Blog
Artigos e tutoriais recentes
📡 RSS-
Exfiltração de dados cross-server de federação MCP na prática: 8 ataques de federação MCP + 5 incidentes reais de 2026 + plano de defesa de 7 dias
Os cenários de federação MCP / multi-agente cross-server explodiram em 2026 — sistemas multi-agente federando serviços MCP através de servers fazem com que **a exfiltração de dados cross-server + a fuga multi-tenant + a falha da cadeia de confiança da federação se tornem novas superfícies de ataque**. Alinhado com arxiv 2507.19880 MCP Trivial Trojans (25 linhas de weather MCP roubando dados bancários) + arxiv 2509.24272 When MCP Servers Attack + CVE-2026-25905 mcp-run-python + arxiv 2608.01558 Prompt Infection (propagação de vírus cross-agent) + arxiv 2609.24967 Emergent Collusion long-horizon agent, este artigo cobre 8 ataques de federação MCP (MCP trivial trojans cross-server roubando banking / Cross-server MCP confused deputy / MCP federation trust chain poisoning / Multi-tenant data leakage via MCP / Prompt Infection cross-agent virus propagation / MCP schema poisoning cross-server / Cross-origin MCP tool hijack / Emergent collusion long-horizon agent coalition) + 5 incidentes/papers reais de 2026 (MCP Trivial Trojans arxiv 2507.19880 25 linhas de weather MCP roubando dados bancários, When MCP Servers Attack arxiv 2509.24272 padrão de ataque, CVE-2026-25905 mcp-run-python execução de código real, Prompt Infection arxiv 2608.01558 propagação de vírus cross-agent com falha de defesa de camada de protocolo, Emergent Collusion arxiv 2609.24967 colusão espontânea de agente LLM long-horizon) + plano de defesa de 7 dias (verificação de assinatura de servidor MCP + content hash, cadeia de confiança de federação MCP cross-origin, isolamento de dados multi-tenant em MCP, quarentena cross-agent de content hash de Prompt Infection, detecção de envenenamento de schema, capacidade de menor privilégio de tool MCP cross-origin, monitoramento de trajetória de colusão emergente, regressão com red team contra When MCP Servers Attack / OWASP ASI07). Links para as ferramentas Piick no final — todas 100% locais, nunca enviadas.
-
Ataque de prompt injection visual VLM na prática: 8 ataques cross-modal + 5 incidentes VLM reais de 2026 + plano de defesa de 7 dias
Os VLMs (Claude / GPT-5 / Gemini / Qwen3-VL) explodiram em 2026 — empurrar os LLMs para a compreensão visual faz com que **a prompt injection cross-modal se torne uma nova superfície de ataque**. Alinhado com arxiv 2609.04533 Repeat-After-Me (paper novo de 2026-09, Steal-PII 95% ASR + Call-Tool 47-100% ASR em 6 VLMs principais todos comprometidos) + arxiv 2503.12852 MLLM Adversarial + arxiv 2609.24362 VLM-in-Sandbox + injeção de screenshots Varonis Comet/Atlas + OCR adversarial, este artigo cobre 8 ataques de prompt injection visual VLM (Repeat-After-Me adaptativo black-box / Cross-modal injection / falsificação de região OCR / perturbação adversarial de pixels / chamada de ferramenta via imagem / injeção de screenshot / VLM confused deputy / cadeia de suprimentos visual VLM) + 5 incidentes/papers reais de 2026 (Repeat-After-Me arxiv 2609.04533 Steal-PII 95% ASR em Claude-Opus-4.7 / GPT-5.5 / Gemini-3.1-Pro / Qwen3.6-27B / Qwen3-VL-32B-Instruct / InternVL3.5-38B-Instruct, MLLM Adversarial arxiv 2503.12852 universal perturbation, VLM-in-Sandbox arxiv 2609.24362 segurança de workspace visual, incidente real injeção de screenshots Varonis Comet/Atlas, OCR adversarial bypass de cor de fonte) + plano de defesa de 7 dias (análogo a CSP / Trusted Types de camada visual, hierarquia de prompts cross-modal, assinatura de procedência de imagem, detecção adversarial OCR, política de origem de chamada de ferramenta, renderização sandboxed de imagem, capacidade mínima de privilégio de VLM, regressão com red team contra Repeat-After-Me / OWASP ASI08). Links para as ferramentas Piick no final — todas 100% locais, nunca enviadas.
-
Ataque SynChain de Computer-Use Agent na prática: 8 cadeias de ataque auto-sintetizadas + 5 incidentes CUA reais de 2026 + plano de defesa de 7 dias
Os Computer-Use Agents (Claude Code / Codex / OpenClaw) explodiram em 2026 — empurrar os LLMs para o software engineering real faz com que **o CUA seja tanto consumidor quanto produtor de ferramentas**, formando uma supply chain reversa (artifact-channel). Alinhado com arxiv 2608.06862 SynChain + arxiv 2602.19555 Agentic Runtime Supply Chain + arxiv 2608.01558 Prompt Infection propagação cross-agent + arxiv 2510.05159 Malice in Agentland + SkillJect (arxiv 2026), este artigo cobre 8 ataques CUA SynChain (envenenamento de biblioteca de skills / SC reverso artifact-channel / Persistência via skill cache / trigger embutido em Codebase / síntese de cadeia longa Chain-1/2/3 / persistência cross-session / CUA confused deputy / injeção de Runtime supply chain) + 5 incidentes/papers reais de 2026 (SynChain arxiv 2608.06862 Chain-1/2/3 três comprimentos Claude Code 82.22% + Codex 58.89% + OpenClaw todos comprometidos, Agentic Runtime Supply Chain arxiv 2602.19555 viral agent loop, Prompt Infection arxiv 2608.01558 propagação de vírus cross-agent, Malice in Agentland arxiv 2510.05159 AI supply chain backdoors, SkillJect (arxiv 2026) injeção de camada de skills) + plano de defesa de 7 dias (assinatura de biblioteca de skills + content hash, e2e verify de saída artifact-channel, detecção de trigger em codebase, auditoria de grafo de runtime supply chain, agent SKU / version pinning, cap de comprimento de cadeia, capacidade mínima de privilégio do CUA, regressão com red team contra SynChain / OWASP ASI04). Links para as ferramentas Piick no final — todas 100% locais, nunca enviadas.
