Porque é que uma palavra-passe na página não é uma palavra-passe
Um browser só consegue mostrar o que já transferiu. Se a verificação corre na página, o conteúdo chegou com a página, e normalmente a palavra-passe também. O código-fonte mostra as duas coisas, e guardar a página também.
As variantes mais comuns, e o que cada uma deixa aberto:
- Esconder o conteúdo até a palavra-passe estar certa. Está no HTML de qualquer forma.
- Verificar um hash da palavra-passe, e não a palavra-passe. A palavra-passe fica escondida. O conteúdo, não.
- Enviar as pessoas para uma página secreta quando a palavra-passe coincide. A página secreta é uma página pública com um endereço invulgar. Quem tiver o endereço, de um e-mail reencaminhado ou do histórico de um browser, abre-a sem a palavra-passe.
- Encriptar o conteúdo, para a página o desencriptar com a palavra-passe. Esta protege o conteúdo, se a palavra-passe for longa e aleatória. Mas quem tem o ficheiro pode experimentar palavras-passe no próprio computador tão depressa quanto ele permitir, sem nada que o abrande. E não há volta a dar: quem tem o ficheiro e a palavra-passe fica com ambos, e mudar a palavra-passe obriga a encriptar a página e a carregá-la de novo.
O que faz uma proteção a sério
A verificação acontece no servidor, antes de a página ser enviada. Sem a palavra-passe, o servidor envia um formulário em vez da página. Com ela, o servidor lembra-se de que este browser passou, normalmente com um cookie, e envia a página a todos os pedidos que o tragam. Isto significa que:
- O conteúdo nunca chega a quem não tem a palavra-passe.
- Cada tentativa vai para o servidor, que pode abrandar as tentativas.
- Uma proteção bem feita guarda a palavra-passe como um hash lento, que não pode ser lido de volta.
- Mudar a palavra-passe, ou retirá-la, faz-se num só sítio.
Três formas de ter uma
Para um site inteiro, no WordPress, no Squarespace, no Wix, na Netlify, na Vercel ou na Cloudflare, veja como proteger um site com palavra-passe.
Num servidor que gere
O Apache e o nginx têm a autenticação HTTP Basic incorporada: um ficheiro de nomes de utilizador e palavras-passe com hash, criado com o utilitário htpasswd, e umas poucas linhas de configuração (auth_basic e auth_basic_user_file no nginx; AuthType Basic e AuthUserFile no Apache). O browser mostra a sua própria caixa de início de sessão. A autenticação Basic envia a palavra-passe em todos os pedidos, por isso use-a só com HTTPS.
Num alojamento estático que o ofereça
Alguns alojamentos estáticos conseguem pôr uma palavra-passe num site inteiro, muitas vezes num plano pago. A Netlify, por exemplo, oferece-o no plano Pro, e não no Free nem no Personal, segundo a documentação da Netlify, lida a 13 de outubro de 2026. Confirme o plano antes de contar com isso.
No Solta
Escolha Com palavra-passe em quem pode abrir o site, em todos os planos: 1 site de cada vez no Free e 5 no Plus, e todos os sites nos planos Pro e Team. O Solta verifica a palavra-passe no seu próprio servidor antes de enviar qualquer parte do site, guarda-a com hash, por isso não a consegue mostrar de volta, e limita a rapidez com que alguém pode tentar adivinhá-la.
Se a palavra-passe partilhada é o ponto fraco, escolha Convidados, nos planos Pro e Team. Só entram os endereços de e-mail que indicar, cada um confirmado uma vez por e-mail, sem conta e sem palavra-passe para passar de mão em mão. Um site atrás de qualquer uma das duas não pode ser incorporado noutro site, porque uma moldura que saltasse a proteção não protegeria nada.
Não listado pede aos motores de pesquisa que não indexem um site, mas não é uma palavra-passe: qualquer pessoa com o link abre-o. Quem pode abrir um site.
Seja qual for a escolha
- Envie a palavra-passe à parte do link, por outro canal, ou terá enviado uma só coisa.
- Use uma palavra-passe longa, e não reaproveite uma de outro sítio.
- Sirva a página por HTTPS, para que a palavra-passe não atravesse a rede às claras.
Perguntas
Dá para proteger uma página HTML com palavra-passe usando JavaScript?
Não a sério. Se a verificação corre na página, o conteúdo chegou com ela, e normalmente a palavra-passe também: o código-fonte mostra as duas coisas, e guardar a página também. A verificação tem de acontecer no servidor, antes de a página ser enviada.
Encriptar o conteúdo da página resolve?
Protege o conteúdo, se a palavra-passe for longa e aleatória. Mas quem tem o ficheiro pode experimentar palavras-passe no próprio computador tão depressa quanto ele permitir, sem nada que o abrande. E não há volta a dar: quem tem o ficheiro e a palavra-passe fica com ambos, e mudar a palavra-passe obriga a encriptar a página e a carregá-la de novo.
Como funciona uma palavra-passe a sério num site?
O servidor verifica a palavra-passe antes de enviar a página. Sem ela, envia um formulário em vez da página. Com ela, lembra-se de que este browser passou, normalmente com um cookie. O conteúdo nunca chega a quem não tem a palavra-passe, e cada tentativa passa pelo servidor, que pode abrandar quem tenta adivinhar.
A Netlify põe palavra-passe num site no plano gratuito?
Não. Segundo a documentação da Netlify, lida a 13 de outubro de 2026, a proteção por palavra-passe está no plano Pro, e não no Free nem no Personal.
Como ponho uma palavra-passe numa página no Solta?
Escolha Com palavra-passe em quem pode abrir o site, em todos os planos: 1 site de cada vez no Free e 5 no Plus, e todos os sites nos planos Pro e Team. O Solta verifica a palavra-passe no seu próprio servidor antes de enviar qualquer parte do site, guarda-a com hash e limita a rapidez das tentativas. Para não depender de uma palavra-passe partilhada, escolha Convidados, nos planos Pro e Team.