Segurança e privacidade

Privado por padrão. Seguro quando você compartilha.

Toda captura de tela fica no seu dispositivo até você compartilhá-la. Quando você compartilha, ela é primeiro criptografada no seu navegador, e só as pessoas que você escolher recebem a chave: nem a Screshot, nem nosso provedor de armazenamento. Esta página explica como funciona e como você mesmo pode verificar.

Pacote de avaliação de segurança Relatar uma vulnerabilidade

Capturas de tela enviadas, a menos que você escolha compartilhar

Requisições de rede quando você captura, desfoca, copia ou baixa

Permissões do Chrome, todas sem avisos na instalação

AES-256

Criptografia de ponta a ponta em toda captura de tela compartilhada

Fluxo de dados

O que acontece quando você faz uma captura de tela

1
Você inicia uma captura
Clicando no ícone, usando um atalho ou o menu do botão direito. Só então o Chrome dá à Screshot acesso temporário a essa única aba (activeTab).
2
O Chrome renderiza a imagem localmente
A área visível é capturada pelo próprio Chrome. Para uma página inteira, a Screshot rola a aba, pausa os cabeçalhos fixos e a entrada, junta as partes na memória e depois restaura a página exatamente como estava.
3
A imagem abre em uma página local da extensão
O editor e o visualizador de página inteira são páginas empacotadas dentro da extensão (chrome-extension://). Eles não carregam código remoto, fontes nem análises.
4
Você escolhe para onde ela vai
Copie para a área de transferência, baixe um arquivo ou compartilhe um link criptografado de ponta a ponta. Fechar a aba descarta a imagem. A extensão nunca guarda uma cópia.

Permissões

Cada permissão, e por que ela é necessária

Permissão	Usada para	O que ela não pode fazer
`activeTab`	Capturar a aba à sua frente, só no momento em que você clica no ícone ou usa um atalho.	Ler outras abas, rodar em segundo plano ou ver seu histórico de navegação.
`scripting`	Rolar a aba que você está capturando durante uma captura de página inteira e depois deixá-la exatamente como estava.	Rodar em qualquer página que você não pediu para a Screshot capturar.
`contextMenus`	Adicionar "Capture visible area" e "Capture full page" ao menu do botão direito no ícone da Screshot.	Mudar menus em páginas da web ou ler onde você clica.
`storage`	Manter seu login da Screshot neste dispositivo, no armazenamento da própria extensão.	Ler cookies, senhas ou qualquer coisa que os sites armazenam.
`identity`	Abrir o login do Google em uma janela própria quando você escolhe compartilhar, sem sair do editor.	Ver sua senha do Google ou fazer seu login em qualquer coisa além da Screshot.

A Screshot não pede permissões de host (como "Ler e alterar todos os seus dados em todos os sites") nem acesso ao histórico, aos cookies ou aos downloads.

Páginas que a extensão abre

Capturar e editar não enviam dados. A Screshot abre duas páginas em screshot.com como abas normais do navegador:

Um guia de boas-vindas depois de uma instalação manual. Ele é pulado quando a TI instala a Screshot por política.
Uma pesquisa opcional de uma pergunta depois da desinstalação, que inclui só a versão da extensão.

O site screshot.com não usa cookies de análise nem de publicidade; as visitas são contadas de forma agregada pela Cloudflare, sem cookies. Veja a política de privacidade.

Verifique você mesmo

Abra chrome://extensions, ative o Modo do desenvolvedor e clique em Detalhes na Screshot para ver as permissões dela.
Clique em Inspect views: service worker e abra a guia Rede.
Faça uma captura de tela da área visível e uma de página inteira. Nenhuma requisição sai do navegador.
Clique em Share. O envio é um arquivo de bytes criptografados que começa com SCE1, não uma imagem.

Compartilhe por link

Compartilhamento criptografado de ponta a ponta

Os links de compartilhamento são para os momentos em que colar não basta. Tudo o que foi dito acima continua valendo para captura, desfoque, cópia e download. Compartilhar é uma escolha separada, feita uma captura de tela por vez, e a captura de tela é criptografada antes de sair do seu dispositivo.

Criptografado antes de sair do seu dispositivo

Cada captura de tela compartilhada recebe uma chave aleatória própria (AES-256-GCM)
A imagem e a miniatura são criptografadas no seu navegador e depois enviadas
Nossos servidores e nosso armazenamento (Cloudflare R2) guardam só os arquivos criptografados, nunca a chave

Chaves que só você pode desbloquear

Sua conta tem um par de chaves próprio (ECDH P-256), criado no seu navegador
A chave privada dele é armazenada criptografada; você a desbloqueia com uma chave de acesso ou com seu código de recuperação
A Screshot não consegue desbloqueá-la nem redefini-la para você

A chave vai só para as pessoas que você escolher

Somente eu: a chave é encapsulada só para a sua chave
Pessoas convidadas: encapsulada para a chave própria de cada convidado, no seu navegador
Workspace: encapsulada para cada membro da equipe que ativou a criptografia; quem sai da equipe perde o acesso
Qualquer pessoa com o link: a chave fica no link depois do #, que os navegadores nunca enviam a um servidor

Mude de ideia a qualquer momento

Mudar quem pode ver vale na hora e nunca envia a imagem de novo
Remover alguém exclui a cópia da chave dessa pessoa
Os endereços das imagens expiram em minutos, e o acesso é verificado toda vez que um link é aberto

O que a Screshot pode e não pode ver

Não pode ver: a imagem, a miniatura dela nem nenhuma chave que as abra.

Pode ver, porque o compartilhamento precisa disso: o e-mail e o nome da sua conta, o título, o tamanho, as dimensões e as datas de cada captura de tela, o modo de compartilhamento, os endereços de e-mail que você convida e as contagens de visualizações. Os títulos começam como o título da página capturada; renomeie uma captura de tela se o título dela for sensível.

Limites que você precisa conhecer

Retirar o acesso impede novas aberturas. Quem já salvou a imagem fica com a cópia, como com qualquer arquivo compartilhado.
Se você perder todas as chaves de acesso e o código de recuperação, suas capturas de tela compartilhadas não poderão ser abertas de novo, nem por você nem por nós.
As prévias de links no Slack, no Teams ou no Jira mostram só o título: os servidores deles também não conseguem ver a imagem.
Denúncias de abuso: quem denuncia pode escolher enviar a chave com a denúncia para que os moderadores possam analisá-la. Sem ela, ninguém na Screshot consegue.

Excluir é definitivo: uma captura de tela na lixeira é apagada do armazenamento depois de 30 dias, ou na hora com Excluir para sempre. O que armazenamos e por quanto tempo está na nossa política de privacidade.

Conformidade

Hoje a Screshot não tem certificação SOC 2 nem ISO 27001. Capturar e editar não transmitem nada. Quando as pessoas compartilham, a Screshot armazena os dados da conta delas e as capturas de tela que escolhem compartilhar, criptografadas de ponta a ponta, então não consegue ler o conteúdo dessas capturas. Se a sua avaliação precisar de mais detalhes, teremos prazer em responder ao seu questionário.

Divulgação responsável

Encontrou um problema de segurança? Envie um e-mail para contact@screshot.com com os passos para reproduzi-lo. Dê-nos um prazo razoável para corrigi-lo antes de torná-lo público.