes à nuvem.

radio_button_uncheckedshort_text11. Planeje uma implantação segura

Prepare um locatário funcional, licença elegível, conta com no mínimo Administrador de Política de Autenticação, usuário de teste licenciado e sem função administrativa e grupo de segurança que o contenha. O cenário começa com cerca de 20 pessoas do marketing; o princípio é validar um piloto antes da organização inteira.

O centro de administração atual seleciona diretamente um grupo para SSPR e aceita grupos aninhados no direcionamento amplo. Antes de trocar Selecionado por Todos, documente responsáveis, comunicação, suporte, métricas de êxito e reversão.

radio_button_uncheckedshort_text12. Configure a SSPR na experiência administrativa atual

Entre no Centro de administração do Microsoft Entra com pelo menos Administrador de Política de Autenticação e acesse Entra ID > Redefinição de senha. Exportações antigas mostram portal do Microsoft Azure > Microsoft Entra ID > Gerenciar > Redefinição de senha; os conceitos continuam equivalentes quando a navegação muda.

1. Propriedades: escolha Selecionado para o piloto ou Todos para a população pretendida e salve.
2. Métodos de autenticação: use a política centralizada atual e defina a quantidade de provas da SSPR onde disponível.
3. Registro: decida se usuários registram na próxima entrada e quando reconfirmam dados.
4. Notificações: escolha avisos para usuários e administradores.
5. Personalização: substitua o contato genérico por email ou URL oficial de suporte.
6. Integração local: quando necessária, valide writeback e a opção de desbloqueio independente.

radio_button_uncheckedshort_text13. Exercício: crie o grupo piloto

No Centro de administração do Microsoft Entra, abra Entra ID > Grupos > Novo grupo e crie o grupo de implantação limitada.

Examine e selecione Criar. A associação atribuída torna a população do piloto explícita e auditável.

radio_button_uncheckedshort_text14. Exercício: crie e atribua o usuário de teste

1. Abra Entra ID > Usuários > Novo usuário > Criar novo usuário.
2. Defina nome UPN como balas e nome de exibição como Bala Sandhu.
3. Copie a senha temporária gerada para um local temporário protegido; em produção, não use o Bloco de Notas para credenciais.
4. Em Atribuições, adicione o grupo SSPRTesters.
5. Examine, crie e confirme a licença exigida para o recurso testado.

Não atribua função administrativa. Administradores enfrentam verificações mais fortes e produziriam um teste diferente do piloto de usuário comum.

radio_button_uncheckedshort_text15. Exercício: habilite a SSPR e registre informações de segurança

1. Em Entra ID > Redefinição de senha > Propriedades, escolha Selecionado, indique SSPRTesters e salve.
2. Confira registro e notificações. Garanta que OTP por email esteja permitido para o teste na política atual de Métodos de autenticação.
3. Personalize a central com admin@organization-domain-name.onmicrosoft.com, trocando o domínio de exemplo, e salve.
4. Abra janela privada e visite https://aka.ms/ssprsetup.
5. Entre como balas@organization-domain-name.onmicrosoft.com e altere a senha temporária se solicitado.
6. Em Informações de segurança, adicione Email, informe um endereço externo e valide o código recebido.

Se aparecer que o administrador não habilitou o recurso, confira grupo, associação, licença, método e propagação. A janela privada impede que uma sessão administrativa existente contamine o teste.

radio_button_uncheckedshort_text16. Exercício: execute a redefinição

1. Em outra janela privada, abra https://aka.ms/sspr.
2. Informe balas@organization-domain-name.onmicrosoft.com, conclua o CAPTCHA e avance.
3. Escolha enviar para o email alternativo e solicite o código.
4. Informe o código, defina e confirme uma senha compatível e conclua.
5. Registre apenas o resultado do teste, nunca a senha, confirme a notificação e encerre a sessão.

As respostas centrais da verificação de conhecimento são: registro exige a quantidade mínima de métodos permitidos, e habilitar SSPR permite ao usuário elegível redefinir a senha mesmo sem conseguir entrar.

radio_button_uncheckedshort_text17. Identidade visual: sinal de segurança, requisitos e limites

A identidade visual dá consistência às telas de entrada e recuperação. Ela ajuda a reconhecer o locatário, mas o logotipo não prova autenticidade; o usuário ainda precisa conferir o domínio. A função mínima atual é Administrador de Identidade Visual Organizacional e uma licença elegível é obrigatória.

