"Vou criptografar meu JavaScript"
Se o navegador consegue executar, consegue ler. Qualquer "criptografia" no front carrega a chave junto — é um cadeado com a chave pendurada na fechadura.
// resposta curta: não dá — mas olha o que dá
Criptografar o código do site? Não dá.
Proteger de verdade? Dá — e muito.
O navegador precisa ler tudo o que executa — então segredo absoluto no front é impossível. Mas dá para encarecer a cópia com ofuscação e blindar o que importa no servidor. Cole seu JavaScript abaixo e veja ao vivo.
100% no seu navegador
20+ controles ao vivo
teste de execução real
// laboratório
Laboratório de ofuscação
Cole seu JavaScript, ajuste as travas no painel e veja o resultado na hora. Depois teste a execução — provando que o código protegido faz exatamente a mesma coisa — e baixe o arquivo.
seu-codigo.js
solte o arquivo .js aqui
0 linhas · 0 B
Ctrl+Enter processa na hora · arraste um .js para cá
codigo-protegido.js
entrada —
saída —
Δ —
—
Cole seu código no editor acima…
processando travas…
› original
› protegido
O teste roda os dois códigos isolados em workers e compara as saídas. A variante de teste fica sem travas de ambiente (domínio, anti-debug, autodefesa e console bloqueado) — elas existiriam no arquivo final.
// verdades
O que protege e o que é teatro
Seis cartas na mesa, sem marketing. Guarde esta regra: se o navegador executa, o navegador lê — e quem controla o navegador também lê.
"Bloqueei o botão direito e Ctrl+U"
DevTools, curl, view-source:, salvar página… O bloqueio dura até o primeiro F12 de quem sabe. Teste você mesmo na demonstração abaixo.
"Ofuscar o código resolve"
Não esconde, mas encarece a cópia: nomes destruídos, strings cifradas, fluxo embaralhado. É a melhor defesa possível no cliente — use o laboratório acima.
"Segredos ficam no servidor"
Chaves de API, regras de negócio e validações vivem no backend. O front só pergunta; o servidor decide. É a única proteção de verdade.
"Build minificado + monitoramento"
Minifique em produção (já é padrão de build) e monitore cópias: busque trechos únicos do seu código, use o Wayback Machine como prova de anterioridade.
"Proteção legal existe"
Direitos autorais valem mesmo sem registro. Termos de uso claros, © no código e notificação DMCA derrubam cópias hospedadas por aí.
Agora contorne como um atacante
Este cartão bloqueia clique direito, seleção e cópia de verdade. Um clique no botão abaixo revela o código-fonte inteiro do bloqueio — exatamente como qualquer visitante conseguiria.
bloqueio-ui.js — fonte revelada
$ curl -s https://seusite.com | grep '<script' # nem precisa de navegador
Viu? Nunca esteve protegido. Bloqueios de interface são cosméticos — F12 → Sources mostra tudo.
Quanto custa para alguém reverter cada camada?
Esforço estimado para um desenvolvedor determinado entender/copiar seu código:
Sem proteção
segundos
Botão direito bloqueado
~10 segundos
Minificado (build)
minutos
Ofuscação leve
horas
Ofuscação máxima
dias / semanas
Segredo no servidor
não existe no navegador 🔒
Estimativas ilustrativas de esforço — ofuscação atrasa, nunca garante. A única barra intransponível a partir do front é a última.
// arquitetura
O segredo mora no servidor
A pergunta certa não é "como escondo meu código?", é "o que realmente precisa ficar secreto?" — e isso nunca deveria chegar ao navegador.
NAVEGADOR — TUDO VISÍVEL
- HTML, CSS e JS chegam inteiros
- DevTools lê e depura tudo
- só interface e perguntas à API
pedido →
← resposta · HTTPS
SERVIDOR — COFRE DE VERDADE
- chaves de API e segredos
- regras de negócio e validações
- banco de dados e permissões
errado.js — a chave vai junto
Problema: qualquer visitante abre o DevTools e copia a chave em 10 segundos. Ofuscar isso só compra alguns minutos.
front.js — sem segredos
servidor.js — o cofre
Agora sim: o front pergunta, o servidor decide. A chave nunca chega ao navegador — não há o que copiar. Pode até ofuscar o front por cima, como camada extra.
Validação e cálculo sensível no servidor
Autenticação + rate limit na API
Chaves em variáveis de ambiente
HTTPS sempre, sem exceção
// kit
Kit de sobrevivência
Trechos prontos para copiar e colar — com a honestidade de sempre sobre o que cada um faz de verdade.
ilusão — não protege
Bloqueio de interface
Incomoda curiosos, não para ninguém determinado. Use sabendo disso.
bloqueio-ui.js
real — camada legal
Aviso de direitos autorais
Deixa a titularidade explícita e facilita notificações de cópia (DMCA).
banner.js — cole no topo do bundle
padrão — build de produção
Minificar + ofuscar no build
O jeito profissional: automatize no pipeline, não na mão.
terminal
// faq
Perguntas que sempre chegam
Não. HTML e CSS são enviados integralmente ao navegador — não há execução sem entrega. Ofuscar nomes de classes só atrapalha sua manutenção e não impede cópia: basta salvar a página. Trate o front como material público por definição.
Eleva bastante a barra: o código vira binário, e reverter dá muito mais trabalho que ler JS. Mas continua sendo engenharia reversa possível — ferramentas decompilam WASM. É ótimo para lógica pesada (jogos, editores), não é criptografia nem segredo garantido.
Desconfie de promessas absolutas. Se o navegador executa, alguém com tempo e acesso ao cliente extrai a lógica — a "chave" sempre viaja junto. Ferramentas sérias vendem ofuscação (atraso e custo), e as boas dizem isso abertamente, como esta página.
1. Documente tudo: prints com data, URL, código-fonte da cópia e o seu original no Wayback Machine. 2. Notifique a hospedagem da cópia (abuse@) com pedido DMCA. 3. Notificação extrajudicial ao responsável. 4. Advogado, se houver prejuízo. Direitos autorais existem desde a criação — registro de marca e de obra só fortalecem a prova.