Proteger um link curto com senha

O que o cadeado faz

Um link protegido abre uma página que pede a senha e nada mais. O destino, o título dele e o endereço ficam ocultos até a senha certa ser enviada; uma errada devolve um erro e o portão de novo. A verificação é um POST para o caminho /unlock do link — um formulário, não um parâmetro da URL —, então a senha nunca cai na barra de endereço, numa linha de log ou numa folha de compartilhamento (RFC 3986 reserva a parte userinfo de um URI para credenciais, e este serviço recusa links que a escondem; uma senha na query string é o mesmo erro com roupas modernas).

Como é uma boa senha aqui

NIST SP 800-63B pede para aferir senhas por comprimento e listas de vazamentos, não por regras de composição. O conselho que sobrevive num link de compartilhamento: longa, uma frase, compartilhada por canal diferente do link — uma mensagem diz o link, uma ligação diz a senha.

• Quatro palavras vencem uma palavra e três símbolos.
• Maiúsculas contam: o portão avisa antes de alguém digitar.
• Se vazar, recrie o link para trocá-la; o antigo morre na expiração, como sempre.

O que o cadeado não faz

É uma senha compartilhada, não contas: quem a tem passa, e ela não distingue dois portadores. O limite de ritmo desacelera a adivinhação de um endereço, e um atacante com um milhão de tentativas contra uma frase de quatro palavras é o mesmo problema que NIST estima fora de alcance. O que precisa ser confidencial, e não apenas não listado, vai por canal que cifra; trate este portão como a porta da frente.