Guides
O que registramos, e o que não
Versão curta: sem links de vídeo, sem endereços IP, sem arquivos. O link que você cola é guardado como um hash de mão única e nunca como texto. O identificador de visitante é um hash do endereço e do navegador, que muda quando qualquer um dos dois muda. Os arquivos baixados são transmitidos e nunca gravados em nosso disco. Abaixo está cada campo que realmente registramos e por que ele existe.
Cada campo que gravamos, na íntegra
| Campo | Exemplo | Por que existe |
|---|---|---|
| Data/hora | 2026-08-01T14:22Z | Ordenar eventos |
| Tipo de evento | download_ok, extract_failed | O que aconteceu |
| Hash do link | a3f2f9605acb5fe3 | Identificar um vídeo quebrado versus muitos |
| Plataforma | youtube, tiktok | Quais sites as pessoas trazem |
| Qualidade | 720 | O que é escolhido |
| Hash de visitante | 7c41be09ad2f | Cota gratuita; resultado da primeira tentativa |
| Idioma | en, es | Quais traduções importam |
| Detalhe breve | merge_timeout | Diagnosticar falhas |
Essa é a lista completa. Sem conta, sem e-mail para uso gratuito, sem endereço, sem impressão digital do dispositivo e sem link legível.
Por que o link é um hash e não texto
O endereço que você cola é a coisa mais sensível que você entrega a qualquer downloader. Ele diz o que você assiste, e ao longo do tempo diz bem mais que isso.
Passamos por SHA-256 e guardamos os primeiros dezesseis caracteres. É uma operação de mão única: o mesmo link sempre produz o mesmo hash, e ninguém consegue voltar do hash ao link. Nem nós, nem quem obtiver o arquivo.
O hash ainda é útil para a única coisa que precisa fazer. Se quarenta falhas compartilham um hash, um vídeo está quebrado. Se quarenta falhas têm quarenta hashes diferentes, algo no serviço está errado. Esse é todo o propósito, e funciona sem o texto original.
Guardar links em texto claro seria mais fácil e responderia mais perguntas. Também criaria um arquivo que é um passivo desde o momento em que existe — e nenhuma promessa de manuseio cuidadoso é tão boa quanto não tê-lo.
Por que o identificador de visitante não é uma identidade
Algum identificador é inevitável se um plano gratuito tem um limite diário. Sem um, um limite não é um limite.
O nosso é um hash do endereço de rede e da string do navegador, dezesseis caracteres. O endereço bruto nunca é gravado em lugar nenhum. Mude de rede e você vira um visitante diferente; atualize seu navegador e o mesmo acontece. É deliberadamente fraco como identificador e forte o suficiente para um contador diário.
Ele responde a uma pergunta de produto que mais nada consegue: o que aconteceu na primeira tentativa de alguém. Isso importa mais do que parece — um serviço pode parecer saudável no agregado enquanto falha com a maioria dos novatos na primeira tentativa, e sem uma forma de agrupar as tentativas de uma pessoa esse padrão é invisível.
O que ele não consegue fazer é seguir você entre redes, ligar sessões ao longo do tempo, ou conectar a qualquer coisa que você faça em outro lugar. Não há cookie para isso, e nenhum rastreador de terceiros envolvido.
Arquivos: transmitidos, nunca armazenados
O próprio vídeo é a maior questão de privacidade e tem a resposta mais simples.
Para qualidades que montamos, o arquivo existe brevemente em uma pasta temporária enquanto é construído, é enviado a você e é apagado. Para todo o resto, os dados passam em blocos de 64 KB e nunca são gravados em disco.
Nada se acumula. Não há biblioteca de vídeos baixados, nenhum cache indexado por links populares, e nenhuma cópia mantida por desempenho. Se perguntássemos amanhã o que você baixou hoje, não conseguiríamos dizer, e isso é por design, não por política.
O cache seria a otimização óbvia e não a fazemos. Um vídeo popular buscado cem vezes é buscado cem vezes, o que nos custa banda toda vez. A alternativa é um armazenamento de arquivos indexado pelo que as pessoas pediram — que é uma biblioteca de solicitações com outro nome, e ficaria em disco enquanto fosse útil.
O mesmo raciocínio descarta um recurso de histórico de downloads, que as pessoas às vezes pedem. Mostrar o que você salvou na semana passada exige manter um registro do que você salvou na semana passada, ligado a algo que te identifique. É um recurso genuinamente útil e incompatível com o resto desta página, então ele não existe.
O que as contas pagas acrescentam, e só as pagas
Pagar exige mais, e vale a pena precisar o limite.
- Endereço de e-mail. Para enviar a chave de licença e lembretes de vencimento. O uso gratuito nunca pede um.
- Hash de senha. Armazenado via scrypt — a senha em si nunca é gravada.
- Registro de licença. Plano, datas, se está ativa.
- Referência de pagamento. Do provedor de pagamento, para que um pagamento possa ser associado a uma licença.
O que uma conta paga ainda não acrescenta é qualquer vínculo com o que você baixou. O sistema de licenças e o registro de eventos não compartilham identificador, deliberadamente — saber que uma licença está ativa e saber o que alguém salvou são duas perguntas diferentes, e só conseguimos responder a primeira.
O que poderíamos coletar e optamos por não coletar
A parte interessante de qualquer postura de privacidade não é o que está ausente porque nunca foi necessário — é o que estava disponível, era útil, e foi deixado de lado.
Referenciador. Navegadores dizem a um site de qual página você veio, e isso é genuinamente valioso para entender de onde vêm os visitantes. Em um downloader, às vezes é a própria página do vídeo, o que devolveria ao registro exatamente o que hashear o link remove.
