Entenda anti-passback em controle de acesso: soft, hard, global, temporizado, zonas, presença, leitores de saída, falhas, reset, VMS e testes.
Confira!
Anti-passback, ou APB, é uma regra de controle de acesso usada para impedir ou sinalizar sequências de entrada e saída incompatíveis com a presença esperada de uma credencial. O princípio é simples: depois que uma pessoa entra em uma área controlada, o sistema passa a esperar uma saída antes de permitir uma nova entrada; depois da saída, passa a esperar uma nova entrada. A aplicação real, porém, exige projeto de zonas, leitores de entrada e saída, estado de presença, tratamento de falhas, reset, visitantes, emergência e integração com a operação.
A ABNT NBR IEC 60839-11-2 inclui o antirretorno entre as funções que devem ser consideradas no planejamento dos pontos de acesso e diferencia abordagens lógicas, temporizadas e baseadas em área controlada. Em sistemas corporativos e de alta segurança, o APB pode operar localmente em uma controladora ou de forma global entre múltiplos controladores e portas. O ganho de segurança só existe quando a topologia física, a lógica do sistema e os procedimentos operacionais são coerentes.
O que é anti-passback e qual problema ele resolve
Sem APB, uma credencial válida pode ser utilizada repetidamente em sequência, mesmo que seu titular já esteja registrado dentro da área. Isso facilita empréstimo de cartão, passagem de credencial para outra pessoa e divergência entre presença física e estado lógico do sistema.
O anti-passback cria uma relação entre credencial, direção e área. O sistema não avalia apenas se o usuário tem direito à porta; avalia também se a sequência de movimentação faz sentido. Assim, uma pessoa registrada como presente em determinada zona não deveria conseguir “entrar novamente” sem antes registrar saída, salvo exceção prevista.
Anti-passback não é a mesma coisa que anti-tailgating
APB controla a sequência lógica da credencial. Anti-tailgating procura impedir que duas ou mais pessoas atravessem uma barreira usando uma única autorização. São mecanismos complementares, mas diferentes.
Uma catraca pode ajudar a singularizar passagem, mas ainda assim precisa de lógica APB para manter presença. Uma porta comum pode usar APB e continuar vulnerável a tailgating se duas pessoas atravessarem após uma única autenticação. Em áreas críticas, podem ser necessários sensores, eclusas, torniquetes, vídeo analítico ou outras medidas de individualização.
Essa distinção é importante porque o projeto não deve esperar que uma regra de software resolva uma vulnerabilidade física que depende da barreira.
Soft APB: quando a violação gera evento, mas não necessariamente bloqueia
No soft anti-passback, o sistema detecta uma sequência incompatível e registra ou alerta a violação, mas pode permitir a passagem. Essa abordagem é útil quando a continuidade de fluxo tem prioridade e o objetivo é produzir rastreabilidade sem criar bloqueios operacionais excessivos.
Por exemplo, em um edifício corporativo com centenas de pessoas, uma falha de leitura na saída pode deixar o usuário logicamente “dentro”. Se o APB fosse hard em todas as portas, a pessoa poderia ficar impedida de entrar no dia seguinte. O soft APB permite registrar a anomalia e tratá-la operacionalmente.
A escolha deve considerar risco, volume de usuários, maturidade da operação e capacidade da equipe de responder a alarmes. Um soft APB que gera milhares de eventos ignorados não produz segurança efetiva.
Hard APB: quando a sequência inválida bloqueia o acesso
No hard anti-passback, a violação impede a autorização. Se o usuário está registrado dentro da área, uma nova tentativa de entrada é negada até que uma saída válida, reset ou procedimento autorizado altere o estado.
Essa abordagem aumenta o rigor, mas também aumenta a dependência da qualidade do projeto. Leitores precisam estar corretamente classificados por direção; portas devem fechar e registrar eventos de forma confiável; falhas de comunicação precisam ser previstas; operadores precisam saber como resolver exceções.
Hard APB é mais adequado quando o risco justifica a possibilidade de negar acesso por inconsistência de presença. Não deve ser ativado indiscriminadamente apenas porque o software oferece a função.
