Guia · 5 min de leitura
Formulários protegidos por senha: quando e como
Atualizado 2026-09-17
Resumo
Uma proteção por senha é uma camada leve de controle de acesso, boa para manter um formulário fora dos resultados de busca e de visitantes casuais, não um substituto para autenticação de verdade em dados sensíveis.
Nem todo formulário deveria estar aberto para qualquer pessoa com o link. Uma proteção por senha adiciona um ponto de checagem simples: o respondente digita uma senha compartilhada uma vez, e o formulário só se mostra para quem a conhece. Este guia mostra quando uma senha faz sentido, como o fluxo de desbloqueio funciona para os respondentes, e contra o que ela protege e contra o que não protege.
Quando uma proteção por senha faz sentido
Ela se encaixa em situações em que você quer limitar um formulário a um grupo conhecido sem configurar contas individuais: uma pesquisa interna de funcionários, uma confirmação de presença em um evento só por convite, um formulário de admissão de cliente compartilhado com uma empresa, ou um relatório restrito atrás de uma compra. Qualquer pessoa com a senha pode responder, então funciona melhor quando o grupo que a compartilha é pequeno e confiável.
Não é adequada para nada que precise saber quem é cada respondente além do que o próprio formulário pergunta, uma senha compartilhada não diz qual pessoa nomeada desbloqueou o formulário.
Como o fluxo de desbloqueio funciona para os respondentes
Um respondente que chega a um formulário protegido por senha vê uma tela de desbloqueio em vez dos campos. Digitar a senha correta concede acesso por um tempo limitado, depois do qual seria necessário digitá-la novamente, isso impede que uma senha vazada ou salva nos favoritos dê acesso indefinido.
Depois de desbloqueado, o respondente preenche o formulário normalmente; a etapa de senha só protege a visualização inicial, não cada resposta individual.
Como o acesso é verificado e limitado
A senha em si nunca é armazenada em texto puro, apenas um hash salgado usado para verificar o que é digitado contra ele. Desbloqueios bem-sucedidos são lembrados por um período definido, para que as pessoas não precisem digitar a senha a cada visita dentro dessa janela, e as tentativas de desbloqueio têm limite de taxa por visitante, para que tentativas repetidas de adivinhação sejam desaceleradas em vez de permitidas livremente.
Como a verificação acontece no servidor antes de o formulário ser entregue, apenas adivinhar a URL não contorna a proteção, os próprios campos não são enviados ao navegador até que a senha esteja correta.
Contra o que uma proteção por senha não protege
Uma senha compartilhada é segurança em nível de conveniência: ela impede navegação casual e mantém um formulário fora de buscadores e de compartilhamento aberto de link, mas qualquer pessoa que tenha a senha pode compartilhá-la adiante. Se você precisa saber exatamente quem acessou um formulário, ou precisa revogar o acesso de uma pessoa sem mudá-lo para todo mundo, uma proteção por senha não é a ferramenta certa, isso exige contas individuais.
No YeetForm, definir uma senha de formulário faz o hash dela com scrypt e emite um cookie de desbloqueio assinado e com tempo limitado, vinculado a esse formulário; as tentativas de desbloqueio têm limite de taxa por visitante e formulário.