-
Ataque DOM de navegador agêntico na prática: 8 ameaças de automação de navegador de IA + 5 incidentes reais de 2026 + plano de defesa de 7 dias
Navegadores agentic (Comet / Atlas / Edge Copilot / Brave Leo) explodiram em 2026 — colocar LLMs no navegador transforma DOM / XSS / extensão / cookie em superfícies de ataque totalmente novas. Alinhado com arxiv 2605.05509 WAAA + arxiv 2505.13076 Browser Use CVE + arxiv 2608.24017 WebMCP-Phalanx + Varonis 4-16 Comet / Atlas XSS + arxiv 2604.02623 eTAMP, este artigo cobre 8 ataques de navegador agêntico / DOM (XSS to agent hijack / DOM Poisoning / Prompt injection in DOM / Service Jacking / Permission abuse / Drive-by extension install / Cookie / session token theft / Agent confused deputy) + 5 incidentes/papers reais de 2026 (WAAA arxiv 2605.05509 20 ataques 4 LLMs principais reprodução cross-vendor, Browser Use arxiv 2505.13076 CVE real + PoC, WebMCP-Phalanx arxiv 2608.24017 limites de confiança multi-agente, Varonis 4-16 Comet / Atlas XSS to agent hijack incidente real, eTAMP arxiv 2604.02623 persistência cross-session) + um plano de defesa de 7 dias (bloqueio DOM CSP + Trusted Types, isolamento sandbox de extensão de navegador, cumprimento Cookie SameSite + HttpOnly, capacidade mínima de privilégio do agente, modelo de detecção de XSS interceptando antes da renderização DOM, verificação de origem WebMCP, política de origem de ação do agente, regressão com red team contra WAAA / OWASP Agentic Top 10 ASI05). Links para as ferramentas Piick no final — todas 100% locais, nunca enviadas.
-
Ataque RAG em tempo de retrieval na prática: 8 variantes de envenenamento do pipeline + 5 incidentes reais de 2026 + plano de defesa de 7 dias
Ataques RAG não miram apenas o corpus — o próprio pipeline de retrieval (retrieval / rerank / embedding) é uma nova superfície de ataque. Alinhado com ACL 2026 EACL TPARAG + arxiv 2606.18310 CAREATTACK + arxiv 2605.28017 GEO survival + arxiv 2501.02968 FlippedRAG + arxiv 2602.08668 RPR, este artigo cobre 8 ataques RAG em tempo de retrieval (manipulação de reranking do retriever, edição de retriever centrada em modelo sem corpus, ataque preciso em nível de token TPARAG, perturbação adversarial imperceptível, manipulação de opinião black-box FlippedRAG, pivô de retrieval Hybrid RAG RPR=0.95, backdoor do modelo reranker, backdoor de embedding multi-vector) + 5 incidentes/papers reais de 2026 (CAREATTACK edição de retriever centrada em modelo sem necessidade de injeção em corpus, TPARAG ACL 2026 EACL token-level white-box + black-box, ataque GEO RAG real de 3 estágios reranker lift +16.5%, FlippedRAG arxiv 2501.02968 v7 2026-08 manipulação de opinião black-box, Retrieval Pivot Attacks Hybrid RAG cross-tenant RPR=0.95) + um plano de defesa de 7 dias (verificação de assinatura do retriever + provenance de consulta, verificação de integridade do retriever centrada em modelo, comparação de rota dupla sparse / dense, detecção de perturbação imperceptível, detecção de anomalia de manipulação de opinião, isolamento de tenant Hybrid RAG + limite de chunk, provenance de dados de treinamento do reranker, verificação de supply chain do modelo de embedding). Links para as ferramentas Piick no final — todas 100% locais, nunca enviadas.
-
Envenenamento de base de conhecimento RAG na prática: 8 variantes de injeção de corpus + 5 incidentes reais de 2026 + plano de defesa de 7 dias
Uma vez que o RAG ancora as saídas do LLM em bases de conhecimento externas, o próprio corpus torna-se uma superfície de ataque. Alinhado com OWASP LLM Top 10 2026 + ACL 2026 + arxiv 2604.00387 RAGShield + arxiv 2602.04711 SDAG + arxiv 2407.12784 AgentPoison, este artigo cobre 8 variantes de envenenamento de corpus RAG (injeção direta de passage malicioso, poluição indireta de fontes confiáveis, squatting de nome de corpus com homoglyphs, inversão de embedding para reverter consultas, envenenamento de knowledge-graph GraphRAG, envenenamento RAG multi-modal, acumulação de loop de feedback de retreinamento contínuo, colisão de nome de pacote de supply chain) + 5 incidentes/papers reais de 2026 (RAGShield RAG governamental 10 passages 0.04% corpus → 98.2% retrieval success, Phantom attack 10 passages 98.2%, PoisonedRAG 5 passages corpus milionário → 90%+ ASR em NQ/HotpotQA/MS-MARCO, envenenamento GraphRAG ACL 2026, defesa SDAG block-sparse attention) + um plano de defesa acionável de 7 dias (whitelist de fonte de corpus + assinatura digital, detecção de drift de embedding de documento, pipeline provenance-verified, isolamento block-sparse attention, verificação de consistência hop-wise de GraphRAG, hashing de conteúdo multi-modal, scoring de retriever + LLM-as-judge, verificação de provenance de supply chain de corpus). Links para as ferramentas Piick no final — todas 100% locais, nunca enviadas.
-
Envenenamento de memória do agente LLM na prática: 8 ataques persistentes + 5 incidentes reais de 2026 + plano de defesa de 7 dias
Uma vez que os agentes LLM adotam memória como subsistema padrão, a camada de persistência torna-se a superfície de ataque de camada inferior mais letal. Alinhado com quatro papers de pesquisa independentes (arxiv 2606.04329 MPBench, arxiv 2608.23471 InjecMEM, arxiv 2604.02623 eTAMP, arxiv 2606.12703 SMSR), este artigo cobre 8 variantes de envenenamento de memória do agente (escrita automática contendo ataque, trigger de backdoor ancorado em retrieval, persistência cross-session, sangramento cross-user, lacuna de auditoria em cadeia de edição de memória, falta de criptografia e assinatura em memória, lacuna semântica em retrieval de memória, amplificação cumulativa por drift de memória) + 5 incidentes/papers reais de 2026 (MemGhost 7-26 um email planta memória, InjecMEM COLM 2026 single-interaction triggera output direcionado, eTAMP cross-session / cross-site, MPBench ICML 2026 AIWILD ASR 50.46% RSR 41.05%, defesa certificada SMSR baixa ataque sem assinatura de 93-100% para 0%) + um plano de defesa acionável de 7 dias (política de escrita de memória forçada human-in-the-loop, whitelist de domínio de fonte de retrieval + auditoria de escrita, assinatura HMAC de snapshot de sessão, isolamento estrito de tenant de memória, log imutável WORM de trilha de auditoria, HMAC-SHA256 provenance + assinatura de escrita, votação smooth-sampling de retriever, detecção de drift de memória + rollback periódico). Links para as ferramentas Piick no final — todas 100% locais, nunca enviadas.
