Guia técnico sobre tailgating e anti-tailgating em controle de acesso: riscos, barreiras, sensores, fluxo, detecção, VMS, FAT, SAT e critérios de projeto.
Confira!
Tailgating é a passagem de uma pessoa não autorizada aproveitando a abertura concedida a outra pessoa autorizada. Em controle de acesso físico, o problema não é resolvido apenas por leitoras, credenciais ou anti-passback: ele exige compatibilidade entre arquitetura do acesso, barreira física, sensores, fluxo de pessoas, política operacional e capacidade de detectar ou impedir que mais de uma pessoa atravesse uma autorização destinada a um único usuário.
Anti-tailgating, portanto, não é um produto isolado. É um conjunto de controles de engenharia que pode combinar catracas, torniquetes, eclusas, sensores de presença, análise de vídeo, regras de ocupação, desenho de circulação, supervisão humana e procedimentos de resposta. A solução adequada depende do risco da área, do fluxo esperado, da acessibilidade, da necessidade de evacuação, do nível de evidência exigido e da tolerância a falsos alarmes.
Tailgating é uma falha de correspondência entre autorização e passagem física
Um sistema eletrônico decide se uma identidade pode acessar determinado local. Essa decisão, porém, precisa chegar ao mundo físico. Se uma credencial válida libera a porta e duas pessoas atravessam antes que ela se feche, o sistema registrou uma autorização correta, mas o resultado físico deixou de representar a decisão lógica.
Esse descolamento entre identidade e passagem é o núcleo do tailgating. O problema aparece em portas convencionais, catracas, acessos de alta vazão, eclusas e até em ambientes veiculares. A severidade depende do que existe depois da barreira: uma segunda pessoa entrando em um hall administrativo não representa o mesmo risco que um acesso não rastreado a data center, laboratório, sala de telecomunicações, área de processo ou ambiente com ativos sensíveis.
Piggybacking e tailgating podem ter motivação diferente
No uso prático, os termos são frequentemente tratados como equivalentes. Uma distinção útil é considerar tailgating como passagem indevida aproveitando um acesso autorizado sem necessariamente haver cooperação do usuário legítimo, enquanto piggybacking pode envolver cooperação consciente. Para projeto, o ponto central não é o rótulo: é identificar se o controle precisa impedir passagem adicional, detectar a ocorrência ou apenas gerar evidência para investigação.
A resposta de engenharia muda conforme a ameaça. Um usuário que segura a porta por cortesia exige educação, desenho de fluxo e barreira apropriada. Uma tentativa deliberada de acompanhar outra pessoa pode exigir singularização, detecção, vigilância e procedimento de resposta.
Anti-passback não é anti-tailgating
Anti-passback controla a coerência lógica de uso da credencial entre áreas ou sentidos de passagem. Ele pode impedir que uma mesma credencial seja usada para duas entradas consecutivas sem uma saída correspondente, mas não sabe, por si só, quantas pessoas atravessaram fisicamente a porta após uma autorização.
Se uma pessoa autorizada apresenta a credencial e duas pessoas entram juntas, o anti-passback pode permanecer perfeitamente consistente: houve uma única credencial e uma única transição lógica. A segunda pessoa simplesmente nunca existiu para o sistema. Por isso, anti-passback e anti-tailgating são controles complementares, não substitutos.
| Controle | O que valida | O que não garante sozinho |
| Credencial | identidade ou fator apresentado | quantidade de pessoas que passam |
| Anti-passback | sequência lógica de entrada e saída | singularização física |
| Sensor de porta | estado aberto/fechado | identidade de cada passagem |
| Catraca | restringe fisicamente o fluxo | identidade correta sem integração |
| Anti-tailgating | relação entre autorização e passagem | política de identidade sem EACS |
O risco deve ser classificado antes de escolher a tecnologia
Quando o risco exige correspondência entre uma autorização e uma passagem física, a solução deve nascer do projeto — não da escolha isolada de uma barreira.
