Login com Cookie e Token do Facebook no Desktop: O Que Ele Ignora e o Que Corrigir Depois

Gerenciar oito contas do Facebook em um único desktop, digitando senha e código em cada uma toda vez que a sessão cai, cansa rápido. Esse é o problema que logins baseados em sessão resolvem: importe um cookie ou token uma vez e o perfil do navegador permanece conectado sem repetir a etapa da senha.

Funciona. Mas não é a mesma coisa que fazer login, e tratar como se fosse é o que causa problemas mais tarde.

O que um login por cookie ou token realmente é

Quando você faz login normalmente, o Facebook entrega ao seu navegador um cookie de sessão: uma string que prova que você já se autenticou, para que não seja solicitada a senha em todas as páginas. Um token faz algo parecido para aplicativos e ferramentas que falam com os sistemas do Facebook em seu nome.

Importar uma dessas strings para um perfil de navegador novo diz a esse perfil para tratar a sessão como já estabelecida, pulando a senha e a tela de verificação em duas etapas completamente. Quem tiver a string tem o acesso, e o Facebook não tem como distinguir o legítimo detentor pulando a tela de login de qualquer outra pessoa que obteve a mesma string. Do lado da plataforma, uma sessão vazada é indistinguível de uma senha vazada.

Isso vale a pena internalizar antes das etapas de configuração, porque é o motivo de cada recomendação abaixo existir.

Configurando uma importação de sessão no desktop

O arranjo comum é um navegador baseado em Chromium com um perfil separado por conta, além de uma extensão que possa gravar dados de sessão nele. O fluxo:

1. Crie um perfil de navegador novo dedicado a exatamente uma conta. Misturar contas em um único perfil é o que gera a maioria das sinalizações de contaminação cruzada.
2. Instale uma extensão de importação de cookie ou token da loja oficial de extensões do navegador.
3. Cole a string do cookie e o token nos campos de importação da extensão, junto com o user agent correspondente, se a ferramenta pedir um.
4. Confirme a importação. O perfil deve carregar a conta sem mostrar uma tela de login.

Um perfil, uma conta, uma conexão estável. Essa última parte é onde muitos guias, incluindo a versão anterior deste, dão conselhos que não sobrevivem ao contato com a prateleira para a qual apontam. Veja a nota perto do final antes de sair comprando.

Por que o perfil de risco é diferente de um login por senha

Uma senha vive na sua cabeça ou em um gerenciador de senhas. Uma string de sessão vive em um arquivo ou no armazenamento de uma extensão, e se essa máquina ou essa extensão for comprometida, todas as contas cujas sessões estão ali também são.

Fator	Login com senha e 2FA	Importação de cookie ou token
Velocidade de configuração	Mais lenta, entrada manual a cada vez	Rápida, uma importação por perfil
Onde o segredo vive	Sua memória ou um gerenciador de senhas	Uma extensão de navegador ou um arquivo local
Quando a sessão termina	Você pode se reautenticar	Você não pode, a menos que também tenha as credenciais
Se o dispositivo for comprometido	O segundo fator ainda está no caminho	A sessão é utilizável imediatamente, sem segundo fator
Revogação	Mude a senha, as sessões caem	Igual, mas só se você conseguir fazer login para isso

A terceira linha é a que as pessoas entendem ao contrário. Não é que sessões por senha nunca expirem e as importadas expirem, porque ambas são sessões e ambas terminam. A diferença é o que acontece quando terminam. Com credenciais, você faz login de novo. Com uma string importada e nada mais, você fica bloqueado de uma conta que estava usando dez minutos atrás.

Protegendo uma conta transferida, em ordem

Uma importação de sessão é uma forma razoável de entrar na primeira vez, especialmente em uma conta que você acabou de adquirir. Não é um arranjo de longo prazo. Siga estas etapas em sequência, porque duas delas não fazem nada se você as fizer na ordem errada.