O fundo é dimensionado e cortado conforme a janela e pode ser coberto pela caixa de entrada. A cor serve de fallback. Hoje também existem modelos de layout, logotipos de cabeçalho/banner, ícones claros/escuros, rodapé, texto público, idiomas por navegador e CSS limitado conforme a data do locatário e o cronograma de desativação.

radio_button_uncheckedshort_text18. Exercício: configure e teste a entrada personalizada

1. Entre no Centro de administração do Microsoft Entra e use Alternar diretório se o locatário atual não for o alvo.
2. Acesse Entra ID > Identidade visual personalizada; exportações antigas chamam a área de Identidade visual da empresa.
3. Em Básico, carregue favicon 32 × 32 e fundo 1920 × 1080 e escolha ou aceite a cor de fundo.
4. Examine Layout, Cabeçalho, Rodapé e Formulário de entrada; não publique segredos ou dados internos.
5. Selecione Examinar + criar, confira e crie a experiência padrão.
6. Em janela privada, entre como Bala Sandhu, valide a marca e escolha Esqueci minha senha para conferir a continuidade da recuperação.

Em aplicativos SaaS ou Microsoft multilocatário, a marca pode surgir só depois do email identificar o locatário inicial. Um parâmetro whr pode antecipá-la em fluxos compatíveis. Contas pessoais Microsoft não herdam a marca do Microsoft Entra da organização.

radio_button_uncheckedshort_text19. Solucione problemas de forma metódica

radio_button_uncheckedshort_text20. Limpe o laboratório com segurança

• Exclua Bala Sandhu em Entra ID > Usuários depois de guardar apenas evidências sem segredo.
• Exclua SSPRTesters em Entra ID > Grupos se nenhum outro teste depender dele.
• Defina Redefinição de senha > Propriedades como Nenhum se a SSPR não deve permanecer ativa.
• Reverta a identidade visual de laboratório; a experiência padrão não pode ser excluída, mas suas personalizações podem ser removidas.
• Se criou locatário Premium só para o módulo, siga as regras de ciclo de vida depois da avaliação.

Nunca desligue SSPR de produção nem exclua identidades compartilhadas só porque o exercício pede limpeza. Confirme proprietário e impacto de cada ação destrutiva.

radio_button_uncheckedshort_text21. Decisões da AZ-104 e armadilhas

• Conhecer a senha é alteração; esquecê-la ou tê-la expirada exige redefinição.
• Registro só existe quando os métodos elegíveis cumprem a quantidade.
• Selecionado é a resposta de piloto; Todos vem depois da validação.
• Teste usuário comum com conta sem função administrativa.
• Perguntas de segurança não servem para administradores e são a opção mais fraca do material.
• Senha híbrida local exige writeback íntegro.
• Métodos atuais são governados pela política centralizada, não pelos controles legados.
• Identidade visual não substitui domínio correto, MFA, Acesso Condicional ou treinamento antiphishing.

radio_button_uncheckedshort_text22. Resumo, recuperação ativa e recursos oficiais

A SSPR do Microsoft Entra permite que um usuário elegível e registrado se recupere de senha esquecida, expirada ou bloqueada depois de comprovar a identidade. Uma implantação segura combina licença, escopo gradual, métodos fortes, dados atuais, notificações, suporte, writeback híbrido quando necessário e identidade visual testada.

Checklist de recuperação ativa

• Você diferencia alteração, redefinição, desbloqueio e writeback?
• Consegue percorrer todas as verificações antes da nova senha?
• Prevê o efeito de aumentar de um para dois métodos?
• Escolhe Nenhum, Selecionado ou Todos conforme o cenário?
• Identifica quando usar Microsoft Entra Connect ou sincronização na nuvem?
• Reproduz piloto, registro, redefinição, marca, teste e limpeza?

Documentação oficial

• Como funciona a redefinição de senha por autoatendimento
• Habilitar a redefinição de senha por autoatendimento
• Requisitos de licenciamento da SSPR
• Writeback de senha com SSPR
• Configurar a identidade visual da empresa
• Métodos de autenticação no Microsoft Entra ID