A arquitetura deve começar pela análise de risco e pela função do ponto de acesso. Quanto maior a consequência de uma passagem não autorizada, maior tende a ser a necessidade de controle físico, detecção, evidência e resposta. A solução também precisa considerar disponibilidade: uma barreira extremamente restritiva que interrompe a operação ou dificulta saída de emergência pode criar um risco diferente daquele que pretendia reduzir.
Para cada ponto, convém registrar ativo protegido, ameaça, consequência, frequência de passagem, perfis de usuário, necessidade de visitantes, requisitos de acessibilidade, horários de pico, possibilidade de acompanhamento e integração com operação de segurança.
Áreas administrativas podem priorizar detecção e cultura
Em áreas de menor criticidade, pode ser suficiente combinar controle de acesso, fechamento automático da porta, sinalização, treinamento e monitoramento de eventos. O objetivo é reduzir comportamento de cortesia insegura e tornar ocorrências visíveis sem impor uma barreira que degrade desnecessariamente o fluxo.
Áreas críticas podem exigir singularização
Quando uma passagem adicional tem impacto elevado, a arquitetura pode exigir que cada autorização corresponda fisicamente a uma única pessoa. Nesse caso entram catracas de maior controle, torniquetes, eclusas, sensores de ocupação ou combinações capazes de detectar presença incompatível com o número de autorizações.
Porta convencional tem limitações intrínsecas contra tailgating
Uma porta com leitora, fechadura, sensor e REX controla autorização e estado da folha, mas normalmente não mede quantas pessoas atravessaram. A janela entre liberação e fechamento cria uma oportunidade física para passagem adicional. Quanto maior o tempo de porta aberta e maior o fluxo, maior tende a ser a exposição.
Isso não significa que portas convencionais sejam inadequadas. Significa que o requisito anti-tailgating precisa ser compatível com a capacidade física do ponto. Se a necessidade for apenas reduzir ocorrência, mola adequada, tempo de liberação coerente, sensor, treinamento e supervisão podem ser suficientes. Se o requisito for impedir passagem múltipla, outra arquitetura pode ser necessária.
Catracas reduzem a abertura útil, mas não eliminam o problema automaticamente
Catracas organizam o fluxo e aproximam uma autorização de uma passagem. Ainda assim, o desempenho depende de geometria, altura, velocidade, sensores, largura, direção, comportamento de usuários e capacidade de detectar duas pessoas em um mesmo ciclo.
Catracas tripod podem reduzir passagem casual, mas apresentam limitações para ambientes de maior segurança e acessibilidade. Flap barriers usam sensores para acompanhar sequência de travessia e podem detectar comportamentos anormais, mas precisam ser corretamente dimensionadas e parametrizadas. Torniquetes de altura total oferecem maior contenção física, com impactos mais relevantes sobre fluxo, acessibilidade e rota de fuga.
A escolha deve ser orientada por desempenho, não por aparência do equipamento.
Eclusas e mantraps permitem controle por estados
Uma eclusa cria uma zona intermediária entre duas barreiras. A primeira porta pode fechar antes que a segunda seja liberada, permitindo verificar ocupação, autorização e condições de segurança. Essa arquitetura é adequada quando a organização precisa aumentar a correspondência entre identidade e passagem física.
A eclusa não deve ser resumida a “duas portas intertravadas”. O projeto precisa definir estados, sensores, permissões, retorno, exceções, acessibilidade, emergência, perda de energia e comportamento em falha. Em sistemas de alta segurança, também pode existir verificação de presença única ou dupla custódia.
Sensores de presença podem detectar discrepâncias de passagem
Sensores ópticos, infravermelhos, estereoscópicos ou outras tecnologias podem acompanhar o movimento através de uma barreira. O objetivo é estimar quantidade, direção e sequência, correlacionando a passagem com a autorização emitida pelo sistema.