1. Mude a senha. Em Central de Contas, depois em Senha e Segurança. Se suas configurações ainda estiverem no layout antigo, você encontrará a mesma tela lá; a Meta está no meio da migração de pessoas da Central de Contas para Contas da Meta e diz que você pode ver qualquer um dos dois.
2. Faça login com a nova senha diretamente, pela tela normal de login, uma vez, sem a sessão importada. Se isso não funcionar, você ainda não assumiu o controle de nada.
3. Verifique se há uma passkey existente e remova-a. Esta é a etapa que quase todo guia sobre o assunto ainda omite, e é a que desfaz as duas acima. O Facebook adicionou passkeys em 2025, e uma passkey permite que seu detentor entre na conta sem nunca digitar uma senha. Se o detentor anterior configurou uma no dispositivo dele, sua mudança de senha não o bloqueou. Veja em Central de Contas, depois Senha e Segurança, depois Passkey, e remova qualquer coisa que você não criou. Alguns anúncios neste marketplace anunciam uma passkey como parte da entrega, então isso não é uma preocupação teórica.
4. Ative a verificação em duas etapas, na mesma tela, e prefira um aplicativo autenticador em vez de SMS.
5. Gere códigos de recuperação. Dez deles, de uso único, disponíveis apenas depois que a verificação em duas etapas estiver ativa. Salve-os em algum lugar que não seja a máquina com seus arquivos de sessão.
6. Encerre todas as outras sessões. Abra o Registro de Atividades e vá para Onde você está conectado. Esta seção saiu do menu antigo de segurança, por isso guias mais antigos apontam para um lugar que não existe mais. Encerre qualquer coisa que não seja você, incluindo a sessão original com a qual a conta chegou.

Lendo o que um anúncio realmente inclui

Os formatos de entrega variam mais do que qualquer outra coisa nesta prateleira, e o texto do anúncio é o único lugar onde o formato é declarado antes da compra. Entre os anúncios ativos de contas do Facebook na HstockPlus, a maioria menciona verificação em duas etapas, pouco mais da metade menciona um cookie, cerca de um quinto menciona um token, e um grupo menor menciona um user agent correspondente. Alguns mencionam uma passkey.

Essas distinções importam na prática. Um cookie sem um user agent correspondente tem mais chance de acionar uma verificação extra na importação. Um anúncio que menciona verificação em duas etapas está dizendo que o vendedor tem um segundo fator que você precisará substituir. Um anúncio que menciona uma passkey está falando sobre a etapa três acima. Vale comparar o que cada um diz incluir em vez de assumir que existe um padrão para a categoria, porque não existe.

Para comparação, a prateleira de contas do Telegram é construída em uma convenção totalmente diferente: a maioria desses anúncios é entregue como tdata ou um arquivo de sessão, e quase nenhum envolve cookies. Não leve suposições da prateleira de uma plataforma para a de outra.

Mantendo várias contas separadas

Depois que várias contas rodam em um único desktop, o maior risco contínuo deixa de ser o método de importação e passa a ser perfis se misturando. Mantenha uma conta por perfil, nunca copie cookies entre perfis para testar algo, e verifique a lista de sessões de cada conta periodicamente.

No lado da rede, uma correção a um conselho que este artigo deu anteriormente. Apontar leitores para um proxy residencial por perfil foi leviano demais sobre o que realmente está na prateleira de proxies. São 83 anúncios ativos e, pelo texto do título, mais de um terço são assinaturas de VPN de consumo, o que é quase o oposto do que uma configuração por conta precisa: um endereço de saída compartilhado usado por todos os outros naquele servidor. A subcategoria residencial tem vinte anúncios, e mesmo dentro dela alguns descrevem faixas de endereço de servidor ou datacenter. Se um endereço estável por conta é o que você está comprando, leia o texto do anúncio e confirme que ele diz isso em vez de confiar no nome da prateleira.

Consistência é o que realmente importa. Uma conta que aparece do mesmo perfil, da mesma localização aproximada e da mesma impressão digital toda vez chama muito menos atenção do que uma que fica pulando entre ambientes, e isso é alcançável com ou sem qualquer compra.

O hub de Dicas e Recursos de Segurança da Meta é onde os caminhos de configuração acima estão documentados e onde mudarão em seguida. A Central de Ajuda para Empresas cobre o lado de funções e permissões para contas gerenciadas por equipes.