Segurança básica: senhas, chaves e o que NUNCA colar

Você já construiu, publicou e revisou seu projeto. Agora vem um assunto que parece chato, mas evita dor de cabeça de verdade: segurança. Não precisa virar especialista. Precisa de alguns hábitos simples para não dar um tiro no próprio pé.

A ideia: chave de casa

Pense na sua casa. Você não cola a chave dela num poste na rua com um bilhete: "abre a porta do número 42". Mas no mundo digital, muita gente faz exatamente isso sem perceber. Coloca senha em lugar errado, deixa um arquivo exposto, e alguém entra.

Segurança básica é só isso: saber quais são suas chaves e não deixá-las à mostra.

O que são "dados sensíveis"

Dados sensíveis são informações que, nas mãos erradas, te prejudicam. Os principais:

• Senhas de qualquer conta (e-mail, banco, redes).
• Dados bancários: número de cartão, código de segurança, conta.
• Documentos pessoais: CPF, RG, passaporte, endereço completo.

A regra: você só compartilha isso quando é estritamente necessário e num lugar confiável (o site oficial do seu banco, por exemplo). Nunca por curiosidade ou só para "testar".

O que é uma "chave de API"

Conforme você usa ferramentas, vai esbarrar em algo chamado chave de API. Pense nela como uma senha especial que dá acesso a um serviço (muitas vezes pago) em seu nome.

Exemplo: você assina um serviço que envia e-mails automáticos. Ele te dá uma chave. Quem tiver essa chave pode mandar e-mails gastando o seu crédito. Por isso ela vale dinheiro e precisa ficar escondida.

Uma chave costuma ser um texto longo e bagunçado, tipo sk_live_8fH2k.... Se você ver algo assim, trate como uma senha grossa.

A regra de ouro

Nunca cole senha, chave de API ou dado pessoal numa conversa pública ou num lugar onde não precisa.

Conversar com o Claude no app é razoavelmente seguro para tarefas comuns, mas mesmo assim: se um passo não exige sua senha real, não a digite. Use um exemplo falso. Se uma ferramenta pedir dado demais sem motivo claro, desconfie.

E o erro mais comum de iniciante: subir uma chave para o GitHub (aquele site público onde seu código fica guardado, lá do Módulo 4). Código no GitHub costuma ser visível para o mundo. Uma chave lá é uma chave entregue a estranhos.

O arquivo de segredos (.env) e o .gitignore

A solução para isso já existe e tem nome. Você não precisa configurar à mão — só entender o conceito:

• Arquivo .env: um arquivinho onde ficam guardados os segredos (chaves, senhas de serviços) separados do resto do código. O ponto na frente do nome é só uma convenção.
• Arquivo .gitignore: uma lista de coisas que não devem ir para o GitHub. Você coloca o .env nessa lista, e ele fica só no seu computador.

Na prática, peça ao Claude:

"Crie um arquivo .env para guardar meus segredos e adicione ele ao .gitignore para nunca subir para o GitHub. Me explique onde colocar minha chave."

Ele cuida da parte técnica. Você só guarda a chave no lugar certo.

Cuidados

• Desconfie de quem pede demais. Um site que pede sua senha do banco para "confirmar" algo simples está errado. Feche.
• Bom demais para ser verdade? Provavelmente é golpe. Prêmios, heranças e "clique aqui urgente" são iscas clássicas.
• Uma chave por serviço, sem reaproveitar senha. Se uma vazar, o estrago fica contido.

Se algo der errado

Vazou uma senha ou chave? Não entre em pânico — aja rápido:

1. Troque imediatamente. Toda senha pode ser trocada; toda chave de API pode ser "revogada" (cancelada) e gerada de novo no painel do serviço.
2. Veja o que ficou exposto. Se foi no GitHub, apague o arquivo e gere uma chave nova — a antiga deve ser considerada queimada para sempre.
3. Ative a verificação em duas etapas nas contas importantes. É aquele código extra que chega no celular. Uma senha vazada sozinha não basta para o invasor entrar.

Segurança não é paranoia: é hábito. Com essas regras simples, você usa a IA e a internet com tranquilidade. No próximo post, vamos falar de um cuidado diferente — quando a própria IA te conta algo que parece certo, mas não é.