APB temporizado
No anti-passback temporizado, a lógica impede reutilização da credencial dentro de uma janela de tempo definida. Ele pode ser útil quando o sistema não consegue manter uma topologia completa de entrada e saída ou quando o objetivo é dificultar compartilhamento imediato de credencial.
A limitação é clara: tempo não é presença física. Após expirar a janela, o sistema pode permitir nova entrada mesmo sem registrar uma saída. Por isso, APB temporizado é diferente de uma lógica de área controlada e não deve ser apresentado como equivalente.
O tempo configurado deve ser derivado do processo. Uma janela curta demais pouco reduz compartilhamento; longa demais pode gerar bloqueios legítimos.
APB por área controlada
Quando o sistema modela áreas ou zonas, cada leitor altera a posição lógica do usuário entre duas regiões. O projeto passa a definir transições válidas.
Uma credencial que está logicamente na Área Restrita deve seguir uma sequência de saída coerente antes de retornar à Zona Externa. Saltos impossíveis podem gerar violação ou exigir tratamento especial.
Essa arquitetura é mais poderosa do que APB por porta isolada, mas depende de um mapa de zonas bem definido.
APB global e local
APB local é decidido dentro da capacidade de uma controladora ou conjunto restrito de pontos. APB global compartilha estado de presença entre controladoras, edifícios ou sites por meio da plataforma central ou de mecanismos de sincronização.
Global APB é importante quando o usuário pode entrar por uma porta controlada por uma ACU e sair por outra ligada a outro painel. Se cada controladora mantém apenas seu estado local, a sequência global pode se perder.
A arquitetura deve responder:
- onde reside o estado de presença;
- como ele é replicado;
- o que acontece durante perda de comunicação;
- qual é a latência aceitável;
- como conflitos são resolvidos;
- como o sistema recupera estado após reconexão.
Essa discussão se conecta à arquitetura corporativa de controle de acesso e à operação offline.
O papel dos leitores de entrada e saída
Para manter presença real, o sistema precisa observar as transições. Em uma porta com leitor apenas de entrada e saída livre sem leitura, não há evento eletrônico confiável de saída para atualizar o estado da credencial.
Isso não torna APB impossível em todos os casos, mas limita o que pode ser inferido. Sensores, catracas bidirecionais, leitores de saída ou outras interfaces podem ser necessários.
O artigo Como funciona uma porta controlada ajuda a entender por que leitor, sensor e REX representam informações distintas: solicitar saída não é necessariamente identificar quem saiu.
REX não substitui leitor de saída para APB individual
REX informa que houve uma solicitação de saída ou uma condição associada à abertura, mas normalmente não identifica qual credencial atravessou a porta. Portanto, ele não atualiza sozinho a presença individual com a mesma precisão de um leitor de saída.
Em um ambiente em que APB hard depende de identidade de entrada e saída, esse detalhe é decisivo. A matriz funcional precisa deixar claro se o ponto exige identificação nos dois sentidos.
Como tratar visitantes, terceiros e credenciais temporárias
Visitantes podem atravessar portas acompanhados, usar credenciais temporárias ou ter fluxos diferentes dos colaboradores. Uma regra rígida de APB sem tratamento específico pode gerar inconsistências frequentes.
O projeto deve definir se visitantes participam do APB, quais áreas entram na lógica, como credenciais são devolvidas, se existe reset automático após expiração e como a recepção trata violações.
O mesmo vale para prestadores, equipes de manutenção, segurança e brigada. Exceções permanentes precisam ser minimizadas porque podem se tornar caminhos de bypass.
Reset de APB: necessário, mas controlado
Todo sistema com APB precisa de procedimento para corrigir estados incorretos. Reset pode ocorrer individualmente, por área, por lote, por horário ou por evento, dependendo da plataforma.
O risco é transformar o reset em rotina sem governança. Se operadores resetam usuários constantemente, o sistema perde valor. Cada reset relevante deve ser associado a perfil autorizado e, quando possível, a log de auditoria.
Em ambientes de maior criticidade, a política pode exigir justificativa ou dupla autorização.
Emergência, evacuação e retorno à normalidade
Em uma evacuação, preservar estado de APB pode deixar centenas de pessoas logicamente dentro de uma área que foi abandonada. Após o evento, o sistema precisa ter estratégia de normalização.
