Você não consegue proteger aquele arquivo de você mesmo

Você não consegue proteger aquele arquivo de você mesmo. Esse é o artigo inteiro. O resto é embalagem.

O arquivo, aqui, é a chave que um programa seu guarda no computador para não pedir senha de novo: um JSON na pasta da sua conta, um token, o que a ferramenta precisa para trabalhar. Enquanto essa chave ficar num lugar que a sua conta lê, qualquer outro programa que você aceitou executar já tem a chave. Não é um bug. Não é porque o app era obscuro. É a definição de “rodar como você”.

Chame o outro programa de Tetris, para não perder tempo com nome de marca. O Tetris não invade. Ele pede o arquivo e o sistema entrega, porque o sistema acha que o Tetris é você.

Por isso “não há proteção possível” está certo no sentido que a pessoa quer. Ela quer um passo, um cadeado, um checklist depois do instalador que impeça o próximo programa famoso de gastar a chave. Esse passo não existe. Quem promete esse passo está mentindo — de propósito ou por hábito de suporte.

O que os guias misturam

Três ameaças. Os tutoriais vendem a defesa da primeira como se cobrisse a segunda.

Outro usuário. Notebook roubado. Arquivo colado no lugar errado. Aí existe controle: disco cifrado, não mandar a chave por e-mail, não publicar o arquivo no GitHub. Isso funciona. Não é o caso do Tetris.

Um programa já rodando como você. Jogo, extensão do navegador, instalador famoso que nem perguntou a pasta. Aqui a lista usual é teatro.

Dica do guia	O que ela faz de verdade
Permissão “só o dono lê”	Corta outra pessoa no computador. O Tetris é você.
Guardar a chave numa variável em vez de arquivo	Outro programa seu também lê.
“Põe no chaveiro do sistema”	No Windows, a mesma conta lê. No Mac, só vira defesa se o sistema prender o item àquele programa e perguntar. Muita ferramenta não faz isso. Alguma, no Mac, pula o cadeado e continua chamando de chaveiro.
“Só instale software conhecido”	Famoso tem a mesma conta que você. Origem confiável não é cadeado. É um sentimento.
Ler o script do instalador	Não impede o programa, depois de instalado, de abrir o arquivo.

Não coloque essas linhas numa seção “o que fazer”. Elas são o produto que o guia de proteção vende. O dano público não é só a chave vazada. É a pessoa sair da leitura achando que se protegeu.

Trocar de vida. Outra conta no sistema para o que não precisa da sua conta de trabalho. Máquina virtual. Caixa de areia. Não deixar chave duradoura na mesa. Fazer o sistema perguntar. Tecnicamente é a única proteção antes do furto. Quase ninguém faz, porque a mesma indústria que guarda a chave na pasta da conta também vende “instale e use”. Se o artigo fingir que isso é hábito razoável, mente de novo — com cara de hardcore.

Revogar depois, olhar o uso, tratar a chave como queimada: isso não é proteção. É admitir que já foi. É o único movimento que importa depois. Os artigos colocam no fim, como higiene. É o meio da história.

O contrato, em voz alta

Você, a ferramenta, o jogo, a extensão, o instalador que não perguntou a pasta — no modelo atual são a mesma pessoa, para o computador. A pasta da sua conta não é um cofre. É uma mesa.

Isso não é um segredo de invasor. É a premissa escrita: programa da mesma conta é confiável. Quando alguém reporta o Tetris, o relatório fecha como fora de escopo. Não é cinismo escondido. É a especificação. “Padrão da indústria” não é selo de segurança. É um acordo entre fabricantes para não tratar a sua conta como ameaça. Você está do lado de fora desse acordo.

O arquivo costuma ter caminho fixo, documentado, na sua pasta. A ferramenta precisa lê-lo para trabalhar. Logo o Tetris também. Pedir à fabricante um cadeado no próprio arquivo — um JSON que você usa e o outro programa seu não lê — é pedir que ela quebre o modelo que ela escolheu. Ela já respondeu.

O que existe sem ilusão

Não é um checklist. São três frases.

1. Se você não quer que o programa X leia a conta da ferramenta Y, X não pode rodar na mesma conta que Y. Sem isso, esquece.
2. Se Y já deixou uma chave duradoura na mesa, qualquer X que já rodou ou ainda roda assim pode tê-la copiado. Troque a chave. O arquivo “ainda está lá” não significa que só você o viu.
3. Pare de tratar fama e “padrão da indústria” como muro. A pergunta útil é: o Tetris lê isso sem uma janela minha? Se a resposta for sim, não é seguro. É conveniente.

Nada disso torna o arquivo inexpugnável. Tudo isso é melhor do que permissão de dono mais a sensação de dever cumprido.

Por que escrever

Não para salvar o JSON. Para impedir o próximo texto de jogar a culpa no usuário e devolver a ele um comando de permissão como penitência.

O guia “como se proteger” ou mente, ou diz o contrato. Se o artigo não puder abrir com “você não está protegido e o produto não pretendeu proteger”, não escreva. Vira mais um tutorial de teatro.

A versão sem maquiagem é pior de publicar e mais honesta: não tem como se proteger disto sem deixar de usar o computador do jeito que ele é vendido.