Esse site rouba minha senha? Por que nunca pedimos seu login do Instagram

Resposta rápida

Nunca pedimos a senha do seu Instagram porque uma consulta de conteúdo público não precisa de senha: nossos servidores buscam dados públicos a partir de um nome de usuário, então não há nada que uma senha fosse destrancar. É também por isso que não existe login do Instagram neste site. O que nós de fato vemos é o seu endereço de IP e o nome de usuário que você digita, porque um servidor não consegue te responder sem eles. O que nós guardamos são contagens: páginas vistas por dia, consultas por dia e com que frequência cada nome de usuário público foi pesquisado, sem nada ao lado desses números dizendo quem. As duas metades importam, e o resto desta página é como conferir cada uma sem acreditar na nossa palavra. Por sete dias também guardamos um registro anônimo de visitas: quando, país, dispositivo, páginas, buscas e quais contas públicas foram consultadas em cada visita, sem endereço IP, cookie nem identificador de conta, legível só pelo operador.

Por que este site não pede para eu fazer login?

Por causa de onde a requisição é feita. Você envia um nome de usuário público para os nossos servidores; eles consultam provedores comerciais de dados e, para alguns dados públicos, os endpoints públicos do próprio Instagram, pedindo o perfil, os stories, os destaques e os posts públicos daquela conta, e depois devolvem o resultado. Seu navegador conversa só com a gente, então o Instagram vê uma requisição vinda da nossa infraestrutura, não do seu aparelho - que é também o motivo pelo qual nenhum visualizador cai na lista de visualizações do story. Está descrito na nossa página de metodologia.

Leia isso do ponto de vista das credenciais: a única chave de que a busca precisa é um nome de usuário público. Uma senha identifica você, e nada nessa cadeia envolve você como usuário do Instagram, então um campo de senha não teria função nenhuma. É o mesmo motivo pelo qual nenhuma credencial tornaria uma conta privada visível: privado significa que o Instagram entrega o conteúdo apenas a seguidores aprovados.

O app vai roubar minha senha? O que um formulário de login de fato dá a um site

Não podemos auditar os servidores de mais ninguém e não vamos chamar um site específico de ladrão, mas vale entender o padrão. Um site que faz você digitar seu nome de usuário e sua senha do Instagram na própria página dele ganha, em um único passo:

• A capacidade de agir como você. Aquela sessão pode publicar, apagar, seguir, ler e enviar mensagens no direct, e trocar o e-mail e o telefone usados para recuperar a conta. Se a página também pedir o código de seis dígitos do seu aplicativo autenticador ou do SMS, a autenticação de dois fatores deixa de ser uma barreira.
• Uma credencial para testar em outros lugares. As pessoas reaproveitam senhas, então o par que abre o Instagram vale ser testado em e-mail, armazenamento e banco - o retorno clássico do phishing de credenciais, como descreve a Comissão Federal de Comércio dos Estados Unidos: um formulário, muitas tentativas depois.
• Uma conta emprestada para fazer as buscas. Serviços de conteúdo público sofrem limitação de taxa na origem, e um conjunto de contas reais logadas é operacionalmente útil. A conta que carrega o risco de restrição é a sua: os Termos de Uso (Abre em uma nova janela) do Instagram colocam na sua conta o que é feito com o seu login.

Então o que vocês coletam?

Essa é a parte que as páginas de "respeitamos sua privacidade" deixam de fora. O Instagram não vê você aqui. Nós vemos.

Cada linha abaixo vem da nossa política de privacidade e da nossa página de metodologia, e a mesma lista está publicada em /llms.txt, então as três podem ser comparadas. Onde este artigo e a política puderem divergir, a política é a autoridade.

