~/tools / Prompt Redactor
Prompt Redactor — Mascare chaves, tokens e dados pessoais antes de colar em uma IA
Mascare chaves de API, tokens, chaves privadas, e-mails, endereços IP e números de cartão antes de colar um texto em um chat de IA, e depois recoloque os originais na resposta. Nada sai do seu navegador.
Texto mascarado
O texto mascarado aparece aqui.
Esta ferramenta encontra texto com um formato reconhecível. Ela não encontra informações confidenciais escritas em frases comuns, então não encontrar algo não significa que esteja seguro.
Leia o texto mascarado antes de enviá-lo.
Os formatos de chave foram conferidos com a documentação dos fornecedores e com as RFCs em 2026-10-23.
Tudo roda no seu navegador. Nem o seu texto nem a tabela de restauração são enviados.
Os prompts costumam conter mais do que você pretendia compartilhar: uma string de conexão em um stack trace, uma chave em um arquivo de configuração, o e-mail de um cliente em uma linha de log. Esta ferramenta encontra segredos e dados pessoais que têm um formato reconhecível e substitui cada um por um marcador como [EMAIL_1]. O mesmo valor recebe sempre o mesmo marcador, então a IA ainda consegue acompanhar qual é qual. Quando a IA responde, cole a resposta na caixa de restauração e seus originais voltam ao lugar. Ela encontra padrões, não significado: um texto sem formato fixo, como um plano confidencial escrito em frases, não é detectado. Leia sempre o resultado antes de enviá-lo.
Casos de uso
- Limpar um stack trace, um trecho de log ou um arquivo de configuração antes de pedir a uma IA que o depure
- Compartilhar um trecho de código que contém uma string de conexão ou um token
- Trocar e-mails e endereços IP reais por marcadores em uma transcrição de suporte
Como usar
- Cole o seu texto ou carregue o exemplo.
- Confira a lista do que foi detectado e desmarque o que você não quer mascarar.
- Copie o texto mascarado para o chat de IA.
- Cole a resposta da IA na caixa de restauração para recolocar seus valores reais.
O que ela consegue encontrar
A ferramenta identifica o texto pelo formato. Estes são os formatos que ela reconhece por um prefixo ou uma estrutura documentados.
| Tipo | O que procura | O que está documentado |
|---|---|---|
| Chave privada | Um bloco de -----BEGIN … PRIVATE KEY----- até a linha END correspondente | A RFC 7468 define as linhas BEGIN e END e os rótulos PRIVATE KEY e ENCRYPTED PRIVATE KEY. Os rótulos RSA, EC e OPENSSH são uma convenção. |
| ID de chave de acesso da AWS | AKIA ou ASIA seguido de 16 letras maiúsculas ou dígitos | A AWS documenta os prefixos: AKIA para chaves de acesso, ASIA para chaves temporárias. Seus exemplos têm 20 caracteres. |
| Token do GitHub | ghp_, gho_, ghu_, ghs_, ghr_ ou github_pat_ | O GitHub documenta os prefixos. O tamanho e os caracteres não são documentados. |
| Token do Slack | xoxb-, xoxp-, xapp- ou xwfp- | O Slack documenta estes prefixos. |
| Chave do Stripe | sk_, pk_ ou rk_ seguido de test_ ou live_ | O Stripe documenta estes prefixos. |
| Chave de API da Anthropic | sk-ant-api… | A Anthropic documenta apenas o prefixo. |
| JWT | Três partes em base64url separadas por pontos, a primeira começando com eyJ | A RFC 7519 define as três partes. Começar com eyJ é um padrão comum, não uma regra. |
| Cabeçalho Authorization | Bearer, Basic ou Token seguido de uma credencial | A RFC 6750 define o Bearer e a RFC 7617 define o Basic. |
| Senha em uma URL | scheme://user:password@host | A RFC 3986 diz que a forma user:password é obsoleta. |
Padrões que parecem segredos
Alguns formatos não têm um formato publicado. As chaves da OpenAI, as chaves de API do Google e a atribuição de um valor a um nome como password, secret ou api_key são identificadas por palpites, então podem deixar passar uma chave ou mascarar algo inofensivo. A ferramenta os mostra em um grupo separado para que você possa desativá-los.
