Criptografia de ponta a ponta no Teams: o que fica diferente quando ela é habilitada

Você já deve saber que o Microsoft Teams criptografa chamadas e reuniões por padrão. O que nem todo mundo percebe é que existe uma diferença grande entre a criptografia padrão e a criptografia de ponta a ponta (E2EE). E não é só uma questão de "mais segura". Habilitar E2EE muda o que funciona, o que para de funcionar e até como você administra a política no tenant.

Vou explicar o que encontrei na documentação oficial da Microsoft e o que você precisa considerar antes de ativar esse recurso.

O Teams já é criptografado, então por que E2EE?Link para esta seção

Sim, o Teams aplica criptografia em todas as comunicações desde o primeiro dia. Por padrão, ele usa TLS 1.2 ou superior com AES-256 para proteger dados em trânsito entre dispositivos e servidores, e Secure RTP (SRTP) para o fluxo de mídia (fonte ((abre em nova aba))). Dados em repouso são protegidos com BitLocker e criptografia por arquivo no Azure, SharePoint e OneDrive.

A diferença da E2EE é que as chaves de criptografia são geradas no próprio dispositivo de cada participante e trocadas por uma sessão de sinalização segura (fonte ((abre em nova aba))). Nem a Microsoft, nem o servidor do Teams, nem um administrador conseguem descriptografar o que trafega. Só quem está na chamada ou reunião tem acesso ao conteúdo.

O que a E2EE protege de fatoLink para esta seção

A E2EE no Teams cobre áudio, vídeo e compartilhamento de tela baseado em vídeo. Não cobre chat, arquivos compartilhados, gravações nem transcrições (fonte ((abre em nova aba))). A criptografia usa o algoritmo GCM_AES_256, e a troca de chaves para reuniões usa o Group Key Manager Protocol (GKMP) sobre canais protegidos com TLS 1.3 (fonte ((abre em nova aba))).

Na prática, o que fica protegido de ponta a ponta é a conversa ao vivo: o que você fala, o que aparece na sua câmera e o que você compartilha da tela. O resto continua usando a criptografia padrão do Teams.

O que deixa de funcionarLink para esta seção

Essa é a parte que mais pega quem ativa E2EE sem saber. Como o serviço não consegue descriptografar a mídia, vários recursos que dependem do lado do servidor simplesmente param de funcionar (fonte ((abre em nova aba))).

Em chamadas individuais (1:1), você perde legendas ao vivo, transcrição, gravação, gravação de conformidade, transferência de chamada, fusão de chamada, estacionamento de chamada, consulta e transferência, e a adição de novos participantes. Apps também não funcionam durante a chamada.

Em reuniões agendadas com E2EE, a lista é ainda maior: legendas ao vivo, transcrição, gravação, gravação de conformidade, salas de breakout, Excel Live, PowerPoint Live, controle de solicitação de conteúdo compartilhado, modo acompanhante, galeria grande, participantes que entram por telefone (PSTN) e o Microsoft 365 Copilot em reuniões e eventos.

Um detalhe importante: se a sua organização usa gravação de conformidade, um usuário sujeito a ela não consegue participar de uma chamada ou reunião com E2EE (fonte ((abre em nova aba))). O recurso simplesmente bloqueia a entrada.

Como ativar e quem pode usarLink para esta seção

A configuração é feita por políticas de criptografia aprimorada no centro de administração do Teams ou via PowerShell (fonte ((abre em nova aba))).

Para chamadas individuais, a E2EE vem desabilitada na política global padrão. O administrador precisa mudar a política para "Não habilitado, mas usuários podem habilitar". Depois disso, cada usuário precisa ativar manualmente a opção nas configurações do cliente Teams. A ativação é única: o sincronismo entre dispositivos faz com que a preferência valha em todos os endpoints suportados (fonte ((abre em nova aba))).

Para reuniões, a política que permite E2EE vem habilitada por padrão, mas o organizador precisa ter uma licença Teams Premium e configurar a reunião para exigir E2EE no momento do agendamento (fonte ((abre em nova aba))). Os participantes não precisam da licença Premium.

No seu tenant, confirme quem tem acesso ao Teams Premium antes de planejar o uso de E2EE em reuniões. E lembre-se: a E2EE para reuniões tem limite de 200 participantes e requisitos específicos de dispositivo (fonte ((abre em nova aba))).

Como verificar se a chamada está protegidaLink para esta seção

Durante uma chamada com E2EE, o Teams exibe um código de segurança de 20 dígitos para os dois participantes. Esse código é derivado dos thumbprints SHA-256 dos certificados de chamada dos dispositivos. A recomendação é que os participantes leiam o código em voz alta um para o outro e confirmem que os números conferem. Se os códigos não baterem, a conexão pode ter sido interceptada (fonte ((abre em nova aba))).

E o compliance?Link para esta seção

Aqui mora a decisão mais estratégica. A E2EE é incompatível com vários recursos de conformidade do Microsoft Purview, como descoberta eletrônica (eDiscovery), retenção e prevenção contra perda de dados (DLP) para o conteúdo de mídia (fonte ((abre em nova aba))). Isso acontece porque esses recursos precisam acessar o conteúdo do lado do servidor.

Isso não significa que E2EE seja uma escolha errada. Significa que ela é a escolha certa para cenários específicos: comunicações de alta sensibilidade, como reuniões da diretoria, informações reguladas ou tópicos que exigem sigilo absoluto. Para o dia a dia da equipe, a criptografia padrão do Teams já oferece proteção robusta com TLS, SRTP e criptografia em repouso (fonte ((abre em nova aba))).

O que levar para segunda-feiraLink para esta seção

Se você administra o Teams na sua organização, o caminho mais prático é uma abordagem híbrida: manter a criptografia padrão para o uso geral e reservar a E2EE para cenários que realmente exijam que nem a Microsoft tenha acesso ao conteúdo. As políticas de criptografia aprimorada permitem criar atribuições diferentes por grupo de usuário, então você pode, por exemplo, liberar E2EE só para a diretoria sem afetar o resto da empresa.

E não se esqueça de avisar os usuários. Quem ativa E2EE esperando legendas ao vivo ou gravação vai se frustrar. Um aviso rápido sobre o que muda evita tickets de suporte e escolhas erradas na hora de agendar uma reunião.