A transferência de ficheiros no navegador é segura?
Atualizado a 29 de julho de 2026
"Enviar um ficheiro através de um site" desperta os instintos certos. Muitos sites de partilha carregam mesmo o seu ficheiro, guardam uma cópia, analisam-na e dão-lhe uma ligação que funciona para quem quer que a encontre. É justo perguntar o que uma transferência entre navegadores faz de diferente, e quais são os limites.
Versão curta
- O ficheiro viaja encriptado ponto a ponto entre os dois navegadores. A encriptação é obrigatória nesta tecnologia; não existe modo não encriptado.
- O ficheiro nunca é carregado para um servidor nem armazenado. Não há cópia que possa ser divulgada ou analisada mais tarde.
- O servidor de coordenação vê metadados — que existe uma sessão, e o nome e o tamanho do ficheiro — não o conteúdo.
- Um servidor de encaminhamento, quando é necessário, reencaminha bytes encriptados que não consegue ler.
- O risco realista não é o transporte. É a quem dá a ligação.
O que encripta o ficheiro
Antes de qualquer dado se mover, os dois navegadores fazem um handshake DTLS — a mesma família de criptografia do TLS que protege o site do seu banco. Derivam chaves que só eles possuem, e todos os bytes seguintes seguem encriptados com essas chaves.
O que importa: as chaves são negociadas diretamente entre os dois navegadores. O servidor de coordenação ajuda-os a encontrarem-se, mas não participa no handshake nem chega a ter uma chave. É isto que significa "ponto a ponto" na prática — não uma promessa numa política de privacidade, mas uma propriedade da forma como a ligação é construída.
Para impedir que alguém se intrometa na apresentação, cada navegador publica uma impressão digital do seu certificado e verifica que o interlocutor apresenta o certificado correspondente. Um servidor que tentasse colocar-se no meio teria de apresentar outro certificado, e a verificação falharia.
O que o servidor de coordenação vê
- Vê: que existe uma sessão de transferência, os dados de ligação que os navegadores precisam para se alcançarem (incluindo endereços IP, inevitável em qualquer ligação direta), e o nome e o tamanho do ficheiro, que são mostrados a quem recebe no início da transferência.
- Não vê: o conteúdo do ficheiro. Nem um byte de dados passa por ele.
- Não guarda: o ficheiro, porque nunca o tem. As sessões são curtas e expiram sozinhas.
Se o próprio nome do ficheiro for sensível, mude-o antes de enviar. É a única informação próxima do conteúdo que o servidor necessariamente processa.
O que um servidor de encaminhamento vê
Por vezes os dispositivos não se alcançam diretamente e a transferência passa por um servidor de encaminhamento. Esses bytes continuam encriptados com chaves que esse servidor não tem: ele reencaminha texto cifrado. Vê que existe uma ligação, quantos dados passaram e durante quanto tempo. Não vê o que são. Mais detalhe em porque é que as transferências são lentas.
Como isto difere da partilha na nuvem
Num serviço convencional, o ficheiro é transmitido para um servidor, escrito em disco e mantido lá até expirar. Durante essa janela existe como cópia legível numa infraestrutura que não controla. Pode ser analisado, replicado para outras regiões e registado. A ligação funciona muitas vezes como uma chave ao portador: quem a tiver descarrega o ficheiro, e as ligações escapam por históricos de conversa e reencaminhamentos.
Nada disto é um escândalo — é como esses serviços têm de funcionar para permitir entrega assíncrona. Mas é um perfil de risco genuinamente diferente de uma transferência em que nunca se cria uma cópia.
A contrapartida é real: uma transferência ponto a ponto exige os dois dispositivos ligados ao mesmo tempo. Se precisa de enviar algo que a outra pessoa vai buscar amanhã, precisa de um serviço que o guarde. Ver a comparação com WeTransfer, AirDrop e Send Anywhere.
Verificar que o ficheiro chegou intacto
A encriptação impede que o ficheiro seja lido; não garante, por si só, que chegou completo. É calculada uma soma de verificação SHA-256 no envio e outra na receção, e o resultado da comparação é mostrado no fim. Se não coincidirem, o ficheiro está corrompido ou truncado — envie de novo em vez de confiar nele.
Onde estão os riscos reais
Quem tiver a ligação ou o PIN recebe o ficheiro
Uma ligação de transferência é um convite. Quem a abrir primeiro passa a ser o destinatário. Não a publique, e lembre-se de que um PIN dito em voz alta num escritório partilhado é um PIN que qualquer pessoa por perto pode usar. As ligações e os PIN expiram rapidamente por esta razão, mas a janela não é nula.
O outro dispositivo está fora do seu controlo
Depois de entregue, o ficheiro está na máquina de outra pessoa, sujeito às cópias de segurança e aos hábitos dessa pessoa. Nenhum método de transferência muda isso.
O seu próprio dispositivo
Se algum dos dispositivos estiver comprometido, a encriptação em trânsito é irrelevante — o ficheiro é legível nas duas pontas por definição. Mantenha o navegador e o sistema atualizados.
Conselhos práticos
- Partilhe a ligação ou o PIN por um canal de confiança e apenas com quem vai receber.
- Mude nomes de ficheiro que revelem algo sensível.
- Inicie a transferência com a outra pessoa já pronta, em vez de enviar uma ligação para mais tarde.
- Verifique a confirmação de integridade no fim.
- Para material verdadeiramente sensível, encripte o próprio ficheiro antes de enviar — um arquivo protegido por palavra-passe, partilhada por outro canal, também o protege depois de chegar.
Interessa-lhe antes a mecânica? Leia como funciona.