Dependendo do projeto, pode haver reset global, atualização baseada em ponto de encontro, recadastramento de presença ou reentrada controlada. O comportamento precisa ser definido antes do incidente.
APB nunca deve impedir saída de emergência concedida pela estratégia de segurança da vida. Esse princípio está alinhado à ABNT NBR IEC 60839-11-2, que exige considerar saídas de emergência e proteção contra incêndio no planejamento.
O que acontece quando a rede cai
Em sistemas distribuídos, controladoras podem manter regras localmente. O desafio do APB global aparece quando a comunicação entre painéis ou servidor é perdida.
Existem diferentes possibilidades arquiteturais:
| Condição | Possível comportamento | Risco |
| APB local disponível | painel mantém regras das portas locais | estado entre painéis pode divergir |
| APB global indisponível | sistema degrada para regra local | menor consistência global |
| bloqueio conservador | acessos dependentes do global são negados | impacto operacional |
| liberação controlada | acesso segue outra política de contingência | redução temporária de segurança |
A escolha precisa ser requisito de projeto, e não surpresa durante a falha.
Como especificar anti-passback na matriz funcional
Quando as zonas, direções e estados de presença não estão documentados, ativar APB diretamente no software tende a criar bloqueios e exceções. O Design Review verifica se a arquitetura executiva sustenta a lógica definida.
A frase “sistema deve possuir anti-passback” é insuficiente. O requisito precisa ser associado aos pontos e áreas.
Uma matriz funcional pode incluir:
| Campo | Exemplo de definição |
| ID do ponto | PA-023 |
| Origem | Hall |
| Destino | Área restrita |
| Direção | entrada e saída identificadas |
| APB | sim |
| Modo | hard |
| Escopo | global |
| Zona | Z-03 |
| Falha de comunicação | política definida em requisito |
| Emergência | reset conforme causa e efeito |
| Evento | violação crítica |
| Integração VMS | abrir câmera associada |
O artigo futuro sobre matriz funcional de controle de acesso aprofundará esse método. Até lá, o Projeto de Controle de Acesso é o destino transacional para transformar essas regras em documentos de engenharia.
Relação entre APB, grau de segurança e risco
A IEC 60839 orienta que funções e proteção sejam proporcionais ao risco do ponto de acesso. APB deve seguir a mesma lógica: quanto maior a criticidade, maior a necessidade de avaliar consistência de presença, detecção de violações e comportamento sob falha.
O artigo sobre graus de segurança em controle de acesso explica a relação entre ativo, ameaça, classificação do ponto e requisitos.
Não existe uma regra universal dizendo que determinado grau implica automaticamente uma configuração específica de APB em qualquer instalação. O projeto deve aplicar as funções dentro do escopo normativo e do risco real.
Integração do APB com VMS e central de operações
Uma violação de APB pode ser tratada como evento operacional. O VMS pode abrir a câmera do ponto, apresentar a identidade, registrar bookmark e acionar procedimento do operador.
Isso é especialmente útil no soft APB, em que a passagem pode ocorrer, mas a organização deseja verificar o contexto. A integração transforma um log isolado em evento investigável.
Em hard APB, o VMS pode ajudar a distinguir compartilhamento de credencial de erro operacional, além de fornecer evidência para auditoria.
Métricas e operação
APB gera dados úteis: número de violações por ponto, perfil, horário, causa, reset e recorrência. Esses dados ajudam a identificar portas com falha de leitura, usuários mal treinados ou regras inadequadas.
Uma taxa elevada de violações não significa necessariamente maior ameaça. Pode significar um projeto ruim. Engenharia e operação devem analisar o padrão antes de simplesmente aumentar a rigidez.
Erros comuns em projetos de anti-passback
Os erros mais recorrentes são ativar APB sem modelar zonas, confundir REX com identificação de saída, não definir comportamento offline e não documentar reset.
Também são frequentes:
- hard APB em áreas de alto fluxo sem análise operacional;
- leitores configurados com direção invertida;
- portas compartilhadas por áreas mal definidas;
- inexistência de procedimento para visitantes;
- reset automático excessivo;
- ausência de integração com emergência;
- dependência de servidor sem contingência;
- eventos sem tratamento no SOC;
- falta de teste de sequência durante SAT.