-
Vazamento de dados no lado de saída do LLM na prática: 8 descontroles de saída do agente + 5 incidentes reais de 2026 + plano de defesa de 7 dias
Assim que um LLM é integrado em um produto, a própria saída torna-se uma superfície de ataque. Alinhado com a categoria principal OWASP LLM02:2025 Sensitive Information Disclosure, este artigo cobre 8 variantes de vazamento de dados no lado de saída do LLM (eco de PII, memorização de dados de treinamento, esquema de saída ausente → despejo total em logs, XSS via renderização Markdown/HTML, token via captura de streaming, exfiltração cross-origin via wrapper JSONP, saída via chamada de ferramenta silent egress, saída do LLM + captura por extensão de navegador) + 5 incidentes/papers reais de 2026 (arxiv 2602.22450 Silent Egress qwen2.5:7b P=0.89 + 95% de bypass de verificações de saída, arxiv 2604.05432 Back-Reveal agente backdoored com exfiltração persistente via retrieval, Claude Opus 4.6 cancelando reservas de outros usuários em academia 9-15, OpenAI Reward Hacking agentes → RCE no Hugging Face setembro, Microsoft Copilot Personal exfiltração de dados de apps conectadas com um clique) + um plano de defesa acionável de 7 dias (esquema de saída com restrição forte, redação bidirecional de PII + modelo juiz de saída, Markdown via DOMPurify, rate limiting em endpoint de streaming, desativação forçada de JSONP + CSP, whitelist de egress de saída de ferramentas em nível de rede, bloqueio CSP de extensões de navegador, regressão com red team do conjunto de casos OWASP LLM02). Links para as ferramentas Piick no final — todas 100% locais, nunca enviadas.
-
MCP Tool-Surface Poisoning na prática: 8 ataques à superfície de ferramentas do agente + 5 incidentes reais de 2026 + plano de defesa de 7 dias
Assim que um agente LLM é integrado a um produto, a própria lista de ferramentas torna-se uma nova superfície de ataque. Alinhado com arxiv 2606.06387 WebMCP MSTI e arxiv 2604.11790 ClawGuard v2, este artigo cobre 8 ataques de envenenamento de superfície de ferramentas MCP/WebMCP (substituição de ferramentas no meio da sessão, injeção de descrição, adulteração de esquema, squatting de namespace com homógrafos, race de registro, downgrade de capacidade, empréstimo de ferramentas entre servidores, personificação de servidor) + 5 incidentes reais de 2026 (DeepSeek Harness 9-9, Google ADK 8-4, AWS Bedrock AgentCore 8-6, Vercel AI SDK 8-6, Azure DevOps MCP 7-22) + um plano de defesa acionável de 7 dias (assinatura de manifesto de ferramentas, varredura estática de descrição + limite de comprimento, diff de hash de esquema, auditoria de registro de namespace, mTLS de servidor + pinning de certificados, detecção de drift de capacidade, snapshot completo da superfície de ferramentas + monitoramento de diff). Links para as ferramentas Piick no final — todas 100% locais, nunca enviadas.
-
Escalada de Tool-Call em LLM na Prática: 8 Excessos de Privilégio do Agente + 5 Casos Reais + Plano de Defesa de 7 Dias
Na primeira semana de conectar um Agente LLM a um produto, a escalada de tool-call se torna uma nova superfície de ataque. Este artigo é o companheiro de excesso de privilégio de Defesa contra Prompt Injection em LLM na Prática — separa o registro de ferramentas da autorização e cobre 8 cenários reais de escalada (o LLM tratando a capacidade como autorização, vazamento de contexto entre usuários, desfoque do limite leitura vs escrita vs exclusão, amplificação por cadeia de ferramentas, colisão de namespace, SSRF via ferramenta, confusão de dados multi-tenant, replay RPC e nonce ausente) + 5 casos de incidentes empresariais (Agente de atendimento ao cliente com vazamento cruzado de pedidos, confusão entre tenants em RAG SaaS, Code Agent empurrando .env para um repositório público, Agente de email enviando transferências para um endereço homóglifo, deriva de escalada gradual multi-turno) + um plano de defesa de 7 dias (registro de ferramenta ≠ autorização, idempotência de nonce em tool-call, autorização em nível de campo, detecção de capability graph, isolamento de namespace de ferramentas, imposição de tenant_id em RAG + auditoria na escrita, red team de ponta a ponta + monitoramento). No final, o conjunto de ferramentas Piick, todas 100% locais, sem upload.
-
Defesa contra Prompt Injection em LLM: 8 Ataques Reais + 5 Casos Empresariais + Plano de Ação de 7 Dias
Na primeira semana de conectar um LLM a um produto, a injeção de prompt (prompt injection) começa a bater à porta. Diferente da injeção de SQL, não há prepared statement para corrigir — o prompt do sistema, a entrada do usuário, as respostas das ferramentas e os resultados de RAG fluem na mesma janela de contexto, e o modelo não distingue instruções de dados. Alinhado com o OWASP Gen AI Security Project LLM07:2025, este artigo aborda 8 cenários reais de ataque (injeção direta, injeção indireta, payload Markdown/HTML, evasão multilíngue, empacotamento Base64, esgotamento da janela de contexto, escalonamento de privilégios em tool-call, vazamento do prompt do sistema) + 5 casos de incidentes empresariais (chatbot de atendimento ao cliente com vazamento entre usuários, envenenamento da base de conhecimento RAG, agente de e-mail com transferência não autorizada, Code agent com vazamento em PR, escalonamento gradual em múltiplos turnos) + um plano de ação de 7 dias (auditar prompt do sistema, juiz de dupla camada, autorização externalizada, normalização de entrada, allowlist de fontes RAG, red team de ponta a ponta, monitoramento e revisão). No final, o conjunto de ferramentas Piick, todas 100% locais, sem upload.