A eficácia depende do cenário. Pessoas muito próximas, mochilas, carrinhos, objetos, crianças, fluxo bidirecional e iluminação podem alterar desempenho. Por isso, especificações devem exigir métricas e ensaios em condições representativas, em vez de assumir que qualquer “sensor anti-tailgating” resolve todos os acessos.
Análise de vídeo pode funcionar como camada de detecção e evidência
Câmeras e analíticos podem identificar passagem em grupo, cruzamento de linha, permanência em área controlada ou discrepância entre evento de acesso e movimento observado. O vídeo é especialmente útil para contextualizar alarmes e permitir revisão operacional.
Entretanto, análise de vídeo também possui limitações de oclusão, perspectiva, densidade de pessoas, iluminação e falso positivo. Em áreas onde o requisito é impedir fisicamente uma segunda passagem, vídeo isolado não substitui a barreira. Ele funciona melhor como camada adicional de detecção, verificação e evidência.
Integração com VMS melhora a resposta operacional
Quando eventos de acesso, vídeo, alarmes e procedimentos precisam operar como um único fluxo, a integração deve ser definida como arquitetura de segurança eletrônica.
Quando um evento de possível tailgating é gerado, a operação precisa entender rapidamente o que aconteceu. Integrar controle de acesso e VMS permite associar porta, usuário, horário e vídeo correspondente, reduzindo tempo de investigação.
A integração pode criar bookmark, exibir câmera relacionada, abrir evento em mapa ou direcionar procedimento operacional. O projeto deve evitar automações agressivas sem avaliação: um falso positivo frequente pode saturar operadores e fazer com que alarmes relevantes sejam ignorados.
Fluxo e capacidade fazem parte do requisito de segurança
Uma barreira que cria fila excessiva tende a produzir comportamentos compensatórios: usuários seguram portas, vigilantes liberam grupos, equipes desativam regras em horários de pico ou surgem rotas alternativas não controladas. Portanto, capacidade de passagem é parte da segurança.
O levantamento deve considerar fluxo médio e de pico, distribuição temporal, quantidade de pistas, tempos de autenticação, visitantes, acessibilidade, objetos transportados e exceções operacionais. O dimensionamento precisa equilibrar controle e vazão sem transformar a operação em bypass permanente.
| Situação | Efeito possível | Resposta de engenharia |
| Pico de entrada | fila e pressão por liberação em grupo | dimensionar pistas e autenticação |
| Porta lenta | usuários seguram a folha | ajustar ferragens e arquitetura |
| Catraca insuficiente | formação de fila | recalcular capacidade |
| Visitante sem cadastro | exceção manual | integrar gestão de visitantes |
| Pessoa com mobilidade reduzida | uso de rota alternativa | prever acesso acessível equivalente |
Acessibilidade precisa ser resolvida dentro da arquitetura
Um controle anti-tailgating não pode criar uma rota “segura” para alguns usuários e uma porta lateral permanentemente liberada para pessoas com mobilidade reduzida. A rota acessível deve manter nível de controle compatível, com largura, sensores, tempos e procedimentos adequados.
Quando existe gate acessível adjacente a catracas, é necessário modelar quem o utiliza, como é autorizado, como o fechamento é monitorado e como evitar que ele se transforme no caminho preferencial para bypass. Acessibilidade não é exceção ao projeto de segurança; é requisito do próprio projeto.
Visitantes aumentam a complexidade da singularização
Visitantes podem desconhecer regras, andar em grupos e depender de acompanhante. O fluxo deve definir pré-cadastro, credencial, validade, anfitrião, áreas permitidas, acompanhamento e encerramento. Se a política exige uma autorização por pessoa, cada visitante precisa ter uma identidade ou token individual rastreável.
Para grupos, a engenharia deve evitar soluções improvisadas que liberem a barreira continuamente. É melhor modelar previamente a operação, inclusive quantidade de pessoas, rota, horários e responsabilidade do acompanhante.
