Para: qualquer pessoa que guarde as senhas do painel admin e das contas em um documento ou planilha do Google Drive, se perguntando "isto é seguro?" Aqui vai a resposta honesta. Nenhum passo de ataque — só como guardá-las com segurança.
A visão deste site: o problema não é 'usar o Drive', é o 'texto puro'
Um equívoco comum é "colocar na nuvem é ruim". Não é. O problema real é tê-lo em texto puro, numa lista. Sincronizar um cofre de senhas criptografado (ex.: um .kdbx do KeePass) via Drive é uma prática normal e segura no mundo todo — o arquivo é só texto cifrado sem sua chave-mestra.
Inversamente, por mais trancada que esteja sua conta Google, se o conteúdo é uma tabela em texto puro, qualquer um que entre nessa conta lê tudo. Pense em termos de "legível sem sua chave, ou não" — não em nuvem vs. não-nuvem.
Por que uma lista em texto puro é perigosa
É tentador pensar "está numa conta Google com uma senha sólida, então tudo bem". Mas uma lista em texto puro acumula riscos próprios.
Concretamente, qualquer um destes vaza a lista inteira.
Sequestro da conta Google
Conceder a um app conectado malicioso
Phishing via copiar-colar manual
Proliferação de dispositivos e links de compartilhamento
E a própria criptografia do Google Drive é do tipo que o próprio Google consegue ler, não uma criptografia pensada para segredos. Torne os segredos ilegíveis sem sua chave antes de entregá-los a qualquer provedor. Essa é a regra para lidar com segredos (mesma ideia de arquivos .env e segredos).
Uma escala do perigoso ao seguro
Mesmo "guardado no Drive" varia enormemente conforme o que está dentro.
✗ tabela em texto puro
digitada direto em um documento/planilha
△ zip criptografado
arquivo protegido por senha; trabalhoso, então as pessoas deixam de usar
○ cofre criptografado
um .kdbx do KeePass sincronizado via Drive
◎ gerenciador de senhas
Bitwarden/1Password; preenchimento + monitoramento
Para os lugares comuns onde as pessoas guardam senhas, veja se o conteúdo pode ser lido depois que alguém entra na sua conta Google (ou no seu computador).
| Onde fica guardada | Legível depois que alguém entra? | Veredito |
|---|---|---|
| Digitada num Documento ou Planilha Google | Sim, do jeito que está | Perigoso |
| Excel só com proteção de planilha | Sim (impede edições; não é criptografia) | Perigoso |
| Excel com "Criptografar com Senha" | Não sem a senha de abertura | Segunda melhor opção (sem preenchimento automático nem alertas) |
| .kdbx do KeePass sincronizado via Drive | Não sem a senha-mestra | Seguro |
| Gerenciador de Senhas do Google com criptografia no dispositivo | O Google diz que só você consegue ler | Seguro |
| Gerenciador de senhas dedicado (Bitwarden / 1Password) | Não sem a senha-mestra | Seguro |
Duas coisas decidem: se o conteúdo está criptografado e se você ainda copia as senhas à mão. Um arquivo do Excel criptografado passa no primeiro teste, mas, como você copia da tabela toda vez, o risco de colar num site falso continua.
Como guardá-las do jeito certo
A melhor resposta é migrar para um gerenciador de senhas dedicado. Estes passos tiram você de uma lista em texto puro.
Use um gerenciador de senhas dedicado
Faça a senha-mestra longa e única
Coloque MFA resistente a phishing no gerenciador e na sua conta Google
Após migrar, apague a lista em texto puro de vez
Migre para passkeys onde puder
Uma lista em texto puro no Google Docs
- uma conta tomada e tudo vaza
- você pode colar em um site falso à mão (sem defesa contra phishing)
- sem detecção de vazamento, preenchimento automático ou versionamento
- o acesso de app conectado consegue ler o conteúdo
Um gerenciador de senhas dedicado
- o conteúdo fica criptografado quando sincronizado (o provedor não consegue lê-lo)
- não preenche automaticamente em um domínio falso = resistente a phishing
- geração forte embutida, monitoramento de vazamentos, histórico
- protegido por uma senha-mestra mais MFA
Se você ainda quiser usar o Drive
Há duas condições mínimas.
