Links secretos de uso único
Compartilhe informações confidenciais sem deixar um registro permanente
E-mail, WhatsApp, Facebook Messenger e Slack foram feitos para guardar mensagens para sempre. Alguns segredos nunca deveriam persistir. Veja como funcionam links criptografados de uso único, quando usá-los e por que queimar após a leitura é um recurso de segurança—não um artifício.
Principais conclusões
- Links de uso único são para entrega efêmera, não para armazenamento de longo prazo.
- Queimar após leitura reduz cópias residuais em arquivos de chat e e-mail.
- Combine TTL curto com menor privilégio e rotação após a transferência.
- Confirme o destinatário certo antes de enviar o link.
A maioria das pessoas compartilha informações sensíveis da mesma forma que tudo o mais: por e-mail, no Slack ou por SMS.
Funciona até você perceber o que realmente fez. Você não apenas entregou uma senha ou chave de API — deixou um registro permanente na caixa de entrada de alguém, no arquivo de chat da empresa, em um backup na nuvem, em uma exportação de compliance ou em um resumo de reunião gerado por IA que ninguém mais lembra.
No processo Musk vs. Altman em 2026, SMS entre Sam Altman e Mira Murati sobre sua saída da OpenAI em novembro de 2023 foram apresentados como prova. Trocas que pareciam privadas no momento — mensagens apressadas sobre chamadas do conselho e um retorno — acabaram como anexos judiciais. O problema não era interceptação. Era retenção.
Algumas informações têm um papel curto. Uma senha de staging. Um código de recuperação. Uma instrução de acesso única. Credenciais de contratado que expiram na sexta. Esses segredos não precisam de um histórico pesquisável. Precisam chegar, ser usados e desaparecer.
É para isso que servem os links secretos de uso único.
O problema dos canais "seguros o suficiente"
O e-mail pode ser criptografado em trânsito. O Slack pode ter SSO. O Signal oferece mensagens que desaparecem. Tudo isso ajuda — mas resolve um problema diferente.
O problema nem sempre é interceptação. É retenção.
Quando você envia um segredo por um canal comum, aposta em uma longa cadeia de suposições:
- A mensagem nunca será encaminhada, capturada em screenshot ou copiada.
- Ninguém pesquisará por engano o histórico de chat compartilhado seis meses depois.
- Backups, exportações de servidor e fluxos de eDiscovery não transformarão uma entrega rápida em responsabilidade de longo prazo.
- Bots de pré-visualização de link no Slack, Teams ou iMessage não buscarão automaticamente a URL e não destruirão a nota antes do destinatário abrir o link.
- O segredo será rotacionado imediatamente após o uso, mesmo que o valor antigo ainda esteja em algum log de servidor.
Separação de funções: A criptografia protege o conteúdo em trânsito. A efemeridade reduz o que existe depois. Ambas importam — mas a maioria das ferramentas de comunicação otimiza para a primeira e ignora completamente a segunda.
O que é um link secreto de uso único
Um link secreto de uso único (às vezes chamado de link burn-after-reading ou nota autodestrutiva) é uma URL destinada a entregar texto sensível uma vez a um leitor. Após essa leitura, o conteúdo deveria desaparecer — não arquivado, não pesquisável, não deixado em uma caixa de entrada ou histórico de chat.
O design verdadeiramente de uso único é mais rigoroso que expiração. O essencial: a chave de criptografia é gerada no seu navegador — nunca no servidor — e o texto plano é criptografado lá antes de qualquer transferência.
Passo 1: Seu navegador
Geração de chave e criptografia no navegador
Você digita o segredo no navegador. O navegador gera localmente uma nova chave de criptografia e criptografa o texto com ela — antes de qualquer requisição de rede sair do seu dispositivo.
Passo 2: Servidor
Apenas texto criptografado é transferido
Apenas o conteúdo criptografado é transferido. O servidor armazena texto cifrado que não consegue ler porque nunca recebeu a chave ou o texto plano.
Passo 3: URL
A chave permanece no link
A chave gerada no navegador é adicionada ao link no fragmento da URL — a parte após # — que nunca é enviada ao servidor.