Prestadores e equipes de manutenção exigem regras específicas
Prestadores podem carregar ferramentas, equipamentos ou materiais que dificultam passagem em catracas e eclusas. A solução deve prever rota técnica, inspeção, credenciamento, janelas de acesso e procedimentos sem transformar a exceção em uma porta vulnerável.
Em ambientes críticos, pode existir dupla custódia ou acompanhamento obrigatório. O projeto deve diferenciar presença de uma segunda pessoa autorizada de tailgating: ambas envolvem duas pessoas, mas uma é uma condição prevista e registrada; a outra é uma passagem sem autorização correspondente.
Cultura organizacional continua sendo parte do controle
Muitos episódios de tailgating acontecem por cortesia: uma pessoa segura a porta para outra. A barreira técnica precisa ser acompanhada por orientação clara sobre por que cada usuário deve autenticar individualmente e como agir diante de tentativa de acompanhamento.
Treinamento não substitui engenharia, mas engenharia também não substitui comportamento. Em ambientes com porta convencional, cultura pode ser uma das principais camadas de redução de risco. Em ambientes críticos, a arquitetura deve reduzir dependência de comportamento perfeito.
Procedimentos de resposta precisam ser definidos antes do alarme
Detectar tailgating sem saber o que fazer gera ruído. O procedimento deve definir quando o operador apenas registra, quando verifica vídeo, quando aciona segurança local, quando bloqueia credencial, quando comunica gestor e quando trata o evento como incidente de segurança.
A resposta precisa ser proporcional ao risco. Um alerta em lobby corporativo pode exigir verificação diferente de uma ocorrência em sala de equipamentos críticos. Procedimentos devem incluir critérios de encerramento e evidências mínimas.
Falsos positivos precisam ser medidos
Qualquer sistema de detecção pode gerar falsos positivos. Duas pessoas muito próximas, alguém retornando para buscar um objeto, carrinho, mochila volumosa ou movimento parcial podem ser interpretados incorretamente. Se a taxa for alta, operadores começam a ignorar alarmes.
O comissionamento deve medir comportamento em cenários reais e ajustar parâmetros sem eliminar sensibilidade necessária. Depois da entrada em operação, indicadores de alarmes confirmados, falsos positivos e eventos não classificados ajudam a avaliar desempenho.
Tailgating também pode degradar o estado de presença
Sistemas que controlam ocupação, anti-passback global ou regras de áreas dependem da correspondência entre passagens físicas e eventos lógicos. Uma pessoa que entra sem autenticação não aparece no estado do sistema. Isso pode comprometer relatórios de presença, regras de ocupação e investigações.
Em áreas onde o estado de presença é requisito de segurança, anti-tailgating deixa de ser apenas prevenção de intrusão e passa a sustentar a consistência lógica de todo o controle de acesso.
Emergência tem prioridade sobre restrição de passagem
Nenhum mecanismo anti-tailgating deve impedir saída segura quando a estratégia de emergência exigir liberação. Projeto, incêndio, arquitetura e segurança precisam definir causa e efeito, falha de energia, comandos de emergência, retorno ao estado normal e responsabilidades de reset.
A solução deve distinguir claramente controle de entrada e requisitos de saída. Em barreiras bidirecionais, esse cuidado é ainda maior, porque a lógica normal de singularização pode precisar ser neutralizada em condição de emergência.
Falha de energia precisa ter comportamento definido
Catracas, sensores, controladoras e eclusas dependem de energia. O projeto deve indicar quais funções permanecem durante falha, por quanto tempo e qual estado seguro será adotado quando a autonomia terminar. Também deve considerar retorno de energia e recuperação de estados.
O comportamento não pode ser decidido somente pelo fornecedor do equipamento. Ele precisa estar alinhado à análise de risco, à segurança da vida e às interfaces com demais sistemas.