- Guarde apenas um arquivo de cofre criptografado (.kdbx etc.); nunca um documento/planilha em texto puro
- Coloque MFA resistente a phishing na conta Google
Com ambos, o Drive vira apenas um lugar que sincroniza texto cifrado, e o risco cai acentuadamente.
Passando uma planilha para um gerenciador de senhas
Você não precisa redigitar a lista item por item. Um arquivo CSV (um formato simples de tabela) permite importar tudo de uma vez.
Escolha o destino e baixe como CSV
No Planilhas Google: Arquivo > Fazer download > Valores separados por vírgula (.csv). Esse CSV é a própria lista sem criptografia, então planeje importar e apagar no mesmo dia.
Renomeie as colunas conforme o importador
O Gerenciador de Senhas do Google precisa de url, username e password como cabeçalhos da primeira linha. O Bitwarden tem cabeçalhos próprios (name, login_uri, login_username, login_password e outros). Se os nomes não baterem, a importação falha, então siga o exemplo da página de ajuda do seu gerenciador.
Importe
No Gerenciador de Senhas do Google, vá em passwords.google.com > Configurações > Importar. No app web do Bitwarden, use "Tools" > "Import" (ferramentas > importar). O Google aceita até 3.000 senhas por vez.
Apague o CSV e a lista original
Apague o CSV baixado e esvazie a lixeira do computador. Tanto o Google quanto o Bitwarden mandam apagar esse arquivo depois de importar. Apague também a planilha original no Drive e depois exclua-a definitivamente da lixeira do Drive (ela é removida automaticamente após 30 dias, mas fica lá até então).
Troque primeiro as importantes
Começando pelas contas em que um vazamento doeria mais (e-mail, internet banking, painéis de administração de sites), passe para senhas novas geradas pelo gerenciador de senhas. Enquanto estavam na lista, qualquer um dentro da sua conta Google podia lê-las.
Como verificar a sua própria configuração
Mesmo depois de "migrei tudo", cópias antigas e configurações de compartilhamento costumam ficar para trás. Verifique estas quatro coisas na sua própria conta.
Pesquise a palavra senha no Drive
A pesquisa do Drive olha o texto dentro dos arquivos, não só os nomes. Pesquise "senha", "password", "pw", "login" e parecidos, e acrescente type:spreadsheet ou type:document para restringir a planilhas e documentos. Confira também os drives compartilhados e os arquivos que outras pessoas compartilharam com você.
Confira o compartilhamento do que encontrar
Selecione o arquivo, abra Compartilhar e veja se o Acesso geral está como "Qualquer pessoa com o link". Com essa configuração, qualquer um que tenha o link abre o arquivo sem entrar numa conta Google. Se ainda não puder apagá-lo, mude para Restrito.
Revise os apps com acesso à sua conta
A página de apps vinculados da sua Conta do Google (myaccount.google.com/linkedapps) lista os apps a que você deu acesso à sua Conta do Google. Remova o acesso de tudo o que você não usa mais ou não reconhece.
Confira a pasta Downloads e qualquer arquivo do Excel
Procure exportações antigas em .csv ou .xlsx. Se você ainda mantém uma lista no Excel, garanta que ela usa Arquivo > Informações > Proteger Pasta de Trabalho > Criptografar com Senha, e não só a proteção de planilha.
Aproveite para confirmar que o login da sua conta Google usa um passkey ou a verificação em duas etapas (→ guia de MFA).
Erros comuns e como corrigi-los
- Apagar as linhas mas manter o arquivo: Documentos e Planilhas Google guardam um histórico de versões, e versões anteriores podem ser abertas e restauradas. Depois de migrar, apague o arquivo inteiro, ou apague o histórico de versões como proprietário.
- Confiar na proteção de planilha: a Microsoft diz que ela não é um recurso de segurança. Para tornar o conteúdo ilegível, é preciso criptografar o arquivo inteiro.