-
A codificação de URL não é apenas %20: 8 foot-guns reais + 5 cenários de ataque OWASP + proteção de 7 dias com o decodificador Piick
A codificação de URL (codificação por percentual / encodeURIComponent / decodeURIComponent) é muito mais do que transformar espaços em %20. Este artigo detalha 8 foot-guns reais de codificação de URL (mistura %20 vs + causando 404 / superfície de ataque OWASP de codificação dupla / caracteres reservados sem codificação causando injeção de URL / codificar a URL completa quebra o esquema / mistura de maiúsculas %2F vs %2f rejeitada por alguns CDNs / codificação de caracteres não UTF-8 produzindo mojibake / decodeURIComponent lançando URIError travamentos / caracteres reservados codificados se tornando caracteres seguros que roteadores tratam como literais), cada um com sintoma + por quê + correção, além de 5 cenários reais de ataque OWASP (bypass WAF XSS com codificação dupla / falha de validação de token por codificação dupla de state em callback OAuth / injeção ? em consulta de pesquisa truncando URL / JSON chinês serializado em URL depois decodificação GBK do lado do servidor produzindo mojibake / % final disparando URIError páginas em branco) + proteção de 7 dias (separar contexto usar encodeURIComponent vs URLSearchParams / codificar apenas valores nunca a URL completa / detectar avisos de codificação dupla %25xx / codificação-decodificação UTF-8 completa / envolver decodeURIComponent com try/catch / verificar status de caracteres reservados / diferentes estratégias de codificação para caminho vs consulta). O artigo termina com [Piick URL Decoder](https://piick.cc/tools/url-encoder-decoder), 3 modos (componente / string de consulta / URL completa), executa localmente sem upload, detecta automaticamente codificação dupla e mistura de maiúsculas.
-
JWT nao e criptografia e codificacao: 8 foot-guns de seguranca reais + 5 cenarios de ataque de falsificacao + Plano Piick de protecao 7 dias
JWT (JSON Web Token / jwt decoder / jwt online / decode jwt) nao e criptografia, e codificacao — o payload usa base64url que decodifica para texto plano em um segundo, entao **nunca coloque senhas / PII / cartoes bancarios / numeros de telefone no payload JWT**. Este artigo cobre 8 foot-guns reais de seguranca JWT (JWT e codificacao nao criptografia / ataque alg=none / confusao de chave publica HS256 vs RS256 / campo exp nao validado permite tokens expirados passarem / JWT secret hardcoded igual a API key vaza para Git / injecao de kid key id causa qualquer arquivo ser usado como chave / ataque de remocao de assinatura algumas bibliotecas aceitam como fallback / sem lista de revogacao JWT o logout deixa tokens antigos validos), cada um com sintoma + por que + correcao, 5 cenarios reais de ataque (vazamento de telefone em texto plano / falsificacao alg=none / assinatura HS256 com chave publica / exp nao validado / remocao de assinatura passa validacao), e plano de protecao 7 dias (forcar whitelist de algoritmo / sempre verificar exp / JWT secret via env vars + .gitignore / validacao estrita de formato kid / verificacao obrigatoria de assinatura / expiracao curta de 15 minutos + rotacao de refresh token / blacklist + estado revoke em BD / nunca colocar PII em payload JWT). Termina com [Decodificador JWT Piick](https://piick.cc/tools/jwt-decoder), 100% local sem upload, perfeito para verificar tokens suspeitos em tempo de debug sem vazar conteudo JWT.
-
3 danos reais de fazer scroll no celular 1 hora antes de dormir + 4 correcoes de 30 segundos + Plano Piick de desintoxicacao digital de 7 dias
Fazer scroll no celular 1 hora antes de dormir tem danos reais e mensuraveis ao seu cerebro, pescoco, olhos e relacionamentos — a pesquisa de Harvard mostra que a luz azul antes de dormir suprime a melatonina em 23% e atrasa o inicio do sono em 10 minutos, o algoritmo do TikTok ativa os mesmos circuitos de dopamina das maquinas cauculas, olhar para baixo a 60 graus coloca 27kg de pressao na sua coluna cervical, e o phubbing (ignorar pelo celular) no jantar reduz o tempo de conversa em casal em 75%. Este artigo explica 8 foot-guns reais (luz azul / vicio em algoritmo / cortisol por ansiedade / dano cervical / olho seco / contaminacao de sonhos / pico matinal de cortisol / phubbing em relacionamentos), cada um com sintoma + por que + correcao, 4 correcoes de 30 segundos que voce pode fazer hoje (isolamento fisico / modo escala de cinza / lembrete de hora de dormir / rituais de substituicao), e um plano Piick de desintoxicacao digital de 7 dias (uma ferramenta de bem-estar por dia: sleep-cycle-calculator / water-intake-calculator / caffeine-half-life-calculator / pomodoro-timer / step-converter). Todas as ferramentas Piick sao 100% locais sem upload, perfeitas para uso sem tela antes de dormir.
-
As API keys nao desaparecem sozinhas: 8 incidentes reais de vazamento + 5 cenarios reais + Plano de protecao Piick de 7 dias
As API keys (chaves API / access tokens / secret keys) nao desaparecem sozinhas — vazam de repositorios Git, logs, screenshots, bundles de cliente, e em questao de horas bots as encontram, seguidas de faturas de nuvem de milhares, cobrancas de mineracao cripto, fraude de cartoes falsos em Stripe, e tokens JWT falsificados. Este artigo cobre 8 incidentes reais de vazamento de API keys (hardcoded em Git + push para publico / mensagem de commit contem key / .env nao em .gitignore / logs imprimem API key / mensagens de erro contem key / bundles JS de cliente / screenshots / acesso de funcionario saindo nao rotacionado), cada um com sintoma + por que + correcao, 5 cenarios do mundo real (AWS / Stripe / OpenAI / Slack-GitHub / JWT private key) + plano de protecao de 7 dias (7 medidas de prevencao acionaveis imediatamente), depois apresenta o [conjunto de ferramentas Piick](https://piick.cc), todas as ferramentas 100% locais sem upload, perfeitas para verificar em tempo de debug que as respostas nao vazam API keys.