Perda de comunicação não deve produzir decisão improvisada
Arquiteturas distribuídas podem manter regras localmente quando o servidor está indisponível. O requisito deve esclarecer se a detecção anti-tailgating continua ativa, se eventos ficam em buffer, se alarmes locais são gerados e como os registros são sincronizados depois.
Em sistemas dependentes de análise centralizada, a perda de comunicação pode reduzir a capacidade de detecção mesmo quando a porta continua liberando credenciais. Essa degradação precisa ser monitorada e sinalizada.
Cibersegurança afeta sensores, controladoras e integrações
Dispositivos IP usados para detecção, VMS, APIs e servidores passam a compor a superfície de ataque. Segmentação, autenticação, certificados, atualização de firmware, menor privilégio, logs e gestão de vulnerabilidades devem fazer parte do desenho.
Uma arquitetura anti-tailgating não deve criar um caminho de integração excessivamente privilegiado apenas para correlacionar eventos. Interfaces precisam expor somente os dados e comandos necessários.
Privacidade e LGPD precisam considerar vídeo e identidade
Quando o sistema correlaciona credenciais, imagens e eventos de passagem, há tratamento de dados pessoais. O projeto deve definir finalidade, acesso aos registros, retenção, compartilhamento e medidas de segurança. Caso biometria seja usada, o tratamento envolve dado pessoal sensível.
O desenho deve evitar coleta excessiva. O objetivo é obter evidência suficiente para a função de segurança, não transformar cada acesso em um conjunto indefinido de dados sem política de retenção.
Especificação por desempenho evita amarrar a solução a um produto
Uma boa especificação descreve o problema e o desempenho esperado: uma autorização por pessoa, capacidade mínima de fluxo, cenários que devem gerar alarme, tempo de resposta, integração de eventos, comportamento offline, requisitos de acessibilidade, disponibilidade e testes de aceite.
Prescrever apenas “catraca anti-tailgating modelo X” transfere a decisão de engenharia para um equipamento e pode não resolver fluxo, emergência, integração ou operação. O projeto deve permitir soluções equivalentes desde que comprovem os requisitos.
| Requisito | Exemplo de critério verificável |
| Singularização | uma autorização não libera duas passagens válidas |
| Detecção | evento gerado quando sequência física diverge da autorização |
| Fluxo | capacidade compatível com demanda de pico definida |
| Evidência | evento correlacionado a identidade, ponto e horário |
| Contingência | comportamento conhecido em perda de rede ou energia |
| Acessibilidade | rota acessível mantém controle equivalente |
FAT deve validar lógica antes da instalação definitiva
No FAT, a equipe pode testar estados, regras, eventos, integração com software e respostas a cenários negativos. Devem entrar tentativas com duas pessoas, autorização incompleta, sequência invertida, sensor indisponível, perda de comunicação, evento repetido e retorno à condição normal.
O FAT reduz o risco de descobrir falhas lógicas depois que barreiras e integrações já estão instaladas em campo.
SAT precisa reproduzir o comportamento físico real
Anti-tailgating só pode ser aceito quando os cenários físicos, as exceções e as falhas são comprovados em campo com evidências rastreáveis.
No SAT, o desempenho deve ser validado com usuários, velocidades, objetos, iluminação, acessibilidade e fluxo compatíveis com o ambiente real. É importante testar casos válidos e inválidos, não apenas demonstrar uma passagem normal.
A evidência deve registrar cenário, resultado esperado, resultado obtido, logs e, quando aplicável, vídeo correlacionado. Divergências precisam entrar em punch list e ser retestadas após correção.
Operação assistida ajuda a calibrar o sistema após o aceite
Nos primeiros períodos de uso, surgem comportamentos que o ambiente de teste não reproduziu: picos, grupos, hábitos dos usuários, carrinhos, acompanhantes e rotas alternativas. Uma fase de operação assistida permite ajustar parâmetros, procedimentos e treinamento sem perder rastreabilidade.
A estabilização deve ter critérios de encerramento. Ajustar indefinidamente sensibilidade para reduzir alarmes pode comprometer o requisito original.