Um cookie durável. Um identificador estável tornaria a cota gratuita mais difícil de resetar e nos permitiria seguir uma pessoa entre sessões. A cota funciona de forma aceitável com um hash que muda com a rede, e o custo da versão mais forte é uma identidade real onde não existia nenhuma.
Análise de terceiros. Uma única linha de script responderia muito mais perguntas de produto do que nossos próprios registros. Também entregaria cada visualização de página a uma empresa com seus próprios interesses, em um site onde a visualização de página é a parte sensível.
Impressão digital do dispositivo. Tamanho de tela, fontes, fuso horário e hardware se combinam em um identificador que sobrevive a trocas de rede e janelas privadas. É eficaz, é invisível para a pessoa sendo medida, e é exatamente a técnica que alguém usando uma ferramenta de navegador em vez de um app está tentando evitar.
Cada uma dessas coisas teria facilitado a operação do produto. Nenhuma delas teria feito um único download funcionar melhor, que é o teste que aplicamos.
Como julgar as alegações de privacidade de qualquer downloader
Útil independentemente da ferramenta que você usa, porque a alegação é fácil de fazer e raramente verificada.
- Exige uma conta para uso básico? Se sim, tudo que você faz está ligado a uma identidade por construção.
- Quantos rastreadores carregam na página? Abra a visão de rede do navegador. Análises de terceiros e scripts de anúncios veem a página em que você está, independentemente do que a política do próprio site diga.
- A política de privacidade nomeia campos específicos? ‘Respeitamos sua privacidade’ não é uma declaração sobre dados. Uma lista do que é armazenado é.
- Explica a retenção? ‘Enquanto for necessário’ significa indefinidamente.
- É um app ou uma extensão? Ambos detêm permissões muito além da tarefa — mais sobre essa troca.
O item dois pega mais do que o resto combinado. Uma página com uma política de privacidade calorosa e nove rastreadores de publicidade respondeu à pergunta de um jeito que o texto não.
O registro que desligamos, e o que tivemos que adicionar
Duas mudanças feitas em 1º de agosto de 2026 explicam nossa postura melhor do que qualquer declaração de política, porque ambas nos custaram algo.
A primeira foi desligar o log de acesso padrão do servidor web. Ele grava uma linha por requisição contendo a requisição completa — e neste serviço a linha de requisição carrega o endereço do vídeo como parâmetro. Todo link que alguém enviava estava sendo gravado em um arquivo de forma legível, por um padrão que ninguém tinha escolhido. Não estava sendo usado para nada e contradizia o que dizíamos sobre links. Então está desligado, e nosso próprio log de acesso registra o caminho sem a string de consulta.
Isso é uma perda real. Logs de acesso padrão são como você depura um serviço web, e operar sem um é mais difícil. Pareceu a troca errada manter um arquivo com os links de todos pela conveniência de uma depuração ocasional.
A segunda mudança foi no sentido oposto. Por muito tempo o registro de eventos gravava apenas falhas, o que o tornava inútil para as perguntas que importam: quantas pessoas chegam a um download concluído, quais plataformas trazem, onde o nível gratuito as detém. Dez falhas não significam nada sem saber se houve vinte tentativas ou duas mil. Então sucessos agora também são registrados — os mesmos campos, o mesmo link com hash, nenhum dado pessoal novo. Mais registros, não mais conhecimento sobre ninguém.
A forma das duas decisões é a mesma. A pergunta nunca é se registrar é bom, é qual campo específico merece seu lugar. Um link bruto não ganha nada que um hash não ganhe, então o link bruto sai. Um evento de sucesso ganha algo que nenhum evento de falha pode fornecer, então fica. Aplicado campo por campo, esse raciocínio produz a tabela no início deste artigo — e é uma tabela que podemos publicar exatamente porque não há nada nela que preferíssemos que você não soubesse.
Uma limitação honesta. Nosso tráfego passa por uma rede de entrega de conteúdo, como quase todos os sites, e esse provedor vê as conexões para poder roteá-las. Não controlamos o que qualquer rede intermediária mantém. O que podemos dizer é o que chega até nós e o que gravamos, que é o que este artigo documenta.
Perguntas frequentes
Vocês guardam os links que eu colo?
Não. Cada link é transformado em hash com SHA-256 e apenas o hash é armazenado. O texto original nunca é gravado e não pode ser recuperado a partir do hash.
Vocês registram endereços IP?
Não. Um hash do endereço e do navegador é usado para o limite diário gratuito; o endereço bruto nunca é gravado em nenhum arquivo.
Os arquivos baixados ficam guardados em seus servidores?
Não. Arquivos montados são apagados imediatamente após o envio, e todo o resto é transmitido sem tocar o disco.
Preciso de uma conta?
Não para uso gratuito. Um endereço de e-mail só é exigido para uma licença paga, para que a chave e os lembretes de vencimento possam ser enviados.
Vocês conseguem saber o que eu baixei?
Não. Conseguimos ver que um download de uma dada plataforma e qualidade teve sucesso, e um hash que não conseguimos reverter. O sistema de licenças não compartilha identificador com o registro de eventos.
Como avalio a privacidade de outro downloader?
Verifique se exige uma conta, conte os rastreadores de terceiros na página, e veja se a política nomeia campos específicos em vez de fazer promessas genéricas.
O VidKeep funciona no seu navegador: cole um link, escolha a qualidade e guarde o arquivo. Sem conta e sem aplicativo.
Abrir o VidKeepÚltima atualização: 2026-09-04. Revisamos nossos guias conforme as plataformas mudam.
