Proteger site com palavra-passe: 8 formas, grátis e pagas

Onde a palavra-passe tem de ser verificada

Se a verificação corre na própria página, em algumas linhas de JavaScript, a página já chegou, e com ela tudo o que contém: basta abrir o código-fonte para o ver. Porque é que uma palavra-passe na página não protege.

Uma verificação a sério acontece no servidor. Sem a palavra-passe, o servidor envia um formulário em vez da página, e um motor de pesquisa também só vê o formulário.

Três perguntas distinguem as formas abaixo. Pode proteger-se o website inteiro, ou só uma página? Todos partilham uma palavra-passe, ou cada pessoa inicia sessão? E os ficheiros carregados, como imagens e PDFs, continuam acessíveis no seu próprio endereço?

No WordPress, no Squarespace ou no Wix

WordPress. Um artigo ou uma página de cada vez, de graça: nas definições, mude a visibilidade para Password protected. Todos partilham a palavra-passe dessa página, com até 20 caracteres, e o browser guarda-a durante 10 dias. A documentação do próprio WordPress não descreve nenhuma palavra-passe para o website inteiro; há plugins que a acrescentam. A ajuda do WordPress.com diz que os ficheiros adicionados a um artigo protegido continuam a poder ser abertos, e indexados, sem ela.
Squarespace. O website inteiro, em Site Availability → Password Protected, ou páginas individuais, nas definições da página, em Password. Todos partilham a mesma palavra-passe, e o visitante tem de a voltar a escrever ao fim de quatro horas. Com uma palavra-passe no website inteiro, os clientes não conseguem finalizar uma compra.
Wix. Páginas individuais, nas definições da página, em Access → Password holders. A ajuda do Wix diz que uma palavra-passe para o website inteiro ainda não está disponível para todos, e que o código de uma página protegida continua a poder ser lido no browser.

Na Netlify, na Vercel ou no GitHub Pages

Netlify. Uma palavra-passe para o website inteiro no plano Pro, a $20 por mês; não nos planos Free nem Personal. No Pro, também pode pôr um nome de utilizador e uma palavra-passe em caminhos escolhidos, no ficheiro _headers.
Vercel. Uma palavra-passe partilhada no plano Pro, a $20 por mês por cada projeto protegido, e só cobre o seu domínio de produção com o âmbito All Deployments. A Vercel Authentication, grátis em todos os planos, só deixa entrar pessoas com uma conta Vercel a quem tenha dado acesso.
GitHub Pages. Sem palavra-passe. Um site do Pages é público mesmo quando o repositório é privado; só o GitHub Enterprise Cloud o pode tornar privado, para quem pode ler o repositório.

Qualquer website: um código por e-mail com o Cloudflare Access

Se o seu domínio está na Cloudflare, o Access pode ficar à frente de qualquer website. O visitante escreve o seu e-mail, recebe um código que só funciona uma vez e dura 10 minutos, e só entra se esse endereço estiver na sua lista. É grátis até 50 pessoas, e depois custa $7 por pessoa por mês.

Não há nenhuma palavra-passe a circular, e pode tirar uma pessoa da lista. O senão, segundo o próprio guia da Cloudflare: quem descobrir o endereço do próprio servidor pode contornar a Cloudflare, por isso ponha o servidor atrás de um Cloudflare Tunnel.

O seu próprio servidor: uma palavra-passe no Apache ou no nginx

Num servidor seu, o próprio servidor web pode pedir um nome de utilizador e uma palavra-passe. Crie um ficheiro de palavras-passe fora da pasta de onde o website é servido, com uma linha por pessoa:

htpasswd -c /etc/.htpasswd ana

Depois, no Apache, na configuração do website ou num ficheiro .htaccess dentro da pasta a proteger:

AuthType Basic
AuthName "Private"
AuthUserFile "/etc/.htpasswd"
Require valid-user

No nginx, no bloco server, ou num location para uma só parte:

auth_basic "Private";
auth_basic_user_file /etc/.htpasswd;

Cada pessoa tem um nome de utilizador e uma palavra-passe próprios. A palavra-passe viaja com cada pedido, sem encriptação, por isso use-a só com HTTPS, como diz o guia do Apache.

