Ferramentas online são seguras para dados sensíveis? Como funcionam as ferramentas só de navegador

Você tem um bloco de JSON bagunçado, uma pilha de faturas em PDF ou uma foto do seu documento de identidade que precisa ser comprimida. Procura uma ferramenta gratuita, cola ou envia seus dados e recebe o resultado em segundos. É rápido e prático, e a maioria das pessoas nunca se pergunta para onde esses dados foram. Essa pergunta importa mais do que parece, porque os textos e arquivos que passamos por ferramentas online costumam ser o que há de mais sensível no nosso trabalho: chaves de API, cadastros de clientes, contratos e números financeiros.

Este guia explica o que realmente acontece quando você usa uma ferramenta online, qual é a diferença entre ferramentas baseadas em servidor e só de navegador, e como conferir por conta própria as promessas de privacidade de qualquer ferramenta em menos de dois minutos. Você também recebe uma lista de verificação simples para decidir o que é seguro colar e onde. Todas as ferramentas citadas aqui, como o formatador de JSON, o compressor de imagens e juntar PDF, rodam no seu navegador, então você pode acompanhar com os seus próprios dados.

1. O que acontece quando você cola dados em uma ferramenta online?

A maioria das ferramentas online gratuitas segue um de dois modelos, que parecem idênticos por fora.

Ferramentas baseadas em servidor enviam o que você digitou pela internet para um computador do operador da ferramenta. Esse servidor faz o trabalho, como formatar seu JSON ou juntar seus PDFs, e devolve o resultado. Durante esse trajeto, seus dados existem em uma infraestrutura que você não controla. Dependendo de como a ferramenta foi construída, o operador pode registrá-los, armazená-los, mantê-los em cache, fazer backup ou repassá-los a serviços de terceiros.

Ferramentas só de navegador (também chamadas de ferramentas do lado do cliente) baixam seu código uma única vez para o navegador e fazem todo o trabalho no seu próprio dispositivo. O que você digitou não precisa sair do seu computador, porque o próprio navegador tem tudo de que precisa para formatar, converter ou calcular.

Nenhum dos dois modelos é automaticamente bom ou ruim, e muitas ferramentas baseadas em servidor são operadas com responsabilidade. O ponto é que, com uma ferramenta baseada em servidor, você confia nas promessas do operador, enquanto com uma ferramenta só de navegador o próprio modelo limita o que pode dar errado.

2. Por que colar dados em sites aleatórios é arriscado

O risco não é teórico. Em novembro de 2025, pesquisadores de segurança da watchTowr Labs relataram que dois sites populares de formatação de código, JSONFormatter e CodeBeautify, tinham exposto uma enorme quantidade de conteúdo salvo por usuários. Os pesquisadores coletaram mais de 80.000 entradas salvas, mais de 5 GB de dados, por meio das páginas públicas «Recent Links» desses sites e de URLs previsíveis para trechos compartilhados.

Segundo os pesquisadores, o material incluía credenciais, chaves de nuvem, chaves privadas, tokens de API e dados pessoais de organizações de setores como governo, bancos, saúde e telecomunicações. Para testar se alguém explorava a exposição, os pesquisadores colocaram chaves de nuvem falsas, mas com aparência válida, em trechos salvos. De acordo com o relatório, cerca de 48 horas depois alguém tentou usar uma delas.

A lição não é sobre dois sites específicos. Um recurso de «salvar» ou «compartilhar» em uma ferramenta baseada em servidor pode transformar o que você colou em um registro armazenado, com link e passível de varredura, muitas vezes sem que você perceba. Tudo o que você envia a uma ferramenta que armazena dados é tão privado quanto a sua configuração mais fraca.

3. Que tipos de dados são realmente sensíveis?

Muita gente acha que senhas são sensíveis e que o resto é inofensivo. Na prática, boa parte dos dados comuns de trabalho é arriscada de entregar ao servidor de um desconhecido.

Um bom hábito é fazer uma pergunta antes de colar qualquer coisa: «Eu ficaria à vontade se isto aparecesse amanhã em uma página pública?». Se a resposta for não, use uma ferramenta que você possa verificar ou não use nenhuma ferramenta web.

4. Como as ferramentas só de navegador funcionam por dentro

As ferramentas só de navegador usam recursos que os navegadores modernos já têm. Entendê-los facilita confiar, ou desconfiar, do que uma ferramenta afirma.

