Compartilhar acesso a fotos sem dar a senha: o guia da família

Compartilhar acesso a fotos sem dar a senha é usar o mecanismo de convite do serviço, em que cada pessoa entra com o login dela e recebe um nível de permissão que você define, em vez de repassar uma credencial única que dá poder total sobre a conta. A diferença parece burocrática enquanto está tudo bem entre todo mundo. Ela aparece inteira no dia em que alguém apaga uma pasta sem querer, troca a senha achando que ajudava, ou simplesmente deixa de fazer parte da família. Este guia mostra o que a senha entrega de verdade, o que cada modelo permite desfazer depois e o roteiro para sair de uma senha compartilhada sem transformar isso em briga.

Por que a senha da conta virou o jeito padrão de incluir a família?

Porque é o caminho que funciona no primeiro dia. A avó liga pedindo para ver as fotos do neto, você está com a criança no colo, e digitar a senha dela no aparelho da avó resolve em quinze segundos. Nenhum tutorial, nenhum convite, nenhum e-mail de confirmação que ela não vai achar na caixa de entrada. Funciona.

O problema é que esse gesto não é reversível na mesma velocidade. Ele parece emprestar uma chave, e na verdade é entregar a escritura. A senha não distingue "ver as fotos do Antônio" de "tudo o que existe nessa conta", e é essa ausência de recorte que cria os três cenários que a gente ouve com mais frequência: a foto que sumiu e ninguém sabe explicar, a pessoa que saiu da família e continua entrando, e o parente que trocou a senha porque o aplicativo pediu e agora ninguém entra.

Existe ainda um efeito silencioso, que é o encolhimento do que você registra. Quando a conta é de todo mundo, você começa a evitar guardar ali a foto do parto, o áudio da consulta, a carta que escreveu num dia difícil. O acervo vira uma vitrine, não um arquivo. Vale ler junto o rastro digital da criança para entender por que o recorte de quem vê o quê muda o que a família consegue guardar.

O que a senha entrega que o convite não entrega?

A senha entrega o cargo, não a visita. Quem entra com a sua credencial não é um convidado, é você. A tabela abaixo compara o que cada modelo permite na prática, com os nomes que os serviços mais usados costumam dar a cada coisa.

A linha que mais assusta quem lê é a penúltima. Para tirar uma única pessoa de uma senha compartilhada, você precisa trocar a senha de todas, o que significa reconfigurar o acesso da avó materna, da avó paterna, da madrinha e da tia por causa de um desentendimento que envolve uma pessoa só. É por isso que tanta gente adia, e é por isso que acessos antigos sobrevivem por anos.

A última linha é a que mais importa quando algo dá errado. Numa conta compartilhada não existe autoria: a foto sumiu e o histórico diz que foi você. Não há como reconstruir o que aconteceu, e a conversa vira suspeita entre pessoas que se amam. Sobre a recuperação em si, como testar se o backup está funcionando mostra por que confiar na lixeira do serviço é uma aposta com prazo.

O que cada modelo permite desfazer depois?

Esta é a pergunta que separa um incômodo de um estrago. Desfazer significa três coisas diferentes, e vale distinguir.

Desfazer o acesso. No convite, é imediato e cirúrgico: você remove a pessoa e ninguém mais é afetado. Na senha compartilhada, é uma operação em cadeia que exige trocar a credencial, encerrar sessões e redistribuir o novo acesso a todo mundo que continua no combinado.

Desfazer uma exclusão. Aqui a diferença é de prazo, não de possibilidade. A maioria dos serviços mantém uma lixeira por um período determinado, e depois disso o arquivo some de verdade. O detalhe cruel é que ninguém percebe uma exclusão no mês em que ela acontece: percebe no ano seguinte, procurando a foto do primeiro banho, quando a lixeira já passou. Na conta compartilhada esse risco se multiplica pelo número de pessoas que têm o poder de apagar.

Desfazer a titularidade. É o item mais esquecido. Nos planos familiares de armazenamento existe uma figura de gerente, e ela concentra poderes que os outros membros não têm. No Google One, por exemplo, o grupo familiar comporta até seis pessoas, com um gerente e cinco membros, e apenas o gerente pode contratar, mudar ou encerrar o plano (Ajuda do Google One). Se essa pessoa some, se separa ou simplesmente perde o acesso ao e-mail dela, o acervo inteiro da família fica pendurado numa decisão que ninguém mais pode tomar. Vale ler plano familiar de nuvem vale a pena antes de eleger o titular por acaso.

Nos álbuns compartilhados de fotos há uma nuance parecida. O dono do álbum é quem controla o que permanece: ele pode remover colaboradores e desativar a colaboração para impedir novos envios (Ajuda do Google Fotos). Isso é uma boa notícia e uma armadilha ao mesmo tempo, porque significa que o modelo de álbum já tem controle de convidado embutido, e mesmo assim muita gente prefere passar a senha por hábito.

Como sair de uma senha compartilhada sem brigar com ninguém?