- Deixar o CSV da migração em Downloads: qualquer um que use o computador consegue abri-lo. Apague-o logo depois de importar.
- Anotar a senha de abertura do arquivo criptografado no mesmo Drive: se alguém entrar na conta Google, leva as duas coisas. Guarde essa senha na cabeça ou em papel, em casa.
- Usar uma planilha para compartilhar senhas com a família ou a equipe: use o recurso de compartilhamento do gerenciador de senhas. Quando alguém sai, dá para remover só o acesso dessa pessoa.
Um exemplo real: o que estava legível num lugar levou às próximas credenciais
Em junho de 2026, a plataforma japonesa de financiamento coletivo CAMPFIRE publicou o resultado de sua investigação sobre um acesso não autorizado. Segundo a empresa, uma credencial do GitHub emitida por um funcionário foi usada indevidamente por um terceiro, e informações visíveis no GitHub foram então usadas para procurar e obter credenciais de um ambiente de nuvem usado para trabalho interno. A empresa diz que 225.846 registros de usuários afetados, sem duplicatas, podem ter sido expostos (veja nosso artigo sobre o vazamento da CAMPFIRE, em inglês).
Esse caso é sobre o ambiente de desenvolvimento de uma empresa, mas o padrão é o mesmo de uma lista pessoal de senhas. Quando alguém entra numa conta e encontra outras credenciais legíveis ali, o estrago não para nessa conta. Manter uma lista de senhas em texto puro dentro da sua conta Google significa que as próximas credenciais já estão esperando por quem entrar.
O que este site faz por conta própria
Este site mantém segredos — senhas, chaves, strings de conexão — fora de documentos compartilhados, fora do repositório de código e fora das notas de handoff, nunca em texto puro (→ mantendo segredos fora do git). Os logins do dia a dia vivem em um gerenciador de senhas, e as contas importantes são reforçadas em dobro com MFA resistente a phishing. O motivo é simples: nunca construa um estado em que invadir um lugar expõe tudo. Uma lista em texto puro é uma forma típica de criar exatamente esse estado, então a evitamos.
Leia a seguir
- Verificar vazamentos: como saber se sua senha vazou (Have I Been Pwned)
- Dados: como as pessoas guardam senhas? ── o que os dados das pesquisas mostram, e o jeito seguro
- Como funciona: como armazenar senhas com segurança (hashing + salt) ── depois do seu próprio armazenamento, como o serviço deveria armazená-las
- Glossário: o que é hashing / o que é um salt
- Fundamentos: o checklist de base de segurança (as contas a proteger primeiro, proteger segredos)
- Glossário: arquivos .env e segredos
- Estudo de caso: o vazamento da CAMPFIRE (do GitHub a uma nuvem interna) (em inglês)
- Auto-hospedagem: mantendo segredos fora do git / Git auto-hospedado vs. GitHub
- Ferramenta: verificador de força de senha
Fontes
- Suporte da Microsoft, "Protection and security in Excel" (a proteção de planilha não é um recurso de segurança; criptografia de arquivo): support.microsoft.com
- Ajuda do Google Drive, "Find files in Google Drive": support.google.com / "Share files from Google Drive" (acesso geral): support.google.com / "Delete and restore files" (lixeira mantida por 30 dias): support.google.com
- Ajuda dos Editores de Documentos Google, "Check activity and file versions" (histórico de versões e como apagá-lo): support.google.com
- Ajuda da Conta do Google, "Manage links between your Google Account and third-party apps": support.google.com
- Ajuda da Conta do Google, "Import passwords" (cabeçalhos do CSV, limites, apagar após importar): support.google.com / "On-device encryption": support.google.com
- Ajuda do Bitwarden, "Import Data to Bitwarden" e "Condition a Bitwarden .csv or .json": bitwarden.com / bitwarden.com
- CAMPFIRE, Inc., resultado da investigação sobre o acesso não autorizado (2 de junho de 2026, em japonês): campfire.co.jp