• JavaScript executa a lógica: analisar JSON, contar palavras, calcular a parcela de um empréstimo ou gerar um UUID.
• A File API permite que uma página leia um arquivo que você escolheu sem enviá-lo a lugar nenhum. O arquivo é lido na memória do seu navegador.
• A Canvas API pode redimensionar e recodificar imagens, e é assim que um compressor de imagens reduz um arquivo JPG ou WebP localmente.
• A Web Crypto API oferece funções criptográficas no navegador, como números aleatórios seguros para senhas e algoritmos de hash como o SHA-256.
• WebAssembly permite que tarefas mais pesadas, como ler um banco SQLite ou processar um PDF, rodem no seu dispositivo em velocidade próxima da nativa.

Por exemplo, quando você usa um unificador de PDF no navegador, a página carrega na memória os arquivos que você seleciona, um script junta as páginas e o navegador oferece o arquivo pronto para download. Não é necessário nenhum envio em momento algum. A mesma ideia vale para um gerador de senhas: ele pode criar os caracteres com o gerador de números aleatórios seguro do seu navegador, de modo que a senha não é criada no servidor de outra pessoa nem enviada a partir dele.

5. Como conferir a promessa «seus dados continuam privados»

Qualquer site pode dizer «nós nunca vemos os seus dados». A boa notícia é que você não precisa acreditar na palavra, porque o seu navegador mostra exatamente o que uma página envia pela rede. Este teste rápido funciona no Chrome, no Edge, no Firefox e no Safari.

1. Abra a ferramenta e espere terminar de carregar.
2. Abra as ferramentas de desenvolvedor do navegador (pressione F12, ou Ctrl+Shift+I no Windows e Cmd+Option+I no Mac) e vá para a aba Rede (Network).
3. Limpe a lista e use a ferramenta com uma entrada de teste inofensiva, como um JSON de exemplo ou um arquivo fictício.
4. Observe a aba Rede. Se a ferramenta for realmente só de navegador, você não deve ver nenhuma requisição levando sua entrada ou seu arquivo a um servidor.
5. Clique em qualquer requisição que aparecer e confira a seção Payload ou Request para ver se ela contém seus dados de teste.

É normal ver algumas requisições. As páginas carregam fontes, scripts e ferramentas de análise, e estes não devem conter o seu conteúdo. O que você procura é uma requisição, em geral do tipo POST, que inclua o texto ou o arquivo que você acabou de fornecer.

Um segundo teste é ainda mais simples. Carregue a ferramenta, desligue a conexão com a internet (use o modo avião ou a opção «Offline» da aba Rede) e tente de novo. Se ainda funcionar, o processamento está acontecendo no seu dispositivo.

6. O que «só de navegador» não garante

Um conselho honesto de privacidade inclui os limites, então tenha em mente o seguinte.

• A página em si ainda vem de um servidor. Carregar um site sempre contata o seu host. Só de navegador significa que o que você digitou não é enviado para processamento, não que você seja anônimo.
• Análise e anúncios ainda podem rodar. Uma ferramenta pode processar os dados localmente e mesmo assim incluir scripts de terceiros. Confira a aba Rede e a política de privacidade para ver o que mais é carregado.
• Você confia no código que baixa. Um site malicioso poderia dizer que trabalha localmente e enviar seus dados em silêncio, e por isso o teste da aba Rede importa.
• Seu dispositivo faz parte do quadro. Extensões do navegador podem ler as páginas, e quem tiver acesso ao seu computador pode ver seus downloads e seu histórico.
• Os resultados também podem vazar. Se você colar um resultado em um chat, em um e-mail ou em um repositório público, a privacidade da ferramenta deixa de importar.

O modelo só de navegador elimina uma grande categoria de risco, o servidor de terceiros que armazena o que você digitou. Ele não elimina a necessidade de cuidado comum.

7. Baseada em servidor ou só de navegador: qual usar?

Algumas tarefas realmente precisam de um servidor, como converter um formato de arquivo raro, aplicar OCR em um documento digitalizado ou usar um modelo de IA. Use esta tabela para decidir.

Se precisar usar uma ferramenta baseada em servidor, procure uma política de privacidade clara que informe por quanto tempo os dados são mantidos, se são apagados após o processamento e se existe algum recurso público de «salvar», «compartilhar» ou «recentes». Evite salvar ou compartilhar trechos que contenham qualquer coisa que você não publicaria.

8. Exemplos práticos: tarefas comuns e a forma mais segura de fazê-las

Formatar o JSON de uma resposta de API. Respostas de API costumam conter tokens, endereços de e-mail ou IDs internos. Use um formatador de navegador como o formatador de JSON e remova ou oculte os segredos antes de compartilhar o resultado com alguém.

