Por que uma senha na página não é uma senha
Um navegador só consegue mostrar o que já baixou. Se a verificação roda na página, o conteúdo chegou junto com a página, e em geral a senha também. O código-fonte mostra os dois, e salvar a página também.
As variações mais comuns, e o que cada uma deixa aberto:
- Esconder o conteúdo até a senha estar certa. Ele está no HTML de qualquer jeito.
- Conferir um hash da senha, e não a senha. A senha fica escondida. O conteúdo, não.
- Mandar a pessoa para uma página secreta quando a senha bate. A página secreta é uma página pública com um endereço incomum. Quem tem o endereço, de um e-mail encaminhado ou do histórico de um navegador, abre sem a senha.
- Criptografar o conteúdo, para a página descriptografá-lo com a senha. Esta protege o conteúdo, se a senha for longa e aleatória. Mas quem tem o arquivo pode testar senhas no próprio computador o mais rápido que ele permitir, sem nada que atrase. E não tem volta: quem tem o arquivo e a senha fica com os dois, e trocar a senha significa criptografar a página e enviá-la de novo.
O que uma proteção de verdade faz
A verificação acontece no servidor, antes de a página ser enviada. Sem a senha, o servidor envia um formulário no lugar da página. Com ela, o servidor lembra que esse navegador passou, em geral com um cookie, e envia a página a todo pedido que o traga. Isso quer dizer que:
- O conteúdo nunca chega a quem não tem a senha.
- Cada tentativa vai para o servidor, que pode deixar as tentativas mais lentas.
- Uma proteção bem feita guarda a senha como um hash lento, que não dá para ler de volta.
- Trocar a senha, ou tirá-la, acontece num lugar só.
Três jeitos de ter uma
Para um site inteiro, no WordPress, no Squarespace, no Wix, na Netlify, na Vercel ou na Cloudflare, veja como colocar senha em um site.
Num servidor que você mantém
O Apache e o nginx têm a autenticação HTTP Basic embutida: um arquivo de nomes de usuário e senhas com hash, feito com o utilitário htpasswd, e umas poucas linhas de configuração (auth_basic e auth_basic_user_file no nginx; AuthType Basic e AuthUserFile no Apache). O navegador mostra a própria caixa de login. A autenticação Basic envia a senha em todo pedido, então use-a só com HTTPS.
Numa hospedagem estática que oferece isso
Algumas hospedagens estáticas conseguem pôr uma senha num site inteiro, muitas vezes num plano pago. A Netlify, por exemplo, oferece isso no plano Pro, e não no Free nem no Personal, segundo a documentação da Netlify, lida em 13 de outubro de 2026. Confira o plano antes de contar com isso.
No Solta
Escolha Com senha em quem pode abrir o site, em todos os planos: 1 site por vez no Free e 5 no Plus, e todos os sites nos planos Pro e Team. O Solta confere a senha no próprio servidor antes de enviar qualquer parte do site, guarda a senha com hash, então não consegue mostrá-la de volta para você, e limita a velocidade com que alguém pode tentar adivinhar.
Se a senha compartilhada é o ponto fraco, escolha Convidados, nos planos Pro e Team. Só entram os endereços de e-mail que você indicar, cada um confirmado uma vez por e-mail, sem conta e sem senha para passar adiante. Um site atrás de qualquer um dos dois não pode ser incorporado em outro site, porque um quadro que pulasse a proteção não protegeria nada.
Não listado pede aos buscadores que não indexem um site, mas não é uma senha: qualquer pessoa com o link abre. Quem pode abrir um site.
Qualquer que seja a escolha
- Mande a senha separada do link, por outro canal, senão você mandou uma coisa só.
- Use uma senha longa, e não reaproveite uma de outro lugar.
- Sirva a página por HTTPS, para a senha não atravessar a rede às claras.
Perguntas
Dá para proteger uma página HTML com senha usando JavaScript?
Não de verdade. Se a verificação roda na página, o conteúdo chegou junto com ela, e em geral a senha também: o código-fonte mostra os dois, e salvar a página também. A verificação precisa acontecer no servidor, antes de a página ser enviada.
Criptografar o conteúdo da página resolve?
Protege o conteúdo, se a senha for longa e aleatória. Mas quem tem o arquivo pode testar senhas no próprio computador o mais rápido que ele permitir, sem nada que atrase. E não tem volta: quem tem o arquivo e a senha fica com os dois, e trocar a senha exige criptografar a página e enviá-la de novo.
Como funciona uma senha de verdade num site?
O servidor confere a senha antes de enviar a página. Sem ela, ele envia um formulário no lugar. Com ela, ele lembra que esse navegador passou, em geral com um cookie. O conteúdo nunca chega a quem não tem a senha, e cada tentativa passa pelo servidor, que pode atrasar quem tenta adivinhar.
A Netlify põe senha num site no plano gratuito?
Não. Segundo a documentação da Netlify, lida em 13 de outubro de 2026, a proteção por senha está no plano Pro, e não no Free nem no Personal.
Como coloco senha numa página no Solta?
Escolha Com senha em quem pode abrir o site, em todos os planos: 1 site por vez no Free e 5 no Plus, e todos os sites nos planos Pro e Team. O Solta confere a senha no próprio servidor antes de enviar qualquer parte do site, guarda a senha com hash e limita a velocidade das tentativas. Para não depender de uma senha compartilhada, escolha Convidados, nos planos Pro e Team.