Como colocar senha em um site: 8 jeitos, grátis e pagos

Onde a senha tem que ser verificada

Se a verificação roda na própria página, em algumas linhas de JavaScript, a página já chegou, e tudo o que está nela também: basta ver o código-fonte. Por que uma senha na página não é uma senha.

Uma verificação de verdade acontece no servidor. Sem a senha, o servidor manda um formulário no lugar da página, e um buscador também só vê o formulário.

Três perguntas separam os jeitos abaixo: dá para proteger o site inteiro ou só uma página, todo mundo usa a mesma senha ou cada pessoa faz o próprio login, e os arquivos enviados, como imagens e PDFs, continuam acessíveis no próprio endereço.

No WordPress, no Squarespace ou no Wix

WordPress. Um post ou uma página de cada vez, grátis: nas configurações, mude a Visibilidade para Protegido por senha. Todo mundo usa a mesma senha daquela página, de até 20 caracteres, e o navegador a guarda por 10 dias. A documentação do próprio WordPress não descreve uma senha para o site inteiro; plugins acrescentam isso. A ajuda do WordPress.com diz que os arquivos adicionados a um post protegido ainda podem ser abertos, e indexados, sem a senha.
Squarespace. O site inteiro, em Site Availability → Password Protected, ou páginas avulsas, nas configurações da página, em Password. Todo mundo usa a mesma senha, e o visitante precisa digitá-la de novo depois de quatro horas. Com senha no site inteiro, os clientes não conseguem finalizar a compra.
Wix. Páginas avulsas, nas configurações da página, em Access → Password holders. A ajuda do Wix diz que a senha para o site inteiro ainda não está disponível para todo mundo, e que o código de uma página protegida ainda pode ser lido no navegador.

No Netlify, na Vercel ou no GitHub Pages

Netlify. Uma senha para o site inteiro no plano Pro, por US$20 por mês; no Free e no Personal, não. No Pro também dá para colocar um nome de usuário e uma senha em caminhos escolhidos, no arquivo _headers.
Vercel. Uma senha compartilhada no plano Pro, por US$20 por mês para cada projeto protegido, e ela só cobre o domínio do seu site no ar com o escopo All Deployments. A Vercel Authentication, grátis em todos os planos da Vercel, só deixa entrar pessoas com uma conta na Vercel a quem você deu acesso.
GitHub Pages. Sem senha. Um site do Pages é público mesmo quando o repositório é privado; só o GitHub Enterprise Cloud consegue torná-lo privado, para quem pode ler o repositório.

Qualquer site: um código por e-mail com o Cloudflare Access

Se o seu domínio está na Cloudflare, o Access pode ficar na frente de qualquer site. O visitante digita o e-mail, recebe um código que vale uma vez só e dura 10 minutos, e só entra se você tiver colocado aquele endereço na lista. É grátis para até 50 pessoas, e depois custa US$7 por pessoa por mês.

Não há senha para repassar, e você pode tirar uma pessoa da lista. O problema, segundo o próprio guia da Cloudflare: quem descobrir o endereço do seu servidor consegue passar por fora da Cloudflare, então coloque o servidor atrás de um Cloudflare Tunnel.

Seu próprio servidor: uma senha no Apache ou no nginx

Num servidor próprio, o servidor web consegue pedir um nome de usuário e uma senha por conta própria. Crie um arquivo de senhas fora da pasta de onde o site é servido, com uma linha para cada pessoa:

htpasswd -c /etc/.htpasswd ana

Depois, no Apache, na configuração do site ou num arquivo .htaccess na pasta que você quer proteger:

AuthType Basic
AuthName "Private"
AuthUserFile "/etc/.htpasswd"
Require valid-user

No nginx, no bloco server, ou num location para uma parte só:

auth_basic "Private";
auth_basic_user_file /etc/.htpasswd;

Cada pessoa tem um nome de usuário e uma senha só dela. A senha vai junto com cada requisição, sem criptografia, então use só com HTTPS, como diz o guia do Apache.

Uma página, pasta ou PDF que você tem: Solta

Se o que você quer proteger é uma página, uma pasta ou um PDF, e não um site que você já mantém no ar, publique no Solta e escolha Com senha em quem pode abrir o site. Está em todos os planos: 1 site com senha por vez no Free, 5 no Plus e quantos você quiser no Pro e no Team.

A senha é verificada antes de qualquer coisa ser enviada: nenhuma página, nenhuma imagem, nenhum PDF. Guardamos só um hash scrypt dela, e a senha certa abre aquele site, e só ele, por 12 horas. Um site com senha também fica fora dos buscadores, como todo site que não é público. Como o Solta mantém os sites fora dos buscadores.

Se uma senha compartilhada não basta, Convidados, nos planos Pro e Team, só deixa entrar os endereços que você listar, cada um confirmado por e-mail uma vez, sem conta.

Qual usar

Um post ou uma página num site WordPress: a senha do próprio WordPress, e guarde em outro lugar os arquivos que importam.
Um site inteiro no Squarespace: a senha para o site inteiro, a não ser que você venda por lá.
Um site que você mesmo hospeda, para algumas pessoas específicas: o Cloudflare Access, ou uma senha no Apache ou no nginx com HTTPS.
Uma página, uma pasta ou um PDF para mandar a alguém: o Solta, com senha, ou com endereços convidados nos planos Pro e Team.

Fontes

O que dizemos de cada empresa é o que as páginas dela, em inglês, diziam quando as lemos, em 1º de novembro de 2026:

Perguntas

Uma senha deixa o site fora do Google?

Na maioria dos casos. Um buscador só vê o que o servidor manda, e atrás de uma senha verificada no servidor isso é o formulário. O Squarespace e o Wix dizem que as páginas protegidas deixam de aparecer nos resultados, mas as páginas indexadas antes podem continuar aparecendo por um tempo. Os arquivos costumam ser a brecha: o WordPress.com diz que os arquivos adicionados a um post protegido ainda podem ser indexados. No Solta, um site com senha também leva um cabeçalho noindex.

Dá para colocar senha em uma página só?

Sim, no WordPress, no Squarespace e no Wix, e no seu próprio servidor com um bloco location. O Netlify faz isso para caminhos escolhidos, no Pro. No Solta, um site pode ser uma página só, com uma senha própria.

Uma senha em JavaScript é suficiente?

Não. A página, e em geral a senha também, chegam ao navegador antes de o script rodar, então qualquer pessoa consegue lê-las no código-fonte. A verificação precisa acontecer no servidor.

Dá para colocar senha em um site de graça?

Sim: a senha do WordPress numa página, o Cloudflare Access para até 50 pessoas, uma senha no Apache ou no nginx num servidor que você já tem, ou um site com senha no plano Free do Solta. As senhas do Netlify e da Vercel exigem um plano pago.

Consigo ver quem abriu?

Não com uma senha compartilhada: todo mundo digita a mesma coisa. Para isso, cada pessoa precisa de uma entrada só dela, como um código por e-mail com o Cloudflare Access ou um nome de usuário no Apache ou no nginx. Nos planos Pro e Team do Solta, um site pode pedir um e-mail antes de abrir, e você vê cada endereço e quando ele abriu o site.

Como colocar senha em um site

Cole sua página, ou solte uma pasta ou um PDF