Juntar arquivos PDF. Contratos, formulários fiscais e extratos estão cheios de dados pessoais. A ferramenta juntar PDF une os arquivos no seu dispositivo, então os documentos não são enviados.

Comprimir fotos para um formulário de inscrição. Fotos de documentos e digitalizações são exatamente o que os ladrões de identidade querem. O compressor de imagens reduz as imagens no seu navegador, sem envio a servidor.

Decodificar um JWT. Um JSON Web Token pode carregar dados do usuário e, às vezes, dar acesso. Decodificá-lo localmente com o codificador/decodificador JWT é mais seguro do que enviá-lo a um site desconhecido. Lembre-se de que um token real e dentro da validade continua sendo uma credencial, então nunca o compartilhe publicamente.

Gerar uma senha. Uma senha deve ser criada onde ninguém mais possa vê-la. O gerador de senhas a cria no seu navegador, então ela não é gerada em um servidor remoto nem enviada a partir dele.

9. Uma lista de cinco passos antes de colar qualquer coisa

1. Classifique os dados. São públicos, internos ou secretos? Segredos incluem chaves, senhas, tokens e cadastros pessoais.
2. Remova o que não precisa. Troque os valores reais por valores fictícios sempre que a ferramenta só precisar da estrutura.
3. Confira como a ferramenta funciona. Procure uma declaração clara de que o processamento é local e confirme com o teste da aba Rede descrito acima.
4. Evite os recursos de salvar e compartilhar. Se a ferramenta oferecer links compartilháveis ou um histórico público, presuma que o que for armazenado ali pode ser visto por outras pessoas.
5. Troque o que você já expôs. Se você colou uma chave ou senha real em uma ferramenta em que não confia, trate-a como comprometida, revogue-a e emita uma nova.

10. Perguntas frequentes

Ferramentas online são seguras?

Depende da ferramenta. Muitas são seguras para dados públicos ou de exemplo, mas uma ferramenta baseada em servidor pode armazenar o que você envia. Por isso, não cole segredos nem informações pessoais em uma a menos que confie no operador e entenda sua política de dados.

O que significa «só de navegador» ou «do lado do cliente»?

Significa que o código da ferramenta roda no seu próprio dispositivo, dentro do navegador, em vez de em um servidor remoto. O que você digitou é processado localmente, então não precisa ser enviado para a ferramenta funcionar.

Como saber se uma ferramenta envia meus dados?

Abra as ferramentas de desenvolvedor do navegador, vá para a aba Rede e use a ferramenta com dados de teste. Se aparecer uma requisição contendo sua entrada ou seu arquivo, a ferramenta o está enviando para algum lugar. Você também pode desconectar da internet e ver se a ferramenta continua funcionando.

É seguro colar chaves de API ou senhas em um formatador de JSON?

Evite. Credenciais estão entre as coisas mais danosas de vazar, e formatadores baseados em servidor podem armazenar ou expor o que você cola. Se precisar trabalhar com elas, use uma ferramenta de navegador verificada, oculte os valores antes e troque qualquer chave real que possa ter sido exposta.

Uma ferramenta só de navegador ainda pode me rastrear?

Sim. O processamento local significa que o que você digitou não é enviado, mas o site ainda pode usar análise, cookies ou scripts de anúncio. Leia a política de privacidade e confira as requisições na aba Rede para ver o que mais a página carrega.

Preciso me cadastrar para usar ferramentas só de navegador?

Não necessariamente. Como o processamento acontece no seu dispositivo, não há motivo técnico para exigir uma conta. As ferramentas do Tooltri não exigem cadastro.

11. Conclusão: confie, mas verifique

Ferramentas online gratuitas economizam tempo, e não há motivo para deixar de usá-las. O mais seguro é combinar a ferramenta com os dados. Use ferramentas só de navegador para tudo o que for privado, mantenha segredos longe de qualquer serviço que possa armazenar ou compartilhar o que você digitou e dedique dois minutos à aba Rede antes de confiar algo importante a uma ferramenta nova.

Pronto para testar? Abra o formatador de JSON, o compressor de imagens ou juntar PDF, faça você mesmo o teste da aba Rede e veja que seus dados ficam onde devem ficar: no seu dispositivo. Se, além de dados, você trabalha com dinheiro, combine este guia com a nossa calculadora de margem de lucro para precificar seus produtos sem enviar seus números a ninguém.