Dado	Onde fica	Por quanto tempo	Quem pode ver
A senha do seu Instagram	Em lugar nenhum. Não existe login do Instagram no site nem campo que aceitaria um	Não se aplica	Ninguém, nem nós
Seu endereço de IP	Nosso servidor vê ele em toda requisição, como todo servidor web, e usa ele na memória para os limites de uso, a proteção contra abuso e um hash que muda todo dia, conta visitantes únicos e nunca sai da memória. Consultar uma conta não grava ele em tabela, log nem arquivo nenhum. Há três exceções restritas: um pedido de remoção guarda um hash de mão única do seu endereço, para impedir que a mesma pessoa faça centenas deles; folhear os comentários de uma publicação soma num contador diário de uso justo guardado sob um hash de mão única do seu endereço; e uma tentativa de entrar na página privada de administração é registrada no log de auditoria com o seu endereço de IP. Nossos provedores de hospedagem e de rede também veem cada endereço de IP, para entregar o site, e mantêm seus próprios logs conforme suas próprias políticas	Não é guardado nas consultas; os hashes e as entradas de auditoria acima são guardados	Ninguém depois que a consulta termina; nas exceções, só o operador
O nome de usuário que você pesquisou	Nosso servidor vê, porque é o que buscamos. Ele aparece numa contagem diária (aquele dia, aquele nome de usuário público, tantas consultas, sem coluna de visitante, sessão ou IP ao lado) e, por sete dias, no registro anônimo de visitas, que lista as contas públicas consultadas em cada visita, sem endereço IP, cookie nem identificador de conta	A contagem é guardada; o registro de visitas é apagado após sete dias; o fato de que você fez uma consulta não é guardado, porque nada disso cita você	O operador vê as contagens e o registro de visitas; nenhum dos dois diz quem era o visitante
Páginas que você abre, cliques, tempo na página, profundidade de rolagem	Nosso servidor, como totais diários por página: nenhum cookie de análise, nenhuma linha de visitante, nenhuma sessão. Não há consentimento de análise para dar nem análise de uso para recusar	As contagens ficam; não há nada por pessoa para apagar	O operador
Sua lista de acompanhamento	Apenas no seu navegador (IndexedDB peekghost-watchlist, com localStorage como alternativa)	Até você limpar os dados do site	Só você; ela não é enviada para nós
Suas buscas recentes	Apenas no seu navegador (localStorage: o nome de usuário e uma miniatura pequena)	Até você limpar os dados do site	Só você
Conteúdo público em cache	Nosso servidor: imagens públicas redimensionadas em um cache em disco com tamanho limitado e descarte do menos usado recentemente (128 MB neste site na data acima); metadados de texto por minutos a horas; vídeos e arquivos em tamanho original são transmitidos, não armazenados	Metadados apagados uma semana depois da janela de cache; imagens variam com o tráfego	Qualquer pessoa que consulte essa mesma conta pública

Duas observações, em vez de letras miúdas. A contagem por nome de usuário não é opcional, e preferimos dizer por que em vez de esconder: essas consultas são o que pagamos, então a contagem é como entendemos os nossos próprios custos. É um número sobre uma conta pública, não sobre você, e o dono de uma conta pode se opor a ele na página de remoção. Um banner de consentimento ainda pode aparecer onde a lei exigir, mas só para tags de publicidade e análise de terceiros, caso o operador tenha ligado alguma, nunca para a nossa própria contagem, que não põe cookie nenhum. E, se algum dia houver planos pagos e você ativar a sincronização da lista de acompanhamento, guardaríamos uma cópia criptografada da sua lista que não podemos ler - o único caso em que algo da coluna que fica só no navegador sai do seu aparelho.

Não vendemos esses dados e não contamos aos donos das contas quem os consultou. Nós divulgamos quando a lei exige, o que é um limite nosso, não uma promessa.

Como eu mesmo posso verificar isso?

Para tudo que acontece no seu navegador, você não precisa acreditar na nossa palavra.

O que não podemos prometer

• Nós vemos você, sim. Seu endereço de IP e o nome de usuário que você digita chegam ao nosso servidor em toda consulta, e nenhuma redação muda isso. O que podemos prometer é o passo seguinte: o seu endereço IP não é anotado, e o nome de usuário fica apenas em contagens diárias e num registro anônimo de visitas de sete dias, sem endereço IP, cookie nem identificador de conta, então nenhum registro nosso cita você para vazar, ser intimado ou vender. As exceções restritas (um hash de mão única num pedido de remoção ou ao folhear comentários, e as tentativas de entrar na página de administração) estão listadas na linha do IP da tabela acima. Anônimo aqui significa anônimo em relação ao Instagram e ao dono da conta, e em relação ao nosso próprio armazenamento, não em relação ao nosso servidor no momento em que ele te responde.
• Não podemos te esconder da sua própria rede. Seu provedor, sua empresa ou sua escola ainda podem ver que você acessou, e o histórico do seu navegador guarda o que você abriu.
• Não podemos prometer que nada nunca sai daqui. Onde a lei obriga a divulgação, nós cumprimos; só que o que temos para entregar são contagens e, num pedido de remoção, o hash de um endereço.
• Não podemos mostrar contas privadas nem dizer quem viu o que. As duas coisas estão fora dos dados públicos.
• Você não pode ver os nossos servidores. Além do lado do navegador, você tem uma política publicada, três descrições que precisam ficar consistentes, uma via de remoção em 72 horas e um operador contatável. Isso é base para confiança, não prova, e preferimos dizer isso.

