Ofuscador de Texto: Mascarar Chaves, Tokens e Dados

Ofuscador de texto online

Precisa mostrar uma chave de API em um print, colar um token em um chamado de suporte ou publicar uma lista com CPFs sem expor o dado inteiro? Cole o texto, escolha quantos caracteres ficam visíveis no início e no fim, e o meio é trocado por asteriscos (ou outro caractere). Cada linha é mascarada separadamente, então dá para tratar uma lista inteira de uma vez.

O texto é processado no seu navegador: nada do que você digita é enviado a servidor.

Como usar

1. Escolha o tipo: Texto, chave ou token (regra livre) ou uma das predefinições — E-mail, CPF, Cartão, Telefone.
2. Cole o conteúdo, um item por linha.
3. No modo livre, ajuste quantos caracteres ficam visíveis no início e no fim. O padrão é 4 e 4.
4. Se quiser, troque o caractere da máscara (*, •, #, X, - ou qualquer outro).
5. Copie o resultado.

Opções do modo livre

• Máscara de comprimento fixo — o meio vira sempre a mesma quantidade de caracteres, qualquer que seja o tamanho real. Um token de 40 caracteres e outro de 12 ficam com a mesma aparência, o que evita revelar o comprimento do segredo.
• Manter os espaços — só letras, números e símbolos são trocados; os espaços continuam no lugar. Útil para nomes e frases: Maria Aparecida da Silva, com 2 visíveis em cada ponta, vira Ma*** ********* ** ***va.

Se uma linha for curta demais para as quantidades escolhidas (por exemplo, 8 caracteres com 4 + 4 visíveis), nada seria ocultado. A ferramenta avisa quando isso acontece, em vez de entregar o texto original como se estivesse mascarado.

Predefinições

No e-mail, os blocos mascarados têm sempre três caracteres, para não revelar o tamanho do nome nem do domínio. Subdomínios também são ocultados: [email protected] vira a***@m***.com.br.

Nas predefinições, uma linha que não tem o formato esperado (um CPF com 10 dígitos, um e-mail sem @) é ocultada por inteiro e contada em um aviso. É uma escolha de segurança: melhor esconder demais do que deixar passar um dado que a regra não reconheceu. A ferramenta não confere se o CPF ou o cartão são válidos, só o formato; para isso use o Validador de CPF e o Validador de Cartão de Crédito.

Qual é o padrão para mascarar CPF?

A LGPD (Lei nº 13.709/2018) não define um formato de máscara. Ela pede que o tratamento de dados pessoais se limite ao necessário para a finalidade, e cabe a quem publica decidir como reduzir a exposição.

Na prática, o formato mais difundido no setor público brasileiro é o do Portal da Transparência do governo federal, mantido pela CGU, que exibe o CPF ocultando os três primeiros dígitos e os dois dígitos verificadores: ***.456.789-**. É esse o padrão da predefinição “CPF” desta página. Órgãos estaduais e municipais costumam segui-lo, mas cada um pode ter norma própria — se você vai publicar em nome de um órgão ou empresa, confira a orientação interna ou a do encarregado de dados.

Vale saber que os seis dígitos que continuam visíveis, somados ao nome da pessoa, ainda podem permitir identificá-la. O CPF mascarado continua sendo dado pessoal.

Cartão: por que só os quatro últimos

O padrão de segurança do setor de cartões, o PCI DSS, limita o que pode aparecer de um número de cartão em telas e comprovantes: no máximo o BIN (os primeiros dígitos, que identificam o emissor) e os quatro últimos. Mostrar apenas os quatro últimos é a forma mais conservadora e a que você vê em faturas e recibos.

Mascarar não é criptografar

Mascaramento serve para exibir ou compartilhar um dado sem mostrá-lo por inteiro. Não protege o dado original e não tem volta: a partir de chav********G7h8 não se recupera a chave. Algumas consequências práticas:

• Não guarde a versão mascarada no lugar da original achando que poderá restaurá-la depois.
• Um segredo exposto continua exposto. Se a chave já apareceu inteira em um print, e-mail ou repositório, mascarar depois não resolve: revogue-a e gere outra.
• Quanto mais caracteres visíveis, mais fraco o segredo fica. Mostrar 4 + 4 caracteres de uma chave de 32 é aceitável para identificá-la; mostrar 4 + 4 de uma senha de 10 entrega quase tudo. Para senhas, não mostre nada.
• Para proteger o conteúdo de verdade, use criptografia — veja Criptografar Texto.

Casos de uso

• Documentação e tutoriais: mostrar o formato de uma chave de API sem publicar a chave.
• Suporte: identificar um token pelos últimos caracteres ao abrir um chamado.
• Prints e apresentações: esconder e-mails e telefones de clientes.
• Listas públicas: resultados de sorteios, editais e relatórios com CPF parcialmente oculto.
• Logs: preparar um trecho para colar em um fórum sem levar junto credenciais.

Perguntas frequentes

Posso mascarar várias linhas de uma vez?

Sim. Cada linha é tratada como um item separado, com a mesma regra. Linhas em branco são mantidas, para a saída ficar alinhada com a entrada.

Como mascarar só o final ou só o início?

No modo livre, ponha 0 em um dos campos. Com 0 no início e 4 no fim, 1234567890 vira ******7890; com 3 no início e 0 no fim, vira 123*******.

O texto mascarado pode ser revertido?

Não. Os caracteres ocultos são substituídos, não codificados; a informação deixa de existir na saída. O que sobra visível, porém, continua legível por qualquer pessoa.

Mascarar o CPF assim atende à LGPD?

Ajuda a cumprir o princípio da necessidade, por expor menos do que o dado completo, mas não é uma garantia de conformidade. A lei não fixa um formato, e a adequação depende da finalidade e do contexto da publicação.

Meus dados são enviados para algum lugar?

Não. A máscara é aplicada por JavaScript na própria página; o texto não sai do seu dispositivo.

Veja também

• Validador de CPF
• Gerador de Senha
• Criptografar Texto
• Codificador SHA-256
• Localizar e Substituir
• Validador de E-mail