Passo 4: Destinatário
Uma leitura, depois desaparece
O destinatário abre o link completo. O navegador lê a chave do fragmento, descriptografa localmente e o servidor remove o conteúdo criptografado após essa primeira leitura bem-sucedida.
Nem toda ferramenta que se vende como link secreto de uso único segue esse padrão. Algumas criptografam apenas no servidor depois de receber seu texto — ou geram a chave lá, permitindo que o serviço leia seu segredo. Outras dependem de uma senha compartilhada que o serviço pode verificar. Outras ainda removem por agenda, mas mantêm metadados, logs ou cópias recuperáveis. Ao escolher uma ferramenta, pergunte se o design completo foi implementado — não apenas se o link expira.
Por que o fragmento da URL importa
Esse detalhe de arquitetura é facilmente ignorado — e ainda assim é a base da criptografia web moderna.
Em uma requisição HTTPS padrão, tudo antes do símbolo # é enviado diretamente ao servidor. Tudo depois permanece no sandbox do navegador. Um sistema de link de uso único bem projetado pode armazenar conteúdo criptografado em /note/abc123, enquanto a chave de descriptografia em #xK9m2p... permanece invisível para logs de servidor, caminhos de CDN e tabelas de banco de dados externos.
Quando usar um link de uso único (e quando não)
Nem todo canal é errado para todo tipo de segredo — mas a maioria das ferramentas do dia a dia é feita para persistência, não para transferência única.
| Tipo de canal | Criptografado? | Permanente? | Bom para segredos de uso único? |
|---|---|---|---|
| Frequentemente em trânsito | Sim — permanente, em várias caixas de entrada | ✗ Ruim | |
| Slack / Teams | Sim, na plataforma | Sim — pesquisável, exportável | ✗ Ruim |
| SMS / iMessage | Muito variável | Frequentemente backup, sincronização na nuvem | ✗ Ruim |
| Gerenciador de senhas | Sim | Projetado para armazenamento permanente | Frequentemente inconveniente — muitas vezes pago, lento para transferência rápida |
| Signal / WhatsApp (mensagens que desaparecem) | Sim, ponta a ponta | Mensagens desaparecem com o tempo | Bom — ambas as partes precisam de conta |
| Link de uso único | Sim, no cliente | Removido imediatamente após leitura | ✓ Feito para isso |
Bons casos de uso
- Senhas, chaves de API e tokens temporários transferidos a uma pessoa.
- Códigos de recuperação de sistema e backups de 2FA.
- Instruções de acesso físico temporário ("use este código da porta até 18h").
- Rascunhos jurídicos ou de RH sensíveis que não deveriam virar memória institucional.
Maus casos de uso
- Armazenamento de longo prazo: use um cofre de senhas dedicado.
- Conversas contínuas: use um mensageiro criptografado ponta a ponta como o Signal.
- Segredos para auditoria: se a compliance exige um rastro imutável, use o sistema de armazenamento aprovado da organização.
A armadilha da pré-visualização de link
É assim que muitas equipes descobrem da maneira difícil. Muitos apps de chat corporativo rastreiam automaticamente URLs recebidas para gerar pré-visualizações ricas (títulos, descrições, miniaturas).
Esse rastreamento automático pode consumir um link de uso único antes do destinatário conseguir clicar. O bot de pré-visualização se torna o primeiro leitor, a nota é removida ou destruída e seu colega abre um link morto.
Ferramentas sérias de efemeridade mitigam isso ativamente: bloqueiam user-agents de crawlers conhecidos, exigem um clique explícito antes da descriptografia local e usam tempos de expiração muito curtos.
Onde o PrivateNote se encaixa
O PrivateNote foi construído exatamente em torno desse modelo de criptografia no cliente. Não é um cofre de senhas de longo prazo, nem um wiki de equipe, nem um arquivo permanente de compliance. É uma ferramenta leve e rápida de transferência.
Para arquivos maiores que precisam do mesmo modelo de criptografia no cliente, o Encrypt.lu aplica a mesma abordagem arquitetural em escala de arquivos.
Garante que a vida útil dos seus dados sensíveis corresponda à do meio pelo qual eles viajam. Porque às vezes a mensagem mais segura é aquela que deixa completamente de existir.
Como funciona