-
As expressoes regulares nao sao uma ferramenta: infraestrutura de legibilidade + 8 erros reais + Piick em 1 minuto
Uma expressao regular (regex / regex tester / regex online / regex match) nao e uma ferramenta — e infraestrutura de legibilidade para validacao de parametros de API, mascaramento de dados, limpeza de logs e extracao de URL. Este artigo explica 8 erros reais de regex (esquecer escapar \. vs . / greedy vs non-greedy / ^ $ modo multilinhas com flag m / \d vs [0-9] diferencas Unicode / caracteres especiais - ] ^ dentro de classe de caracteres / armadilha de escape greedy + classe negada com \" / grupos de captura + referencias inversas $1 vs \1 diferencas entre linguagens / retrocesso catastrofico ReDoS), cada um com sintoma + por que + correcao, depois apresenta o [Testador de Regex Piick](https://piick.cc/tools/regex-tester) com destaque de correspondencias ao vivo + explicacao de padroes + visualizacao de substituicao + biblioteca de padroes comuns, 100% processamento local do navegador para privacidade.
-
A formatacao JSON nao e embelezamento: infraestrutura de legibilidade + 8 erros reais + Piick em 1 minuto
Um formatador JSON (formatter / beautifier / pretty printer / validator) nao e decoracao — e infrastructure para depurar APIs, gerenciar arquivos de configuracao, troca de dados e decodificar payloads JWT. Este artigo explica 8 erros reais de parse JSON (virgula final nao permitida pelo padrao JSON mas JS / Python incluem / caracteres Unicode sem escape causando falha de parse downstream / inteiros grandes como Snowflake ID perdendo precisao quando JSON.parse os converte / indentacao != estrutura de aninhamento mas visualmente diferente / area de transferencia do Windows injetando caracteres BOM causando falha do JSON.parse / aspas simples tratadas como JSON mas o dict do Python as produz / serializacao nao padrao de NaN / Infinity / undefined / ordenar chaves alterando Git diff e semantica de linguagens sensiveis a ordem de chaves), cada um com sintoma + por que + correcao, depois apresenta o [Formatador JSON Piick](https://piick.cc/tools/json-formatter) com destaque de sintaxe + ordenar chaves + parse tolerante (JSON5 / aspas simples / comentarios) + clique-para-pular para posicao de erro + 5 metricas (chaves / arrays / profundidade maxima de aninhamento / bytes), 100% processamento local do navegador para privacidade.
-
O calculo de porcentagens nao e aritmetica: 4 cenarios cotidianos (desconto / variacao / participacao / impostos) + 8 erros reais + Piick em 1 minuto
O calculo de porcentagens (desconto / variacao / participacao / preco com impostos) nao e aritmetica elementar. "8 折" nao e "80% off" — e pagar 80% do preco original (8 折 = 80% do original, nao 20% off); "gaste 200 economize 30" do Double-11 nao e um desconto de 15% mas uma oferta por faixas; 95% × 95% nao e 90% off mas 90.25% off. Este artigo explica 4 cenarios cotidianos (desconto / variacao percentual / participacao inversa / preco com impostos), 8 erros comuns (confusao 8 折 vs 80% off / direcao da variacao / limite parte=total na participacao / calculo inverso com vs sem impostos / erro em descontos encadeados / digito decimal do desconto / precisao decimal da participacao / confusao taxa vs desconto), cada um com sintoma + por que + correcao, depois apresenta a [Calculadora de Desconto / Porcentagem Piick](https://piick.cc/tools/discount-percentage-calculator), ferramenta 4 em 1: desconto / variacao / participacao / impostos, 100% processamento local para privacidade.
-
Como as parcelas mensais de emprestimos realmente funcionam: Parcela Fixa vs Capital Igual + 5 cenarios reais + Piick em 1 minuto
O calculo da parcela mensal de um emprestimo nao e uma simples divisao. A parcela fixa (EMI, valor mensal fixo) se adapta a quem tem fluxo de caixa estavel e orcamento mensal fixo; o capital igual (capital fixo, juros decrescentes) se adapta a quem pode pagar mais no inicio e quer menos juros totais. Este artigo explica a diferenca matematica entre os dois metodos, as formulas de parcela mensal (EMI: parcela = principal × [taxa_mensal × (1+taxa_mensal)^n] / [(1+taxa_mensal)^n - 1]; capital igual: parcela_k = principal/n + capital_restante × taxa_mensal), 5 cenarios reais (financiamento imobiliario de 30 anos / financiamento de carro de 5 anos / emprestimo pessoal de 1 ano / emprestimo empresarial / decisao de pagamento antecipado), 8 erros comuns (metodo de amortizacao errado / deslocamento decimal na taxa / confusao de unidade de prazo / momento errado do pagamento antecipado / ignorar emprestimos combinados de fundo de previdencia + comercial / ignorar a inflacao / ignorar ajustes da LPR / olhar apenas a parcela mensal e nao a tabela de amortizacao), e depois apresenta a [Calculadora de Emprestimos Piick](https://piick.cc/tools/loan-calculator) que suporta ambos os metodos + tabela de amortizacao completa + economia por pagamento antecipado + processamento 100% local para privacidade.
-
O formatador SQL não é um embelezador: infraestrutura de legibilidade + 8 foot-guns reais + Piick em 1 minuto
Um formatador SQL (formatter / beautifier / pretty printer / minifier) não é decoração — é infraestrutura de legibilidade para auditorias de consultas, revisão de código e análise de logs de consultas lentas. Este artigo explica 8 foot-guns reais (backtick do MySQL vs aspas duplas do PG vs colchetes do T-SQL por incompatibilidade de dialeto, mistura de maiúsculas em palavras-chave, ponto e vírgula dentro de strings disparando splits falsos, formatadores ingênuos que eliminam comentários -- silenciosamente, reescrita automática de aspas de identificadores, formatação não recursiva de WITH CTE, todas as subconsultas inline em vez de tabelas derivadas com sua própria linha, SQL minificado que perde toda estrutura para depuração), cada um com sintoma + porquê + solução reproduzível, depois apresenta o [Piick SQL Formatter](https://piick.cc/tools/sql-formatter) — suportando 5 dialetos (Standard / MySQL / PostgreSQL / SQLite / T-SQL), 3 modos de capitalização, 4 modos de indentação, vírgula no início/fim, destaque de sintaxe, salto com clique para posição de erro, com processamento 100% local no navegador para privacidade.