Uma página, pasta ou PDF que já tem: o Solta

Se o que quer proteger é uma página, uma pasta ou um PDF, e não um website que já gere, ponha-o no Solta e, em quem o pode abrir, escolha Com palavra-passe. Está em todos os planos: 1 site com palavra-passe de cada vez no Free, 5 no Plus e os que quiser no Pro e no Team.

A palavra-passe é verificada antes de ser enviado seja o que for: nenhuma página, nenhuma imagem, nenhum PDF. Só guardamos um hash scrypt dela, e a palavra-passe certa abre esse site, e só esse, durante 12 horas. Um site com palavra-passe também fica fora dos motores de pesquisa, como todos os sites que não são públicos. Como o Solta mantém os sites fora das pesquisas.

Se uma palavra-passe partilhada não chegar, a opção Convidados, nos planos Pro e Team, só deixa entrar os endereços que indicar, cada um confirmado uma vez por e-mail, sem conta.

Qual escolher

Um artigo ou uma página num website WordPress: a palavra-passe do próprio WordPress, e guarde noutro sítio os ficheiros que importam.
Um website inteiro no Squarespace: a palavra-passe para o website inteiro, a não ser que venda lá.
Um website alojado por si, para algumas pessoas em concreto: o Cloudflare Access, ou uma palavra-passe no Apache ou no nginx com HTTPS.
Uma página, uma pasta ou um PDF para enviar a alguém: o Solta, com palavra-passe, ou com endereços convidados nos planos Pro e Team.

Fontes

O que dizemos de cada empresa é o que as suas próprias páginas, em inglês, diziam quando as lemos, a 1 de novembro de 2026:

Perguntas

Uma palavra-passe mantém um website fora do Google?

Na maior parte dos casos. Um motor de pesquisa só vê o que o servidor lhe envia, e, atrás de uma palavra-passe verificada pelo servidor, isso é o formulário. O Squarespace e o Wix dizem que as páginas protegidas deixam de aparecer nos resultados, embora as que já estavam indexadas possam demorar a sair. Os ficheiros são a falha habitual: o WordPress.com diz que os ficheiros adicionados a um artigo protegido continuam a poder ser indexados. No Solta, um site com palavra-passe também leva um cabeçalho noindex.

Posso proteger só uma página com palavra-passe?

Sim, no WordPress, no Squarespace e no Wix, e no seu próprio servidor com um bloco location. A Netlify fá-lo para caminhos escolhidos, no plano Pro. No Solta, um site pode ser uma só página, com a sua própria palavra-passe.

Uma palavra-passe em JavaScript chega?

Não. A página, e normalmente a palavra-passe, chegam ao browser antes de o script correr, por isso qualquer pessoa as pode ler no código-fonte. A verificação tem de acontecer no servidor.

Posso proteger um website com palavra-passe de graça?

Sim: a palavra-passe do WordPress numa página, o Cloudflare Access até 50 pessoas, uma palavra-passe no Apache ou no nginx num servidor que já tenha, ou um site com palavra-passe no plano Free do Solta. As palavras-passe da Netlify e da Vercel precisam de um plano pago.

Posso ver quem o abriu?

Não com uma palavra-passe partilhada: todos escrevem a mesma coisa. Para isso, cada pessoa precisa de uma entrada só sua, como um código por e-mail com o Cloudflare Access ou um nome de utilizador no Apache ou no nginx. Nos planos Pro e Team do Solta, um site pode pedir um e-mail antes de abrir, e vê cada endereço e quando abriu o site.

Como proteger um site com palavra-passe

Cole a sua página, ou largue uma pasta ou um PDF