Como testar anti-passback
O aceite de APB exige executar sequências válidas e inválidas e observar logs, bloqueios, resets e comportamento sob falha. O comissionamento transforma a configuração em evidência verificável.
O teste deve validar sequências válidas e inválidas. Não basta verificar que a opção está marcada no software.
Os testes devem incluir leitor de entrada, leitor de saída, perda de rede, reinício de controladora, emergência, reset autorizado e integração com VMS quando aplicável.
A evidência deve conter sequência executada, resultado esperado, resultado observado, logs e eventuais pendências.
Quando apoio especializado é necessário
Apoio especializado torna-se importante quando o APB envolve múltiplas zonas, várias controladoras, operação global, eclusas, ambientes críticos, VMS, requisitos de presença ou grande volume de usuários.
Também é indicado em retrofit, porque a topologia existente pode não oferecer leitores nos dois sentidos ou comunicação adequada para a lógica desejada.
O que contratar
APB deve nascer do projeto de fluxos, zonas, pontos e regras. Em instalações com múltiplas controladoras ou áreas críticas, essa definição precisa estar integrada às matrizes, diagramas e critérios de configuração.
O escopo adequado deve partir de levantamento dos fluxos e da arquitetura existente. Em seguida, precisa definir zonas, pontos, direções, modos de APB, comportamento em falha, eventos, integrações e critérios de teste.
Os principais entregáveis são matriz funcional, diagramas, especificações, mapas de zonas, critérios de configuração e plano de testes. Em implantação existente, Design Review pode verificar se o executivo atende às regras antes de configurar o sistema.
Relação com o HUB de Controle de Acesso
Anti-passback é uma das regras funcionais de um EACS e não deve ser tratado isoladamente de arquitetura, credenciais, barreiras, comunicação e comissionamento. O Guia de Controle de Acesso organiza esses elementos e direciona para os conteúdos especializados do subcluster.
Considerações finais
Anti-passback transforma controle de acesso de uma simples verificação de permissão em um sistema que também considera sequência e presença. Soft APB prioriza registro e tratamento; hard APB pode bloquear a violação; APB temporizado usa uma janela temporal; APB global sincroniza estado entre múltiplos pontos ou controladores.
A função só produz segurança quando áreas, direções, leitores, contingências e procedimentos foram projetados. O requisito deve estar em matriz, a arquitetura precisa sustentar a lógica e o comissionamento deve provar as sequências válidas, inválidas e de falha.
Referências técnicas
[1] ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS. ABNT NBR IEC 60839-11-2:2019 — Sistemas de segurança eletrônica e alarme — Parte 11-2: Sistemas eletrônicos de controle de acesso — Diretrizes de aplicação. Rio de Janeiro: ABNT, 2019. Disponível em: https://webstore.iec.ch/en/publication/26292
[2] ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS. ABNT NBR IEC 60839-11-1:2019 — Sistemas de segurança eletrônica e alarme — Parte 11-1: Sistemas eletrônicos de controle de acesso — Requisitos do sistema e dos componentes. Rio de Janeiro: ABNT, 2019.
Perguntas frequentes
É uma regra que compara a sequência de entrada e saída de uma credencial com seu estado de presença esperado, impedindo ou sinalizando usos incompatíveis.
No soft APB a violação é registrada ou alertada sem necessariamente bloquear a passagem; no hard APB a sequência inválida pode negar o acesso.
É a lógica em que o estado de presença é compartilhado entre múltiplas controladoras ou pontos, permitindo validar sequências além de um único painel.
Normalmente não. O REX informa solicitação de saída, mas não identifica necessariamente qual usuário saiu.
Não. APB controla sequência lógica da credencial; anti-tailgating procura impedir passagem de mais pessoas do que autorizações.
Com sequências válidas e inválidas de entrada e saída, além de falha de comunicação, reset, emergência e integração quando aplicável.
Materiais técnicos complementares
Serviços relacionados
Conteúdos principais sobre o tema
- Sistema de Controle de Acesso: tipos, tecnologias, normas e projeto
- ABNT NBR IEC 60839: requisitos para sistemas de controle de acesso
- Graus de segurança em controle de acesso segundo a IEC 60839
- Como funciona uma porta controlada