-
Quanto deve durar o descanso longo do Pomodoro: 4 mitos + 5 cenários reais
A técnica Pomodoro foi inventada nos anos 80 por Francesco Cirillo com um timer de cozinha em forma de tomate da universidade. O clássico 25 min de trabalho + 5 min de descanso curto + 15 min de descanso longo a cada 4 ciclos (o padrão 4-3-3) é um padrão para usuários iniciantes, não um consenso científico. A duração ótima real do descanso longo varia segundo a intensidade do trabalho + a hora do dia + o ritmo individual. Explicamos de onde veio o método Cirillo, por que algumas pessoas se sentem pior ao seguir rigidamente a regra 4-3-3 (4 erros comuns: nem todos precisam do ciclo 4-3-3, a intensidade do trabalho determina a duração do descanso, descansos longos à noite quebram o sono, o ritmo ultradiano de 90 minutos não é mágica), e 5 cenários reais (programação profunda, criação de conteúdo, trabalhador do conhecimento, estudante, trabalhador noturno) onde o [Configurador de Pomodoro com Pausa Longa da Piick](https://piick.cc/pt/tools/pomodoro-long-break) ajuda a calcular sua configuração ótima em menos de um minuto — 4 esquemas predefinidos (Clássico / Foco Longo / Ultradiano / 52-17), adaptativo à intensidade, adaptativo à hora do dia, todos os dados 100% locais no seu navegador.
-
Quantos passos por dia: 4 mitos + 5 cenários reais
10000 passos é um número de marketing de 1965 de uma empresa japonesa de pedômetros, não um consenso científico. As metas diárias reais de passos variam por pessoa (idade, ocupação, objetivos de fitness importam). Explicamos de onde vem a regra dos 10000 passos, por que algumas pessoas se sentem pior ao segui-la rigidamente (4 erros comuns: 10000 não é universal, passos não equivalem a intensidade, comprimento da passada varia, pedômetros têm margem de erro de 20%), e 5 cenários reais (trabalhador de escritório, entusiasta de fitness, idoso, pai de recém-nascido, corredor de maratona) onde o [Conversor de Passos da Piick](https://piick.cc/pt/tools/step-converter) ajuda a calcular passos para km / milhas + calorias + tempo em menos de um minuto, baseado na sua altura e na fórmula de passada Tudor-Locke, todos os dados 100% locais no seu navegador.
-
Quantas horas antes de dormir você não deve tomar café: 4 mitos + 5 cenários reais
O café da tarde afeta você, mesmo que não sinta. A cafeína tem uma meia-vida média de 5 horas, então um café às 15h ainda deixa cerca de 25% residual às 23h. Drake 2013 (Journal of Clinical Sleep Medicine) provou que 400 mg de cafeína tomados 6 horas antes de dormir custam 41 minutos de sono profundo. Explicamos de onde vem a meia-vida de 5 horas, por que a força de vontade não protege seu sono (4 erros comuns: o café da tarde afeta você, o descafeinado também tem cafeína, a gravidez retarda o metabolismo, a tolerância não protege o sono), e 5 cenários reais (trabalhador de escritório, trabalhador por turnos, entusiasta de fitness, pai de recém-nascido, noturno) onde a [Calculadora de Cafeína da Piick](https://piick.cc/pt/tools/caffeine-half-life-calculator) ajuda a calcular seu horário limite ideal em menos de um minuto, com 7 perfis metabólicos e 11 bebidas comuns, todos os dados 100% locais no seu navegador.
-
Quanto beber de água por dia: 4 mitos para parar de acreditar + 5 cenários reais
A regra dos '8 copos por dia' é uma simplificação de 1945 do US Food and Nutrition Board que dizia 'cerca de 2,5 L de bebidas e alimentos', nunca foram 8 copos de água pura. As necessidades reais de hidratação variam por peso corporal, atividade, clima, idade e gênero. Explicamos de onde vem a regra dos 8 copos, por que algumas pessoas se sentem pior ao segui-la rigidamente (4 erros comuns: os 8 copos não são universais, o café conta como água, beber demais é arriscado, alimentos contribuem 20% do líquido), e 5 cenários reais (trabalhador de escritório, entusiasta de fitness, trabalhador ao ar livre no calor, crianças, idosos) onde a [Calculadora de Água Diária da Piick](https://piick.cc/pt/tools/water-intake-calculator) ajuda a calcular sua meta diária de água em menos de um minuto, com 4 unidades de saída (ml / L / fl-oz / copos de 250 ml) + verificação IoM + limite de segurança. Todos os dados ficam 100% locais no seu navegador.
-
O ciclo de sono de 90 minutos: é real? 4 mitos para parar de acreditar + 5 cenários reais
O ciclo de sono de 90 minutos é uma média de pesquisas dos anos 60-70 — os ciclos individuais reais variam entre 70-110 minutos, com sono profundo de onda lenta no início da noite e REM mais curto no final. Explicamos de onde veio o modelo de 90 minutos, por que algumas pessoas dormem pior ao segui-lo rigidamente (4 erros comuns), e 5 cenários reais (turno noturno, jet lag, pais de recém-nascidos, semana de provas, recuperação atlética) onde a [Calculadora de Sono da Piick](https://piick.cc/pt/tools/sleep-cycle-calculator) ajuda você a planejar horários de sono e acordar em menos de um minuto, com todos os dados ficando 100% locais no seu navegador.
-
O que o MBTI realmente mede: 4 dimensoes, 4 leituras erradas, MBTI vs Big Five
O MBTI separa as pessoas em 16 tipos, mas mede preferencias, nao habilidades. Este artigo explica o que E/I S/N T/F J/P realmente capturam, os 4 erros de leitura mais comuns, por que cerca de 50% das pessoas obteem um tipo diferente ao refazer o teste, e como o MBTI se compara ao Big Five.
-
4 regras de fuso horario para agendar reunioes internacionais: pare de acordar pessoas as 3 da manha
A maior dor de cabeca de equipes remotas e a confusao de fusos horarios: uma reuniao as 10 da manha em NY e de manha em Shanghai. Este artigo da 4 regras copia-cola (use zonas IANA em vez de abreviaturas, dupla tag com UTC, escolha uma janela UTC de 12-15 horas, teste limites do DST) para que sua proxima reuniao nunca faca ninguem entrar de madrugada as 3.
-
7 razoes pelas quais a verificacao de assinatura de webhook falha: do raw body a tolerancia de timestamp
Stripe / GitHub / Shopify / Slack retornam No signatures found matching the expected signature. Este artigo lista as 7 causas mais comuns em ordem de frequencia, cada uma com um fix copia-cola e uma ferramenta de debug local.
