Nem todos os links devem estar abertos a quem lhes tropeçar. Um orçamento para um cliente específico, um rascunho que ninguém fora da equipa deve ler, uma transferência destinada às doze pessoas que pagaram por ela — no momento em que aquele URL existe, pode ser reencaminhado, fotografado, colado num grupo de conversa e indexado por algo que nunca convidou.

Um link protegido por palavra-passe põe uma porta à frente do destino: quem o abrir recebe um pedido de palavra-passe em vez do seu conteúdo. Acrescente uma data de expiração e a porta desaparece de vez assim que o link cumprir a sua função. Ambos demoram uns dez segundos a configurar, e nenhum obriga a pessoa do outro lado a ter conta.

Como funciona

Ao criar o link define uma palavra-passe. O urlik guarda-a em hash — não a palavra-passe em si, um hash unidirecional dela — pelo que o valor guardado não se consegue reverter até ao original, nem por um atacante com a base de dados nem por nós. Quem abre o link vê um pedido; escreva a palavra-passe certa e o destino abre, escreva a errada e não abre. É esta a mecânica toda, e a simplicidade é o objetivo.

O prazo de validade funciona a par. Escolha uma hora, um dia, uma semana ou um mês, e passado esse momento o link deixa de resolver e responde 410 Gone — o código HTTP honesto para «isto existiu e deliberadamente já não existe», que também diz aos motores de busca para o deixarem cair em vez de andarem a tentar outra vez.

Quando a palavra-passe ganha a todas as outras opções

  • Trabalho de cliente em curso. Um site de staging ou uma apresentação em rascunho que quer que revejam mas não que circule.
  • Conteúdo pago. Um ficheiro, uma gravação ou um recurso que deve chegar a quem comprou e não à internet inteira.
  • Tudo o que seja impresso. Um código QR num cartaz é lido por qualquer transeunte. Ponha a palavra-passe atrás do balcão e só os seus clientes de verdade entram.
  • Links internos. Um dashboard ou documento que vive num URL adivinhável e que, em mãos erradas, seria embaraçoso — não catastrófico.

Seja honesto sobre o que isto protege

É aqui que a maior parte dos artigos continuaria a vender. Em vez disso, fica a linha: uma palavra-passe num link é controlo de acesso, não segredo. Trava o acesso casual — a mensagem reencaminhada, o colega curioso, o crawler. Não torna o conteúdo secreto em nenhum sentido criptográfico.

Em concreto: o URL de destino está na nossa base de dados em claro, porque o servidor tem de o encaminhar para lá. Quem tem a palavra-passe pode partilhar a palavra-passe. E o link só guarda a porta — se o destino em si for público, quem lá chegar por outro caminho entra directamente. Um link protegido por palavra-passe à frente de um Google Doc público não protege absolutamente nada; corrija antes as definições de partilha do documento.

Se precisa de segredo a sério — em que ninguém, incluindo quem gere o servidor, consegue ler o conteúdo — uma palavra-passe num link é a ferramenta errada. Use o envio seguro: os ficheiros são encriptados no seu navegador antes do carregamento, a chave viaja na parte do URL que o servidor nunca recebe, e o ficheiro autodestrói-se depois de uma transferência. É uma garantia diferente, e como enviar ficheiros em segurança explica onde fica a fronteira.

Escolher uma palavra-passe que valha a pena

A palavra-passe é o modelo de segurança todo, portanto:

  • Não reutilize uma a sério. Isto é uma palavra-passe de partilha, não a da sua conta. Nunca a mesma cadeia de caracteres.
  • Envie-a por outro canal. A palavra-passe no mesmo email que o link não protege de nada — basta um reencaminhamento e lá vão as duas. Link por email, palavra-passe por mensagem ou em pessoa.
  • Difícil de adivinhar, fácil de ler em voz alta. Três palavras sem relação ganham a Pass2026! — são mais compridas e sobrevivem a ser ditadas ao telemóvel.
  • Mude-a por grupo de destinatários quando isso importa. Um link por cliente com palavra-passe própria diz-lhe quem é que a deixou fugir, porque as estatísticas de cliques são separadas.

Palavra-passe mais prazo é mais forte do que qualquer uma delas

É na combinação que isto se torna genuinamente útil. A palavra-passe limita quem; o prazo limita durante quanto tempo. Juntos delimitam o estrago de uma fuga, porque uma palavra-passe que escape para um grupo de conversa no mês que vem abre um link que já não existe.

Um padrão que resulta bem: o link expira uma semana depois do prazo a que serve, a palavra-passe segue por fora, um link por destinatário. Se algo escapar sabe qual foi a cópia, e deixa de funcionar sozinho — sem tarefa de limpeza que se vai esquecer de fazer.

O que os visitantes veem

Um pedido simples numa página que diz qual é o serviço a pedir, sem pista nenhuma do destino — o alvo fica escondido até a palavra-passe estar certa, o que conta quando o próprio URL entrega o jogo (/acme-corp-acquisition-draft conta uma história antes de alguém entrar). Palavra-passe errada, e a página di-lo e volta a pedir. Expirado, e diz que o link expirou em vez de fingir que nunca existiu — menos confuso para quem tinha um motivo legítimo para lá estar.

Vale a pena saber: os links protegidos ficam de fora da pré-visualização rica mostrada aos crawlers das redes sociais, por isso colar um numa conversa não deixa escapar o título e a imagem do destino para dentro da mensagem. Isso é deliberado — uma pré-visualização que revelasse o que a palavra-passe protege derrotaria a palavra-passe.

Em resumo

Uma palavra-passe num link é uma porta: barata, instantânea, sem conta, e suficiente para o caso normal em que o conteúdo deve chegar a algumas pessoas e não a toda a gente. Junte-lhe um prazo para que uma fuga tenha data de fim, envie a palavra-passe por um canal diferente do link, e tenha bem claro que isto é controlo de acesso e não encriptação. Quando precisar da promessa mais forte, encripte ponta a ponta — e se anda a pesar quanto confiar nos links curtos em geral, os links curtos são seguros trata do outro lado dessa pergunta.