O maior obstáculo aqui não é técnico, é afetivo. Trocar a senha soa como retirar confiança, e a avó que perdeu o acesso de um dia para o outro vai entender como recado. O roteiro abaixo resolve isso ao inverter a ordem: primeiro você entrega o acesso novo, depois fecha o antigo.

• Escolha o lugar definitivo do acervo antes de mexer em qualquer senha, para não deixar ninguém no vácuo.
• Liste quem hoje tem a senha, incluindo quem você já esqueceu, como a babá que saiu e o ex-cunhado.
• Defina o nível de cada um: quem só vê, quem também envia, quem entra na conversa dos comentários.
• Envie os convites individuais e confirme, um por um, que a pessoa conseguiu entrar de fato.
• Mande a mensagem explicando antes de trocar a senha, com a frase que desarma: "não é sobre você, é para o caso de alguém perder o celular".
• Troque a senha, encerre as sessões abertas nos outros aparelhos e ative a verificação em duas etapas com o seu número.
• Revise a lista de aplicativos e dispositivos autorizados na conta, porque sessões antigas sobrevivem à troca de senha em vários serviços.
• Marque um lembrete para daqui a seis meses e revise quem ainda deve estar na lista.

A mensagem do quinto item é a que evita o mal-entendido, e ela funciona melhor quando é enviada antes, não depois. Algo curto: "Mãe, mudei o jeito das fotos do Antônio. Agora você tem o seu próprio acesso, com o seu e-mail, então não depende mais da minha senha. Se você trocar de celular, continua funcionando." Ninguém sente que perdeu alguma coisa, porque de fato ninguém perdeu.

E se a pessoa já mudou a senha ou já é a titular?

Acontece mais do que parece, em geral sem má intenção: o serviço pediu troca por segurança, a pessoa trocou e não avisou. Nesse caso o caminho é a recuperação de conta pelo e-mail e pelo telefone cadastrados, e é aqui que se descobre que o telefone de recuperação é o número de outra pessoa. Resolva isso hoje, com calma, e não no dia em que houver conflito. Se a conta estiver de fato no nome de outra pessoa e o acervo for da criança, o caminho honesto é pedir uma exportação completa e recomeçar num lugar seu, como descrito em como exportar fotos antes de assinar.

Um caso à parte é o da separação. Quando o acervo da criança fica numa conta pessoal de um dos pais, o acesso do outro depende de boa vontade, o que é frágil justamente no período em que a boa vontade está em falta. O tema tem um roteiro próprio em fotos dos filhos com pais separados, e a conclusão prática é sempre a mesma: acervo de criança pede um espaço com convidados, não uma conta pessoal com senha emprestada.

O que fazer quando o serviço não oferece convite individual?

Alguns lugares onde as famílias guardam foto simplesmente não têm o conceito de convidado. O pen drive na gaveta não tem, a pasta da rede de casa não tem, e a conta de e-mail usada como arquivo também não. Nesses casos, a senha vira a única forma de acesso, e o que resta é reduzir o dano.

A primeira regra é o isolamento: essa conta deve conter fotos e nada mais. Nenhum e-mail, nenhuma nota fiscal, nenhum documento, nenhuma agenda. A segunda é a senha exclusiva, que não se repete em nenhum outro serviço, porque uma senha compartilhada acaba anotada em papel, em bloco de notas e em conversa de aplicativo, e a partir daí ela circula. A terceira é o combinado escrito, curto, sobre quem pode apagar o que, enviado no grupo da família para todo mundo ver.

E vale ser honesto sobre o custo dessa configuração: ela funciona, mas exige disciplina que ninguém sustenta por anos. Se você já está lendo isto, provavelmente o momento de mudar chegou.

Onde o Memmora entra nessa conversa?

O Memmora foi desenhado exatamente em cima dessa diferença. Cada pessoa da família entra com o convite dela, individual e gratuito, e enxerga a linha do tempo da criança sem nunca precisar da sua senha. A avó vê o neto crescer, a madrinha comenta, o padrinho manda uma foto do fim de semana, e nenhuma dessas pessoas tem poder de apagar o acervo nem de trocar a sua credencial. Quando alguém deixa de fazer parte da rotina, você remove aquele convite e mais nada muda para os outros. Se quiser experimentar com uma pessoa só antes de chamar a família inteira, crie sua conta e mande o primeiro convite ainda hoje.

O ponto não é o produto, é o modelo. Qualquer serviço que ofereça convidado com permissão resolve o essencial, e há vários bons. O que não resolve é a senha circulando no grupo do WhatsApp, porque ela não distingue quem vê de quem manda, não registra autoria e não tem botão de desfazer. Sobre como escolher entre as opções disponíveis, o comparativo está em app para fotos do bebê: como escolher.

O resumo em três frases

Senha é cargo, convite é visita. Se você precisa que alguém veja as fotos, dê acesso de convidado com o nível certo, e se o serviço não permitir isso, isole a conta e troque de lugar quando der. E faça a mudança num dia comum, com aviso antes e convite novo já na mão, porque o custo de arrumar isso durante uma briga é sempre maior do que o de arrumar hoje.