-
Por que o tempo UNIX comeca em 1970-01-01 (e o que acontece em 2038)
Por que o tempo UNIX comeca em 1970-01-01? Como distinguir um segundo de 10 digitos, um milissegundo de 13, um microssegundo de 16 e um nanossegundo de 19? Este guia usa 5 cenarios reais para explicar a origem da epoca, a armadilha de segundos contra milissegundos, e se ainda vale a pena se preocupar com Y2K38.
-
JWT nao e criptografia: por que qualquer pessoa com o token pode ler o payload
O header e o payload de um JWT sao codificados em Base64URL, nao criptografados. Qualquer pessoa com o token pode ler identificadores de usuario, prazos de expiracao e listas de permissoes. Este guia esclarece o que e realmente um JWT, quando confiar nele e quando trocar por criptografia de verdade.
-
Como ler expressões cron: 5 campos, 5 armadilhas, 1 cheat sheet
Expressões cron parecem senhas. Cada um dos 5 campos tem suas próprias regras e armadilhas. Este guia te leva pela semântica dos campos, saltos de DST, Sunday=0 vs 7, e os 3 templates de schedule mais comuns.
-
Base64 não é criptografia: por que 1 linha de Node.js reverte sua senha criptografada
A codificação Base64 parece segura, mas qualquer pessoa com a string pode revertê-la em uma linha. Este guia esclarece o que Base64 realmente é, quando usá-la e quando você deve mudar para criptografia real.
-
Como editar tabelas Markdown: 5 cenários reais + 4 erros comuns com CSV
Tabelas Markdown ficam ótimas até você colar no Excel e as colunas explodirem. Este artigo aborda 5 cenários reais para conversão local bidirecional de tabelas, mais as 4 armadilhas que quebram aspas e contagens de colunas.
-
Como extrair páginas específicas de um PDF: 3 cenários reais e 5 erros comuns
A página de assinatura de um contrato. A página de gráficos de um artigo. A página de resumo de um relatório. Muitas vezes você precisa apenas de algumas páginas de um PDF longo, salvas separadamente. Este artigo aborda a extração local por intervalo de páginas, intervalos contíguos, página única, com os 5 erros que causam números de página errados.
-
Quanto um PDF realmente pode ser comprimido? Anatomia de 4 tipos de PDF e 3 limites de compressão
PDFs digitalizados, PDFs só de texto, PDFs mistos, PDFs criptografados — cada um tem taxas de compressão completamente diferentes. Este artigo usa dados reais para explicar o espaço de compressão esperado para cada tipo, e por que uma ferramenta de navegador nunca vai superar o GhostScript de desktop.
-
Como combinar vários arquivos PDF: 5 cenários reais e 4 casos em que você NÃO deveria
Procurar emprego significa combinar currículo + portfólio. Relatórios de despesas significam combinar recibos semanais. Comprar uma casa significa combinar contratos. Este artigo aborda 5 cenários do mundo real para combinar PDFs localmente, além de 4 antipadrões onde combinar causará problemas.
-
O que acontece quando você faz upload de um PDF para uma ferramenta online: 3 riscos de privacidade ocultos
Combinar, dividir, comprimir PDF — a maioria das ferramentas gratuitas exige que você faça upload dos seus arquivos. Este artigo analisa 3 incidentes reais de privacidade e explica por que insistimos no processamento local de PDF, além de como verificar se qualquer ferramenta realmente processa localmente.
-
7 fundos que pode remover em 30 segundos, 3 que não pode: o limite do algoritmo
Nem todos os fundos funcionam com amostragem de cantos + flood-fill. Testámos 10 cenários comuns para mostrar quais os fundos que o algoritmo local trata de forma limpa e quais precisam de uma solução na nuvem ou trabalho manual.
-
Como o Piick processa as suas imagens sem as enviar
Processamento de imagens 100% no cliente parece marketing. Mas o Piick fá-lo mesmo. Aqui estão os nossos 4 princípios fundamentais, 3 garantias técnicas e porque importa para fotos de documentos, fotos de crianças e trabalhos de clientes sob NDA.
-
Como extrair uma paleta de cores de qualquer imagem (3 metodos gratuitos comparados)
Quer os valores HEX exatos de uma foto ou design? Compare 3 metodos gratuitos de extracao de paleta: Photoshop, sites especializados e uma ferramenta no navegador. Inclui um fluxo de 30 segundos e uma paleta de 6 cores que voce pode copiar direto para seu CSS.
-
Como remover o fundo de uma imagem: guia completo para 5 cenários comuns (edição 2026)
De fotos de documentos e fotos de produto a logótipos e avatares de redes sociais, aprenda a remover fundos de imagem em 30 segundos com uma ferramenta local. Inclui uma árvore de decisão para transparência, suavização de bordas e escolha entre PNG e JPG, além de dicas de privacidade.
-
Porque é que o seu PNG transparente tem um halo branco: 3 causas principais e soluções
Bordas irregulares, halos brancos, halos pretos, franjas de cor: os 4 tipos de artefactos à volta das bordas de um sujeito em PNG transparente, todos causados pelo manuseamento do canal alfa. Explicamos o que é Edge Feather, como se usa e quando usar.
-
Não escaneie esse QR code: guia de defesa contra quishing 2026
Pesquisadores de segurança estimam que o phishing por QR code (quishing) cresceu de forma expressiva entre 2024 e 2026. Este guia usa 2 casos reais para ensinar 6 detalhes de identificação + 1 lista de emergência, mais um plano de recuperação de 4 passos se você já escaneou um código falso.
-
Precisão do OCR muito baixa? 5 etapas de pré-processamento para elevar o reconhecimento de 60% para 95%
O motor open source Tesseract só atinge entre 60% e 90% de precisão por padrão, mas um bom pré-processamento de imagem o empurra para mais de 95%. Este guia detalha as 5 variáveis que realmente fazem diferença — resolução, contraste, ruído, inclinação e fonte — e mostra como combiná-las com compressão de imagem, recorte e OCR em lote.
-
Guia completo de compressão de imagens: como reduzir imagens para menos de 200KB sem perda visível de qualidade
Um passeio prático pela compressão de imagens cobrindo parâmetros de qualidade, subamostragem de crominância e seleção de formato. Inclui uma árvore de decisão JPG/PNG/WebP/AVIF, configurações recomendadas para 6 cenários comuns e um fluxo de trabalho no navegador em 30 segundos.