Manutenção precisa preservar sensores e lógica
Sensores desalinhados, firmware alterado, câmeras reposicionadas, tempos de porta modificados ou barreiras com desgaste podem reduzir desempenho anti-tailgating sem causar indisponibilidade total. Por isso, manutenção deve incluir testes funcionais do requisito, não apenas inspeção de equipamentos.
Depois de intervenções relevantes, o cenário de singularização ou detecção precisa ser retestado e registrado.
Indicadores permitem acompanhar efetividade
Indicadores úteis incluem quantidade de alarmes, percentual confirmado, falso positivo, reincidência por ponto, eventos por faixa de horário, tempo de resposta e quantidade de bypasses ou overrides. Esses dados ajudam a identificar pontos com arquitetura inadequada ou procedimento degradado.
Métrica não deve virar meta que incentive ocultação de eventos. Uma redução abrupta de alarmes pode significar melhoria, mas também sensor desabilitado ou regra menos sensível.
Checklist de projeto anti-tailgating
- definir o ativo e o risco protegido;
- classificar se o objetivo é impedir, detectar ou registrar;
- medir fluxo normal e de pico;
- prever acessibilidade e rotas alternativas;
- escolher barreira compatível com o requisito;
- definir sensores e lógica de passagem;
- integrar eventos ao controle de acesso e, quando útil, ao VMS;
- definir comportamento em emergência, falha de energia e perda de rede;
- documentar exceções e overrides;
- criar FAT e SAT com cenários negativos;
- definir indicadores e rotina de manutenção;
- revisar periodicamente se o controle continua proporcional ao risco.
Considerações finais
Tailgating é um problema de engenharia de segurança física porque revela a diferença entre autorizar uma identidade e controlar uma passagem real. A solução mais robusta combina decisão lógica, geometria, barreira, sensores, operação, evidência e manutenção, sempre proporcional à consequência de uma passagem não autorizada.
O objetivo não deve ser instalar “anti-tailgating” como característica de produto, mas comprovar que o ponto de acesso mantém correspondência suficiente entre quem foi autorizado e quem efetivamente entrou, inclusive em picos, exceções, falhas e emergências.
Referências técnicas
[1] IEC. IEC 60839-11-1:2013 — Alarm and electronic security systems — Part 11-1: Electronic access control systems — System and components requirements. Disponível em: https://webstore.iec.ch/en/publication/3662
[2] IEC. IEC 60839-11-2:2014 — Alarm and electronic security systems — Part 11-2: Electronic access control systems — Application guidelines. Disponível em: https://webstore.iec.ch/en/publication/3663
[3] ISO. ISO/IEC 27002:2022 — Information security, cybersecurity and privacy protection — Information security controls. Disponível em: https://www.iso.org/standard/75652.html
Perguntas frequentes
É a passagem de uma pessoa não autorizada aproveitando a abertura concedida a um usuário autorizado, sem uma autorização individual correspondente.
Não. Anti-passback controla a sequência lógica de uma credencial; tailgating ocorre quando uma pessoa atravessa fisicamente sem gerar um evento de credencial próprio.
Não automaticamente. O desempenho depende do tipo de barreira, geometria, sensores, fluxo, parametrização e capacidade de detectar ou impedir passagem múltipla.
Quando o risco exige maior correspondência entre identidade e passagem física, especialmente em áreas críticas. A decisão deve considerar fluxo, acessibilidade, emergência e operação.
Pode funcionar como camada de detecção e evidência, mas seu desempenho depende de cena, oclusão, iluminação e analítico. Não substitui contenção física quando o requisito é impedir a passagem.
Materiais técnicos complementares
Serviços relacionados
- Projeto de Controle de Acesso: arquitetura, dispositivos, integração e especificação
- Projeto de Segurança Eletrônica Integrada: CFTV, acesso, intrusão e integração
- Comissionamento