Os números de cartão precisam ter de 13 a 19 dígitos, começar como os de uma bandeira importante e passar no dígito verificador de Luhn. A verificação do início do número evita que timestamps de 13 dígitos sejam tratados como cartões. O número de cartão de teste documentado pelo Stripe, 4242 4242 4242 4242, é detectado.
Por que os marcadores mantêm seus nomes
O mesmo valor recebe sempre o mesmo marcador, e cada valor diferente recebe o seu próprio número: [EMAIL_1], [EMAIL_2]. A IA ainda consegue raciocinar sobre qual é qual, por exemplo que [IP_1] não consegue alcançar [IP_2], sem ver os endereços reais.
Quando você cola a resposta da IA na caixa de restauração, cada marcador que ela manteve é trocado pelo valor original. Se a IA reescreve ou descarta um marcador, aquele não pode ser restaurado.
O que ela não vai encontrar
- Nomes, endereços e números de telefone escritos em frases.
- Nomes de host internos, IDs de clientes, nomes de código de projetos e outras palavras que só são secretas pelo contexto.
- Chaves em um formato que ela não conhece.
- Um segredo que já foi colado em outro lugar. Mascarar agora não o recupera.
Leia o texto mascarado antes de enviá-lo. Não encontrar algo não é prova de que esteja seguro.
Fontes (verificadas em 2026-10-23): RFC 7468: Textual Encodings of PKIX, PKCS, and CMS Structures / RFC 7519: JSON Web Token (JWT) / RFC 6750: The OAuth 2.0 Bearer Token Usage / RFC 7617: The 'Basic' HTTP Authentication Scheme / RFC 3986: Uniform Resource Identifier (URI): Generic Syntax / AWS IAM: Understanding unique ID prefixes / GitHub Docs: About authentication to GitHub / Slack: Tokens / Stripe: API keys / Stripe: Testing
FAQ
O que ela detecta?
Blocos de chave privada, JWTs e tokens cujo prefixo o fornecedor documenta (IDs de chave de acesso da AWS, chaves do GitHub, Slack e Stripe, chaves da Anthropic); cabeçalhos Authorization, senhas em URLs e valores atribuídos a nomes como password ou api_key; e dados pessoais: endereços de e-mail, endereços IPv4 e números de cartão que passam na verificação de Luhn.
Por que algumas detecções são chamadas de padrões que parecem segredos?
Os fornecedores documentam o prefixo de algumas chaves, mas não o tamanho nem os caracteres exatos, e alguns formatos, como as chaves da OpenAI, não são documentados de forma alguma. Essas verificações são palpites baseados no formato, então podem deixar passar uma chave ou mascarar algo inofensivo. Desmarque uma categoria se ela atrapalhar.
Ela garante que não sobra nada sensível?
Não. Ela não reconhece segredos sem formato fixo, um nome escrito em uma frase, nem uma chave em um formato que ela não conhece. Leia o texto mascarado antes de enviá-lo.
Como funciona a restauração?
A ferramenta guarda uma tabela com os marcadores e os valores que eles substituíram, somente na memória desta página. Quando você cola a resposta da IA, cada marcador conhecido é trocado de volta. Se você recarregar a página, a tabela se perde, então mantenha a página aberta enquanto trabalha.
Por que um número que eu queria manter virou [CARD_1]?
A detecção de cartão procura de 13 a 19 dígitos que começam como os de uma bandeira importante e passam na verificação de Luhn, então um número sem relação pode coincidir por acaso. Desmarque Números de cartão para desativá-la.
Meu texto é enviado a um servidor?
Não. A detecção e a restauração rodam no seu navegador.