Perguntas frequentes

O app vai roubar minha senha?

Ele nunca recebe uma. Não existe login do Instagram em nenhum ponto do site, e uma consulta pública funciona a partir de um nome de usuário. Confirme buscando type="password" no código-fonte da página.

Preciso fazer login para ver um story público?

Não. Um story, destaque, reels, post ou foto de perfil público pode ser buscado só com um nome de usuário. Se um site exige login do Instagram antes de mostrar conteúdo público, essa exigência não é técnica.

É seguro dar acesso à minha conta do Instagram para esses apps?

Conceder acesso, por senha ou autorizando um app, entrega a capacidade de agir como você: publicar, mandar mensagem, ler o direct, trocar os dados de recuperação. Ver conteúdo público não precisa de nada disso, e não oferecemos nenhum botão de autorizar com o Instagram. Nosso checklist de segurança com 12 pontos mostra como avaliar qualquer site nesse ponto.

Esses apps coletam dados para hackear contas?

Só podemos responder por este. O que guardamos é a tabela acima: contagens de páginas vistas e de consultas, e de com que frequência cada nome de usuário público foi pesquisado, mais, por sete dias, um registro anônimo de visitas com as contas públicas consultadas em cada uma, sem endereço de IP, cookie ou identificador de conta, não vendidos, não compartilhados com anunciantes. Um nome de usuário mais um endereço de IP não é credencial e não faz login em nada; uma senha é, e é justamente a coisa que nunca pedimos. E não, não conseguimos ver quem viu seu story nem abrir uma conta privada.

Isso é golpe?

Avalie por coisas conferíveis, não pelo que escrevemos: um único campo, nenhum login do Instagram, nenhuma pesquisa ou download obrigatório antes do conteúdo, uma política específica sobre o que o servidor vê e o que ele guarda, e que diz por quanto tempo guarda, uma via de remoção. Um site que falha nesses pontos merece ser abandonado, este incluído.

Como faço para tirar minha própria conta desta ferramenta?

Use a página de remoção: nosso objetivo é bloquear consultas daquele nome de usuário, apagar as contagens que guardamos para ele e descartar as cópias em cache em até 72 horas, e o bloqueio continua até você retirá-lo. Isso não muda nada dentro do Instagram - para isso, deixe a conta privada.

Em resumo

Uma senha não nos daria nada de que precisamos, e é por isso que nenhum campo pede uma - e você pode conferir isso em segundos, em vez de confiar. O que nós pegamos é mais sem graça do que uma credencial, e preferimos imprimir isso com clareza, em vez de alegar uma privacidade que não entregamos: o nosso servidor vê o seu endereço de IP e o nome de usuário que você digita, não anota nenhum dos dois e guarda contagens no lugar - páginas vistas, consultas e com que frequência cada nome de usuário público foi pesquisado. Dizemos a primeira metade porque é ela que faz a segunda valer algo. Por sete dias também guardamos um registro anônimo de visitas: quando, país, dispositivo, páginas, buscas e quais contas públicas foram consultadas em cada visita, sem endereço IP, cookie nem identificador de conta, legível só pelo operador. Não temos vínculo com o Instagram nem com a Meta.

Fontes

1. Política de privacidade do Peekghost - O que coletamos (Abre em uma nova janela) (acessado em 27 de set. de 2026)
2. Política de privacidade do Peekghost - Por quanto tempo guardamos (Abre em uma nova janela) (acessado em 27 de set. de 2026)
3. Metodologia do Peekghost - O que nossos servidores registram (Abre em uma nova janela) (acessado em 27 de set. de 2026)
4. Peekghost - Remover meu perfil (via de remoção para donos de conta) (Abre em uma nova janela) (acessado em 27 de set. de 2026)
5. Proteja sua conta da Meta com a autenticação de dois fatores (Central de Ajuda do Instagram) (Abre em uma nova janela) (acessado em 27 de set. de 2026)
6. Termos de Uso do Instagram (Central de Ajuda do Instagram) (Abre em uma nova janela) (acessado em 27 de set. de 2026)
7. Comissão Federal de Comércio dos Estados Unidos - Como reconhecer e evitar golpes de phishing (Abre em uma nova janela) (acessado em 27 de set. de 2026)