-
Backtracking catastrófico em regex: 3 travamentos reais + 2 formas de corrigir
Sua regex passa nos testes unitários voando, mas uma entrada de usuário crava a CPU em 100% em produção. Isso é backtracking catastrófico. Este post mostra 3 casos reais de produção, explica por que regexes que 'parecem corretas' ficam exponencialmente lentas com certas entradas, e dá 2 soluções de engenharia: da reescrita até grupos atômicos. Use o testador de regex do Piick para testar enquanto lê.
-
O que fazer depois de gerar uma senha forte: um fluxo de 4 passos para gerar, lembrar e nunca reutilizar
Gerar uma senha forte de 16 caracteres é só o início. A maioria das pessoas está parada em três coisas: "Não consigo lembrar," "Não consigo controlar uma senha por site," e "Não tenho coragem de esquecer minha senha mestra." Este post percorre um fluxo completo: Piick para gerar, Bitwarden ou Proton Pass para armazenar, mais um backup de uma vez. De geração até nunca voltar a lembrar nenhuma senha de site.
-
Conversão de Celsius para Fahrenheit: o cruzamento mágico de -40 + 3 armadilhas comuns de escala
Quando você escreve 30 degC, sabe que são 86 degF? Celsius -40 é exatamente igual a Fahrenheit -40 — uma inevitabilidade matemática. Este post cobre a história por trás das escalas de temperatura, a coincidência de -40 e dicas para converter temperaturas de forno, clima e corpo.
-
Guia de privacidade EXIF: o que suas fotos vazam + sanitização em lote
Estranhos conseguem ler as coordenadas GPS da sua casa, o horário da foto e o modelo do celular pela foto que você postou nas redes sociais? Fotos de celular gravam metadados EXIF por padrão. Este post cobre 7 categorias de riscos de privacidade, diferenças de tratamento entre plataformas sociais e como remover EXIF em lote.
-
Quanto tempo é longo o bastante para ser forte o suficiente? 80 bits de entropia é o padrão de 2026
Sua senha ainda é Password123!? Uma senha complexa de 8 caracteres leva apenas horas para ser quebrada por GPUs de 2026. Este post explica como hackers quebram senhas, o que significam os bits de entropia e quanto tempo é forte o suficiente.
-
Como estimar o tempo de leitura de um artigo com precisão: 3 fórmulas + ferramenta com um clique
Ainda estima o tempo de leitura com 200 palavras por minuto? Na realidade, chinês, inglês, palestras e leitura silenciosa são todos diferentes. Este post traz 3 fórmulas por cenário e mostra como usar o contador de palavras do Piick para calcular os 3 tempos de uma vez.
-
Formate JSON online em 30 segundos: 4 passos da string minificada à indentação bonita
JSON minificado em uma única linha ilegível? Este guia mostra como fazer o pretty-print de qualquer JSON no seu navegador em 30 segundos: fluxo de 4 passos, Ordenar chaves, fallback do Modo tolerante — totalmente local, nunca enviado para a nuvem.
-
JSON5 vs JSON: 6 diferenças principais + como o modo tolerante cobre os dois
Quer JSON sem tanto rigor? JSON5 torna comentários, aspas simples e vírgulas finais aceitáveis. Este guia cobre as 6 diferenças principais entre JSON e JSON5, e como o modo tolerante do Piick lida com as duas sintaxes.
-
As 3 camadas da validação de JSON: da sintaxe ao schema, 90% perdem uma camada
Conseguir fazer o parse não significa que os dados estão corretos. A validação de JSON tem uma camada de sintaxe, uma de estrutura e uma semântica — cada uma usa ferramentas diferentes. Este guia detalha as 3 camadas, 5 erros comuns e como usar a ferramenta de validar JSON online para localizar problemas rápido.
-
Métrico vs imperial: 5 unidades mais confusas + conversão com um clique
De onde vieram o métrico e o imperial? Por que os EUA ainda usam imperial? Este post cobre as 5 unidades do dia a dia mais confusas e mostra como convertê-las com o conversor de unidades do Piick.
-
PNG vs JPG vs WebP vs ICO: 4 formatos de imagem comparados + conversão em lote
Já ficou na dúvida entre salvar uma imagem de blog como PNG ou JPG? Já considerou WebP para um site? Ficou em branco quando seu chefe pediu um ícone ICO? Este post detalha os princípios de compressão dos 4 principais formatos bitmap, quando usar cada um, o estado atual do suporte a WebP/AVIF nos navegadores e como converter em lote.
-
Cheat sheet de regex: metacaracteres + quantificadores + grupos + 5 exemplos reais
Esqueceu o que significa `` no meio de uma regex? Este cheat sheet está organizado em 4 seções — metacaracteres, quantificadores gulosos, grupos de captura e 5 exemplos reais — cada um com explicação em português claro. Use com o testador de regex do Piick para consultar e testar ao longo do caminho.
-
7 padrões de regex muito usados: de e-mail a slug, prontos para produção
Regex de e-mail na internet ou são curtas demais e perdem metade dos casos ou são tão longas que parecem ransomware. Este guia traz 7 padrões testados em produção cobrindo e-mail, URL, telefone, IP, data, cor e slug — teste e ajuste com o testador de regex do Piick.
-
Guia de QR code vCard: o assassino de cartões de visita físicos + dicas de sobreposição de logo
QR codes de vCard permitem que outros escaneiem e salvem seu contato diretamente, encerrando a troca em voz alta de nome, telefone e e-mail. Este post cobre os campos de vCard, passos de geração, sobreposição de logo e truques de personalização de cor.
-
Guia de QR code para WiFi: um código para todos os dispositivos + 4 notas de segurança
Um convidado já pediu sua senha de WiFi 5 vezes? Este guia mostra como usar um único QR code para que visitantes escaneiem e conectem sozinhos, encerrando a troca constrangedora de senha em voz alta. Inclui passos de geração, notas sobre banda 5GHz/2.4GHz e os riscos de compartilhar em texto puro.
-
O que e uma marca dagua as cegas? Como a esteganografia LSB esconde dados a vista
Uma marca dagua as cegas esconde texto ou uma imagem inteira dentro de outra imagem sem mudar visivelmente o seu aspecto. Veja como o truque do LSB (bit menos significativo) funciona, por que o PNG e obrigatorio e por que a imagem de cobertura precisa ser enorme.
-
Como esconder texto ou uma imagem dentro de uma foto (ferramenta gratis no navegador)
Guia passo a passo da ferramenta de marca dagua as cegas do Piick. Esconda uma nota secreta ou uma imagem de marca inteira dentro de qualquer foto em 30 segundos. Tudo roda no seu navegador, nada e enviado.