Segurança
Prove que seu navegador não é um cofre.
Chrome e Firefox salvarão suas senhas — e depois as entregarão a qualquer programa em execução como você. Isso não é um bug. É o design. Aqui está a prova: uma vez em linguagem clara, outra em código.
A versão em linguagem clara
O "gerenciador de senhas" do seu navegador é protegido por exatamente uma trava: o login do seu computador. Assim que você faz login no seu laptop, o navegador pode ler todas as senhas salvas instantaneamente — então qualquer outra coisa em execução na sua conta também pode.
Um download ruim. Um jogo de navegador suspeito. Um pacote envenenado em um projeto que você clonou. No momento em que ele é executado — enquanto você está logado, como sempre está — ele lê todas as senhas que seu navegador salvou, no tempo que leva para abrir um arquivo. Não há senha mestra para quebrar, porque não há nada para quebrar: o navegador foi construído para desbloquear para você automaticamente, e o malware apenas pede educadamente como "você".
Isso não é teórico. É a maneira mais comum de pessoas comuns perderem suas contas. O malware até tem um nome de indústria chato — "info-stealers" — porque é rotineiro assim. Suas senhas, seus cartões salvos, seus cookies de sessão: copiados e perdidos antes que você perceba.
A correção é simples de afirmar: suas senhas devem ser bloqueadas com algo que o resto do seu computador não tem — e elas não devem ficar na máquina.
A versão com comprovantes
Não acredite apenas na nossa palavra. Chromium e Firefox são de código aberto, e o caminho de leitura é documentado, padrão e curto. Aqui está exatamente onde as senhas estão e como elas saem.
Chrome (e todos os navegadores Chromium)
O Chrome armazena logins em um banco de dados SQLite — Login Data, tabela logins, coluna password_value — criptografado com AES-256-GCM. A chave AES vive em Local State, "protegida" pelo SO: DPAPI no Windows, o Keychain de login no macOS, gnome-keyring/kwallet (ou texto puro) no Linux.
Leia você mesmo — o código é aberto. Procure no Chromium pela constante que marca a chave embrulhada: kDPAPIKeyPrefix em os_crypt. A chave é embrulhada em DPAPI, marcada e armazenada — depois desembrulhada com uma única chamada que não protege nada de você:
const char kDPAPIKeyPrefix[] = "DPAPI";
CryptUnprotectData(&intermediate, /*ppszDataDescr=*/nullptr,
/*pOptionalEntropy=*/nullptr, nullptr, nullptr, 0, &output);Sem segundo segredo, sem senha, sem prompt. CryptUnprotectData devolve a chave para qualquer processo em execução na sua sessão — que é exatamente o modelo de ameaça que o DPAPI documenta: se ele roda como você, ele é você. O trabalho inteiro do atacante são três linhas: ler a chave de Local State, desembrulhá-la, descriptografar AES-GCM cada linha em Login Data. Malware info-stealer tem feito exatamente isso por anos.
"Criptografia no dispositivo" também não te salva
A resposta do Google é um PIN de 6 dígitos que criptografa seu cofre sincronizado. Em maio de 2026, pesquisadores da Phishu mostraram quão frágil isso é. Um falso login do Google convincente — phishing adversário-no-meio — captura a sessão e esse PIN, e o PIN é a chave mestra para todas as senhas e passkeys na conta sincronizada. Com ele, um atacante adiciona seu próprio dispositivo ao seu "domínio de segurança" do Google e todo o cofre sincroniza diretamente para eles — tomada de controle completa em uma etapa.
A falha de design: o Google permite que um dispositivo se junte apenas com o PIN de 6 dígitos, sem aprovação de um dispositivo que você já possui.
Firefox
O Firefox mantém logins em logins.json e a chave em key4.db, descriptografada pelo "Secret Decoder Ring" do NSS — também de código aberto: security/nss/lib/pk11wrap/pk11sdr.c. Se você definir uma Senha Primária, a chave é selada com ela.
Por padrão, você não definiu — então a chave é selada com a string vazia, e um valor de "verificação de senha" armazenado confirma que a senha vazia a descriptografa. Copie dois arquivos do seu perfil (key4.db + logins.json), aponte o NSS ou o código aberto firepwd.py para eles, e eles descriptografam. Uma fechadura cuja chave está colada na porta não é uma fechadura.
Todo armazenamento de senhas de navegador tem a mesma forma: o segredo vive onde você trabalha, desbloqueado pela sessão em que você já está. Criptografia que o resto do seu próprio computador pode desfazer não está te protegendo da ameaça que realmente esvazia contas — código em execução como você.
Por que a Clavitor não pode ser lida desta forma
A Clavitor não mantém seu cofre na máquina. Não há Login Data, nem key4.db, nem chave em Local State — nada no disco para um processo em execução como você raspar.
A chave de descriptografia não é selada com o login do seu SO. Ela é derivada de um toque de hardware — Touch ID, Face, ou um YubiKey — computada no navegador, usada para uma única solicitação, e depois descartada. Uma credencial é buscada através de uma API com âmbito limitado exatamente quando você a solicita, e nunca em cache. Malware em execução como você encontra um armário vazio.
Essa é a diferença entre "criptografado no seu dispositivo" e "não no seu dispositivo".
Pare de confiar no navegador com suas senhas.
A extensão Clavitor preenche como seu navegador faz — e mantém o cofre em um local que seu laptop não pode ler.